NIS2

NIS2 ist die Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union. Sie ersetzt die erste NIS-Richtlinie von 2016 und erweitert deren Ansatz erheblich.

Die wichtigste Eigenschaft wird regelmäßig übersehen: Eine Richtlinie gilt nicht unmittelbar. Sie verpflichtet die Mitgliedstaaten, binnen einer Frist nationales Recht zu schaffen. Wer in Deutschland seine Pflichten sucht, findet sie deshalb nicht in NIS2, sondern im BSI-Gesetz.

Was sich gegenüber NIS geändert hat

Betroffenheit nach Größe statt nach Benennung

Unter der ersten Richtlinie bestimmten die Mitgliedstaaten, welche Unternehmen als Betreiber wesentlicher Dienste galten. NIS2 ersetzt das durch eine allgemeine Regel: Wer in einem der aufgeführten Sektoren tätig ist und eine Größenschwelle überschreitet, ist erfasst — ohne behördlichen Bescheid.

Das vergrößert den Kreis um ein Vielfaches. Betroffen sind nun auch Branchen, die sich bisher nicht angesprochen fühlten, etwa Abfallwirtschaft, Lebensmittelproduktion, Post und Kurierdienste oder Forschungseinrichtungen.

Verantwortung der Leitung

Neu ist die ausdrückliche Pflicht der Geschäftsleitung, Maßnahmen zu billigen, ihre Umsetzung zu überwachen und sich schulen zu lassen. Informationssicherheit ist damit keine Aufgabe mehr, die sich vollständig an die IT delegieren lässt.

Lieferkette

Erfasst werden auch Risiken aus Beziehungen zu Dienstleistern und Zulieferern. Ein Unternehmen kann selbst außerhalb des Anwendungsbereichs liegen und trotzdem Anforderungen erfüllen müssen, weil ein erfasster Kunde sie vertraglich weitergibt — der praktisch häufigste Weg, auf dem NIS2 kleine Betriebe erreicht.

Durchsetzung

Vorgesehen sind Aufsichtsbefugnisse und spürbare Bußgelder, gestaffelt nach Einstufung der Einrichtung.

Die Umsetzung in Deutschland

Die Umsetzungsfrist lief am 17. Oktober 2024 ab. Deutschland hat sie deutlich überschritten: Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz ist erst am 6. Dezember 2025 in Kraft getreten.

Es hat das BSI-Gesetz nicht geändert, sondern vollständig neu gefasst — mit neuer Paragraphenzählung, die der Artikel zum BSI-Gesetz gegenüberstellt.

Für die Praxis folgt daraus eine einfache Arbeitsregel: Pflichten im BSIG nachschlagen, nicht in der Richtlinie. Der Richtlinientext ist nützlich, um die Absicht einer Regelung zu verstehen, und unbrauchbar, um eine konkrete Frist zu bestimmen.

Bin ich betroffen?

Die Prüfung erfolgt in drei Schritten, und zwar in dieser Reihenfolge:

1. Sektor. Ist die Tätigkeit in Anlage 1 oder Anlage 2 des BSI-Gesetzes aufgeführt?
2. Größe. Werden die Schwellen überschritten — bei besonders wichtigen Einrichtungen 250 Beschäftigte oder mehr als 50 Millionen Euro Umsatz bei zugleich über 43 Millionen Euro Bilanzsumme?
3. Sonderfälle. Einige Einrichtungsarten sind unabhängig von der Größe erfasst, etwa im Bereich der digitalen Infrastruktur und der Telekommunikation.

Niemand teilt das Ergebnis mit. Die Einstufung ist selbst vorzunehmen, und aus ihr folgt die Pflicht zur Registrierung.

Abgrenzung

BSI-Gesetz. Das anwendbare Recht in Deutschland. Alle konkreten Fristen, Schwellen und Sanktionen stehen dort.

Kritische Infrastrukturen. NIS2 kennt den deutschen KRITIS-Begriff nicht. Betreiber kritischer Anlagen sind eine Teilmenge der erfassten Einrichtungen mit zusätzlichen Pflichten — die beiden Begriffe sind nicht austauschbar.

CER-Richtlinie. Das Gegenstück für die physische Resilienz, in Deutschland durch das KRITIS-Dachgesetz umgesetzt. NIS2 regelt die Cybersicherheit, CER den Schutz vor physischen Gefahren.

DSGVO. Verfolgt den Schutz personenbezogener Daten, NIS2 die Funktionsfähigkeit von Diensten. Die Maßnahmen überschneiden sich, die Schutzziele nicht.