NIS2

NIS2 (Network and Information Security 2) ist eine EU-Richtlinie aus dem Jahr 2022, die Mindeststandards für Cybersicherheit in der Europäischen Union festlegt. Sie löst die erste NIS-Richtlinie von 2016 ab und erweitert deren Anwendungsbereich deutlich: Betroffen sind jetzt 18 statt bisher 7 Sektoren, darunter Energie, Gesundheit, Verkehr, Finanzen, digitale Dienste, aber auch neu etwa Post- und Kurierdienste, Abfallwirtschaft und die Herstellung bestimmter Produkte.

Die Richtlinie gilt seit dem 17. Oktober 2024 und muss von den Mitgliedstaaten in nationales Recht umgesetzt werden. In Deutschland ist das seit dem 6. Dezember 2025 der Fall: Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (BGBl. 2025 I Nr. 301) trat am Tag nach der Verkündung in Kraft. Die Aufsicht liegt beim Bundesamt für Sicherheit in der Informationstechnik (BSI).

Fristen in Deutschland

Für Einrichtungen, die bei Inkrafttreten bereits als wichtige oder besonders wichtige Einrichtung galten, endete die gesetzliche Registrierungsfrist am 6. März 2026. Grundlage ist § 33 Abs. 1 des neuen BSIG: Die Angaben sind spätestens drei Monate, nachdem eine Einrichtung erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gilt, über das BSI-Portal zu übermitteln. Das BSI bezeichnet den 6. März 2026 als beendete Registrierungsfrist; auf der Themenseite steht die Frist als abgelaufen. Wer betroffen ist und noch nicht registriert hat, muss das nachholen – die Pflicht entfällt nicht mit dem Stichtag.

Eine allgemeine Übergangsfrist für die materiellen Pflichten sieht das Gesetz nach den BSI-FAQ nicht vor. Registrierung, Risikomanagement und Meldepflichten gelten grundsätzlich seit Inkrafttreten.

Relevanz für KMU

Der große Unterschied zur Vorgängerin: NIS2 erfasst Unternehmen nicht nur über den Sektor, sondern auch über die Unternehmensgröße. Grundsätzlich fallen Unternehmen mit mindestens 50 Beschäftigten oder einem Jahresumsatz von über 10 Millionen Euro in einem betroffenen Sektor unter die Anforderungen — damit sind viele mittelständische Betriebe erstmals direkt von einer Cybersecurity-Regulierung betroffen. Kleine und Kleinstunternehmen können in Ausnahmefällen ebenfalls erfasst werden, etwa wenn sie als kritisch eingestuft werden.

Die Kernpflichten umfassen:

• Registrierung: Betroffene Einrichtungen müssen sich im BSI-Portal registrieren, Zugang über ein ELSTER-Organisationszertifikat bei „Mein Unternehmenskonto“.
• Risikomanagement-Maßnahmen: Unternehmen müssen angemessene, verhältnismäßige Maßnahmen zum Umgang mit Cyberrisiken treffen — von der Zugriffskontrolle über Verschlüsselung bis zu Schulungen. Diese Anforderungen ähneln in der Logik den Technischen und organisatorischen Maßnahmen aus der DSGVO.
• Meldepflichten: Erhebliche Sicherheitsvorfälle müssen gemeldet werden — eine Frühwarnung innerhalb von 24 Stunden, eine detaillierte Meldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats.
• Management-Verantwortung: Die Geschäftsführung muss die Maßnahmen genehmigen, deren Umsetzung überwachen und kann bei Verstößen persönlich haftbar gemacht werden. Schulungspflichten für das Management sind explizit vorgesehen.
• Bußgelder: Bei Verstößen drohen je nach Einordnung als „besonders wichtige” oder „wichtige” Einrichtung Bußgelder von bis zu 10 Millionen Euro bzw. 2 % des weltweiten Jahresumsatzes (besonders wichtig) beziehungsweise 7 Millionen Euro bzw. 1,4 % (wichtig).

Typische Missverständnisse

„NIS2 betrifft nur Konzerne und Kritische Infrastrukturen.” Falsch. Durch die Größenkriterien ab 50 Mitarbeitenden sind viele Mittelständler in den 18 Sektoren direkt erfasst. Hinzu kommt: Nicht direkt betroffene KMU spüren NIS2 indirekt, weil Kunden aus regulierten Sektoren Sicherheitsnachweise von ihren Zulieferern und Dienstleistern verlangen (Lieferkettensicherheit).

„NIS2 ist in Deutschland noch nicht umgesetzt.” Überholt. NIS2 bleibt auf EU-Ebene eine Richtlinie. In Deutschland gilt das Umsetzungsgesetz seit dem 6. Dezember 2025; die Registrierungsfrist für bereits betroffene Einrichtungen endete am 6. März 2026.

„Die Registrierungsfrist ist vorbei, dann muss ich nichts mehr tun.” Falsch. Die Pflicht besteht weiter. Das BSI nimmt Registrierungen weiterhin entgegen. Die materiellen Pflichten (Risikomanagement, Meldepflichten) laufen unabhängig davon, ob die Registrierung schon erfolgt ist.

„Einmal umgesetzt, Thema erledigt.” NIS2 verlangt kontinuierliche Prozesse: regelmäßige Risikobewertungen, aktualisierte Maßnahmen und laufende Meldebereitschaft. Ein einmaliges Zertifikat oder Audit reicht nicht.

„Ein Backup ersetzt den IT-Notfallplan.” Falsch. Die dritte Maßnahme nach § 30 Abs. 2 BSIG verlangt die Aufrechterhaltung des Betriebs: Backup, Wiederherstellung und Krisenmanagement. Ein Backup ohne dokumentierte Wiederanlaufschritte, Zuständigkeiten und Übungen ist kein IT-Notfallplan.

NIS2-Checkliste nach § 30 BSIG

Wer eine NIS2-Checkliste abhakt, braucht die gesetzlichen Pflichtpunkte, keine Excel von Drittanbietern. Das BSI stellt eine NIS-2-Checkliste als Orientierungshilfe zur Selbstprüfung bereit; sie ist nicht rechtlich bindend. Die materiellen Maßnahmen stehen in § 30 BSIG: geeignet, verhältnismäßig, wirksam, dokumentiert.

Vor den technischen Maßnahmen

1. Betroffenheit klären: Gehört dein Unternehmen zu einem der 18 Sektoren und erreichst du die Größenschwellen? Das BSI stellt dazu eine Betroffenheitsprüfung bereit; das Ergebnis ist laut BSI-Checkliste nicht rechtlich bindend.
2. Verantwortlichkeiten festlegen: Wer steuert Informationssicherheit intern, wer vertritt die Einrichtung gegenüber dem BSI?
3. Registrierung im BSI-Portal: ELSTER-Organisationszertifikat bei „Mein Unternehmenskonto“ beantragen und die NIS-2-Registrierung abschließen, auch wenn der 6. März 2026 schon vorbei ist.
4. Meldeprozess definieren: Wer erkennt einen Vorfall, wer meldet innerhalb der Fristen an wen? Das BSI nennt dafür das Melde- und Informationsportal.
5. Geschäftsführung einbinden: Verantwortung festlegen, Schulung dokumentieren, Maßnahmen formell genehmigen lassen.

Die zehn Maßnahmen nach § 30 Abs. 2 BSIG

Das BSI fasst die Mindestmaßnahmen so:

1. Konzepte zur Risikoanalyse und zur Sicherheit in der Informationstechnik
2. Bewältigung von Sicherheitsvorfällen (Incident Response)
3. Aufrechterhaltung des Betriebs (Backup, Wiederherstellung, Krisenmanagement)
4. Sicherheit der Lieferkette, einschließlich unmittelbarer Anbieter und Diensteanbieter
5. Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen, inklusive Schwachstellenmanagement
6. Konzepte und Verfahren zur Bewertung der Wirksamkeit der Maßnahmen
7. Grundlegende Schulungen und Sensibilisierung
8. Konzepte und Prozesse für kryptographische Verfahren
9. Konzepte für Personalsicherheit, Zugriffskontrolle und Verwaltung von IKT-Systemen (Asset Management)
10. Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung sowie gesicherte Sprach-, Video- und Textkommunikation, gegebenenfalls Notfallkommunikation

Hake nur ab, was umgesetzt und belegt ist. § 30 Abs. 1 Satz 3 BSIG verlangt die Dokumentation; das BSI nennt als Nachweise unter anderem Richtlinien, Checklisten, Schulungen, Auditberichte und Zertifizierungen. Ein einmaliges Zertifikat ersetzt die laufende Pflicht nicht.

IT-Notfallplan nach BSI-Standard 200-4

Ein IT-Notfallplan beschreibt, wie du bei einem IT-Ausfall zeitkritische Prozesse aufrechterhältst oder in der vereinbarten Zeit wiederherstellst. Für NIS2-Einrichtungen ist das keine Kür: § 30 Abs. 2 BSIG verlangt als dritte Mindestmaßnahme die Aufrechterhaltung des Betriebs, ausdrücklich mit Backup, Wiederherstellung und Krisenmanagement. Das BSI führt dieselbe Maßnahme in seinem Maßnahmenkatalog.

Der BSI-Standard 200-4 ist die Methodik des BSI für Business Continuity Management. Er ist nicht der gesetzliche Pflichttext der NIS2-Umsetzung, sondern die Anleitung, mit der du die Betriebsaufrechterhaltung planen kannst. Im Standard heißt der IT-Anteil IT Service Continuity Management: Risiken für den IT-Betrieb früh erkennen und im IT-Notfall Systeme und Daten auf einem für den Geschäftsbetrieb ausreichenden Niveau halten oder rasch wiederherstellen.

Praktisch besteht ein IT-Notfallplan nicht aus einer einzelnen Datei. Der Standard bündelt die Bewältigung im Notfallhandbuch und verweist auf Geschäftsfortführungs-, Wiederanlauf- und Wiederherstellungspläne. Das BSI stellt dazu Dokumentvorlagen bereit. Ohne Übung bleibt der Plan Theorie: Funktionstests prüfen, ob die im Plan stehenden Schritte und Zeitvorgaben tatsächlich funktionieren.

Für die Datensicherung im Notfallplan gilt: Backup und Restore müssen zur Recovery Point Objective und Recovery Time Objective passen. Wie du das für Cloud-Postfächer konkret umsetzt, steht im Ratgeber zum Microsoft-365-Backup.