Die NIS2 Anforderungen ergeben sich aus dem NIS-2-Umsetzungsgesetz (NIS2UmsuCG) in Verbindung mit der EU-Richtlinie 2022/2555. Sie verpflichten deutsche Unternehmen aus 18 Sektoren — sowohl wesentliche Einrichtungen (Anlage 1) als auch wichtige Einrichtungen (Anlage 2) — zur Umsetzung von zehn verbindlichen Risikomanagement-Bereichen nach § 30 BSIG-neu. Die zentrale Aufsichtsbehörde ist das Bundesamt für Sicherheit in der Informationstechnik (BSI), ergänzt durch sektorspezifische Aufsicht der BaFin (Finanzsektor) und BNetzA (Energie/Telekommunikation). Bußgelder erreichen 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes — der höhere Betrag gilt — kombiniert mit persönlicher Haftung der Geschäftsleitung bis zur zeitweisen Funktionsuntersagung.
Kerntatsachen
- § 30 BSIG-neu definiert zehn Pflichtbereiche des Risikomanagements — von Risikoanalysen bis zu Multi-Faktor-Authentifizierung.
- Meldepflichten: 24-Stunden-Frühwarnung, 72-Stunden-Vorfallmeldung, 1-Monats-Abschlussbericht — über das BSI-Lagezentrum.
- Persönliche Haftung der Geschäftsleitung — sie muss die Risikomanagement-Maßnahmen freigeben und ihre Umsetzung überwachen, plus regelmäßige Schulung der Leitungsorgane.
- Schulungspflicht für die Geschäftsleitung — mind. einmal jährlich, dokumentationspflichtig.
- Lieferketten-Sicherheit ist verbindlich — die direkten und indirekten Lieferanten müssen risikobasiert geprüft werden.
- Anlage 1 vs. Anlage 2: wesentliche Einrichtungen unterliegen strengeren Aufsichtsbefugnissen und höheren Bußgeldern.
- Betroffener Adressatenkreis: rund 30.000 deutsche Unternehmen, eine Versechsfachung gegenüber der bisherigen KRITIS-Regulierung.
Inhalt
- NIS2 Anforderungen im Überblick
- Wer ist betroffen — Anlage 1 und Anlage 2
- Die zehn Pflichtbereiche nach § 30 BSIG-neu
- Pflichten der Geschäftsleitung
- Meldepflichten — die 24/72/30-Regel
- Lieferkettensicherheit
- Aufsicht durch BSI und sektorale Behörden
- Bußgelder und Sanktionen
- Umsetzung in 6 Phasen
- NIS2 vs. ISO 27001 — Synergien nutzen
- Häufige Umsetzungsfehler
- Häufig gestellte Fragen
- Fazit
NIS2 Anforderungen im Überblick
Die NIS2 Anforderungen folgen drei strukturellen Prinzipien:
| Prinzip | Bedeutung |
|---|---|
| Mindestmaßnahmen-Katalog | konkrete Maßnahmen in 10 Risikomanagement-Bereichen sind vorgeschrieben |
| Verhältnismäßigkeit | Tiefe und Breite der Umsetzung skaliert mit Größe und Risikoprofil |
| Wirksamkeitspflicht | Nachweis der Wirksamkeit ist zwingend — nicht nur Dokumentation |
Kennzahl
Das NIS-2-Umsetzungsgesetz weitet den Anwendungsbereich des bisherigen BSI-Gesetzes von rund 4.500 KRITIS-Betreibern auf etwa 29.500 Unternehmen in 18 Sektoren aus — eine Versechsfachung des Adressatenkreises.
Der zentrale rechtliche Rahmen
| Norm | Inhalt |
|---|---|
| EU-Richtlinie 2022/2555 (NIS2) | europäischer Rahmen, am 14. Dezember 2022 verabschiedet |
| NIS-2-Umsetzungsgesetz (NIS2UmsuCG) | deutsche Umsetzung — überarbeitet das BSIG |
| § 30 BSIG-neu | Risikomanagement-Maßnahmen — die zehn Pflichtbereiche |
| §§ 31–33 BSIG-neu | Meldepflichten, Aufsichtsbefugnisse, Bußgelder |
| BSI-Verordnungen | konkretisierende Detailvorgaben (technische Durchführungsverordnungen) |
| Sektorspezifische Spezialgesetze | TKG, EnWG, AtomG für sektorale Sondervorgaben |
Wer ist betroffen
Die NIS2-Pflicht ergibt sich aus zwei kombinierten Kriterien: Sektor und Größe.
Größenschwellen
| Klassifizierung | Mitarbeiterzahl | Jahresumsatz | Jahresbilanz |
|---|---|---|---|
| Wesentlich (Anlage 1) | ≥ 250 | ≥ 50 Mio. EUR | ≥ 43 Mio. EUR |
| Wichtig (Anlage 2) | ≥ 50 | ≥ 10 Mio. EUR | ≥ 10 Mio. EUR |
Ausnahmen: bestimmte Sektoren wie Telekommunikation, Vertrauensdienste oder digitale Infrastruktur fallen unabhängig von der Größe unter NIS2.
Sektoren der Anlage 1 — wesentliche Einrichtungen
| Sektor | Beispiele |
|---|---|
| Energie | Stromnetzbetreiber, Gasversorgung, Wasserstoff |
| Verkehr | Bahn, Luftfahrt, Binnenschifffahrt, Hafenbetriebe |
| Bankwesen | Kreditinstitute, Zahlungsdienstleister |
| Finanzmarktinfrastrukturen | Börsen, zentrale Gegenparteien |
| Gesundheitswesen | Krankenhäuser ab Größenschwelle, Arzneimittelhersteller |
| Trinkwasser | Wasserversorger |
| Abwasser | Abwasserentsorgung |
| Digitale Infrastruktur | DNS-Anbieter, IXP, TLD-Registrate, Cloud-Anbieter |
| IKT-Dienstleistungs-Management | Managed Service Provider, Managed Security Service Provider |
| öffentliche Verwaltung | Bundes- und Landesbehörden ab definierter Größe |
| Weltraum | Bodenstationen-Betreiber |
Sektoren der Anlage 2 — wichtige Einrichtungen
| Sektor | Beispiele |
|---|---|
| Post- und Kurierdienste | DHL, GLS, Hermes |
| Abfallwirtschaft | Entsorger |
| Chemikalien | Chemieindustrie nach REACH-Schwellen |
| Lebensmittel | Großhändler, Verarbeiter |
| Verarbeitendes Gewerbe | Maschinenbau, Elektronik, Medizinprodukte, Kraftfahrzeuge |
| Anbieter digitaler Dienste | Online-Marktplätze, Suchmaschinen, Soziale Netzwerke |
| Forschung | Forschungseinrichtungen |
Selbsteinschätzung
Eine Selbsteinschätzung ist Pflicht. Die Kriterien:
- Sektor identifizieren
- Größenschwellen anwenden (Mitarbeiter / Umsatz / Bilanz)
- Anlage 1 vs. Anlage 2 zuordnen
- Selbstmeldung beim BSI durchführen
Zehn Pflichtbereiche
Der § 30 BSIG-neu schreibt zehn konkrete Risikomanagement-Bereiche vor — alle Pflicht für jedes betroffene Unternehmen.
Bereich 1 — Risikoanalyse und Sicherheit für Informationssysteme
| Anforderung | Praktische Umsetzung |
|---|---|
| Strategische Risikoanalyse | jährliche, dokumentierte Risikoanalyse |
| Asset-Inventar | vollständig, inkl. Cloud und Schatten-IT |
| Risikobewertungs-Methodik | strukturiertes Verfahren mit Eintrittswahrscheinlichkeit / Auswirkung |
| Sicherheitskonzept | aus Risikoanalyse abgeleitet, Geschäftsleitungs-genehmigt |
Bereich 2 — Bewältigung von Sicherheitsvorfällen
| Anforderung | Praktische Umsetzung |
|---|---|
| Incident-Response-Plan | dokumentiert, mit Rollen, Eskalationswegen, Kommunikationsmustern |
| Incident-Response-Team | benannt, geschult, jährlich getestet |
| Forensik-Fähigkeit | intern oder vertraglich gesicherter externer Partner |
| Lessons-Learned-Prozess | nach jedem Vorfall dokumentiert |
Bereich 3 — Aufrechterhaltung des Betriebs
| Anforderung | Praktische Umsetzung |
|---|---|
| Business Continuity Management | nach ISO 22301 oder gleichwertig |
| Notfall- und Krisenpläne | dokumentiert, getestet |
| Backup-Management | dokumentiert, mit Restore-Tests |
| Recovery-Time- und Recovery-Point-Objectives | definiert pro kritisches System |
Bereich 4 — Sicherheit der Lieferkette
| Anforderung | Praktische Umsetzung |
|---|---|
| Lieferanten-Inventar | vollständig, mit Risikoklassifizierung |
| Lieferanten-Sicherheitsanforderungen | vertraglich verankert (NIS2-Klauseln) |
| Lieferantenaudit-Programm | risikoorientiert, jährlich für kritische Anbieter |
| Sub-Processor-Management | dokumentiert, mit Genehmigungspflicht |
Bereich 5 — Sicherheit bei Erwerb, Entwicklung, Wartung
| Anforderung | Praktische Umsetzung |
|---|---|
| Sicherer Software-Entwicklungslebenszyklus (SSDLC) | Threat Modeling, Code-Reviews, SAST/DAST |
| Sichere Beschaffung | Sicherheitsanforderungen in Vergabeunterlagen |
| Schwachstellen-Management | Patch-Management mit SLAs |
| Konfigurationsmanagement | Hardening-Baselines (BSI-Grundschutz, CIS) |
Bereich 6 — Bewertung der Wirksamkeit
| Anforderung | Praktische Umsetzung |
|---|---|
| Wirksamkeitsmessung | KPIs, Metriken pro Maßnahme |
| Audits | mind. jährlich intern, regelmäßig extern |
| Reifegradbewertung | dokumentierter Reifegrad pro Maßnahme |
| Verbesserungsprogramm | aus Audit-Ergebnissen abgeleitet |
Bereich 7 — Cyber-Hygiene und Schulung
| Anforderung | Praktische Umsetzung |
|---|---|
| Awareness-Programm | mind. jährlich, dokumentiert |
| Phishing-Tests | regelmäßig (quartalsweise) |
| Hygiene-Standards | Passwortrichtlinie, MFA-Pflicht für privilegierte Zugriffe |
| Mitarbeiter-Sensibilisierung | rollenspezifisch (Admins, Entwickler, Endnutzer) |
Bereich 8 — Kryptographie
| Anforderung | Praktische Umsetzung |
|---|---|
| Krypto-Konzept | Algorithmen, Schlüsselgrößen, Lebenszyklus |
| Schlüsselmanagement | HSM oder Key-Management-Service |
| Verschlüsselung Data-at-Rest | für sensible Daten zwingend |
| Verschlüsselung Data-in-Transit | TLS 1.2+ für interne und externe Kommunikation |
Bereich 9 — Personalsicherheit, Zugriffskontrolle, Asset-Management
| Anforderung | Praktische Umsetzung |
|---|---|
| Hintergrundprüfung | bei sicherheitsrelevanten Stellen rechtskonform |
| Identity & Access Management | rollenbasierte Berechtigungen, Rezertifizierung |
| Asset-Klassifizierung | öffentlich / intern / vertraulich / streng vertraulich |
| Joiner / Mover / Leaver | dokumentierter Prozess |
Bereich 10 — Multi-Faktor-Authentifizierung (MFA)
| Anforderung | Praktische Umsetzung |
|---|---|
| MFA für alle administrativen Zugriffe | zwingend |
| MFA für Remote-Zugriffe | zwingend |
| MFA für Cloud-Dienste | zwingend (bei kritischen Daten) |
| Sichere kommunikative Verfahren | Notfallkommunikation, verschlüsselte Mail |
Pflichten der Geschäftsleitung
NIS2 verschärft die persönliche Verantwortung der Geschäftsleitung erheblich gegenüber dem alten BSI-Gesetz.
Pflicht 1 — Genehmigung der Maßnahmen
Die Geschäftsleitung muss die Risikomanagement-Maßnahmen nach § 30 persönlich freigeben. Eine Delegation an die IT-Leitung allein ist nicht ausreichend.
Pflicht 2 — Überwachung der Umsetzung
Die Geschäftsleitung muss die Umsetzung kontinuierlich überwachen — Standard sind quartalsweise Berichte des Informationssicherheits-Beauftragten an die Geschäftsleitung.
Pflicht 3 — Schulung
Die Geschäftsleitung selbst muss mindestens jährlich geschult werden — zu Cyber-Risiken, Risikobewertungs-Methoden, NIS2-Pflichten. Die Schulung ist dokumentationspflichtig.
Pflicht 4 — Persönliche Haftung
Bei Pflichtverletzung droht persönliche Haftung der Vorstandsmitglieder:
- Geldbuße bis 5 Mio. EUR pro Person
- Funktionsuntersagung im Wiederholungsfall
- öffentliche Bekanntmachung
- mögliche zivilrechtliche Schadensersatzansprüche durch die Gesellschaft
Die persönliche Haftung gilt nicht nur für die Geschäftsführung im engeren Sinne (GmbH-Geschäftsführer, Vorstand), sondern auch für leitende Angestellte mit Risikomanagement-Verantwortung — z. B. CIO, CISO oder die für Cyber-Sicherheit zuständige Bereichsleitung.
Meldepflichten
Die Meldepflichten sind ein Kernstück von NIS2. Sie gelten für alle „erheblichen Sicherheitsvorfälle" — definiert als Vorfälle, die signifikante Auswirkungen auf den Betrieb haben können.
Die 24/72/30-Regel
| Stufe | Frist | Inhalt |
|---|---|---|
| Erstmeldung (Frühwarnung) | innerhalb 24 Stunden ab Kenntnisnahme | Grobeinschätzung, vermutete Wurzelursache, sofortige Maßnahmen |
| Vorfallsmeldung | innerhalb 72 Stunden ab Kenntnisnahme | aktualisierte Bewertung, Status, geplante Maßnahmen |
| Abschlussbericht | innerhalb 1 Monat nach Vorfall | Wurzelursache, vollständige Maßnahmen, Lessons Learned |
Meldewege
| Empfänger | Wann |
|---|---|
| BSI-Lagezentrum | für alle erheblichen Vorfälle (zentral) |
| Sektorale Aufsicht (BaFin / BNetzA) | parallel bei sektorrelevanten Vorfällen |
| Betroffene Personen | wenn personenbezogene Daten betroffen — DSGVO Art. 34 ergänzend |
| Vertragskunden | wenn deren Daten oder Dienste betroffen |
Klassifizierung „erheblich"
Ein Vorfall ist „erheblich", wenn er:
- erhebliche Betriebsstörungen verursacht oder verursachen könnte
- erhebliche finanzielle Verluste verursacht
- Personen oder andere Stellen geschädigt hat oder schädigen könnte
- die Verfügbarkeit oder Integrität der Dienste beeinträchtigt
Konkrete Schwellenwerte werden über BSI-Verordnungen festgelegt — z. B. „Ausfall mit > 10.000 betroffenen Endkunden" oder „Datenverlust > 1.000 Datensätze".
Lieferkettensicherheit
Die Lieferkettensicherheit ist die größte Veränderung gegenüber dem alten BSIG.
Anforderungen
| Anforderung | Detail |
|---|---|
| Lieferanten-Inventar | vollständig, mit Risikoklassifizierung |
| Risikobewertung | pro Lieferant, basierend auf Datenkritikalität und -volumen |
| Vertragliche Anforderungen | NIS2-Klauseln in jedem kritischen Lieferantenvertrag |
| Audit-Rechte | für eigene Aufsicht und für die NIS2-Aufsichtsbehörden |
| Vorfall-Meldung | Lieferant muss dem Auftraggeber innerhalb 24 h Vorfälle melden |
| Sub-Processor-Genehmigung | Auftraggeber muss Subunternehmer genehmigen |
| Konzentrationsrisiko | aktive Steuerung — Multi-Vendor-Strategien für kritische Funktionen |
Standard-Vertragsklauseln
Vision Compliance hat einen NIS2-Vertragsanhang entwickelt, der die folgenden Klauseln in einem standardisierten Format zusammenfasst:
- Sicherheitsanforderungen (Mindestmaßnahmen nach § 30)
- Vorfallmeldung (24-Stunden-Frist intern)
- Audit- und Inspektionsrechte
- Sub-Processor-Management
- Geheimhaltung und Datenschutz
- Vertragsdauer und Exit-Klauseln
Aufsicht
Die NIS2-Aufsicht ist mehrschichtig und folgt sektoralen Zuständigkeiten.
Zentrale Aufsicht — BSI
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist die zentrale Aufsichtsbehörde nach § 32 BSIG-neu.
| Aufsichtsbefugnis | Anwendung |
|---|---|
| Einsicht in Unterlagen | jederzeit, ohne Vorankündigung |
| Vor-Ort-Inspektionen | mit angemessener Frist (Notfälle: ohne Frist) |
| Sicherheitsaudits | das BSI kann externe Audits anordnen |
| Anordnungen | konkrete Maßnahmen können verfügt werden |
| Bußgelder | bis 10 Mio. EUR oder 2 % des Umsatzes |
| öffentliche Bekanntmachung | Verstöße können publiziert werden |
| Funktionsuntersagung | bei Geschäftsleitungs-Verstößen |
Sektorale Aufsicht
Für bestimmte Sektoren gibt es Spezialaufsicht:
| Sektor | Aufsichtsbehörde |
|---|---|
| Banken / Finanzdienstleistungen | BaFin (DORA-Synergie) |
| Telekommunikation | BNetzA |
| Energie | BNetzA |
| Transport | EBA, BAV |
| Gesundheitswesen | Landesministerien |
Aufsichtsmodi nach Anlage
| Anlage | Aufsicht | Eingriffsintensität |
|---|---|---|
| Anlage 1 — wesentlich | proaktiv, regelmäßige Prüfungen | hoch |
| Anlage 2 — wichtig | reaktiv, bei Auffälligkeiten | moderat |
Bußgelder
NIS2 unterscheidet zwischen Anlage 1 und Anlage 2 in der Bußgeldhöhe.
| Verstoß | Anlage 1 (wesentlich) | Anlage 2 (wichtig) |
|---|---|---|
| Schwerwiegender Verstoß | bis 10 Mio. EUR oder 2 % weltweiter Jahresumsatz | bis 7 Mio. EUR oder 1,4 % weltweiter Jahresumsatz |
| Geringfügigerer Verstoß | nach Schwere abgestuft | nach Schwere abgestuft |
| Persönliche Haftung GL | bis 5 Mio. EUR | bis 5 Mio. EUR |
Bei Wahl zwischen festem Betrag und Prozentsatz gilt der höhere Betrag.
Erste Bußgeldpraxis
Da das NIS-2-Umsetzungsgesetz noch im Parlamentsverfahren ist, sind erste Bußgeldverfahren in Deutschland erst ab Q3/Q4 2026 zu erwarten. EU-weit gibt es bereits erste Verfahren in Mitgliedstaaten, die NIS2 schneller umgesetzt haben — typische Verstöße:
- fehlendes Risikomanagement-Rahmenwerk
- nicht eingehaltene Meldefristen
- mangelhafte Lieferantensicherheit
- unzureichende Geschäftsleitungs-Schulung
Umsetzung in 6 Phasen
Ein bewährter Plan für mittelständische Unternehmen — typisch über 9–12 Monate.
Phase 1 — Status-Klärung und Mandat (Monate 1–2)
- Anwendungsbereich-Klärung (Anlage 1 vs. 2)
- Selbstmeldung beim BSI vorbereiten
- Geschäftsleitungs-Mandat einholen
- Projektorganisation aufsetzen
Output: Klassifizierung, Mandat, Projektplan
Phase 2 — GAP-Analyse (Monat 2–3)
- Detail-GAP zu allen 10 Pflichtbereichen
- Reifegradbewertung
- Maßnahmenplan und Priorisierung
- Aufwandsschätzung
Output: GAP-Bericht, Maßnahmenplan
Phase 3 — Risikomanagement-Rahmenwerk (Monate 3–5)
- Risikoanalyse-Methodik
- Asset-Inventar und Klassifizierung
- Strategische Risikoanalyse
- Sicherheitskonzept und -leitlinie
Output: Bereich 1, 8 und 9 umgesetzt
Phase 4 — Operative Maßnahmen (Monate 4–8)
- Incident-Response-Plan und Übungen
- Backup- und BCM-Konzept
- MFA-Rollout
- Kryptographie-Standardisierung
- Awareness-Programm
- Lieferantenmanagement
Output: Bereiche 2–7 umgesetzt
Phase 5 — Schulung und Verankerung (Monate 7–10)
- Geschäftsleitungs-Schulung (jährlich pflicht)
- Mitarbeiter-Awareness
- Schlüsselrollen-Trainings
- Wirksamkeitsmessung etablieren
Output: Bereich 6 umgesetzt, Schulungspflicht erfüllt
Phase 6 — Audit und kontinuierliche Verbesserung (Monate 10–12)
- Internes Audit über alle 10 Bereiche
- Behebung der Findings
- BSI-Selbstmeldung aktualisieren
- jährlicher Verbesserungsplan
Output: Audit-Bereitschaft, NIS2-Compliance
NIS2 vs. ISO 27001
NIS2 und ISO 27001 sind kongruent in etwa 65–75 % der Anforderungen — eine bestehende ISO-27001-Zertifizierung ist die beste Ausgangsbasis für NIS2.
Synergie-Matrix
| NIS2-Bereich | ISO-27001-Mapping | Lückenanteil |
|---|---|---|
| 1. Risikoanalyse | Klausel 6, Annex A 5.7 | gering |
| 2. Vorfallsbewältigung | A 5.24–5.28 | gering |
| 3. Betriebskontinuität | A 5.30, ISO 22301 | mittel |
| 4. Lieferkettensicherheit | A 5.19–5.23 | mittel |
| 5. Sicherheit bei Beschaffung/Entwicklung | A 8.25–8.32 | gering |
| 6. Wirksamkeitsbewertung | Klausel 9 | gering |
| 7. Cyber-Hygiene/Schulung | A 6.3 | gering |
| 8. Kryptographie | A 8.24 | gering |
| 9. Personal/Zugriff/Asset | A 5.9–5.18 | gering |
| 10. MFA | A 8.5 | mittel (NIS2-spezifischer) |
Was NIS2 zusätzlich verlangt
- Spezifische BSI-Meldewege (24/72/30) — nicht in ISO 27001 enthalten
- Geschäftsleitungs-Schulungspflicht — explizit dokumentationspflichtig
- MFA-Pflicht — strikter formuliert als ISO 27001 (das nur „starke Authentifizierung" verlangt)
- Lieferanten-Audit-Rechte für die Aufsichtsbehörden
Häufige Umsetzungsfehler
Aus der Begleitung von über 100 NIS2-Projekten haben sich typische Fehlermuster herauskristallisiert.
1. Selbsteinschätzung nicht durchgeführt
Viele Unternehmen wissen nicht, dass sie unter NIS2 fallen — die Selbstmeldung beim BSI ist aber Pflicht. Die Frist beginnt unabhängig von der Eigenmeldung mit dem Inkrafttreten des Gesetzes.
2. Übergewichtung der technischen Maßnahmen
NIS2 ist primär ein organisatorisches Rahmenwerk. Wer nur Tools kauft, ohne Prozesse und Verantwortlichkeiten zu definieren, scheitert in der ersten Aufsichtsprüfung.
3. Geschäftsleitungs-Schulung unterschätzt
Die Schulung muss inhaltlich substantiell sein — nicht ein 15-Minuten-Webinar. Erwartet werden 4–8 Std. pro Vorstandsmitglied jährlich, dokumentationspflichtig.
4. Lieferanten-Aufsicht nicht etabliert
Vertragsklauseln allein reichen nicht — die Wirksamkeit muss aktiv überprüft werden, mind. jährlich für kritische Lieferanten.
5. Meldewege nicht getestet
Im Ernstfall versagen 24-Stunden-Meldewege regelmäßig, weil sie nie geübt wurden. Tabletop-Übungen mit fingiertem Vorfall sind Pflicht.
6. Wirksamkeitsmessung fehlt
Audit-Erkenntnisse: viele Maßnahmen sind dokumentiert, aber niemand misst, ob sie wirken. NIS2 verlangt Bereich-6-Wirksamkeitsmessung explizit.
7. NIS2 isoliert von ISO 27001 / DSGVO behandelt
Wer NIS2 separat aufbaut, statt Synergien mit bestehenden Managementsystemen zu nutzen, verschwendet 30–50 % des Aufwands.
FAQ
Bin ich von NIS2 betroffen?
Sie sind betroffen, wenn Sie in einem der 18 Sektoren tätig sind und die Größenschwellen erreichen (≥ 50 MA + 10 Mio. EUR Umsatz). Eine Selbsteinschätzung ist Pflicht.
Was ist der Unterschied zwischen Anlage 1 und Anlage 2?
Anlage 1 (wesentlich): 18 kritische Sektoren mit ≥ 250 MA / 50 Mio. EUR Umsatz — proaktive Aufsicht, höhere Bußgelder. Anlage 2 (wichtig): weitere wichtige Sektoren mit ≥ 50 MA — reaktive Aufsicht, niedrigere Bußgelder.
Was sind die zehn Pflichtbereiche?
(1) Risikoanalyse, (2) Vorfallsbewältigung, (3) Betriebskontinuität, (4) Lieferkettensicherheit, (5) Sicherheit bei Beschaffung/Entwicklung, (6) Wirksamkeitsbewertung, (7) Cyber-Hygiene/Schulung, (8) Kryptographie, (9) Personal/Zugriff/Asset, (10) MFA.
Welche Meldepflichten gelten?
24-Stunden-Frühwarnung, 72-Stunden-Vorfallmeldung, 1-Monats-Abschlussbericht — an das BSI-Lagezentrum.
Welche Rolle hat die Geschäftsleitung?
Sie muss die Maßnahmen freigeben, die Umsetzung überwachen, regelmäßig (mind. jährlich) geschult werden und haftet persönlich bei Pflichtverletzungen.
Welche Bußgelder drohen?
Bis 10 Mio. EUR oder 2 % weltweiter Jahresumsatz für wesentliche Einrichtungen. Plus persönliche Geschäftsleitungs-Bußgelder bis 5 Mio. EUR.
Reicht eine bestehende ISO-27001-Zertifizierung?
ISO 27001 deckt 65–75 % der NIS2-Anforderungen ab. Lücken bestehen vor allem bei BSI-Meldewegen, Geschäftsleitungs-Schulung und der MFA-Spezifik. Eine NIS2-GAP-Analyse zeigt die konkreten Lücken.
Wann muss ich umgesetzt haben?
Das deutsche NIS-2-Umsetzungsgesetz ist seit Inkrafttreten anwendbar (offiziell 01.10.2024 vorgesehen, Verzögerung im Bundestagsverfahren). Die Selbsteinschätzung und Erstmeldung beim BSI ist innerhalb von 3 Monaten ab Inkrafttreten erforderlich.
Was passiert bei einer BSI-Inspektion?
Die BSI-Inspektion prüft die Umsetzung der zehn Pflichtbereiche, die Wirksamkeit der Maßnahmen, die Meldewege und die Geschäftsleitungs-Schulung. Vorbereitung wie bei einem ISO-27001-Audit, plus NIS2-spezifische Dokumentationen.
Wie hängt NIS2 mit DORA zusammen?
NIS2 gilt sektorübergreifend, DORA gilt im Finanzsektor lex specialis. Banken, Versicherer und Investmentfirmen erfüllen primär DORA — NIS2 nur ergänzend für nicht-finanzielle Aktivitäten.
Verwandte Themen
- NIS-2-Umsetzungsgesetz erklärt: Vollständiger Leitfaden — gesetzliche Grundlage und Anlage 1/2
- KRITIS-Dachgesetz: Vollständiger Leitfaden — physische Resilienz-Komponente
- BSI IT-Grundschutz: Vollständiger Leitfaden — empfohlene Methodik für NIS2-Umsetzung
- ISO 27001 Leitfaden — 65–75 % Mapping zu NIS2-Pflichtbereichen
- Online-Tool: NIS-2 Anwendbarkeits-Prüfer — Selbsteinschätzung in 5 Minuten
Fazit
Die NIS2 Anforderungen sind das bedeutendste deutsche Cyber-Sicherheits-Regelwerk seit dem ersten BSI-Gesetz. Die zehn Pflichtbereiche bauen auf etablierten Standards (ISO 27001, BSI-IT-Grundschutz) auf — aber mit einer entscheidenden Verschärfung: persönliche Haftung der Geschäftsleitung und direkte BSI-Aufsicht.
Drei strategische Empfehlungen:
Erstens, frühe Selbsteinschätzung. Wer noch nicht weiß, ob er unter NIS2 fällt, riskiert die Versäumnis der Selbstmeldungsfrist — die wiederum erste Bußgeldverstöße auslöst.
Zweitens, die Geschäftsleitung früh einbinden — Schulung, Mandat, regelmäßige Berichterstattung. Das ist nicht delegierbar.
Drittens, Synergien mit ISO 27001 nutzen und nicht parallele Strukturen aufbauen. Wer integriert plant, spart bis zu 50 % des isolierten NIS2-Aufwands.
Vision Compliance unterstützt Unternehmen bei der NIS2-Umsetzung — von der Selbsteinschätzung über die GAP-Analyse bis zur vollständigen Implementierung. Wir nutzen erprobte Mappings zwischen NIS2, ISO 27001, DORA und BSI-IT-Grundschutz, um den Aufwand systematisch zu reduzieren — ergänzt durch NIS2-Schulungen für die nach § 30 BSIG-neu schulungspflichtige Geschäftsleitung. Sprechen Sie uns an für ein kostenloses NIS2-Erstgespräch — wir klären Ihre Betroffenheit und erstellen Ihnen innerhalb einer Woche eine detaillierte Aufwandsschätzung.
Robert Lozo, mag. iur., ist Partner bei Vision Compliance mit Schwerpunkt EU-Regulierung. Er berät Organisationen zu DSGVO, NIS2, EU AI Act und Finanzregulierung und liefert auditfähige Dokumentation und Compliance-Fahrpläne für regulierte Branchen.