NIS2-Compliance: welche Anforderungen die Richtlinie stellt, wer betroffen ist und wo Sie anfangen

NIS2-Compliance bedeutet, die Anforderungen zu erfüllen, die die Richtlinie (EU) 2022/2555 über ihre Umsetzung in nationales Recht an mittlere und große Einrichtungen in 18 Sektoren stellt: Registrierung, Billigung durch das Leitungsorgan und dessen Schulung, zehn Mindestmaßnahmen des Risikomanagements und Meldung von Sicherheitsvorfällen innerhalb von 24 Stunden. Die Richtlinie gilt seit dem 18. Oktober 2024. Für wesentliche Einrichtungen liegt der Höchstbetrag der Geldbußen bei mindestens 10 Mio. EUR oder 2 % des weltweiten Umsatzes.

Dieser Leitfaden behandelt, was NIS2 ist, wer betroffen ist, was Sie tun müssen, Aufsicht und Bußgelder, nationale Gesetze, Sektorleitfäden, die Vorschläge von 2026, einen 90-Tage-Plan, was das Gesetz offenlässt, und eine Checkliste.

Pflicht	NIS2	Wer	Frist oder Rhythmus	Details
Anwendungsbereich und Kategorie prüfen	Art. 2, 3	Arten aus Anhang I und II, ab mittlerer Größe, dazu größenunabhängige Fälle	Bei Änderungen von Größe, Gruppe oder Diensten	Prüfung des Anwendungsbereichs
Registrieren	Art. 3(4), 27	Alle erfassten Einrichtungen; aufgeführte digitale Anbieter auch für das Register der ENISA	Änderungen binnen zwei Wochen (Register: drei Monate)	Ihre Behörde finden
Billigen, überwachen, schulen	Art. 20	Leitungsorgan	Keine Häufigkeit festgelegt	Pflichten der Leitung
Zehn Mindestmaßnahmen	Art. 21	Alle erfassten Einrichtungen	Laufend; Lücken unverzüglich beheben	Die zehn Maßnahmen
Sicherheit der Lieferkette	Art. 21(2)(d), 21(3)	Alle erfassten Einrichtungen	Je unmittelbarem Anbieter	Lieferantenrisiko
Erhebliche Sicherheitsvorfälle melden	Art. 23	Alle erfassten Einrichtungen	24 Stunden, 72 Stunden, ein Monat	Meldefristen
Zertifizierte IKT-Produkte	Art. 24	Wo nationales Recht oder ein delegierter Rechtsakt es verlangt	Nach Vorgabe	Zertifizierung
Aufsicht	Art. 32, 33	Wesentliche: proaktiv. Wichtige: nachträglich	Auf Anforderung	Wesentlich oder wichtig
Geldbußen	Art. 34	Alle erfassten Einrichtungen	Höchstbetrag von mindestens 10 Mio. EUR oder 2 % (wichtige: 7 Mio. EUR oder 1,4 %)	Bußgelder
Domänennamen-Registrierungsdaten	Art. 28	TLD-Namenregister, Domänennamen-Registrierungsdienste	Zugangsanträge binnen 72 Stunden beantworten	Artikel 28

Was ist NIS2, und seit wann gilt die Richtlinie?

NIS2 ist die Richtlinie (EU) 2022/2555 vom 14. Dezember 2022 „über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union“. Sie hat NIS1, die Richtlinie (EU) 2016/1148, ersetzt.

Datum	Was geschah
16. Januar 2023	NIS2 tritt in Kraft
17. Oktober 2024	Frist für die Mitgliedstaaten, die nationalen Gesetze zu erlassen und zu veröffentlichen (Art. 41)
18. Oktober 2024	Die nationalen Gesetze gelten; NIS1 aufgehoben (Art. 41, 44)
17. April 2025	Listen der wesentlichen und wichtigen Einrichtungen der Mitgliedstaaten fällig (Art. 3(3))

Eine Richtlinie bindet die Mitgliedstaaten, nicht die Unternehmen: Ihre Pflichten ergeben sich aus dem nationalen Recht. Viele Länder waren im Verzug. Am 7. Mai 2025 hat die Kommission 19 Mitgliedstaaten mit Gründen versehene Stellungnahmen übermittelt. Am 8. Juli 2026 hat sie vier Mitgliedstaaten, die die vollständige Umsetzung noch immer nicht mitgeteilt hatten, vor dem Gerichtshof verklagt: Irland, Spanien, Frankreich und die Niederlande. Prüfen Sie, ob das Gesetz Ihres Landes in Kraft ist, bevor Sie sich auf seine Einzelheiten verlassen.

Die größte Änderung gegenüber NIS1 ist der Anwendungsbereich. Nach NIS1 ermittelte jedes Land seine Betreiber wesentlicher Dienste selbst; NIS2 gilt nach Sektor und Größe. Hinzu kommen Mindestmaßnahmen, Pflichten der Leitung, eine erste Meldung binnen 24 Stunden und Mindestvorgaben für die Obergrenzen der Geldbußen. Den Vergleich finden Sie in NIS1 vs. NIS2.

Wer ist von NIS2 betroffen?

Nach Artikel 2 Absatz 1 muss die Einrichtung einer in Anhang I oder II genannten Art angehören, nach der Empfehlung 2003/361/EG mindestens ein mittleres Unternehmen sein und ihre Dienste in der EU erbringen oder ihre Tätigkeiten dort ausüben.

Mittlere Unternehmen beginnen bei 50 Beschäftigten oder wenn Umsatz und Bilanzsumme beide über 10 Mio. EUR liegen. Beschäftigte werden in Jahresarbeitseinheiten gezählt, und die Daten verbundener Unternehmen und Partnerunternehmen werden hinzugerechnet, sodass auch eine kleine Tochtergesellschaft eines großen Konzerns erfasst sein kann. Der NIS2-Betroffenheitscheck gibt eine erste Antwort. Wenn Sie nahe an der Grenze von 50 Personen liegen, lesen Sie NIS2 für KMU; dort steht auch, warum Zulieferer außerhalb des Anwendungsbereichs trotzdem gefragt werden.

Welche Sektoren erfasst NIS2?

• Anhang I, 11 Sektoren mit hoher Kritikalität: Energie (Elektrizität, Fernwärme und -kälte, Erdöl, Erdgas, Wasserstoff), Verkehr (Luft, Schiene, Schifffahrt, Straße), Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten (Business-to-Business), öffentliche Verwaltung und Weltraum.
• Anhang II, 7 sonstige kritische Sektoren: Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe (Medizinprodukte und In-vitro-Diagnostika sowie die NACE-Abteilungen C26 bis C30), Anbieter digitaler Dienste (Online-Marktplätze, Online-Suchmaschinen, Plattformen für Dienste sozialer Netzwerke) und Forschung.

Entscheidend ist die rechtliche Definition der jeweiligen Einrichtungsart, nicht Ihre Branchenbezeichnung.

Wer ist unabhängig von der Größe erfasst?

Artikel 2 Absätze 2 bis 4 erfassen Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste; Vertrauensdiensteanbieter, TLD-Namenregister und DNS-Diensteanbieter; Domänennamen-Registrierungsdienste; kritische Einrichtungen nach der CER-Richtlinie, (EU) 2022/2557; Einrichtungen der öffentlichen Verwaltung der Zentralregierung und, nach einer risikobasierten Bewertung, der regionalen Ebene; sowie Einrichtungen, die ein Mitgliedstaat einstuft, etwa als einzigen nationalen Anbieter eines wesentlichen Dienstes.

Ausgenommen ist die öffentliche Verwaltung in den Bereichen nationale Sicherheit, öffentliche Sicherheit, Verteidigung oder Strafverfolgung (Artikel 2 Absatz 7). Wenn ein anderer EU-Rechtsakt mindestens gleichwertige Anforderungen an das Risikomanagement oder die Meldung von Sicherheitsvorfällen stellt, gelten die entsprechenden Bestimmungen von NIS2 nicht (Artikel 4 Absatz 1); Erwägungsgrund 28 nennt DORA für Finanzunternehmen.

Wesentlich oder wichtig?

Wesentliche Einrichtungen sind vor allem Einrichtungen nach Anhang I oberhalb der Schwellenwerte für mittlere Unternehmen: 250 oder mehr Beschäftigte oder ein Umsatz über 50 Mio. EUR und eine Bilanzsumme über 43 Mio. EUR. Ebenfalls wesentlich sind (Artikel 3 Absatz 1): qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister und DNS-Diensteanbieter jeder Größe, mittlere öffentliche Telekommunikationsanbieter, die Zentralregierung, kritische Einrichtungen nach der CER-Richtlinie und Einrichtungen, die ein Mitgliedstaat als wesentlich einstuft. Jede andere erfasste Einrichtung nach Anhang I oder II ist wichtig. Die Pflichten sind dieselben; Aufsicht und Höchstbußgelder unterscheiden sich.

Welches nationale Recht gilt?

In der Regel das Recht des Mitgliedstaats, in dem die Einrichtung niedergelassen ist (Artikel 26). Öffentliche Telekommunikationsanbieter unterliegen jedem Mitgliedstaat, in dem sie ihre Dienste erbringen. Anbieter von Cloud-, Rechenzentrums-, CDN-, DNS- und TLD-Diensten, Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste sowie Anbieter von Online-Plattformen unterliegen dem Mitgliedstaat ihrer Hauptniederlassung, also dort, wo die Entscheidungen über die Risikomanagementmaßnahmen im Bereich der Cybersicherheit überwiegend getroffen werden. Siehe NIS2: Zuständigkeit und Hauptniederlassung.

Müssen Sie sich registrieren?

In der Praxis ja. Nach Artikel 3 Absatz 4 übermitteln Einrichtungen ihrer Behörde ihren Namen, ihre Anschrift und Kontaktdaten einschließlich IP-Adressbereichen, ihren Sektor und Teilsektor sowie die Mitgliedstaaten, in denen sie Dienste erbringen. Änderungen sind innerhalb von zwei Wochen mitzuteilen. Die Mitgliedstaaten können dies als Selbstregistrierung organisieren. Die aufgeführten digitalen Anbieter übermitteln außerdem Angaben für das Register der ENISA (Artikel 27). Warten Sie nicht, bis die Behörde Sie kontaktiert.

Welche Anforderungen stellt NIS2 an Ihr Unternehmen?

Artikel 20: Pflichten und Schulung des Leitungsorgans

Das Leitungsorgan billigt die Maßnahmen nach Artikel 21, überwacht ihre Umsetzung und kann für Verstöße der Einrichtung gegen Artikel 21 verantwortlich gemacht werden. Seine Mitglieder müssen an Schulungen teilnehmen, und die Mitgliedstaaten fordern die Einrichtungen auf, ihren Mitarbeitern regelmäßig entsprechende Schulungen anzubieten. NIS2 legt weder Inhalte noch Stundenumfang oder Häufigkeit fest; das nationale Recht kann das tun. Siehe NIS2-Schulungspflicht.

Artikel 21: die zehn Mindestmaßnahmen

Artikel 21 Absatz 1 verlangt geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen unter Berücksichtigung des Stands der Technik, gegebenenfalls der einschlägigen europäischen und internationalen Normen sowie der Kosten der Umsetzung. Für die Verhältnismäßigkeit zählen Ihre Risikoexposition, Ihre Größe sowie die Wahrscheinlichkeit und Schwere von Sicherheitsvorfällen.

Die Maßnahmen beruhen auf einem gefahrenübergreifenden Ansatz, der auch die physische Umwelt Ihrer Systeme schützt: Feuer und Stromausfall zählen ebenso wie Angreifer (siehe den gefahrenübergreifenden Ansatz). Artikel 21 Absatz 2 verlangt zumindest:

• a) Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme;
• b) Bewältigung von Sicherheitsvorfällen;
• c) Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement;
• d) Sicherheit der Lieferkette;
• e) Sicherheit bei Erwerb, Entwicklung und Wartung, einschließlich Management und Offenlegung von Schwachstellen (siehe koordinierte Offenlegung von Schwachstellen);
• f) Konzepte und Verfahren zur Bewertung der Wirksamkeit der Maßnahmen;
• g) grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit;
• h) Kryptografie und gegebenenfalls Verschlüsselung (siehe NIS2-Anforderungen an die Verschlüsselung);
• i) Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen;
• j) Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gesicherte Notfallkommunikationssysteme, soweit angemessen.

Festgestellte Lücken erfordern unverzüglich Korrekturmaßnahmen (Artikel 21 Absatz 4). Für DNS-Diensteanbieter, TLD-Namenregister, Anbieter von Cloud-, Rechenzentrums- und CDN-Diensten, Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste, Online-Plattformen und Vertrauensdiensteanbieter legt die Durchführungsverordnung (EU) 2024/2690 detaillierte technische Anforderungen fest.

Artikel 21 Absatz 3: die Lieferkette

Maßnahme d) umfasst die sicherheitsbezogenen Aspekte der Beziehungen zu Ihren unmittelbaren Anbietern und Diensteanbietern. Nach Artikel 21 Absatz 3 müssen Sie die spezifischen Schwachstellen jedes unmittelbaren Anbieters berücksichtigen, die Qualität seiner Produkte und seiner Cybersicherheitspraxis einschließlich sicherer Entwicklung sowie die Ergebnisse der koordinierten Risikobewertungen auf EU-Ebene nach Artikel 22. Ein einheitlicher Fragebogen an alle Lieferanten belegt das in der Praxis nicht. Auf diesem Weg erreicht NIS2 auch kleine Zulieferer außerhalb des Anwendungsbereichs: über die Verträge ihrer Kunden.

Artikel 23: Meldung von Sicherheitsvorfällen

Ein erheblicher Sicherheitsvorfall hat schwerwiegende Betriebsstörungen oder finanzielle Verluste für die Einrichtung oder erhebliche materielle oder immaterielle Schäden bei anderen verursacht oder kann sie verursachen (Artikel 23 Absatz 3). Wie Sie schnell entscheiden, steht im Beitrag was einen Sicherheitsvorfall erheblich macht. Die Meldungen gehen an Ihr CSIRT oder Ihre zuständige Behörde:

1. Frühwarnung, innerhalb von 24 Stunden nach Kenntniserlangung: gegebenenfalls, ob der Verdacht auf rechtswidrige oder böswillige Handlungen besteht und ob der Vorfall grenzüberschreitende Auswirkungen haben könnte.
2. Meldung über den Sicherheitsvorfall, innerhalb von 72 Stunden nach Kenntniserlangung: eine erste Bewertung von Schweregrad und Auswirkungen und, soweit verfügbar, Kompromittierungsindikatoren. Vertrauensdiensteanbieter übermitteln sie innerhalb von 24 Stunden.
3. Zwischenbericht, wenn das CSIRT oder die Behörde darum ersucht.
4. Abschlussbericht, spätestens einen Monat nach der Meldung über den Sicherheitsvorfall. Dauert der Vorfall dann noch an, ist zu diesem Zeitpunkt ein Fortschrittsbericht fällig und der Abschlussbericht innerhalb eines Monats nach seiner Bearbeitung.

Soweit angemessen, unterrichten Sie außerdem unverzüglich die Empfänger Ihrer Dienste (Artikel 23 Absatz 1). Ransomware, die einen Kerndienst lahmlegt, ist der Lehrbuchfall: siehe NIS2 und Ransomware. Sind personenbezogene Daten betroffen, kann zusätzlich eine Meldung nach der DSGVO fällig sein: siehe NIS2 und DSGVO.

Artikel 24 und 25: Zertifizierung und Normen

Ein NIS2-Zertifikat für Unternehmen gibt es nicht. Die Mitgliedstaaten können verlangen, dass IKT-Produkte, -Dienste und -Prozesse verwendet werden, die im Rahmen europäischer Schemata nach dem Rechtsakt zur Cybersicherheit zertifiziert sind, um die Erfüllung bestimmter Anforderungen nach Artikel 21 nachzuweisen. Die Kommission kann dies für Kategorien von Einrichtungen durch delegierten Rechtsakt vorschreiben (Artikel 24). Ein als Produkt verkauftes „NIS2-Zertifikat“ ist eine eigene Bescheinigung des Verkäufers.

Nach Artikel 25 fördern die Mitgliedstaaten die Anwendung europäischer und internationaler Normen, ohne eine bestimmte Technologie vorzuschreiben oder zu bevorzugen. ISO/IEC 27001 ist die übliche Wahl. Die Norm deckt den größten Teil von Artikel 21 ab, nicht aber die Meldefristen, die Registrierung oder die Haftung der Leitung: siehe ISO 27001 vs. NIS2.

Wie wird NIS2 beaufsichtigt, und welche Bußgelder drohen?

Die Durchsetzung ist national und liegt bei den zuständigen Behörden, die jeder Mitgliedstaat benennt.

Wesentliche Einrichtungen (Artikel 32) können ohne jeden Anlass beaufsichtigt werden: Vor-Ort-Kontrollen, Stichprobenkontrollen, regelmäßige, gezielte und Ad-hoc-Prüfungen, Sicherheitsscans sowie die Anforderung von Informationen und von Nachweisen für die Umsetzung. Wichtige Einrichtungen (Artikel 33) werden nachträglich beaufsichtigt, wenn Nachweise, Hinweise oder Informationen über Verstöße vorliegen, mit gezielten Prüfungen, aber ohne Stichprobenkontrollen, regelmäßige oder Ad-hoc-Prüfungen.

Gegenüber beiden können die Behörden Warnungen aussprechen, verbindliche Anweisungen erteilen und Anordnungen erlassen. Nur bei wesentlichen Einrichtungen können sie einen Überwachungsbeauftragten benennen und als letztes Mittel eine Zertifizierung oder Genehmigung vorübergehend aussetzen sowie ein Gericht oder eine andere Stelle ersuchen, einer Person auf Geschäftsführungs- oder Vorstandsebene oder auf Ebene des rechtlichen Vertreters vorübergehend die Wahrnehmung von Leitungsaufgaben zu untersagen (Artikel 32 Absatz 5). Personen, die eine Einrichtung vertreten, für sie entscheiden oder sie kontrollieren, können haftbar gemacht werden, wenn sie die Einhaltung nicht sicherstellen (Artikel 32 Absatz 6 und Artikel 33 Absatz 5).

Für Verstöße gegen Artikel 21 oder 23 verlangt Artikel 34 Geldbußen mit einem Höchstbetrag von mindestens:

• wesentliche Einrichtungen: 10 Mio. EUR oder 2 % des gesamten weltweiten Jahresumsatzes des Unternehmens, je nachdem, welcher Betrag höher ist;
• wichtige Einrichtungen: 7 Mio. EUR oder 1,4 %, je nachdem, welcher Betrag höher ist.

Eine höhere NIS2-Stufe gibt es nicht: 20 Mio. EUR oder 4 % stammen aus der DSGVO. Eine DSGVO-Geldbuße für dasselbe Verhalten schließt eine NIS2-Geldbuße aus (Artikel 35). Sanktionen für andere Verstöße, etwa eine unterlassene Registrierung, legt das nationale Recht fest (Artikel 36).

Welche nationalen NIS2-Umsetzungsgesetze gelten?

Verbindlich ist das Gesetz Ihres Landes. In Luxemburg gilt das Gesetz vom 5. Mai 2026 seit dem 10. Mai 2026 (NIS2 in Luxemburg); die Registrierung bei der ILR war bis zum 10. Juli 2026 fällig, und Sicherheitsvorfälle werden über SERIMA gemeldet. In Belgien gilt das Gesetz vom 26. April 2024 seit dem 18. Oktober 2024, zuständige Behörde ist das CCB; wesentliche Einrichtungen mussten bis zum 18. April 2026 einen ersten Schritt auf einem Weg über CyberFundamentals, ISO/IEC 27001 oder eine Inspektion vorweisen (NIS2 in Belgien). In Deutschland hat das Umsetzungsgesetz vom 2. Dezember 2025 (BGBl. 2025 I Nr. 301) ein neues BSIG erlassen, das seit dem 6. Dezember 2025 in Kraft ist, und Einrichtungen registrieren sich über das Portal des BSI (NIS2 in Deutschland).

Welche Sektorleitfäden sind für Sie relevant?

• Energie: Strom, Gas, Öl, Wasserstoff, Fernwärme
• Verkehr: Luftverkehr, Schienenverkehr, Schifffahrt und Straßenverkehr
• Bankwesen und Finanzmarktinfrastrukturen: NIS2 und DORA
• Gesundheitswesen: Krankenhäuser, Labore und Pharma
• Digitale Infrastruktur: Cloud, Rechenzentren, DNS, CDN
• Verwaltung von IKT-Diensten: MSP und MSSP
• Verarbeitendes Gewerbe: NACE C26 bis C30 und Medizinprodukte
• Lebensmittel: Großhandel, Verarbeitung, Produktion
• Telekommunikation: Zulieferer von Betreibern
• Weltraum: bodengestützte Infrastruktur und ihre Zulieferer

Gibt es NIS2-konformes Hosting?

Hinter der Suche nach NIS-2-konformem Hosting stecken zwei Fragen. Wenn Sie der Hosting-Anbieter sind: Anbieter von Cloud-Computing-Diensten und Rechenzentrumsdiensten gehören zur digitalen Infrastruktur nach Anhang I. Ab mittlerer Größe sind sie erfasst, werden am Ort ihrer Hauptniederlassung beaufsichtigt und sind an die Durchführungsverordnung (EU) 2024/2690 gebunden.

Wenn Sie ein erfasster Kunde sind: Kein Hosting-Vertrag überträgt Ihre Pflichten, und NIS2 zertifiziert weder Hosting-Anbieter noch schreibt es vor, welchen Sie wählen. Ein Hosting-Anbieter, mit dem Sie einen Vertrag haben, ist ein unmittelbarer Diensteanbieter nach Artikel 21 Absatz 2 Buchstabe d, und nach Artikel 21 Absatz 3 müssen Sie seine spezifischen Schwachstellen und seine Sicherheitspraxis berücksichtigen. In der Praxis heißt das: eine Bewertung und Sicherheitsklauseln im Vertrag. Ein Anbieter, der selbst erfasst ist und Prüfberichte vorlegen kann, macht diese Bewertung leichter, aber nicht überflüssig.

Welche Änderungen an NIS2 werden vorgeschlagen?

Am 20. Januar 2026 hat die Kommission zwei miteinander verknüpfte Rechtsakte vorgeschlagen. Stand September 2026 sind beide Vorschläge, kein geltendes Recht, und können sich noch ändern, bevor sich das Europäische Parlament und der Rat darauf einigen.

• COM(2026) 13, gezielte Änderungen an NIS2. Einrichtungen nach Anhang I, die als „kleine Midcap-Unternehmen“ gelten, wären grundsätzlich wichtige Einrichtungen. Dazu kommen Anpassungen des Anwendungsbereichs in Sektoren wie Elektrizität und Chemie, eine Erhebung von Daten zu Ransomware und einfachere Zuständigkeitsregeln. Neue Absätze 4 und 5 in Artikel 24 würden es den Mitgliedstaaten erlauben, ein Zertifikat über die Cyberabwehr einer Einrichtung zu verlangen; es würde zusätzliche gezielte Sicherheitsprüfungen für die davon abgedeckten Anforderungen ausschließen. Nach Angaben der Kommission würde sich die Einhaltung für rund 28.700 Unternehmen vereinfachen.
• COM(2026) 11, Überarbeitung des Rechtsakts zur Cybersicherheit. EU-Schemata könnten die Cyberabwehr einer Einrichtung zertifizieren, nicht nur Produkte. Ein Rahmen für die IKT-Lieferkette würde es Betreibern elektronischer Kommunikationsnetze untersagen, sich bei kritischen Assets auf Hochrisikoanbieter zu stützen.

Wie beginnen Sie mit der NIS2-Umsetzung? Ein 90-Tage-Plan

Dieser Plan ist Praxis, kein Gesetz, und richtet sich an eine mittlere Einrichtung, die bei null anfängt.

Tage 1 bis 30: die Fakten klären

1. Führen Sie die Prüfung des Anwendungsbereichs für jeden Rechtsträger durch, einschließlich Gruppengröße und Zuständigkeit, und halten Sie die Zahlen fest.
2. Ermitteln Sie Ihr nationales Gesetz, Ihre zuständige Behörde und Ihr CSIRT. Registrieren Sie sich oder prüfen Sie Ihre Registrierung, und richten Sie einen Prozess ein, der Änderungen binnen zwei Wochen meldet.
3. Informieren Sie das Leitungsorgan, benennen Sie einen Programmverantwortlichen und planen Sie die Schulung der Mitglieder.
4. Legen Sie fest, wer über die Erheblichkeit entscheidet, und bereiten Sie den Meldeweg und eine Vorlage für die Frühwarnung vor.

Tage 31 bis 60: die Lücken finden

5. Führen Sie für die betroffenen Dienste eine Risikoanalyse durch, Maßnahme a).
6. Bewerten Sie Ihre Controls anhand der zehn Maßnahmen; listen Sie die Lücken mit Verantwortlichen und Terminen auf.
7. Schließen Sie schnelle Hygienelücken: MFA für administrative Zugänge und Fernzugriffe, kritische Patches, ein dokumentierter Wiederherstellungstest.

Tage 61 bis 90: entscheiden und belegen

8. Bauen Sie das Register der unmittelbaren Anbieter auf und nehmen Sie Sicherheitsklauseln in kritische Verträge auf.
9. Lassen Sie das Leitungsorgan die Maßnahmen und den Plan zur Behebung billigen, und halten Sie das im Protokoll fest.
10. Üben Sie die Fristen von 24 und 72 Stunden, und beginnen Sie, datierte Nachweise je Maßnahme zu sammeln.

Was NIS2 in der Praxis offenlässt

NIS2 legt Ergebnisse und Überschriften fest, keine Controls. Für „geeignete und verhältnismäßige“ Maßnahmen gibt es keine Zahl, und die zehn Maßnahmen passen auf eine Seite. Ihr Nachweis passt nicht darauf.

Die Artikel 32 und 33 erlauben der Behörde die „Anforderung von Nachweisen für die Umsetzung der Cybersicherheitskonzepte“, zum Beispiel: MFA heute auf jedem Administratorkonto, Patch-Zeiten gemessen an Ihrer eigenen Frist, die letzte erfolgreiche Wiederherstellung, jede Entscheidung über die Erheblichkeit mit Zeitstempel. Diese Nachweise liegen im Identity Provider, im Endpoint-Management, in den Cloud-Konten und im Ticketsystem.

Von Hand vor einem Audit zusammengetragen, zeigen sie den Tag, an dem sie gesammelt wurden; nach einem Sicherheitsvorfall kann die Behörde fragen, was davor galt. Laufend aus diesen Systemen erhoben, wobei eine Person Ausnahmen und Ermessensentscheidungen wie die Erheblichkeit prüft, bleiben die Nachweise auditbereit. So arbeitet CloudSoul: eine automatisierte Plattform mit Human-in-the-Loop-Expertise. Das gesamte Programm finden Sie auf der Seite zur NIS2-Compliance.

Checkliste zur NIS2-Compliance

• Halten Sie für jeden Rechtsträger eine Entscheidung zu Anwendungsbereich und Kategorie fest, mit den zugrunde liegenden Zahlen.
• Registrieren Sie sich bei Ihrer zuständigen Behörde und melden Sie Änderungen innerhalb von zwei Wochen.
• Dokumentieren Sie die Billigung der Maßnahmen nach Artikel 21 durch das Leitungsorgan und die Schulung jedes Mitglieds.
• Führen Sie ein Risikoregister und eine Lückenliste zu den zehn Maßnahmen, mit Verantwortlichen und Terminen.
• Führen Sie ein Register der unmittelbaren Anbieter, mit Sicherheitsklauseln in kritischen Verträgen.
• Testen Sie die Meldung von Sicherheitsvorfällen gegen die Fristen von 24 Stunden, 72 Stunden und einem Monat.
• Bewahren Sie datierte Nachweise für jede Maßnahme auf, entnommen aus den Systemen, in denen sie liegen.
• Prüfen Sie Ihr nationales Gesetz auf Ergänzungen, etwa Konformitätsverfahren oder die Häufigkeit von Schulungen.

Quellen

• Richtlinie (EU) 2022/2555 (NIS2), Artikel 2, 3, 4, 20 bis 28, 32 bis 36, 41 und 44, Erwägungsgrund 28, Anhänge I und II, EUR-Lex. Artikeltext: Artikel 41, Artikel 44.
• Durchführungsverordnung (EU) 2024/2690 der Kommission, EUR-Lex.
• Empfehlung 2003/361/EG der Kommission betreffend die Definition der Kleinstunternehmen sowie der kleinen und mittleren Unternehmen, EUR-Lex.
• Europäische Kommission, Umsetzung von NIS2 (mit Gründen versehene Stellungnahmen vom 7. Mai 2025) und Klage gegen Irland, Spanien, Frankreich und die Niederlande vor dem Gerichtshof, 8. Juli 2026.
• Vorschlag COM(2026) 13 zur Änderung der Richtlinie (EU) 2022/2555, 20. Januar 2026, EUR-Lex; Europäische Kommission, Cybersicherheitspaket: Fragen und Antworten, zu COM(2026) 11 und 13.
• Luxemburg, Gesetz vom 5. Mai 2026 über Maßnahmen zur Gewährleistung eines hohen Cybersicherheitsniveaus, Legilux.
• Belgien, Gesetz vom 26. April 2024, eJustice; Zentrum für Cybersicherheit Belgien, NIS2: Frist vom 18. April 2026.
• Deutschland, Gesetz zur Umsetzung der NIS-2-Richtlinie vom 2. Dezember 2025, BGBl. 2025 I Nr. 301, recht.bund.de; BSI-Gesetz (BSIG), konsolidierte Fassung, gesetze-im-internet.de; BSI, NIS-2-regulierte Unternehmen.

Häufige Fragen