Was ist die NIS2-Richtlinie?

NIS2 ist die zweite EU-Richtlinie zur Netz- und Informationssicherheit (Richtlinie (EU) 2022/2555) und löst die erste NIS-Richtlinie ab. Ziel ist ein einheitlich hohes Cybersicherheitsniveau in der gesamten EU – angesichts stark gestiegener Angriffszahlen auf Unternehmen und Verwaltung.

In deutsches Recht umgesetzt wird NIS2 durch das NIS2-Umsetzungsgesetz (NIS2UmsuCG), das seit Dezember 2025 in Kraft ist. Eine allgemeine Übergangsfrist gibt es nicht: Die Anforderungen gelten für betroffene Unternehmen unmittelbar.

Welche Unternehmen sind betroffen?

NIS2 unterscheidet zwischen besonders wichtigen und wichtigen Einrichtungen in insgesamt 18 Sektoren – darunter Energie, Gesundheit, Verkehr, Wasser, digitale Infrastruktur und Dienste, öffentliche Verwaltung, Ernährung, Abfallwirtschaft, Chemie sowie das verarbeitende Gewerbe.

Als grobe Orientierung greift die Regulierung ab mittleren Unternehmen – also etwa ab 50 Beschäftigten oder 10 Mio. Euro Jahresumsatz; in einzelnen Sektoren gelten die Pflichten unabhängig von der Größe. Insgesamt fallen so rund 29.500 Einrichtungen unter NIS2, während zuvor nur etwa 4.500 Organisationen den strengeren KRITIS-Regeln unterlagen.

Ob Ihr Unternehmen direkt betroffen ist, lässt sich nur im Einzelfall sicher beurteilen. Im Zweifel lohnt eine kurze Betroffenheitsprüfung – gerade weil an die Einstufung konkrete Pflichten geknüpft sind.

Betroffen über die Lieferkette – auch ohne eigene Pflicht

Selbst wenn Ihr Unternehmen nicht direkt reguliert ist, kann NIS2 relevant werden. Die Richtlinie verpflichtet betroffene Einrichtungen ausdrücklich, auch die Sicherheit ihrer Lieferkette zu steuern.

In der Praxis bedeutet das: Große Kunden geben ihre Anforderungen an Zulieferer und Dienstleister weiter – über Verträge, Sicherheitsfragebögen oder geforderte Nachweise. Viele kleine und mittlere Unternehmen sind dadurch indirekt betroffen und tun gut daran, ihre IT-Sicherheit nachweisbar aufzustellen.

Welche Pflichten bringt NIS2 konkret?

Im Kern verlangt NIS2 ein angemessenes Risikomanagement mit technischen und organisatorischen Maßnahmen. Dazu zählen unter anderem Risikoanalyse und Sicherheitskonzepte, Behandlung von Sicherheitsvorfällen, Backup- und Notfallmanagement, Sicherheit der Lieferkette, Zugriffskontrolle und Multi-Faktor-Authentifizierung, Verschlüsselung sowie regelmäßige Schulungen der Mitarbeitenden.

Hinzu kommen Meldepflichten: Erhebliche Sicherheitsvorfälle müssen sehr kurzfristig an das BSI gemeldet werden – mit einer ersten Meldung binnen 24 Stunden, einer Bewertung nach 72 Stunden und einem Abschlussbericht. Betroffene Einrichtungen müssen sich außerdem beim BSI registrieren.

Neu und oft unterschätzt: Die Geschäftsleitung muss die Risikomanagement-Maßnahmen billigen und überwachen – und haftet dafür persönlich. Diese Verantwortung lässt sich nicht einfach delegieren.

Fristen, Registrierung und Bußgelder

Das NIS2UmsuCG gilt seit Dezember 2025 ohne allgemeine Übergangsfrist. Direkt betroffene Unternehmen mussten sich Anfang 2026 beim BSI registrieren und ihre Maßnahmen umsetzen.

Bei Verstößen drohen empfindliche Bußgelder von bis zu 10 Mio. Euro beziehungsweise einem Prozentsatz des Jahresumsatzes – zusätzlich zur persönlichen Verantwortung der Leitung. Wer jetzt handelt, vermeidet Zeitdruck und schließt Sicherheitslücken, bevor sie zum Problem werden.

In fünf Schritten NIS2-fit werden

  1. Betroffenheit klären: Prüfen, ob Ihr Unternehmen direkt reguliert ist oder über Kunden indirekt Anforderungen erfüllen muss.
  2. Ist-Analyse (GAP): Den aktuellen Stand der IT-Sicherheit mit den NIS2-Anforderungen abgleichen und Lücken sichtbar machen.
  3. Maßnahmen umsetzen: Technisch absichern – unter anderem Multi-Faktor-Authentifizierung, geprüfte Backups, Firewall und Netzsegmentierung, Monitoring, Patch-Management und ein belastbarer Notfallplan.
  4. Prozesse etablieren: Abläufe für Meldung von Vorfällen, Dokumentation und Verantwortlichkeiten festlegen.
  5. Laufend prüfen: Maßnahmen regelmäßig testen, schulen und verbessern – Sicherheit ist kein einmaliges Projekt.

Wie RCS Sie bei NIS2 unterstützt

Als IT-Systemhaus begleiten wir Unternehmen von der Betroffenheits- und Ist-Analyse bis zur technischen Umsetzung – herstellerunabhängig und mit Blick auf das, was wirklich nötig ist. Dazu gehören Backup- und Notfallkonzepte, laufende IT-Betreuung mit Monitoring und Patch-Management sowie Firewall, Verschlüsselung und Multi-Faktor-Authentifizierung.

Für Backup und Hosting setzen wir auf ein Rechenzentrum in Deutschland (Mönchengladbach, nach ISO 27001 zertifiziert) – DSGVO-konform und nachvollziehbar. So wird aus der NIS2-Pflicht ein handfester Sicherheitsgewinn für Ihren Betrieb.