Das Wichtigste in Kürze
- NIS2 ist eine EU-Richtlinie für Cybersicherheit, in Deutschland umgesetzt und seit dem 6. Dezember 2025 in Kraft.
- Betroffen sind vor allem mittlere und große Unternehmen in bestimmten Sektoren, manche unabhängig von der Größe.
- Die Geschäftsleitung muss Maßnahmen billigen, ihre Umsetzung überwachen und kann persönlich haften.
- Auch nicht betroffene Unternehmen spüren NIS2, weil betroffene Kunden Sicherheit von ihren Lieferanten verlangen.
Was ist NIS2?
NIS2 ist eine Richtlinie der EU, die ein hohes gemeinsames Niveau an Cybersicherheit schaffen soll. Deutschland hat sie mit dem NIS2-Umsetzungsgesetz in nationales Recht übertragen, das am 6. Dezember 2025 in Kraft getreten ist. Im Vergleich zu früheren Regeln betrifft NIS2 deutlich mehr Unternehmen.
Welche Unternehmen sind betroffen?
Betroffen sind vor allem Unternehmen in festgelegten Sektoren, etwa Energie, Transport, Gesundheit, digitale Infrastruktur, IT-Dienstleistungen für Unternehmen, Produktion bestimmter Güter, Lebensmittel, Abfall und Post. In der Regel greifen die Pflichten ab einer mittleren Größe, also ab etwa 50 Beschäftigten oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme. Für einige Bereiche gelten die Regeln unabhängig von der Größe.
Ob Ihr Unternehmen betroffen ist, hängt von Sektor, Tätigkeit und Größe ab. Das Bundesamt für Sicherheit in der Informationstechnik bietet dazu eine Betroffenheitsprüfung an. Lassen Sie die Einordnung im Zweifel rechtlich prüfen.
Welche Pflichten kommen auf betroffene Unternehmen zu?
- Risikomanagement: technische und organisatorische Maßnahmen für die Sicherheit der Systeme.
- Meldepflichten: erhebliche Sicherheitsvorfälle müssen innerhalb kurzer Fristen gemeldet werden.
- Registrierung beim Bundesamt für Sicherheit in der Informationstechnik.
- Sicherheit in der Lieferkette: Lieferanten und Dienstleister einbeziehen.
- Schulungen, auch für die Geschäftsleitung.
Was bedeutet das für die Geschäftsführung?
Die Geschäftsleitung betroffener Unternehmen muss die Maßnahmen zum Risikomanagement billigen und ihre Umsetzung überwachen. Sie kann diese Verantwortung nicht vollständig abgeben und kann bei Pflichtverletzungen persönlich haften. Bei Verstößen drohen hohe Bußgelder, für besonders wichtige Einrichtungen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes.
Und wenn mein Unternehmen nicht betroffen ist?
Auch dann lohnt sich das Thema. Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette berücksichtigen und fragen deshalb zunehmend bei ihren Dienstleistern und Lieferanten nach. Wer Nachweise wie einen aktuellen Pentest-Bericht vorlegen kann, hat einen Vorteil.
Fünf Schritte, die Sie jetzt gehen sollten
- Betroffenheit prüfen: Sektor, Tätigkeit und Größe klären.
- Bestandsaufnahme: Welche Systeme sind kritisch, und wo liegen Risiken?
- Schwachstellen sichtbar machen, zum Beispiel mit einem Pentest.
- Maßnahmen planen und dokumentieren, mit Billigung der Geschäftsleitung.
- Meldewege und Zuständigkeiten für Sicherheitsvorfälle festlegen.
Diese Übersicht ersetzt keine Rechtsberatung.
Fazit
NIS2 macht Cybersicherheit zur Aufgabe der Geschäftsführung. Wer früh prüft, ob das Unternehmen betroffen ist, Schwachstellen kennt und Maßnahmen dokumentiert, ist auf Prüfungen, Kundenanfragen und Vorfälle deutlich besser vorbereitet.
Häufige Fragen
KIErdinc Dincdemir
Sales, Business Development und Projektmanagement bei Optivanta
Dieser Artikel dient der allgemeinen Information und stellt keine Rechts-, Steuer- oder Anlageberatung dar. Er ersetzt keine Beratung im Einzelfall. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Richtigkeit, Vollständigkeit und Aktualität; die Nutzung erfolgt auf eigene Verantwortung. Namentlich gekennzeichnete Beiträge geben die Meinung der Autorin oder des Autors wieder. Anbieter und verantwortlich für alle Inhalte ist die Optivanta Solutions LLC. Mehr im Impressum
Nachweis für NIS2 und DSGVO?
Starten Sie mit unserem kostenlosen Basis-Pentest oder fragen Sie den umfassenden Pentest an.