NIS2-Leitfäden: Anwendungsbereich, Pflichten und nationale Gesetze.
Ob NIS2 für Sie gilt, was Artikel 21 und die Meldepflichten verlangen, wie Aufsicht und Bußgelder funktionieren, was die Richtlinie Sektor für Sektor bedeutet und wie die Mitgliedstaaten sie umgesetzt haben.
NIS2-Registrierung beim ILR: wer sich registrieren muss, was einzureichen ist und wie es danach weitergeht
Einrichtungen, die unter das luxemburgische NIS2-Gesetz fallen, registrieren sich über das Formular zur Selbstregistrierung selbst beim ILR. Die Frist lief am 10. Juli 2026 ab. Was das Formular abfragt, wie das ILR Ihren Status bestätigt und was danach folgt.
NIS2-Meldepflicht in Luxemburg: was Sie dem ILR wann melden müssen, mit Vorlage
In Luxemburg gehen erhebliche Sicherheitsvorfälle über das SERIMA-Formular an das ILR: Frühwarnung in 24 Stunden, Meldung über den Sicherheitsvorfall in 72 Stunden, Abschlussbericht in einem Monat. Wann ein Vorfall erheblich ist, was jeder Bericht enthält, und eine Vorlage.
Sicherheitsanlage im Lieferantenvertrag: was jede Klausel verlangt und wie Sie darauf antworten
Eine Sicherheitsanlage macht die Sicherheitsanforderungen Ihres Kunden zu Vertragspflichten mit Frist, Auditrecht und Konsequenz. Ihr Kern sind meist die acht Lieferanten-Vertragspunkte der Verordnung (EU) 2024/2690. Zehn Klauseln mit Kosten, Verhandlungsspielraum und Checkliste.
vCISO in den ersten 90 Tagen: der Plan für Sicherheitsverantwortliche in Teilzeit
Die ersten 90 Tage als vCISO oder Sicherheitsverantwortliche in Teilzeit sollten vier nachweisbare Ergebnisse liefern, nicht vierzig Richtlinien. Die sechs Phasen à fünfzehn Tage, was Sie ablehnen sollten, und die vier Ja-Nein-Tests, die an Tag 90 zeigen, ob es funktioniert hat.
Cybersicherheitsanforderungen für Raumfahrt-Zulieferer: NIS2, das vorgeschlagene EU-Weltraumgesetz, ESA und Hauptauftragnehmer
Raumfahrt-Zulieferer erhalten Cybersicherheitsanforderungen meist von Kunden, nicht von Behörden. Was NIS2 in der Raumfahrt abdeckt, was das geplante EU-Weltraumgesetz brächte, was ESA, EU-Programme und Hauptauftragnehmer verlangen, was zuerst kommt, was Sie einmal aufbauen.
Wer ist in einem KMU für Cybersicherheit verantwortlich? (und wann sich ein vCISO lohnt)
Die Leitung ist rechenschaftspflichtig, eine benannte Person muss die Entscheidungen tragen. NIS2 legt Billigung und Überwachung auf das Leitungsorgan, ISO 27001 verlangt zugewiesene Rollen, keines einen CISO. Wo die Aufgabe meist landet, was sie umfasst, wann ein vCISO passt.
NIS2 für Telekom-Zulieferer: die zwei Wege, auf denen die Pflichten Sie erreichen, und was Betreiber verlangen werden
NIS2 erreicht Telekom-Zulieferer auf zwei Wegen: über Verträge, weil Betreiber das Risiko direkter Zulieferer steuern müssen, und direkt, wenn Sie ein mindestens mittelgroßer MSP, Cloud- oder Rechenzentrumsanbieter sind. Beide Wege, was Betreiber verlangen, was aufzubauen ist.
ISO 27001 vs. NIS2: wie sich beide aufeinander abbilden lassen und wie Sie beides nur einmal umsetzen
Ein ISO-27001-ISMS deckt rund 70 bis 80 % von Artikel 21 NIS2 ab: fünf der zehn Maßnahmen vollständig, fünf teilweise. Die Zuordnungstabelle, wo „teilweise“ wehtut, die fünf NIS2-Pflichten, die kein ISMS enthält, und wie Sie beides als ein Programm führen.
NIS2 und Ransomware: was Sie melden müssen, ob Sie zahlen dürfen und was Artikel 21 erwartet
Ransomware, die Ihre Dienste schwer stören kann, ist ein erheblicher NIS2-Sicherheitsvorfall: Frühwarnung binnen 24 Stunden, Meldung binnen 72. NIS2 verbietet das Zahlen nicht. Meldung, Zahlung, Vorschlag COM(2026) 13, Artikel 21, DSGVO und Checkliste für die ersten 24 Stunden.
Sicherheit der Lieferkette nach NIS2: So bewerten Sie Lieferantenrisiken gemäß Artikel 21
NIS2 zählt die Sicherheit der Lieferkette zu den zehn Mindestmaßnahmen. Sie müssen Schwachstellen, Produktqualität und Sicherheitspraktiken jedes unmittelbaren Anbieters bewerten und koordinierte EU-Bewertungen berücksichtigen. Schritte, Verträge und was Artikel 22 ergänzt.
Gilt NIS2 für KMU? Wer betroffen ist und was kleinere Zulieferer trotzdem tun müssen
NIS2 gilt für mittlere und große Unternehmen der aufgeführten Sektoren: ab 50 Beschäftigten oder mit mehr als 10 Mio. EUR sowohl bei Umsatz als auch Bilanzsumme. Kleine Unternehmen sind meist nicht erfasst, doch ihre NIS2-regulierten Kunden geben die Anforderungen an sie weiter.
NIS2-Anforderungen an die Verschlüsselung: Was Artikel 21 zur Kryptografie verlangt und wann Verschlüsselung erwartet wird
NIS2 verlangt von jeder wesentlichen und wichtigen Einrichtung ein Kryptografiekonzept und Verschlüsselung, soweit dem Risiko angemessen. Was Art. 21(2)(h) sagt, was die DVO 2024/2690 ergänzt, eine Gliederung, Schlüsselmanagement, Post-Quanten-Pläne und Telekom-Regeln.
NIS2 im Lebensmittelsektor: Welche Lebensmittelunternehmen betroffen sind (Großhandel, Verarbeitung, Produktion)
NIS2 erfasst Lebensmittelunternehmen im Großhandel und in der industriellen Produktion und Verarbeitung ab mittlerer Größe. Wer dazugehört und wer nicht, von Molkereien und Getränkeherstellern bis zu Einzelhandel, Restaurants und Höfen, wesentlich oder wichtig, und was gilt.
NIS2 Artikel 28: Pflichten zu Domänennamen-Registrierungsdaten (WHOIS) für Register und Registrare
Artikel 28 NIS2: TLD-Namenregister, Registrare und Reseller müssen genaue, vollständige Registrierungsdaten führen und prüfen, nicht personenbezogene Daten veröffentlichen und Zugangsanträge binnen 72 Stunden beantworten. Anwendungsbereich, Datenfelder, DSGVO und Prüfliste.
NIS2 in Deutschland: was das NIS2UmsuCG und das neue BSIG verlangen, wer betroffen ist und welche Fristen beim BSI gelten
NIS2 gilt in Deutschland seit dem 6. Dezember 2025 über das NIS2UmsuCG und ein neues BSIG. Wer nach § 28 betroffen ist, die abgelaufene Registrierungsfrist (§ 33), Meldungen (§ 32), Maßnahmen (§ 30), Pflichten der Geschäftsleitung (§ 38) und Bußgelder (§ 65), NIS2 zugeordnet.
NIS2-Schulungspflicht: wer geschult werden muss, worin und wie oft
NIS2 verpflichtet die Mitglieder des Leitungsorgans zu Cybersicherheitsschulungen und macht Schulungen der Beschäftigten zur Mindestmaßnahme. Stunden, Zertifikat oder zugelassene Anbieter legt sie nicht fest. Rechtslage, Durchführungsregeln, Schulungsplan und Nachweisvorlage.
NIS2 in Belgien: was das Gesetz vom 26. April 2024 verlangt, wer darunter fällt und die Fristen des CCB
Das belgische NIS2-Gesetz vom 26. April 2024 gilt seit dem 18. Oktober 2024, nationale Behörde ist das CCB. Anwendungsbereich, Registrierung auf Safeonweb@work, Meldung von Sicherheitsvorfällen, Wege über CyberFundamentals und ISO 27001, Fristen 2026 und 2027 und Geldbußen.
NIS2-Zuständigkeit: Welcher Mitgliedstaat Sie beaufsichtigt und wie die Regel der Hauptniederlassung funktioniert
Nach NIS2 beaufsichtigt Sie der Mitgliedstaat Ihrer Niederlassung. Telekomanbieter unterstehen jedem Land, das sie bedienen, Cloud-Anbieter, MSP und andere digitale Anbieter dem Land ihrer Hauptniederlassung. Regeln, Hauptniederlassung, Nicht-EU-Anbieter, Amtshilfe, Konzerne.
NIS2 in Luxemburg: das Gesetz vom 5. Mai 2026 erklärt (Anwendungsbereich, Registrierung beim ILR, Meldepflichten und Bußgelder)
Luxemburg hat NIS2 mit dem Gesetz vom 5. Mai 2026 umgesetzt, in Kraft seit dem 10. Mai 2026. Wer betroffen ist, die Registrierung beim ILR, die zehn Maßnahmen nach Artikel 12, die 24-Stunden-Meldefrist und Bußgelder bis 10 Mio. EUR oder 2 % des weltweiten Umsatzes.
Koordinierte Offenlegung von Schwachstellen nach NIS2: Was Artikel 12 einrichtet und was Ihr Unternehmen bei Schwachstellen tun muss
Artikel 12 NIS2 macht ein CSIRT pro Land zum Koordinator für Schwachstellenmeldungen und lässt die ENISA eine europäische Schwachstellendatenbank führen. Nach Artikel 21 müssen Unternehmen Schwachstellen managen und offenlegen. Was das bedeutet, der CRA-Bezug und eine Vorlage.
NIS2 für Fertigungsunternehmen: Welche Hersteller betroffen sind (NACE C26 bis C30 und Medizinprodukte)
NIS2 erfasst Fertigungsunternehmen, die Medizinprodukte, IVD oder Erzeugnisse der NACE-Rev.-2-Abteilungen 26 bis 30 herstellen, ab 50 Beschäftigten oder Umsatz und Bilanz über 10 Mio. EUR. Die Abteilungen, Zulieferer der Automobilindustrie, Autohäuser, Status und Pflichten.
NIS2 im Finanzsektor: Wann DORA stattdessen gilt und welche Rolle CER spielt
Im Finanzsektor nennt NIS2 nur Banken, Handelsplätze und zentrale Gegenparteien; selbst dort ersetzt DORA die NIS2-Regeln zu Risiko und Meldung. Versicherer, Wertpapierfirmen, Zahlungsinstitute und Fondsverwalter: nur DORA. Wer was befolgt, DORA-Fristen und die Rolle von CER.
NIS2-Zertifizierung: Gibt es ein NIS2-Zertifikat, und was gilt als Nachweis?
Ein NIS2-Zertifikat für Unternehmen gibt es nicht. NIS2 erlaubt Behörden, zertifizierte IKT-Produkte vorzuschreiben (Artikel 24), fördert Normen wie ISO 27001 (Artikel 25) und sieht Audits vor (Artikel 32 und 33). Was es gibt, was vorgeschlagen ist und was ein Prüfer verlangt.
NIS2 für MSP und MSSP: Fallen Anbieter verwalteter Dienste unter NIS2, und was gilt?
Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste sind ein Sektor in Anhang I der NIS2. Ab mittlerer Größe sind Sie erfasst: mittlere Anbieter als wichtige, große als wesentliche Einrichtung. Was gilt, welches Land Sie beaufsichtigt, was Sie registrieren und melden.
DSGVO und NIS2: der Unterschied, die Überschneidungen und wie Sie einen Vorfall nach beiden Gesetzen behandeln
Die DSGVO schützt personenbezogene Daten, NIS2 die Systeme hinter wesentlichen und wichtigen Diensten. Ein Vorfall kann beides auslösen: NIS2-Frühwarnung binnen 24 Stunden, DSGVO-Meldung binnen 72 Stunden. Vergleichstabelle, Bußgelder, Praxisbeispiel und gemeinsames Playbook.
Was ist ein erheblicher Sicherheitsvorfall nach NIS2? Der rechtliche Maßstab, die Schwellenwerte für digitale Anbieter und wie Sie schnell entscheiden
Nach Artikel 23 Absatz 3 NIS2 ist ein Sicherheitsvorfall erheblich, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste für Sie oder erhebliche Schäden für andere verursacht oder verursachen kann. Maßstab, Entscheider, Schwellenwerte, Entscheidungsbaum, DSGVO.
NIS2 im Verkehrssektor: welche Betreiber in Luftverkehr, Schienenverkehr, Schifffahrt und Straßenverkehr erfasst sind und was gilt
NIS2 erfasst Verkehrsbetreiber eines Typs aus Anhang I ab mittlerer Größe: Airlines, Flughäfen, Flugverkehrskontrolle, Bahn, Schifffahrt, Häfen, VTS, Straßenverkehrsbehörden und IVS-Betreiber. Wer erfasst ist, wesentlich oder wichtig, und wie Part-IS, ISPS und CER passen.
Wer setzt NIS2 durch? Zuständige Behörden, CSIRTs und die EU-Stellen dahinter
NIS2 wird von nationalen zuständigen Behörden durchgesetzt; Meldungen gehen an ein nationales CSIRT oder die Behörde. Was jede nationale und EU-Stelle tut, mit welchen ein Unternehmen zu tun hat, wie Sie Ihre finden und was der Vorschlag von 2026 für die ENISA ändern würde.
Bußgelder und Strafen nach NIS2: wie hoch, wofür und was Behörden sonst noch tun können
Bei Verstößen gegen Art. 21 oder 23 muss das nationale Recht NIS2-Geldbußen mit einem Höchstbetrag von mindestens 10 Mio. EUR oder 2 % des Weltumsatzes (wesentliche) und 7 Mio. EUR oder 1,4 % (wichtige Einrichtungen) vorsehen. Auslöser, Konzernumsatz, DSGVO, Befugnisse, Haftung.
NIS2 im Gesundheitswesen: Welche Krankenhäuser, Kliniken, Labore und Pharmaunternehmen betroffen sind
NIS2 erfasst Gesundheitsdienstleister wie Krankenhäuser, Pharmaforschung und -herstellung sowie Medizinproduktehersteller ab 50 Beschäftigten oder mit Umsatz und Bilanzsumme jeweils über 10 Mio. EUR. Kliniken, Radiologie, Labore, Apotheken, Pharma, Status und Pflichten.
Gefahrenübergreifender Ansatz nach NIS2: Was er für die physische und umweltbezogene Sicherheit bedeutet
Artikel 21(2) NIS2 stützt die Maßnahmen auf einen gefahrenübergreifenden Ansatz, der Netz- und Informationssysteme und ihre physische Umwelt schützt. Gefahren aus den Erwägungsgründen, Regeln für digitale Anbieter, Bezug zur CER-Richtlinie, verhältnismäßige KMU-Basis.
NIS2 und digitale Infrastruktur: Was für Cloud-, Rechenzentrums-, DNS-, CDN- und IXP-Anbieter gilt
Anhang I NIS2 nennt neun Anbieterarten digitaler Infrastruktur. DNS-, TLD-, Vertrauensdienste- und Telekom-Anbieter sind größenunabhängig erfasst; bei Cloud, Rechenzentrum, CDN und IXP gilt das ab mittlerer Größe. Definitionen, Einstufung, Zuständigkeit, Schwellen, Checkliste.
Wesentliche und wichtige Einrichtungen nach NIS2: wie Sie eingestuft werden und was sich für Sie ändert
Große Einrichtungen aus Anhang I und einige benannte Kategorien sind wesentlich; andere erfasste Einrichtungen aus Anhang I und II sind wichtig. Für beide gelten dieselben Artikel 20, 21 und 23. Aufsicht, Durchsetzung und Bußgelder unterscheiden sich. Einstufung und Folgen.
NIS2 im Energiesektor: Welche Betreiber betroffen sind und was gilt (Strom, Gas, Öl, Wasserstoff, Fernwärme)
NIS2 gilt für Betreiber aus Strom, Fernwärme und -kälte, Öl, Gas und Wasserstoff, die unter Anhang I fallen und mindestens mittlere Unternehmen sind; große sind wesentlich. Anwendungsbereich je Teilsektor, Öl und Gas, Netzkodex Strom, CER-Richtlinie und OT in der Praxis.
NIS2-Meldepflicht: 24 Stunden, 72 Stunden, ein Monat und was in jede Meldung gehört
NIS2 gibt Ihnen ab Kenntnis eines erheblichen Sicherheitsvorfalls 24 Stunden für die Frühwarnung, 72 Stunden für die Meldung über den Sicherheitsvorfall und danach einen Monat für den Abschlussbericht. Inhalte, Empfänger, Kundeninformation und ein Zeitplan zum Kopieren.
Pflichten der Geschäftsleitung und des Vorstands nach NIS2: was Artikel 20 verlangt und wann Geschäftsleiter haftbar gemacht werden können
Nach Artikel 20 NIS2 billigt das Leitungsorgan die Maßnahmen nach Artikel 21, überwacht ihre Umsetzung und kann verantwortlich gemacht werden; seine Mitglieder müssen an Schulungen teilnehmen. Die Pflichten, Delegation, Haftung und eine Vorlage für den Vorstand.
NIS2 Artikel 21: Die 10 Risikomanagementmaßnahmen im Bereich der Cybersicherheit erklärt
Artikel 21 NIS2 verlangt geeignete und verhältnismäßige Maßnahmen gegen Cybersicherheitsrisiken auf Basis eines gefahrenübergreifenden Ansatzes und nennt zehn Mindestmaßnahmen. Was jede praktisch bedeutet, was verhältnismäßig heißt und welche Nachweise eine Behörde verlangt.
NIS1 vs. NIS2: die wichtigsten Unterschiede im direkten Vergleich
NIS2 löste NIS1 am 18. Oktober 2024 ab. Größte Änderung: der Anwendungsbereich. NIS1: von jedem Land bestimmte Betreiber in 7 Sektoren. NIS2: nach Größe in 18 Sektoren. Neu: zehn Mindestmaßnahmen, Leitungshaftung, 24-Stunden-Frist, Bußgeldobergrenzen. Die Vergleichstabelle.
NIS2-Anwendungsbereich: Gilt NIS2 für Ihr Unternehmen? Die Prüfung in vier Schritten
NIS2 gilt für Einrichtungen einer Art aus Anhang I oder II, die mindestens mittlere Unternehmen und in der EU tätig sind, und für eine kurze Liste größenunabhängig erfasster Einrichtungen. Vier Prüfschritte, eine Entscheidungstabelle, Größenregeln, Ausnahmen und Registrierung.
NIS2-Compliance: welche Anforderungen die Richtlinie stellt, wer betroffen ist und wo Sie anfangen
NIS2 gilt ab mittlerer Größe in 18 Sektoren. Die Anforderungen: Registrierung, Billigung und Schulung der Leitung, zehn Mindestmaßnahmen zur Sicherheit, Meldung von Vorfällen binnen 24 Stunden. Wer betroffen ist, jede Pflicht, Bußgelder, nationale Gesetze und ein 90-Tage-Plan.