Business- & IT-Consultant
Die NIS2-Richtlinie bringt neue Pflichten für Unternehmen und macht Informationssicherheit klar zur Aufgabe der Geschäftsleitung. Entscheidend ist nicht nur, wer von NIS2 betroffen ist, sondern auch, wie Unternehmen die Umsetzung strukturiert angehen. In diesem Beitrag erfahren Sie, welche Unternehmen durch die Richtlinie betroffen sind, welche NIS2-Pflichten Geschäftsleitungen haben und wie sich Maßnahmen priorisieren lassen.
Für rund 30.000 Unternehmen in Deutschland gelten seit dem 6. Dezember 2025 neue Pflichten zur Netzwerk- und Informationssicherheit. Hintergrund ist die NIS2-Richtlinie der EU, welche verabschiedet wurde, um den Schutz der kritischen Infrastruktur in der EU auszubauen. Das deutsche NIS2-Umsetzungsgesetz erweitert die Anforderungen an Informationssicherheit, Registrierung, Vorfallsmeldung und Risikomanagement deutlich. Besonders wichtig: Die Verantwortung liegt nicht nur bei der IT, sondern ausdrücklich auch bei der Geschäftsleitung.
NIS steht für Network and Information Security und zielt darauf ab, die Widerstandsfähigkeit kritischer Einrichtungen gegen IT‑Störungen und Cyberangriffe zu stärken. Genauer gesagt soll gewährleistet werden, dass die als kritisch eingestuften Einrichtungen die Bevölkerung der EU dauerhaft zuverlässig mit essenziellen Gütern und Dienstleistungen versorgen können. Durch die Digitalisierung und die zunehmende Vernetzung unserer Gesellschaft sind Netz- und Informationssysteme heute aus dem Alltag und dem grenzüberschreitenden Austausch nicht mehr wegzudenken. Kommt es zu Störungen, kann dies wirtschaftliche Aktivitäten im europäischen Binnenmarkt beeinträchtigen und finanzielle Schäden verursachen.
Um eine ununterbrochene Bereitstellung sicherzustellen, sind seit Ende 2025 auch viele Unternehmen in Deutschland verpflichtet, ihre IT-Sicherheitskompetenzen zu verbessern und Risikomanagementmaßnahmen und Meldepflichten einzuführen. Werden diese Pflichten nicht eingehalten, drohen Geldstrafen. Zuständige Aufsichtsbehörde ist das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI.
Für Unternehmen bedeutet das konkret:
Digitalisierung, neue Marktanforderungen und veränderte Kundenerwartungen sowie regulatorische Anforderungen zwingen Unternehmen, ihre Geschäftsmodelle, Prozesse und Strukturen immer wieder neu zu denken. Wir begleiten Sie dabei mit strategischer Weitsicht, methodischer Klarheit und der Fähigkeit, Ideen auch umzusetzen.
Entscheidend sind zwei Punkte: Das Unternehmen ist in einem betroffenen Sektor tätig und es überschreitet Schwellenwerte hinsichtlich Beschäftigtenzahl, Umsatz und Jahresbilanzsumme. Unternehmen müssen selbständig prüfen, ob sie von NIS2 betroffen sind und damit zu den Einrichtungen gehören, für die die neuen Pflichten gelten. Das BSI stellt dafür eine Betroffenheitsprüfung und einen Entscheidungsbaum bereit. Betroffen sind Einrichtungen, die im BSI-Gesetz in „wichtige“ und „besonders wichtige Einrichtung“ untergliedert werden.
Als besonders wichtige Einrichtung gelten:
Als wichtige Einrichtungen gelten:
Betroffene Einrichtungen sind in die zwei Bereiche Sektoren mit hoher Kritikalität und weitere kritische Sektoren unterteilt:
Mit dem Check-up bewerten wir Ihre aktuelle Ausgangslage, erkennen Risiken und leiten konkrete Maßnahmen für mehr Sicherheit, Resilienz und Compliance ab.
Der erste Schritt ist eine Einschätzung, ob das eigene Unternehmen unter die NIS2-Richtlinie fällt. Das zuständige Bundesamt für Sicherheit in der Informationstechnik bietet eine NIS2-Betroffenheitsprüfung an, mit der Sie feststellen können, ob Ihre Einrichtung von der Richtlinie betroffen ist: Betroffenheitsprüfung des BSI. Aus diesem Schritt leiten sich alle weiteren Pflichten ab.
Betroffene Unternehmen müssen sich beim digitalen Dienst „Mein Unternehmenskonto“ (MUK) des BSI anmelden. Im zweiten Schritt sollten sich Einrichtungen mit dem MUK-Nutzerkonto beim BSI-Portal registrieren. Eine ausführliche Anleitung des BSI finden Sie hier.
Das BSI formuliert ausdrücklich, dass die Verantwortung für Umsetzung und Überwachung bei der Geschäftsleitung liegt. Die Geschäftsleitung muss das Thema nicht selbst operativ umsetzen, aber sie muss sicherstellen, dass Zuständigkeiten, Entscheidungen, Prioritäten und Kontrollen im Unternehmen klar geregelt sind. Da die Geschäftsleitung die rechtliche Verantwortung für die Umsetzung der neuen Anforderungen trägt, sollte sie sicherstellen, dass IT-Sicherheit ein fester Bestandteil des Unternehmens ist. Die Geschäftsleitung sollte Verantwortliche für Informationssicherheit benennen, Entscheidungswege festlegen und das Thema sichtbar in die Unternehmenssteuerung aufnehmen. Wichtig ist, dass IT-Sicherheit nicht isoliert in der IT-Abteilung bleibt, sondern als Führungsaufgabe verankert wird. Um dies zu gewährleisten, schreibt das Gesetz eine Schulungspflicht für Geschäftsleitungen vor. Das bedeutet, dass Geschäftsleitungen regelmäßig an Schulungen zu Risikobewertung und Risikomanagementpraktiken teilnehmen müssen.
Für betroffene Unternehmen ist die Umsetzung geeigneter Risikomanagementmaßnahmen verpflichtend. Die NIS2-Richtlinie verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen. In der Praxis sollten Maßnahmen nach Risiko, Kritikalität und Umsetzbarkeit priorisiert werden. Risikomanagementmaßnahmen können zum Beispiel eine Risikoanalyse, Krisenmanagement nach einem Vorfall, die Absicherung der Lieferkette, Multi Faktor Authentifizierung an Geräten, Zugriffskontrollen in Gebäude sowie Schulungen für Mitarbeitende sein. Indirekt davon betroffen sind auch zahlreiche Dienstleister, da die Absicherung der Lieferkette ein integraler Bestandteil der Risikomanagementmaßnahmen ist und betroffene Unternehmen die Anforderungen an ihre Dienstleister weitergeben können.
Zunehmende Cyberbedrohungen, strengere Vorgaben, höhere Kundenanforderungen und globaler Wettbewerb machen ein integriertes, normkonformes Managementsystem unverzichtbar. Isolierte Strukturen erhöhen Risiken, erschweren Entscheidungen und können zu Bußgeldern sowie Reputationsschäden führen. Wir unterstützen Unternehmen dabei, komplexe Managementanforderungen in ein schlankes, digitales und zukunftsfähiges Gesamtsystem zu überführen.
Besonders wichtige und wichtige Einrichtungen sind dazu verpflichtet, dem BSI erhebliche Sicherheitsvorfälle zu melden. Zu erheblichen Sicherheitsvorfällen zählen Vorfälle, die zu schwerwiegenden Betriebsstörungen der Dienste oder zu finanziellen Verlusten der Einrichtung führen. Sicherheitsvorfälle sollten direkt nach der Kenntniserlangung gemeldet werden. Die konkreten Fristen sind 24 Stunden nach der Kenntniserlangung für die frühe Erstmeldung, 72 Stunden nach der Kenntniserlangung für die Folgemeldung und 30 Tage nach der Kenntniserlangung für die Abschlussmeldung. Die Meldung erfolgt über das BSI-Portal. Betroffene Unternehmen sollten daher Meldewege für den Notfall festlegen. Eine Schritt-für-Schritt-Anleitung zur Meldung eines Vorfalls über das BSI-Portal finden Sie hier.
NIS2 ist kein Einmalprojekt. Sobald Sie die erforderlichen Maßnahmen eingeführt haben, sollten Sie diese auch regelmäßig überprüfen, dokumentieren und fortlaufend an neue Anforderungen anpassen.
Verstöße gegen Pflichten aus dem neuen Rechtsrahmen können teuer werden. Die Bußgelder richten sich nach der Einstufung der Einrichtung sowie dem Gesamtumsatz. Vorgesehen sind Bußgelder von bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes.
In vielen Unternehmen scheitert die NIS2 Umsetzung nicht an einzelnen Maßnahmen, sondern an fehlender Klarheit und Steuerung
Unternehmen müssen zahlreiche technische und organisatorische Maßnahmen umsetzen – doch nicht alles ist gleich dringend. Eine strukturierte Priorisierung hilft, Risiken zu reduzieren, gesetzliche Fristen einzuhalten und Ressourcen sinnvoll einzusetzen.
NIS2 fordert ausdrücklich einen risikobasierten Ansatz. Unternehmen sollten deshalb zuerst analysieren, welche Systeme, Prozesse und Schwachstellen das größte Risiko darstellen. Priorisiert werden Maßnahmen, die:
Einige Pflichten sind nicht verhandelbar und müssen unabhängig vom individuellen Risiko priorisiert werden. Dazu zählen u. a.:
Diese Maßnahmen bilden das gesetzliche Fundament und sollten zuerst umgesetzt werden.
Unternehmen sollten sich darauf konzentrieren, die Prozesse abzusichern, die für den Betrieb oder die Versorgung besonders wichtig sind. Es sollte sichergestellt werden, dass wichtige Systeme auch bei Störungen weiterlaufen. Dazu gehören z. B. Produktionssysteme, Energieversorgung, Logistik oder zentrale Verwaltungsprozesse.
Viele Sicherheitsverbesserungen lassen sich schnell realisieren und liefern sofort spürbare Effekte:
Solche Quick Wins senken das Risiko sofort – bei geringem Aufwand.
Da NIS2 ein Lieferketten‑Risikomanagement verlangt, sollten Unternehmen auch Dienstleister prüfen und vertragliche Sicherheitsanforderungen früh aktualisieren. Anbieter mit hohem Zugriff auf kritische Systeme werden zuerst adressiert.
NIS2 ist kein reines IT-Thema. Die Richtlinie verpflichtet Unternehmen dazu, Informationssicherheit strukturiert zu organisieren, Vorfälle zu melden und Risiken nachvollziehbar zu steuern. Für die Geschäftsleitung heißt das vor allem: Betroffenheit prüfen, Verantwortlichkeiten festlegen, Maßnahmen priorisieren und die Umsetzung aktiv überwachen.
Weitere hilfreiche Informationen finden Sie auf der Seite des Bundesamts für Sicherheit in der Informationstechnik.
Besonders wichtige und wichtige Einrichtungen müssen verschiedene, je nach Einrichtungsart abgestufte, Pflichten erfüllen, wie beispielsweise
Unternehmen fallen unter das NIS2-Umsetzungsgesetz, wenn sie unter eine oder mehrere Einrichtungsdefinitionen der Anlagen 1 und 2 fallen und zudem die im Gesetz festgeschriebenen Größenschwellen für Mitarbeiterzahl oder Umsatz (vgl. § 28 Absatz 1 und 2 BSIG) erreichen oder überschreiten. Unabhängig von ihrer Größe werden vom NIS2-Umsetzungsgesetz auch bestimmte Einrichtungen erfasst, etwa wenn die Dienste erbracht werden von:
Ob Ihr Unternehmen unter den Anwendungsbereich des NIS2-Umsetzungsgesetzes fällt, können Sie mit der NIS2-Betroffenheitsprüfung prüfen.
NIS2 fordert ausdrücklich einen risikobasierten Ansatz. Unternehmen sollten deshalb zuerst analysieren, welche Systeme, Prozesse und Schwachstellen das größte Risiko darstellen.
Priorisiert werden Maßnahmen, die:
Gesetzliche Mindestanforderungen sollten zuerst erfüllt werden. Unternehmen sollten sich darauf konzentrieren, die Prozesse abzusichern, die für den Betrieb oder die Versorgung besonders wichtig sind. Es sollte sichergestellt werden, dass wichtige Systeme auch bei Störungen weiterlaufen.
Da NIS2 ein Lieferketten‑Risikomanagement verlangt, sollten Unternehmen auch Dienstleister prüfen und vertragliche Sicherheitsanforderungen früh aktualisieren. Anbieter mit hohem Zugriff auf kritische Systeme werden zuerst adressiert.
Ja, das Gesetz schreibt eine Schulungspflicht für Geschäftsleitung betroffener Unternehmen vor.
Erhebliche Sicherheitsvorfälle müssen von NIS2 betroffenen Unternehmen an das BSI gemeldet werden. Das BSI nennt dafür die Fristen von 24 Stunden für die frühe Erstmeldung, 72 Stunden für die Folgemeldung und 30 Tagen für die Abschlussmeldung.
Einrichtungen müssen sich spätestens drei Monate, nachdem sie erstmals oder erneut NIS2-betroffen sind, registrieren.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI), ist die nationale Aufsichts- und Meldestelle für die Umsetzung der NIS2-Richtlinie in Deutschland. Es überwacht die Einhaltung von Cybersicherheitsmaßnahmen bei betroffenen Einrichtungen, nimmt Meldungen über Sicherheitsvorfälle entgegen, bietet Beratung an und kann Sanktionen verhängen.
Sandra von König beantwortet Ihre persönlichen Fragen, gibt Orientierung und verschafft Ihnen einen klaren Überblick über Möglichkeiten und Mehrwerte.
Sandra von König beantwortet Ihre persönlichen Fragen, gibt Orientierung und verschafft Ihnen einen klaren Überblick über Möglichkeiten und Mehrwerte.
10 Fragen, 5 Minuten: Unser kostenloser Test zur Potenzialanalyse: Daten & KI mit individuellem Ergebnisbericht liefert Ihnen wertvolle Einblicke zu Ihrem aktuellen Reifegrad, verstecktes Erfolgspotenzial und priorisierte Maßnahmen für Ihr Unternehmen.
Klingt spannend? Mehr erfahren.
Sie sehen gerade einen Platzhalterinhalt von Vimeo. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Facebook. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Instagram. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie müssen den Inhalt von hCaptcha laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Turnstile. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von X. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen