Maurice Müller
Senior Content Manager
Maurice Müller ist Journalist und Content-Stratege mit Erfahrung im Print- und Digitalbereich. Bei Formalize bereitet er komplexe Compliance- und Regulierungsthemen verständlich auf und macht daraus klare, praxisnahe Inhalte für Compliance-, Risiko- und Sicherheitsexperten in ganz Europa.
Wichtigste Erkenntnisse:
Die NIS-2-Anforderungen lassen sich in vier praktische Compliance-Bereiche gliedern: Verantwortlichkeit der Geschäftsführung, Risikomanagementmaßnahmen, Meldung von Sicherheitsvorfällen und Sicherheit der Lieferkette.
Sie gilt für „besonders wichtige" und „wichtige" Einrichtungen, unterteilt nach Sektor und Unternehmensgröße.
Bei erheblichen Sicherheitsvorfällen ist innerhalb von 24 Stunden eine Frühwarnung, innerhalb von 72 Stunden eine vollständige Meldung und innerhalb eines Monats ein Abschlussbericht erforderlich.
Die Bußgelder betragen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen bzw. 7 Millionen Euro oder 1,4 % für wichtige Einrichtungen.
ISO 27001 deckt schätzungsweise 70 bis 80 % der NIS-2-Anforderungen ab. Der Rest erfordert weiterhin gezielte Maßnahmen.
Zwei Jahre lang haben Governance-Teams versucht zu verstehen, was NIS-2 wirklich verändert, und bei vielen lautet die ehrliche Antwort bis heute: „Wir sind uns nicht ganz sicher." Das ist nachvollziehbar, denn NIS-2 ist mehr als eine aktualisierte Checkliste. Die Richtlinie definiert neu, wer Verantwortung trägt, wie schnell Sicherheitsvorfälle gemeldet werden müssen und wie weit Unternehmen in ihre Lieferkette hineinschauen müssen. Wer sich ein klares, strukturiertes Bild der Anforderungen verschafft, hat den ersten wichtigen Schritt getan, um diese Lücke zu schließen.
Was schreibt die NIS-2-Richtlinie konkret vor?
NIS-2, formal die Richtlinie (EU) 2022/2555, ist die EU-Cybersicherheitsrichtlinie für besonders wichtige und wichtige Einrichtungen. Sie verpflichtet betroffene Organisationen dazu, Cybersicherheitsrisiken mit Verantwortung auf Geschäftsleitungsebene zu managen und dies auch nachzuweisen, nicht nur zu dokumentieren.
Einen vollständigen Überblick über Hintergrund und Ziele von NIS-2 finden Sie unter Was ist NIS-2?. Dieser Beitrag konzentriert sich darauf, was Compliance in der Praxis tatsächlich erfordert.
Die 4 zentralen Compliance-Bereiche der NIS-2-Anforderungen
1. Verantwortlichkeit und Governance der Geschäftsleitung
Die Geschäftsleitung muss die Risikomanagementmaßnahmen im Bereich Cybersicherheit freigeben. Sie muss aktiv im Blick behalten, wie diese Maßnahmen umgesetzt werden, und selbst an verpflichtenden Cybersicherheitsschulungen teilnehmen. Cybersicherheit liegt damit in der Verantwortung der Geschäftsleitung, nicht allein der IT-Abteilung.
2. Risikomanagementmaßnahmen
Artikel 21 legt mindestens zehn grundlegende Maßnahmen fest, die Organisationen umsetzen müssen. Dazu gehören zum Beispiel Risikoanalyse, Verschlüsselung, Zugriffskontrollen, Multi-Faktor-Authentifizierung und Verfahren für den Umgang mit Sicherheitsvorfällen. Auditoren prüfen somit, ob diese Maßnahmen wirklich umgesetzt sind und funktionieren.
3. Fristen für die Meldung von Sicherheitsvorfällen
Bei erheblichen Sicherheitsvorfällen gelten feste Fristen: eine Frühwarnung innerhalb von 24 Stunden, eine vollständige Meldung innerhalb von 72 Stunden und ein Abschlussbericht einen Monat später. Die 24-Stunden-Frist lässt keinen Spielraum. Ohne Vorbereitung ist diese Frist schnell verpasst.
4. Sicherheit der Lieferkette
Organisationen müssen die Cybersicherheitslage ihrer direkten Lieferanten, Zulieferer und Dienstleister bewerten und dauerhaft im Auge behalten. Eine Schwachstelle bei einem Lieferanten wird zum eigenen Risiko, sobald dieser Lieferant Zugriff auf die eigenen Systeme oder Daten hat.
Die NIS-2-Compliance-Checkliste
Artikel 21(2) aus NIS-2 legt zehn grundlegende Maßnahmen fest, die jede betroffene Organisation umsetzen muss. Hier sehen Sie, was Sie bei jeder einzelnen wirklich prüfen sollten.
NIS-2 | Was zu prüfen ist |
|---|---|
Risikoanalyse und Sicherheitskonzepte für Informationssysteme | Haben Sie genehmigte, regelmäßig überprüfte Sicherheits- und Risikorichtlinien? |
Bewältigung von Sicherheitsvorfällen | Gibt es einen dokumentierten Prozess zur Erkennung, Meldung und Reaktion bei Sicherheitsvorfällen? |
Business Continuity und Krisenmanagement | Haben Sie Backup-Management, Notfallwiederherstellung und Krisenmanagementpläne im Einsatz? |
Sicherheit der Lieferkette | Prüfen Sie die Sicherheitspraktiken Ihrer Lieferanten und Dienstleister tatsächlich, statt sie nur anzunehmen? |
Sicherheit bei Beschaffung, Entwicklung und Wartung von Systemen | Ist der Umgang mit Schwachstellen fest in Ihre Beschaffung und Wartung von Systemen eingebaut?wait |
Richtlinien zur Bewertung der Wirksamkeit von Sicherheitsmaßnahmen | Testen Sie regelmäßig, ob Ihre Kontrollen wirklich funktionieren, nicht nur, ob sie existieren? |
Cyberhygiene und Sicherheitsschulungen | Gibt es verpflichtende, fortlaufende Schulungen zum Sicherheitsbewusstsein für Ihre Mitarbeitenden? |
Kryptografie und Verschlüsselung | Haben Sie eine Richtlinie dazu, wann und wie Verschlüsselung eingesetzt wird? |
Personalsicherheit, Zugriffskontrolle und Verwaltung von Assets | Sind Zugriffsrechte an Rollen gebunden, und haben Sie ein aktuelles Asset-Verzeichnis? |
Multi-Faktor-Authentifizierung und sichere Kommunikation | Ist MFA bei Ihnen verpflichtend, und sind Ihre Notfallkommunikationskanäle abgesichert? |
Wer muss die NIS-2-Anforderungen erfüllen?
NIS-2 unterteilt Organisationen in zwei Kategorien, je nach Sektor und Größe.
Besonders wichtige Einrichtungen sind große Organisationen mit mindestens 250 Mitarbeitenden oder einem Jahresumsatz von über 50 Millionen Euro, tätig in den elf Sektoren, die die Richtlinie als besonders kritisch einstuft. Diese Sektoren sind Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienstleistungsmanagement, öffentliche Verwaltung und Weltraum
Wichtige Einrichtungen sind mittelgroße Organisationen mit mindestens 50 Mitarbeitenden oder einem Jahresumsatz von über 10 Millionen Euro, in denselben Sektoren. Dazu zählen außerdem mittelgroße und große Organisationen in sieben weiteren Sektoren: Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittelproduktion und -vertrieb, verarbeitendes Gewerbe, digitale Anbieter und Forschung.
Laut einer Schätzung der Europäischen Kommission von November 2025 fallen etwa 160.000 Organisationen EU-weit in eine dieser beiden Kategorien. Die ursprüngliche Schätzung aus dem Jahr 2020 lag noch bei 110.000, wurde aber im Zuge der tatsächlichen Umsetzung korrigiert.
Besonders wichtige Einrichtungen | Wichtige Einrichtungen | |
|---|---|---|
Größenschwelle | 250+ Mitarbeitende oder 50+ Millionen Euro Umsatz | 50+ Mitarbeitende oder 10+ Millionen Euro Umsatz |
Sektoren | Anhang I (11 hochkritische Sektoren) | Anhang I oder Anhang II (18 Sektoren insgesamt) |
Aufsicht | Proaktiv, fortlaufend | Reaktiv, ausgelöst durch Vorfälle oder Beschwerden |
Höchstbußgeld | 10 Millionen Euro oder 2 % des weltweiten Umsatzes | 7 Millionen Euro oder 1,4 % des weltweiten Umsatzes |
Eine kleine Zahl von Organisationen, darunter qualifizierte Vertrauensdiensteanbieter, DNS-Anbieter und Register für Top-Level-Domains, gelten unabhängig von ihrer Größe als besonders wichtige Einrichtungen.
NIS-2-Compliance mit Formalize optimieren
Die meisten Organisationen starten die NIS-2-Arbeit auf dieselbe Art: eine Excel-Tabelle, ein gemeinsamer Drive-Ordner. Dieser Ansatz stößt jedoch schnell an seine Grenzen. Verantwortlichkeiten für Kontrollen bleiben unklar. Überfällige Überprüfungen bleiben unbemerkt. Nachweise sind nicht bereit, wenn ein Auditor danach fragt.
Formalize's NIS-2-Compliance-Software ersetzt dieses fragmentierte Setup durch ein strukturiertes System, das auf denselben vier Compliance-Bereichen aufbaut. Freigabeworkflows und Dashboards bieten der Unternehmensleitung genau die Übersicht, die die Governance-Anforderungen von NIS2 tatsächlich erfordern. Kontrollen, Aufgaben und Nachweise sind an einem Ort zentral gespeichert und direkt auf die Vorgaben der Richtlinie abgestimmt. Audit-Bereitschaft bedeutet nicht, dass man sich durch alte E-Mail-Verläufe arbeiten muss.
Bereit für den nächsten Schritt?
Buchen Sie eine Demo, die sich an Ihrer tatsächlichen Compliance-Arbeit orientiert, nicht an einem Standardablauf.
Der größere, aber weniger offensichtliche Kostenfaktor bei manueller NIS-2-Arbeit ist der Personalbedarf. Formalize wurde genau dafür entwickelt, die wiederkehrenden Aufgaben zu automatisieren: Erinnerungen, regelmäßige Überprüfungen, Vorfall-Workflows. Das sind die Tätigkeiten, die sonst oft eine Neueinstellung rechtfertigen oder dazu führen, dass ein Beratervertrag immer wieder verlängert wird. Da die meisten Organisationen nicht bei NIS-2 stehen bleiben, lassen sich einmal erfasste Kontrollen direkt auf ISO 27001, die DSGVO und alles Weitere übertragen. Die Zuordnungsarbeit muss so nicht jedes Mal von Neuem beginnen.
Formalize bietet außerdem eine kostenlose NIS-2-Gap-Analyse sowie 22 vordefinierte NIS-2-Kontrollen, die bereits der Richtlinie zugeordnet sind, für Teams, die einen konkreten Ausgangspunkt möchten.
NIS-2-Umsetzungsfristen
Die Mitgliedstaaten mussten NIS-2 bis zum 17. Oktober 2024 in nationales Recht umsetzen, mit Geltung der Pflichten ab dem Folgetag. In der Praxis verzögerte sich dieser Zeitplan in vielen Ländern. Stand Mitte 2026 ist das nationale NIS-2-Gesetz in 23 von 27 Mitgliedstaaten vollständig in Kraft. Die restlichen vier Länder, Frankreich, Irland, die Niederlande und Spanien, wurden wegen der Verzögerung vor den Europäischen Gerichtshof gebracht.
Diese uneinheitliche Lage ändert nichts daran, was Organisationen tun sollten. Wer in den Anwendungsbereich fällt, für den ist die nationale Durchsetzung entweder bereits aktiv oder steht kurz bevor. Das gilt unabhängig davon, in welcher genauen Woche das Gesetz im eigenen Land in Kraft trat. Auf eine bestimmte lokale Frist zu warten, bevor man startet, birgt unnötige Risiken. Beginnen Sie jetzt mit der Gap-Analyse. Behandeln Sie das lokale Umsetzungsdatum als verbindlichen Termin, nicht als Richtwert.
Bußgelder bei Nichteinhaltung
Die Bußgelder richten sich nach der Art der Einrichtung. Besonders wichtige Einrichtungen müssen mit bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes rechnen, je nachdem, welcher Betrag höher ist. Wichtige Einrichtungen müssen mit bis zu 7 Millionen Euro oder 1,4 % rechnen, auf derselben Grundlage.
Über die Bußgelder hinaus droht besonders wichtigen Einrichtungen eine schärfere Konsequenz. Nach Artikel 32 können nationale Behörden ein vorübergehendes Verbot gegen eine namentlich benannte Person auf Geschäftsführungs- oder gesetzlicher Vertretungsebene beantragen, das ihr jede Leitungsfunktion untersagt. Voraussetzung dafür ist ein nachgewiesener Verstoß. Wichtige Einrichtungen unterliegen einem separaten, in der Regel milderen Durchsetzungsweg. So oder so zeigt sich dieselbe Richtung: NIS-2 macht Cybersicherheitsversagen zu einer persönlichen und nicht nur unternehmerischen Konsequenz.
Die genaue Umsetzung variiert allerdings von Land zu Land. NIS-2 ist eine Richtlinie und keine Verordnung, weshalb jeder Mitgliedstaat Artikel 32 in eigenes nationales Recht überführt. Das konkrete Verfahren für ein Tätigkeitsverbot, wer es beantragen kann, was als nachgewiesener Verstoß gilt und wie es durchgesetzt wird, hängt davon ab, wie Ihr Land die Richtlinie umgesetzt hat, nicht von einem einheitlichen EU-weiten Verfahren.
