Die digitale Transformation bringt nicht nur Chancen, sondern auch neue Sicherheitsrisiken mit sich. Mit der NIS-2-Richtlinie hat die Europäische Union einen umfassenden Rechtsrahmen geschaffen, um die Cybersicherheit in kritischen Sektoren deutlich zu erhöhen. Seit Dezember 2025 gelten in Deutschland neue, weitreichende Pflichten für rund 30.000 Unternehmen. In diesem Artikel erfahren Sie, was die NIS-2-Richtlinie bedeutet, welche Unternehmen betroffen sind und welche konkreten Schritte zur Umsetzung erforderlich sind.
Zusammenfassung in Kürze
- NIS-2-Richtlinie: EU-weite Cybersicherheitsverordnung – Richtlinie (EU) 2022/2555 vom 14. Dezember 2022
- Betroffene in Deutschland: Ca. 30.000 Unternehmen in 18 Sektoren (Energie, Gesundheit, Transport, Finanzen, digitale Dienste, etc.)
- Inkrafttreten BSIG: 6. Dezember 2025 – Registrierung beim BSI bis 6. März 2026 erforderlich
- Sanktionen: Bis zu 10 Millionen EUR oder 2% des weltweiten Umsatzes – persönliche Haftung der Geschäftsleitung
- Geschäftsleitungspflichten: Genehmigung der Maßnahmen, Überwachung und Schulung (alle 3 Jahre)
Was ist die NIS-2-Richtlinie?
Definition und Ziele
Die NIS-2-Richtlinie (Network and Information Security Directive 2) ist eine EU-Richtlinie (Directive (EU) 2022/2555) vom 14. Dezember 2022, die ein hohes gemeinsames Cybersicherheitsniveau in der Europäischen Union etablieren soll. NIS steht für „Network and Information Security" – also Netz- und Informationssicherheit.
Die Hauptziele der Richtlinie sind:
- Harmonisierung der Cybersicherheit in allen EU-Mitgliedstaaten
- Stärkung der digitalen Resilienz kritischer Infrastrukturen
- Erhöhung der Schutzmaßnahmen gegen Cyberangriffe
- Verankerung von Cybersicherheit als Führungsaufgabe
Mit der NIS-2-Richtlinie reagiert die EU auf die zunehmende Bedrohungslage im digitalen Raum. Cyberangriffe auf kritische Infrastrukturen, wie Energieversorger, Krankenhäuser oder Finanzinstitute, können erhebliche gesellschaftliche und wirtschaftliche Schäden verursachen.
Unterschiede zur ursprünglichen NIS-Richtlinie
Die NIS-2-Richtlinie erweitert und verschärft die ursprüngliche NIS-Richtlinie von 2016 erheblich:
Aspekt | NIS-1 (2016) | NIS-2 (2022) |
|---|---|---|
Betroffene Sektoren | 7 Sektoren | 18 Sektoren |
Betroffene Unternehmen (DE) | Ca. 4.500 | Ca. 30.000 |
Größenkriterien | Nur große Betreiber | Mittlere und große Unternehmen |
Meldepflichten | Einstufig | Dreistufig (24h/72h/1 Monat) |
Sanktionen | Moderat | Bis zu 10 Mio. EUR oder 2% des weltweiten Umsatzes |
Geschäftsleitungshaftung | Keine | Persönliche Haftung vorgesehen |
Die NIS-2-Richtlinie macht Cybersicherheit damit nicht mehr nur zur Aufgabe der IT-Abteilung, sondern zur direkten Verantwortung der Unternehmensführung.
Wer ist von der NIS-2-Richtlinie in Deutschland betroffen?
In Deutschland wurde die NIS-2-Richtlinie durch das NIS2-Umsetzungsgesetz in nationales Recht überführt. Das Kernstück der deutschen Umsetzung ist das neu gefasste BSI-Gesetz (BSIG), das am 6. Dezember 2025 in Kraft getreten ist.
Achtung
Unternehmen werden nicht automatisch vom BSI benachrichtigt. Die Betroffenheit muss selbst geprüft und dokumentiert werden!
Besonders wichtige Einrichtungen
Kriterien für die Einstufung:
- 250 oder mehr Mitarbeiter ODER
- Mehr als 50 Millionen EUR Umsatz UND mehr als 43 Millionen EUR Bilanzsumme
Diese Kategorie umfasst Großunternehmen in Sektoren hoher Kritikalität wie Energie, Gesundheit, Transport, Finanzwesen, Wasser und digitale Infrastruktur. Zusätzlich fallen bestimmte Akteure unabhängig von ihrer Größe in diese Kategorie, etwa Betreiber kritischer Anlagen (KRITIS), qualifizierte Vertrauensdiensteanbieter oder DNS-Dienste.
Wichtige Einrichtungen
Kriterien für die Einstufung:
- 50 oder mehr Mitarbeiter ODER
- Mehr als 10 Millionen EUR Umsatz UND mehr als 10 Millionen EUR Bilanzsumme
Diese Kategorie erfasst mittlere und große Unternehmen in allen Sektoren der besonders wichtigen Einrichtungen sowie zusätzliche Bereiche wie Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittelproduktion, verarbeitendes Gewerbe, digitale Dienste (Suchmaschinen, soziale Netzwerke, Online-Marktplätze) und Forschungseinrichtungen.
Die betroffenen Sektoren im Überblick
Die NIS-2-Richtlinie erfasst 18 Sektoren, darunter:
- Energie: Strom, Gas, Fernwärme, Wasserstoff
- Transport und Verkehr: Luft-, Schienen-, Schiffs- und Straßenverkehr
- Finanzwesen: Banken, Finanzmarktinfrastruktur
- Gesundheit: Krankenhäuser, Pharma, Medizinprodukte
- Digitale Infrastruktur: Cloud, Rechenzentren, Telekommunikation, DNS
- Wasser: Trinkwasser- und Abwasserversorgung
- Öffentliche Verwaltung
- Post und Kurierdienste
- Chemie und Lebensmittel
- Verarbeitendes Gewerbe: Maschinen-, Fahrzeug-, Elektronikbau
- Forschungseinrichtungen
Ein besonderer Fokus liegt auf digitalen Diensten und IT-Sicherheitsanbietern, da diese häufig als Dienstleister für andere kritische Einrichtungen fungieren und somit eine Schlüsselrolle in der Lieferkette spielen.
Die wichtigsten Anforderungen der NIS-2-Richtlinie
Risikomanagement und Sicherheitsmaßnahmen
Das Herzstück der NIS-2-Richtlinie ist die Verpflichtung zur Umsetzung geeigneter, wirksamer und verhältnismäßiger technischer und organisatorischer Maßnahmen. Unternehmen müssen ein systematisches Informationssicherheits-Managementsystem (ISMS) aufbauen, das mindestens folgende Bereiche abdeckt:
- Risikoanalyse und Sicherheit für Informationssysteme
- Incident Response: Bewältigung von Sicherheitsvorfällen
- Business Continuity: Backup-Management, Krisenmanagement, Wiederherstellung
- Lieferkettensicherheit: Auswahl und Kontrolle von Dienstleistern
- Schwachstellenmanagement und regelmäßige Sicherheitsupdates
- Bewertung der Effektivität von Cybersicherheitsmaßnahmen
- Schulungen und Sensibilisierung der Mitarbeiter
- Kryptographie und Verschlüsselung
- Zugriffskontrolle und Personalsicherheit
- Multi-Faktor-Authentisierung
- Sichere Kommunikation (Sprache, Video, Text)
- Notfallkommunikation
Gut zu wissen
Der Geltungsbereich dieser Maßnahmen ist sehr weitreichend. Er umfasst nicht nur kritische IT-Systeme, sondern alle IT-Systeme und Prozesse, die für die Erbringung von Diensten genutzt werden – einschließlich Büro-IT!
Besonderheiten für KRITIS-Betreiber
Betreiber kritischer Anlagen unterliegen strengeren Anforderungen:
- Höhere Maßstäbe bei der Auswahl von Sicherheitsmaßnahmen
- Verpflichtender Einsatz von Systemen zur Angriffserkennung (SzA)
- Regelmäßige Nachweise durch Audits, Prüfungen oder Zertifizierungen (alle 3 Jahre)
Meldepflichten bei Sicherheitsvorfällen
Ein zentraler Bestandteil der NIS-2-Richtlinie ist ein dreistufiges Meldeverfahren bei erheblichen Sicherheitsvorfällen an das Bundesamt für Sicherheit in der Informationstechnik (BSI):
- Erstmeldung – innerhalb von 24 Stunden: Nach Kenntniserlangung eines erheblichen Sicherheitsvorfalls muss unverzüglich eine erste Meldung erfolgen, die dem BSI eine schnelle Lageeinschätzung ermöglicht.
- Folgemeldung – innerhalb von 72 Stunden: Die Erstmeldung muss um detaillierte Informationen ergänzt werden: erste Ursachenanalyse, betroffene Systeme, Bewertung der Schwere und potenzielle Auswirkungen.
- Abschlussbericht – innerhalb von 1 Monat: Ein umfassender Bericht mit Maßnahmen zur Schadensbegrenzung, vertiefter Analyse des Vorfalls und abgeleiteten Präventionsmaßnahmen.
Wichtig
Diese Fristen sind sehr kurz. Unternehmen müssen interne Eskalationswege definieren, klare Verantwortlichkeiten festlegen und ein reibungsloses Zusammenspiel zwischen IT, Compliance, Rechtsabteilung und Unternehmenskommunikation sicherstellen.
Meldestelle:
Alle Meldungen erfolgen über das neue BSI-Portal, das seit dem 6. Januar 2026 verfügbar ist. Die Registrierung erfolgt über das System „Mein Unternehmenskonto" (MUK).
Verantwortung der Geschäftsleitung
Eine der deutlichsten Neuerungen der NIS-2-Richtlinie ist die direkte Verantwortung der Geschäftsleitung für Cybersicherheit. Nach §38 des deutschen BSI-Gesetzes müssen Geschäftsleitungen:
- Die erforderlichen Sicherheitsmaßnahmen genehmigen und aktiv überwachen
- Sich regelmäßig schulen lassen (mindestens alle 3 Jahre), um Cyberrisiken sachgerecht beurteilen zu können
- Ihre Entscheidungen dokumentieren
Wichtig
Die Geschäftsleitung haftet persönlich gegenüber dem Unternehmen bei schuldhafter Verletzung der Cybersicherheitspflichten. Diese Haftung ist nicht vollständig delegierbar.
Betroffen sind nicht nur Vorstände und Geschäftsführer, sondern auch CFOs, Komplementäre und andere Führungskräfte mit strategischer Entscheidungsbefugnis.
Diese Regelung hat weitreichende Konsequenzen:
- Geschäftsverteilungspläne und Ressortzuschnitte müssen überprüft werden
- Geschäftsführerverträge und Satzungen sollten angepasst werden
- D&O-Versicherungen müssen im Hinblick auf Cybersicherheit geprüft werden
Umsetzung der NIS-2-Richtlinie in Deutschland
Das BSI-Gesetz (BSIG) als Kernstück
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist die zentrale Aufsichtsbehörde für die Umsetzung der NIS-2-Richtlinie in Deutschland. Das neu gefasste BSI-Gesetz bildet die konkrete Rechtsgrundlage für Aufsicht, Meldewege, Prüfungen und Sanktionen.
Aufgaben des BSI im Kontext von NIS-2:
- Zentrale Meldestelle für Sicherheitsvorfälle
- Registrierungsstelle für betroffene Einrichtungen
- Durchführung von Stichproben und Prüfungen
- Erteilung von Anordnungen und Durchsetzung von Maßnahmen
- Verhängung von Bußgeldern
Das BSI arbeitet dabei eng mit anderen Behörden zusammen, etwa der Bundesnetzagentur (BNetzA) für Telekommunikation und Energie oder dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) für kritische Infrastrukturen.
Zeitplan und Fristen für Unternehmen
Es gibt keine generelle Übergangsfrist! Die Pflichten gelten grundsätzlich seit dem 6. Dezember 2025. Das BSI hat allerdings signalisiert, dass es nicht sofort mit flächendeckenden repressiven Maßnahmen beginnen wird. Erwartet wird jedoch ein nachweisbarer Umsetzungsfortschritt ab Inkrafttreten.
Zeitplan im Überblick:
Datum | Meilenstein |
|---|---|
6. Dezember 2025 | Inkrafttreten des NIS2-Umsetzungsgesetzes |
Bis Ende 2025 | Empfehlung: Einrichtung Mein Unternehmenskonto (MUK) |
6. Januar 2026 | Start BSI-Portal für Registrierung |
Bis 6. März 2026 | Registrierung beim BSI (3 Monate nach Inkrafttreten) |
Ab 2027/2028 | Erste Nachweise für KRITIS-Betreiber (3 Jahre nach Inkrafttreten) |
Registrierung beim BSI
Alle betroffenen Einrichtungen müssen sich innerhalb von 3 Monaten beim BSI registrieren. Der Registrierungsprozess ist zweistufig:
Schritt 1: Mein Unternehmenskonto (MUK) einrichten
- Basiert auf der bekannten ELSTER-Technologie (Zertifikatsdatei + Passwort)
- Dient als Authentifizierungsebene
- Empfohlen: Einrichtung bis Ende 2025
- Website: www.mein-unternehmenskonto.de
Schritt 2: Registrierung im BSI-Portal
- Verfügbar ab 6. Januar 2026
- Erforderliche Angaben: Name, Rechtsform, Kontaktdaten, IP-Adressbereiche, Sektor/Teilsektor, EU-Geschäftsaktivitäten
- Das Portal dient künftig auch als Meldestelle für Sicherheitsvorfälle
- Änderungen der registrierten Daten müssen jährlich aktualisiert werden, wesentliche Änderungen innerhalb von 2 Wochen.
Sanktionen bei Nichteinhaltung
Die NIS-2-Richtlinie sieht ein deutlich verschärftes Sanktionsregime vor. Die Bußgelder orientieren sich am weltweiten Konzernumsatz des vorangegangenen Geschäftsjahres:
Für besonders wichtige Einrichtungen
- Bis zu 10 Millionen EUR oder
- 2% des weltweiten Jahresumsatzes
- Es gilt der höhere Betrag
Für wichtige Einrichtungen
- Bis zu 7 Millionen EUR oder
- 1,4% des weltweiten Jahresumsatzes
- Es gilt der höhere Betrag
Haupttatbestände
- Cybersicherheitsmaßnahmen nicht oder nicht richtig umgesetzt
- Dokumentation der Maßnahmen fehlt
- Meldungen nicht oder nicht rechtzeitig übermittelt
- Unterrichtung von Kunden/Öffentlichkeit versäumt
- Registrierung beim BSI nicht erfolgt
Weitere Sanktionen
- Anordnungen des BSI zur Umsetzung von Maßnahmen
- Entzug von Genehmigungen
- Untersagung der Leitungsaufgaben für Geschäftsführung
- Vor-Ort-Kontrollen und Tiefenprüfungen
Wie Unternehmen die NIS-2-Konformität sicherstellen können
1. Betroffenheit prüfen
- Sektorzugehörigkeit anhand der Anlagen 1 und 2 des BSIG prüfen
- Größenkriterien bewerten (Mitarbeiter, Umsatz, Bilanzsumme)
- Einstufung dokumentieren: besonders wichtig / wichtig / nicht betroffen
2. Registrierung vorbereiten
- Mein Unternehmenskonto (MUK) einrichten
- Ab Januar 2026: Registrierung im BSI-Portal
- Alle erforderlichen Angaben zusammenstellen
3. Governance anpassen
- Geschäftsverteilungspläne überprüfen
- Verantwortlichkeiten für Cybersicherheit festlegen
- Berichtswege zur Geschäftsleitung einrichten
- D&O-Versicherungen prüfen
4. Risikoanalyse durchführen
- Bestandsaufnahme bestehender Sicherheitsmaßnahmen
- Gap-Analyse zu §30 BSIG-Anforderungen
- Bewertung der Lieferkette
5. ISMS aufbauen oder erweitern
- Umsetzung der 13 Mindestmaßnahmen nach §30 BSIG
- Dokumentation aller Maßnahmen und Entscheidungen
- Regelmäßige Wirksamkeitsbewertung
6. Meldewesen etablieren
- Incident-Response-Prozesse definieren
- Eskalationswege für 24h/72h/1 Monat festlegen
- Verantwortlichkeiten klären
7. Schulungen organisieren
- Geschäftsleitungsschulungen (alle 3 Jahre)
- Awareness-Schulungen für Mitarbeiter
- Dokumentation aller Schulungen
8. Lieferkette absichern
- Verträge mit Dienstleistern anpassen
- Sicherheitspflichten vereinbaren
- Regelmäßige Überprüfung durchführen
Gut zu wissen
Nutzen Sie bestehende Standards wie ISO 27001 als Ausgangspunkt. Beachten Sie jedoch, dass bestehende Zertifizierungen allein nicht ausreichen – der Geltungsbereich von NIS-2 ist meist breiter und die Anforderungen teils konkreter.
Die Rolle der elektronischen Signatur in der NIS-2-Compliance
Die sichere digitale Kommunikation und Dokumentation ist ein entscheidender Baustein der NIS-2-Compliance. Elektronische Signaturen spielen dabei eine Schlüsselrolle, insbesondere bei der Umsetzung mehrerer Anforderungen:
Wie elektronische Signaturen zur NIS-2-Konformität beitragen
Kryptographie und Verschlüsselung
Qualifizierte elektronische Signaturen (QES) wie die von Yousign nutzen hochsichere kryptographische Verfahren gemäß eIDAS-Verordnung. Alle sensiblen Dokumente werden mit modernsten Verschlüsselungsstandards geschützt.
Nachvollziehbare Dokumentation
Jede Signatur wird mit einem manipulationssicheren Dossier de preuve (Beweisdokument) versehen – essentiell für Compliance-Nachweise gegenüber dem BSI. Die lückenlose Audit-Trail erfüllt die Dokumentationspflichten der NIS-2-Richtlinie.
Multi-Faktor-Authentifizierung
Yousign integriert starke Authentifizierungsmethoden direkt in den Signaturprozess und erfüllt damit die MFA-Anforderungen der Richtlinie.
Lieferkettensicherheit
Verträge mit Dienstleistern werden rechtssicher, nachvollziehbar und DSGVO-konform abgeschlossen. Die elektronische Signatur gewährleistet Integrität und Authentizität bei allen Vertragsabschlüssen in der Lieferkette.
Yousign: Qualifizierter Vertrauensdiensteanbieter unter NIS-2
Als qualifizierter Vertrauensdiensteanbieter ist Yousign selbst von der NIS-2-Richtlinie betroffen und erfüllt höchste Sicherheitsstandards.
Unsere Lösungen bieten:
- eIDAS-Zertifizierung und volle Konformität mit EU-Verordnung 910/2014
- BSI-konforme Sicherheitsarchitektur mit regelmäßigen Audits
- DSGVO-Compliance mit Hosting in der EU und strengem Datenschutz
- 80% schnellere Signaturprozesse – Durchschnittliche Zeitersparnis bei unseren 15.000+ Kunden
Yousign ermöglicht Unternehmen, ihre Signaturprozesse zu digitalisieren, ohne Kompromisse bei Sicherheit oder Compliance einzugehen. Unsere Plattform unterstützt Sie aktiv bei der Erfüllung der NIS-2-Anforderungen im Bereich sichere Kommunikation und Dokumentenmanagement.
Sichern Sie Ihre NIS-2-Compliance mit Yousign
Qualifizierte elektronische Signaturen stärken Ihre Cybersicherheit und beschleunigen Prozesse.
Fazit
Die NIS-2-Richtlinie stellt einen Wendepunkt für die Cybersicherheit in Deutschland und Europa dar. Mit rund 30.000 betroffenen Unternehmen allein in Deutschland wird Cybersicherheit zur Pflichtaufgabe für weite Teile der Wirtschaft. Die direkte Verantwortung und persönliche Haftung der Geschäftsleitung unterstreichen die strategische Bedeutung des Themas.
Unternehmen sollten jetzt handeln: Betroffenheit prüfen, beim BSI registrieren, Sicherheitsmaßnahmen umsetzen und die Geschäftsleitung einbinden. Wer frühzeitig beginnt, vermeidet nicht nur Sanktionen, sondern positioniert sich auch als resilienter, vertrauenswürdiger Partner in einer zunehmend digitalisierten Welt.
Starten Sie jetzt mit Yousign
Erfüllen Sie die NIS-2-Anforderungen für sichere elektronische Signaturen und verschlüsselte Dokumentenprozesse.
FAQ zur NIS-2-Richtlinie
Was bedeutet NIS-2?
NIS-2 steht für „Network and Information Security Directive 2" – die zweite Richtlinie der EU zur Netz- und Informationssicherheit. Sie legt europaweit einheitliche Mindeststandards für Cybersicherheit in kritischen Sektoren fest und ersetzt die ursprüngliche NIS-Richtlinie von 2016.
Seit wann gilt die NIS-2-Richtlinie in Deutschland?
Das deutsche NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten. Die Pflichten gelten grundsätzlich ab diesem Datum, wobei für die Registrierung beim BSI eine Frist von 3 Monaten (bis 6. März 2026) besteht.
Welche Unternehmen sind von NIS-2 betroffen?
Betroffen sind mittlere und große Unternehmen (ab 50 bzw. 250 Mitarbeitern oder entsprechenden Umsatz-/Bilanzsummen) in 18 kritischen Sektoren wie Energie, Transport, Gesundheit, Finanzwesen, digitale Dienste, Lebensmittel, Chemie und viele weitere. In Deutschland sind ca. 30.000 Unternehmen betroffen.
Was passiert bei Nichteinhaltung und wo registriere ich mich?
Bei Verstößen drohen Bußgelder von bis zu 10 Millionen EUR oder 2% des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen (7 Millionen EUR bzw. 1,4% für wichtige Einrichtungen). Zusätzlich kann die Geschäftsleitung persönlich haften. Die Registrierung erfolgt beim Bundesamt für Sicherheit in der Informationstechnik (BSI) über das neue BSI-Portal. Voraussetzung ist zunächst die Einrichtung eines Unternehmenskontos über „Mein Unternehmenskonto" (MUK) mit ELSTER-Technologie.
Muss die Geschäftsleitung geschult werden?
Ja, die Geschäftsleitung muss sich regelmäßig (mindestens alle 3 Jahre) zu Cyberrisiken und deren Management schulen lassen. Die Schulungen müssen detailliert dokumentiert werden (Teilnehmer, Inhalte, Referenten, Dauer). Die Geschäftsleitung trägt die persönliche Verantwortung für die Genehmigung und Überwachung aller Cybersicherheitsmaßnahmen.
Welche Rolle spielt das BSI und kann ich ISO 27001-Zertifizierungen nutzen?
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist die zentrale Aufsichtsbehörde für NIS-2 in Deutschland. Es ist zuständig für Registrierung, Meldungen, Prüfungen und die Verhängung von Sanktionen. ISO 27001-Zertifizierungen sind ein guter Ausgangspunkt, reichen allein aber nicht aus. Der Geltungsbereich von NIS-2 ist meist breiter (alle geschäftlichen IT-Aktivitäten, nicht nur kritische Systeme) und die Anforderungen teils konkreter als typische ISO-Zertifikate.
