Was regelt die NIS2-Richtlinie eigentlich genau?

Alexander Brütsch · 19 Aug. 2026

Die NIS2-Richtlinie ist seit ihrer Verabschiedung durch das Europäische Parlament das meistdiskutierte Regelwerk der europäischen Cybersicherheitspolitik. Unternehmen in Deutschland stehen vor der Frage, ob und wie sie betroffen sind, welche konkreten Maßnahmen sie umsetzen müssen und welche Konsequenzen drohen, wenn sie nichts tun. Dieser Artikel erklärt, was die NIS2-Richtlinie tatsächlich regelt, wen sie betrifft und was Organisationen in der Praxis erwartet.

NIS2 steht für die zweite Fassung der EU-Richtlinie zur Netz- und Informationssicherheit (Network and Information Security). Sie löst die erste NIS-Richtlinie aus dem Jahr 2016 ab und erweitert deren Geltungsbereich erheblich. Ziel ist ein einheitlich hohes Cybersicherheitsniveau in der gesamten Europäischen Union, das mit dem gestiegenen Bedrohungsumfeld Schritt hält.

Geltungsbereich: welche Unternehmen NIS2 betrifft

NIS2 gilt nicht für alle Unternehmen gleichermaßen, sondern unterscheidet nach Sektorzugehörigkeit und Unternehmensgröße. Grundsätzlich sind Organisationen betroffen, die in einem der definierten kritischen oder wichtigen Sektoren tätig sind und dabei bestimmte Schwellenwerte überschreiten.

Die Richtlinie teilt betroffene Einrichtungen in zwei Kategorien: wesentliche Einrichtungen und wichtige Einrichtungen. Wesentliche Einrichtungen finden sich in Sektoren wie Energie, Verkehr, Gesundheit, Trinkwasserversorgung, digitale Infrastruktur und öffentliche Verwaltung. Wichtige Einrichtungen umfassen unter anderem Post- und Kurierdienste, Abfallwirtschaft, Lebensmittel, Chemie und verarbeitendes Gewerbe. Für beide Kategorien gilt in der Regel: Unternehmen ab 50 Mitarbeitern oder einem Jahresumsatz von mehr als zehn Millionen Euro können unter die Regelung fallen. Größere Unternehmen ab 250 Mitarbeitern oder 50 Millionen Euro Umsatz sind in der Regel als wesentliche Einrichtungen eingestuft.

Auch Unternehmen unterhalb dieser Schwellen können betroffen sein, wenn sie kritische Infrastruktur betreiben oder als einziger Anbieter einer wichtigen Dienstleistung in einem Mitgliedstaat gelten. Wer unsicher ist, ob das eigene Unternehmen in den Geltungsbereich fällt, sollte eine strukturierte NIS2-Betroffenheitsprüfung durchführen lassen.

Konkrete Pflichten, die NIS2 vorschreibt

Betroffene Unternehmen müssen ein breites Spektrum an Sicherheitsmaßnahmen umsetzen und nachweisen. Die Richtlinie nennt dabei keine abschließende Technologieliste, sondern formuliert Anforderungen an den Risikoumgang und die Governance.

Zu den zentralen Pflichten gehören:

Einführung und Betrieb eines Risikomanagementsystems für Informationssicherheit
Maßnahmen zur Behandlung von Sicherheitsvorfällen, einschließlich Incident-Response-Prozessen
Sicherstellung der Betriebskontinuität, etwa durch Backup-Strategien und Notfallpläne
Sicherheit der Lieferkette, also Anforderungen an Dienstleister und Zulieferer
Sicherheit bei Beschaffung, Entwicklung und Wartung von IT-Systemen
Schulungen und Sensibilisierung der Mitarbeitenden
Einsatz von Kryptografie und Verschlüsselung, wo angemessen
Zugangskontrolle und Identitätsmanagement

Besonders hervorzuheben ist die Meldepflicht: Erhebliche Sicherheitsvorfälle müssen innerhalb von 24 Stunden an die zuständige Behörde gemeldet werden, gefolgt von einem detaillierten Bericht innerhalb von 72 Stunden. Diese Fristen sind knapp und setzen voraus, dass Unternehmen bereits über funktionierende Erkennungs- und Eskalationsprozesse verfügen.

Haftung und Sanktionen bei Verstößen

NIS2 führt eine deutlich schärfere Sanktionslogik ein als ihre Vorgängerin. Verstöße können für wesentliche Einrichtungen mit Bußgeldern von bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen liegt das Maximum bei sieben Millionen Euro oder 1,4 Prozent des Jahresumsatzes.

Neu und weitreichend ist die persönliche Haftung der Geschäftsführung. Leitungsorgane können für Verstöße gegen NIS2-Pflichten persönlich verantwortlich gemacht werden, wenn sie ihrer Aufsichtspflicht nicht nachgekommen sind. Das bedeutet: Informationssicherheit ist keine reine IT-Frage mehr, sondern eine Führungsaufgabe mit direkten rechtlichen Konsequenzen. In schwerwiegenden Fällen kann die zuständige Behörde auch ein vorübergehendes Berufsverbot für Führungspersonen aussprechen.

Umsetzung in deutsches Recht: NIS2UmsuCG

EU-Richtlinien gelten nicht unmittelbar, sondern müssen durch nationales Recht umgesetzt werden. In Deutschland geschieht das durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, kurz NIS2UmsuCG. Das Gesetz verankert die europäischen Vorgaben im deutschen Recht und passt sie an die nationale Behördenstruktur an.

Zuständige Behörde für den Vollzug ist das Bundesamt für Sicherheit in der Informationstechnik (BSI). Das NIS2UmsuCG erweitert die bisherigen KRITIS-Regelungen erheblich und bringt deutlich mehr Unternehmen in den Anwendungsbereich als bisher. Unternehmen müssen sich beim BSI registrieren, Ansprechpartner benennen und die geforderten Sicherheitsmaßnahmen umsetzen. Im Jahr 2026 befinden sich viele Unternehmen noch in der Umsetzungsphase, da das Gesetz zwar verabschiedet wurde, die vollständige behördliche Infrastruktur für die Registrierung und Überwachung aber schrittweise aufgebaut wird.

Für Unternehmen bedeutet das: Abwarten ist keine Strategie. Die Anforderungen gelten, und die Behörden werden die Umsetzung zunehmend einfordern.

Schnittstellen zu ISO 27001 und anderen Rahmenwerken

NIS2 steht nicht isoliert. Wer bereits ein Informationssicherheitsmanagementsystem nach ISO 27001 betreibt, hat einen erheblichen Vorsprung, denn viele NIS2-Anforderungen decken sich inhaltlich mit den Anforderungen dieser Norm. Risikobeurteilung, Maßnahmenplanung, interne Audits und kontinuierliche Verbesserung sind sowohl in ISO 27001 als auch in NIS2 verankert.

Allerdings geht NIS2 in einigen Punkten über ISO 27001 hinaus, insbesondere bei den Meldepflichten, der Lieferkettensicherheit und der persönlichen Verantwortung der Leitungsebene. Eine ISO-27001-Zertifizierung schützt also nicht automatisch vor NIS2-Verstößen, kann aber als belastbarer Nachweis für ein funktionierendes Sicherheitsniveau dienen. Ähnliches gilt für branchenspezifische Rahmenwerke wie TISAX in der Automobilindustrie: Wer TISAX-Anforderungen erfüllt, hat bereits viele technische und organisatorische Maßnahmen implementiert, die auch NIS2 verlangt.

Für Unternehmen, die mehrere Anforderungen gleichzeitig erfüllen müssen, lohnt sich ein integrierter Ansatz, der Synergien zwischen den Rahmenwerken systematisch nutzt, statt jede Anforderung separat zu behandeln.

Wie UBESAFE bei der NIS2-Umsetzung unterstützt

UBESAFE begleitet Unternehmen durch den gesamten NIS2-Prozess, von der ersten Frage nach der Betroffenheit bis zur dauerhaften Erfüllung der Anforderungen. Das beginnt mit einem strukturierten Audit, das den aktuellen Sicherheitsstand bewertet, die Anwendbarkeit der Richtlinie klärt und per GAP-Analyse die notwendigen Schritte offenlegt. Darauf aufbauend übernimmt UBESAFE die Umsetzung:

Aufbau von Governance-Strukturen und Meldeprozessen nach NIS2-Vorgaben
Technische Maßnahmen wie 24/7-Monitoring, SIEM, Schwachstellen-Scans und Patchmanagement
Lieferkettensicherheit und Anforderungsmanagement gegenüber Dienstleistern
Kontinuierlicher Managed Service mit regelmäßigen Reviews und Optimierungen
Flexible Buchung als Gesamtpaket oder als einzelne Komponenten

Da UBESAFE IT-Betrieb und Informationssicherheit aus einer Hand liefert, entfallen die typischen Reibungsverluste zwischen Beratung und technischer Umsetzung. Wer wissen möchte, wo das eigene Unternehmen steht, kann mit einem kostenlosen Erstaudit beginnen und sich ein konkretes Bild verschaffen.