Maurice Müller
Senior Content Manager
Maurice Müller ist Journalist und Content-Stratege mit Erfahrung in Print- und Digitalmedien. Bei Formalize übersetzt er komplexe Compliance- und Regulierungsthemen in klare, praxisnahe Inhalte für Compliance-, Risiko- und Sicherheitsexperten in ganz Europa.
Wichtigste Erkenntnisse
NIS-2 gilt für besonders wichtige und wichtige Einrichtungen in 18 Sektoren der EU.
Die Richtlinie verlangt Risikomanagement, Vorfallmeldungen, Sicherheit der Lieferkette und die Verantwortung der Geschäftsführung.
Bei Nichteinhaltung drohen für besonders wichtige Einrichtungen Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes.
Stand Mitte 2026 haben die meisten EU-Mitgliedstaaten die Richtlinie in nationales Recht umgesetzt, die Durchsetzung läuft bereits, und in mehreren Ländern wurden erste Bußgelder verhängt.
Was ist NIS-2?
NIS-2 (offiziell Network and Information Security Directive 2) ist eine EU-Rechtsvorschrift, die das Cybersicherheitsniveau in den Mitgliedstaaten grundlegend anheben soll. Sie löst die ursprüngliche NIS-Richtlinie (NIS-1) aus dem Jahr 2016 ab, die einen engeren Anwendungsbereich hatte und in den einzelnen Ländern uneinheitlich durchgesetzt wurde.
Das Kernziel ist klar: Unternehmen, die kritische Infrastrukturen betreiben oder wesentliche Dienstleistungen erbringen, müssen Cyberrisiken aktiv managen, Vorfälle fristgerecht melden und nachweisen können, dass ihre Sicherheitsmaßnahmen tatsächlich umgesetzt sind, nicht nur auf dem Papier stehen.
Warum wurde NIS-2 eingeführt?
Die ursprüngliche NIS-Richtlinie (NIS-1) hatte deutliche Lücken. Der Anwendungsbereich war begrenzt, die Mitgliedstaaten setzten die Anforderungen unterschiedlich um, und die Aufsicht variierte stark. Gleichzeitig veränderte sich die Bedrohungslage im Cyberraum erheblich: Ransomware-Angriffe auf Krankenhäuser, Kompromittierungen von Lieferketten und staatlich unterstützte Angriffe wurden in ganz Europa zu regelmäßigen Vorkommnissen.
NIS-2 wurde eingeführt, um drei zentrale Schwächen von NIS-1 zu beheben: einen uneinheitlichen Anwendungsbereich, eine fragmentierte Durchsetzung und unzureichende Aufmerksamkeit für Risiken in der Lieferkette. Das Ergebnis ist eine Richtlinie, die mehr Sektoren abdeckt, klarere Anforderungen festlegt und den nationalen Behörden stärkere Durchsetzungsbefugnisse gibt.
Wer fällt unter NIS-2?
NIS-2 gilt für mittlere und große Unternehmen in 18 kritischen Sektoren, die in zwei Kategorien unterteilt werden.
Zu den besonders wichtigen Einrichtungen zählen Unternehmen aus den Bereichen Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienstemanagement, öffentliche Verwaltung und Raumfahrt. Diese Einrichtungen unterliegen einer proaktiven Aufsicht, einschließlich regelmäßiger Audits und Vor-Ort-Prüfungen.
Zu den wichtigen Einrichtungen zählen Unternehmen aus Post- und Kurierdiensten, Abfallwirtschaft, Chemie, Lebensmittelproduktion, verarbeitendem Gewerbe, digitalen Diensteanbietern und Forschung. Diese unterliegen einer reaktiven Aufsicht, das heißt, die Kontrolle wird in der Regel erst nach einem Vorfall oder bei Hinweisen auf Nichteinhaltung ausgelöst.
Der Schwellenwert für die Größe liegt in der Regel bei 50 oder mehr Mitarbeitenden oder einem Jahresumsatz von über 10 Millionen Euro. Auch kleinere Unternehmen können erfasst sein, wenn sie in besonders kritischen Bereichen tätig sind.
Im Vergleich zu NIS-1 ist der Anwendungsbereich deutlich breiter. Viele Unternehmen, die zuvor nicht unter das Cybersicherheitsrecht fielen, sind nun erfasst.
Gilt NIS-2 für mein Unternehmen?
Ein sinnvoller Ausgangspunkt sind vier Fragen:
Erbringt Ihr Unternehmen Dienstleistungen in der EU?
Ist es in einem der Sektoren tätig, die in Anhang I oder Anhang II der Richtlinie aufgeführt sind?
Wird es allgemein als mittleres oder großes Unternehmen eingestuft (50+ Mitarbeitende oder 10+ Millionen Euro Umsatz)?
Bringt eine besondere Ausnahme oder nationale Einstufung Ihr Unternehmen unabhängig von seiner Größe in den Anwendungsbereich?
Das Erfüllen dieser allgemeinen Kriterien bestimmt nicht automatisch Ihren rechtlichen Status. Der Anwendungsbereich kann von den konkreten Dienstleistungen, die Sie erbringen, den Eigentumsverhältnissen Ihres Unternehmens, nationaler Gesetzgebung und davon abhängen, ob Ihr Unternehmen individuell als kritisch eingestuft wurde.
Nicht sicher, ob Ihr Unternehmen betroffen ist? Führen Sie die NIS-2-Compliance-Selbsteinschätzung durch, um Ihren voraussichtlichen Geltungsbereich und erste Compliance-Lücken zu identifizieren.
Zentrale NIS-2-Anforderungen
NIS-2 legt einen Mindeststandard für Cybersicherheitsmaßnahmen fest. Betroffene Unternehmen müssen vier Bereiche berücksichtigen:
Risikomanagement: Richtlinien zur Analyse und Steuerung von Risiken für Netz- und Informationssysteme, einschließlich Vorfallbewältigung, Business Continuity und Krisenmanagement.
Vorfallmeldung: Erhebliche Vorfälle müssen innerhalb von 24 Stunden nach Erkennung bei der zuständigen nationalen Behörde gemeldet werden (Erstmeldung), gefolgt von einem detaillierteren Bericht innerhalb von 72 Stunden und einem Abschlussbericht innerhalb eines Monats.
Sicherheit der Lieferkette: Unternehmen müssen die Cybersicherheitspraktiken ihrer Lieferanten und Dienstleister bewerten, nicht nur ihre eigenen internen Kontrollen.
Governance und Verantwortung der Geschäftsführung: Die Geschäftsleitung ist unmittelbar dafür verantwortlich, Cybersicherheitsmaßnahmen zu genehmigen, und kann bei Nichteinhaltung persönlich haftbar gemacht werden. Das stellt einen deutlichen Wandel gegenüber der bisherigen Verteilung der Verantwortung für Cybersicherheit dar.
NIS-2-Compliance-Fristen
Die Frist zur Umsetzung in nationales Recht lag für die Mitgliedstaaten am 17. Oktober 2024. Nur vier Mitgliedstaaten hielten diese Frist ein. Die Europäische Kommission leitete im November 2024 Vertragsverletzungsverfahren gegen 23 Mitgliedstaaten ein, die im Mai 2025 gegen 19 davon zu begründeten Stellungnahmen eskaliert wurden.
Seitdem ist die Umsetzung deutlich vorangeschritten. Stand Mitte 2026 haben 23 der 27 Mitgliedstaaten NIS-2 vollständig umgesetzt, die Durchsetzung ist inzwischen in den meisten EU-Ländern operativ. Die vier verbleibenden Mitgliedstaaten, Frankreich, Irland, die Niederlande und Spanien, wurden von der Europäischen Kommission vor den Gerichtshof der Europäischen Union verwiesen.
Unabhängig vom Stand der nationalen Umsetzung sollten Unternehmen eine unvollständige nationale Implementierung nicht als Grund für Verzögerungen sehen. Die Richtung ist eindeutig, die Durchsetzung wird folgen, und die operative Arbeit (Kontrollen kartieren, Verantwortlichkeiten zuweisen, Nachweise aufbauen) braucht Zeit.
NIS-2 ist seit Oktober 2024 in Kraft. Die wichtigsten Meilensteine bisher:
17. Oktober 2024: Umsetzungsfrist für Mitgliedstaaten, die nur vier einhielten
17. Januar 2025: neue Peer-Review-Verfahren traten in Kraft
17. April 2025: Mitgliedstaaten mussten Listen besonders wichtiger und wichtiger Einrichtungen erstellen
Wie geht es weiter: Die Europäische Kommission wird die Funktionsweise von NIS-2 im Oktober 2027 überprüfen, mögliche Änderungen könnten folgen.
Für Unternehmen, die noch nicht begonnen haben, geht es nicht mehr um Fristen. Es geht darum, vorbereitet zu sein, wenn die Durchsetzung sie erreicht.
Stand der Umsetzung, zuletzt aktualisiert: 31. Juli 2026
NIS-2 vs. DSGVO und NIS-1: zentrale Unterschiede
NIS-2 und die DSGVO adressieren unterschiedliche Problemstellungen und schließen sich nicht gegenseitig aus. Die DSGVO konzentriert sich auf den Schutz personenbezogener Daten. NIS-2 konzentriert sich auf die Sicherheit der Systeme und Infrastrukturen, die diese Daten verarbeiten. Ein Unternehmen kann DSGVO-konform sein und dennoch die Anforderungen von NIS-2 verfehlen, insbesondere in den Bereichen Vorfallreaktion, Risikomanagement und Sicherheit der Lieferkette.
Im Vergleich zu NIS-1 erweitert NIS-2 den Anwendungsbereich erheblich (mehr Sektoren, mehr Unternehmen), verschärft die Sicherheitsanforderungen, führt eine persönliche Haftung der Geschäftsleitung ein und harmonisiert die Bußgelder über die Mitgliedstaaten hinweg.
Ein kurzer Vergleich:
NIS-1 | NIS-2 | DSGVO | |
|---|---|---|---|
Fokus | Cybersicherheit kritischer Infrastrukturen | Umfassendere Cyberresilienz | Schutz personenbezogener Daten |
Anwendungsbereich | Begrenzte Sektoren | 18 Sektoren | Alle Unternehmen, die personenbezogene Daten aus der EU verarbeiten |
Bußgelder | Je nach Mitgliedstaat unterschiedlich | Bis zu 10 Millionen Euro oder 2 % des Umsatzes (je nachdem, was höher ist) | Bis zu 20 Millionen Euro oder 4 % des Umsatzes (je nachdem, was höher ist) |
Haftung der Geschäftsleitung | Nein | Ja | Eingeschränkt |
Sanktionen bei Nichteinhaltung
NIS-2 führt erstmals EU-weit harmonisierte Bußgelder ein, und die Durchsetzung hat bereits begonnen. Erste Bußgelder wurden aus Belgien (185.000 Euro), Italien (450.000 Euro) und Ungarn (78.000 Euro) gemeldet, nationale Prüfprogramme laufen inzwischen in mehr als einem Dutzend Mitgliedstaaten. Die genannten Beträge basieren auf gemeldeten Zahlen nationaler Behörden und Enforcement-Trackern; für eine verbindliche Bestätigung einer konkreten Sanktion wenden Sie sich an die zuständige nationale Behörde.
Besonders wichtigen Einrichtungen drohen Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen liegt der Höchstbetrag bei 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes.
Über finanzielle Sanktionen hinaus verpflichtet Artikel 20 der NIS-2-Richtlinie die Leitungsorgane ausdrücklich dazu, Maßnahmen zum Cybersicherheitsrisikomanagement zu genehmigen, zu überwachen und dafür Verantwortung zu übernehmen. Einzelne Führungskräfte können bei Nichteinhaltung persönlich haftbar gemacht werden, einschließlich vorübergehender Verbote der Ausübung von Leitungsfunktionen. Damit verschiebt sich die zentrale Frage von "Ist das Unternehmen compliant?" zu "Kann die Geschäftsleitung nachweisen, dass sie ihrer Aufsichtspflicht nachgekommen ist?"
Wie startet man mit NIS-2-Compliance?
Der praktische Ausgangspunkt ist eine Gap-Analyse: zu verstehen, welche NIS-2-Anforderungen für Ihr Unternehmen gelten und wo Ihre aktuellen Kontrollen, Richtlinien und Prozesse noch Lücken aufweisen.
Von dort aus geht es darum, Verantwortlichkeiten über Teams hinweg zuzuweisen, Kontrollen zu dokumentieren, eine kontinuierliche Nachweiserhebung aufzubauen und Workflows für die Vorfallmeldung einzurichten, bevor ein Vorfall eintritt, nicht erst danach.
Formalize ist darauf ausgelegt, NIS-2 operativ umzusetzen, nicht nur zu dokumentieren. Eine NIS-2-Compliance-Selbsteinschätzung hilft Ihrem Team, Lücken schnell zu identifizieren und die Bereiche zu priorisieren, die zuerst Aufmerksamkeit brauchen. Formalize bietet außerdem 22 vordefinierte NIS-2-Kontrollen, die den Anforderungen der Richtlinie zugeordnet sind, sodass Teams ihr Compliance-Framework nicht von Grund auf neu aufbauen müssen.
Für Unternehmen, die einen umfassenderen Überblick über die Richtlinie und ihre Auswirkungen suchen, deckt der NIS-2-Compliance-Hub Anforderungen, Sektorzuordnung und Vorbereitungsschritte ab.
Häufig gestellte Fragen
Zuletzt überprüft: 31. Juli 2026 | Dieser Artikel dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung dar.
