Was regelt NIS2?
NIS2 ist die Kurzbezeichnung der Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union. Sie ersetzt die Richtlinie (EU) 2016/1148.
Als Richtlinie wirkt NIS2 erst über nationales Recht. Die Umsetzungsfrist endete am 17. Oktober 2024. In Deutschland gilt das BSI-Gesetz (BSIG) in der Fassung des NIS-2-Umsetzungsgesetzes, in Kraft seit dem 6. Dezember 2025.
Das BSI rechnet mit rund 29.500 beaufsichtigten Einrichtungen, nach etwa 4.500 zuvor. Den Weg von der Betroffenheit zur Umsetzung beschreibt der NIS2-Leitfaden.
Für wen gilt NIS2?
Das BSIG unterscheidet nach § 28 BSIG drei Gruppen:
| Kategorie nach BSIG | Sektoren | Größenkriterium |
|---|---|---|
| Betreiber kritischer Anlagen | Anlagen oberhalb der Schwellenwerte der BSI-Kritisverordnung | unabhängig von der Unternehmensgröße |
| Besonders wichtige Einrichtungen | Anlage 1 | mindestens 250 Mitarbeiter oder ein Jahresumsatz über 50 Mio. Euro und zugleich eine Jahresbilanzsumme über 43 Mio. Euro (§ 28 Abs. 1 Nr. 4) |
| Wichtige Einrichtungen | Anlage 1 und Anlage 2 | mindestens 50 Mitarbeiter oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. Euro (§ 28 Abs. 2 Nr. 3) |
Unabhängig von der Größe zählen außerdem qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries und DNS-Diensteanbieter zu den besonders wichtigen Einrichtungen. Was umgangssprachlich kritische Infrastruktur heißt, erfasst das BSIG über die kritische Anlage nach § 2 Nr. 22 BSIG.
Die Richtlinie spricht von wesentlichen und wichtigen Einrichtungen; „wesentlich“ heißt im BSIG „besonders wichtig“. Auch die Sektorenzahlen meinen dasselbe von zwei Seiten: Anhang I und II der Richtlinie ergeben 18 Sektoren, Anlage 1 und 2 BSIG je sieben. Maßgeblich für die Zuordnung sind in Deutschland die Einrichtungsarten der Anlagen.
Wie prüfen Sie, ob Ihr Unternehmen betroffen ist?
Die Prüfung folgt drei Fragen:
- Übt das Unternehmen eine Tätigkeit aus, die einer Einrichtungsart der Anlage 1 oder 2 entspricht? Tätigkeiten, die für die gesamte Geschäftstätigkeit vernachlässigbar sind, dürfen unberücksichtigt bleiben (§ 28 Abs. 3).
- Welche Mitarbeiterzahl, welchen Jahresumsatz und welche Jahresbilanzsumme hat es nach der Empfehlung 2003/361/EG? Daten von Partner- oder verbundenen Unternehmen werden nicht hinzugerechnet, wenn das Unternehmen bei Beschaffenheit und Betrieb seiner IT-Systeme von ihnen unabhängig ist (§ 28 Abs. 4).
- Greift eine Sonderregel: Betrieb einer kritischen Anlage, Vertrauens- oder DNS-Dienste, oder eine Ausnahme für Telekommunikation, Energie oder Finanzunternehmen (§ 28 Abs. 5 und 6)?
Beispiel (fiktiv): Ein Maschinenbauer hat 180 Beschäftigte, 38 Mio. Euro Jahresumsatz und 30 Mio. Euro Jahresbilanzsumme. Maschinenbau steht in Anlage 2 Nr. 5.4. Mit mindestens 50 Beschäftigten ist das Unternehmen wichtige Einrichtung. Besonders wichtig würde es auch mit 300 Beschäftigten nicht, weil seine Tätigkeit nur in Anlage 2 steht.
Gehört es zu einem Konzern mit 2.000 Beschäftigten, betreibt seine IT aber unabhängig, zählen nur die eigenen Zahlen. Die Zahlen sind frei gewählt.
Halten Sie das Ergebnis mit Datum, Datenbasis und Begründung fest. Ein Unternehmen, das als Einrichtung gilt, muss sich nach § 33 Abs. 1 BSIG spätestens drei Monate danach beim BSI registrieren.
Welche Pflichten löst NIS2 aus?
| Pflicht | Fundstelle | Kern |
|---|---|---|
| Registrierung | § 33 BSIG | spätestens drei Monate nach Eintritt in die Kategorie; Änderungen binnen zwei Wochen (§ 33 Abs. 5) |
| Risikomanagementmaßnahmen | § 30 Abs. 2 Satz 2 BSIG | zehn Nummern, darunter Lieferkette, Kryptografie und Multi-Faktor-Authentifizierung; das Gesetz sagt „zumindest“, der Katalog ist ein Mindestbestand |
| Meldung erheblicher Sicherheitsvorfälle | § 32 BSIG | gestuftes Verfahren, siehe unten |
| Pflichten der Geschäftsleitung | § 38 BSIG | Maßnahmen umsetzen, die Umsetzung überwachen, regelmäßig an Schulungen teilnehmen |
Eine Schulungspflicht für die Belegschaft steht in § 30 Abs. 2 Satz 2 Nr. 7, nicht in § 38. Nach § 28 Abs. 5 BSIG gelten unter anderem §§ 30, 32 und 38 grundsätzlich nicht für Betreiber öffentlicher Telekommunikationsnetze und -dienste sowie bestimmter Energieanlagen. § 28 Abs. 6 nimmt Finanzunternehmen nach DORA unter anderem von §§ 30, 32 und 38 aus; für sie gelten die Pflichten für Finanzunternehmen nach DORA.
Welche Meldefristen gelten?
Maßgeblich ist § 32 BSIG, dessen Bezeichnungen von denen der Richtlinie abweichen: Wer „Frühwarnung“ schreibt, zitiert Artikel 23 der Richtlinie, nicht das BSIG.
| Stufe nach § 32 Abs. 1 BSIG | Frist | Inhalt |
|---|---|---|
| frühe Erstmeldung (Nr. 1) | 24 Stunden ab Kenntniserlangung | Verdacht auf rechtswidrige oder böswillige Handlung, grenzüberschreitende Auswirkungen |
| Meldung (Nr. 2) | 72 Stunden ab Kenntniserlangung | erste Bewertung mit Schweregrad und Auswirkungen, gegebenenfalls Kompromittierungsindikatoren |
| Zwischenmeldung (Nr. 3) | nur auf Ersuchen des BSI | Statusaktualisierungen |
| Abschlussmeldung (Nr. 4) | ein Monat nach der Meldung nach Nr. 2 | ausführliche Beschreibung, Ursache, Abhilfemaßnahmen |
Die 72 Stunden laufen ab Kenntniserlangung, der Monat ab der Meldung nach Nr. 2. Adressat ist eine gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe. Dauert der Vorfall bei Fälligkeit der Abschlussmeldung noch an, tritt nach § 32 Abs. 2 eine Fortschrittsmeldung an ihre Stelle.
Wie unterscheidet sich die Aufsicht?
Besonders wichtige Einrichtungen kann das BSI ohne Anlass prüfen lassen (§ 61 BSIG). Bei wichtigen Einrichtungen kann es die Einhaltung nach § 62 BSIG erst prüfen, wenn Tatsachen die Annahme rechtfertigen, dass Pflichten nicht richtig umgesetzt werden. Gemeint sind § 30 Abs. 1 Satz 1, § 32 Abs. 1 bis 3 und § 38 Abs. 3. Die Pflichten aus §§ 30, 32, 33 und 38 gelten für beide Gruppen.
NIS2 in Rizzqo
NIS2 wird in Rizzqo unterstützt. Die Anforderungen hängen an den Systemen, für die sie gelten, etwa dem VPN-Zugang oder dem E-Mail-Dienst. Die richtige Person beantwortet jede Anforderung und lädt Nachweise hoch, und Sie sehen, welche Anforderungen erfüllt und welche noch offen sind.