Die EU-Richtlinie NIS2 (Richtlinie (EU) 2022/2555) hebt die Anforderungen an die Cybersicherheit deutlich an, und sie betrifft weit mehr Unternehmen als die Vorgängerregelung. Viele Geschäftsführer im Mittelstand wissen nicht, dass ihr Unternehmen unter NIS2 fällt, bis es zu spät ist. Dieser Leitfaden erklärt kompakt und ohne Juristendeutsch: Wer betroffen ist, welche Pflichten gelten, welche Fristen laufen, welche Bußgelder drohen und wie Sie NIS2 mit überschaubarem Aufwand umsetzen.
Hinweis: Dieser Beitrag ist eine allgemeine Orientierung, keine Rechtsberatung. Ob und wie NIS2 Ihr Unternehmen konkret betrifft, klären wir gern in einem kostenlosen Erstgespräch.
Was ist NIS2, kurz erklärt
NIS2 ist die zweite EU-Richtlinie zur Netz- und Informationssicherheit. Sie löst die erste NIS-Richtlinie ab und verfolgt ein Ziel: ein einheitlich hohes Cybersicherheitsniveau in der EU. In Deutschland wird NIS2 über das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in nationales Recht überführt. Kern der Regelung: betroffene Unternehmen müssen angemessene technische und organisatorische Sicherheitsmaßnahmen ergreifen, Sicherheitsvorfälle melden, und die Geschäftsleitung wird persönlich in die Verantwortung genommen.
Ist mein Unternehmen von NIS2 betroffen?
NIS2 unterscheidet „wesentliche“ und „wichtige“ Einrichtungen. Als Faustregel gilt Betroffenheit, wenn beide Punkte zutreffen:
- Größe: mindestens 50 Mitarbeitende oder mehr als 10 Mio. € Jahresumsatz/Bilanzsumme (mittlere Unternehmen und größer).
- Sektor: Tätigkeit in einem der 18 von NIS2 erfassten Sektoren, darunter Energie, Gesundheit, Transport, Wasser, digitale Infrastruktur, IT-Dienstleister, verarbeitendes Gewerbe (u. a. Maschinenbau, Medizinprodukte, Elektronik), Lebensmittel, Chemie, Post- und Kurierdienste, Abfallwirtschaft, öffentliche Verwaltung.
Wichtig: Auch kleinere Unternehmen können erfasst sein, wenn sie kritische Dienste erbringen. Und selbst wenn Sie nicht direkt betroffen sind, geraten Sie über die Lieferkette unter Druck, denn betroffene Kunden müssen die Sicherheit ihrer Zulieferer prüfen.
Welche Pflichten bringt NIS2?
NIS2 fordert ein Risikomanagement mit mindestens diesen Maßnahmen:
- Risikoanalyse und Sicherheitskonzept für die Informationssysteme
- Vorfallmanagement (Erkennung, Reaktion, Behebung)
- Business Continuity: Backup-Management, Notfallwiederherstellung, Krisenmanagement
- Sicherheit der Lieferkette (Anforderungen an Dienstleister und Zulieferer)
- Sicherheit bei Beschaffung, Entwicklung und Wartung der IT
- Konzepte zur Bewertung der Wirksamkeit der Maßnahmen
- Cyberhygiene und Schulungen der Mitarbeitenden
- Kryptografie und Verschlüsselung
- Zugriffskontrolle, Asset-Management und Multi-Faktor-Authentifizierung (MFA)
Dazu kommen Meldepflichten bei erheblichen Sicherheitsvorfällen: eine Erstmeldung binnen 24 Stunden, eine detailliertere Meldung binnen 72 Stunden und ein Abschlussbericht innerhalb eines Monats an die zuständige Behörde (in Deutschland das BSI).
Geschäftsführerhaftung, das oft übersehene Detail
NIS2 nimmt ausdrücklich die Geschäftsleitung in die Pflicht: Sie muss die Risikomaßnahmen billigen und ihre Umsetzung überwachen und sich regelmäßig schulen lassen. Bei Verstößen haftet die Leitungsebene, das lässt sich nicht vollständig delegieren. Cybersicherheit ist damit endgültig Chefsache.
Welche Bußgelder drohen?
Die Sanktionen orientieren sich an der DSGVO-Logik:
- Wesentliche Einrichtungen: bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (der höhere Wert gilt).
- Wichtige Einrichtungen: bis zu 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes.
Hinzu kommen mögliche persönliche Konsequenzen für die Geschäftsleitung.
NIS2 umsetzen, in 6 Schritten
- Betroffenheit prüfen (Sektor + Größe + Lieferkette).
- Ist-Aufnahme der IT-Sicherheit: Was ist schon da, wo sind die Lücken?
- Risikoanalyse und Priorisierung der Maßnahmen.
- Maßnahmen umsetzen: MFA, Backup/Notfallplan, Zugriffskontrolle, Monitoring, Schulungen.
- Melde- und Notfallprozesse etablieren (24h/72h/1 Monat).
- Dokumentieren und regelmäßig überprüfen (Nachweispflicht).
Wie threesixty Sie bei NIS2 unterstützt
Als IT-Dienstleister aus der Region Koblenz begleiten wir mittelständische Unternehmen von der Betroffenheitsprüfung über die Ist-Analyse bis zur praktischen Umsetzung der technischen und organisatorischen Maßnahmen, inklusive Backup, MFA, Monitoring und Mitarbeiterschulung. Wir übersetzen die NIS2-Anforderungen in einen konkreten, bezahlbaren Fahrplan, und für viele Maßnahmen sind Fördermittel möglich.