NIS-2 verpflichtet Unternehmen in kritischen Sektoren zu konkreten Cybersicherheitsmaßnahmen und Meldepflichten. In Deutschland sind rund 29.500 Unternehmen betroffen.
NIS-2 steht für die zweite EU-Richtlinie zur Netz- und Informationssicherheit (Network and Information Security). In Deutschland wurde sie durch das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in nationales Recht überführt, das am 6. Dezember 2025 in Kraft getreten ist.
Das Ziel ist klar: Die Cyberresilienz (Widerstandsfähigkeit eines Unternehmens gegenüber Cyberangriffen und digitalen Störungen) kritischer und wichtiger Einrichtungen in der EU soll auf ein einheitliches, hohes Niveau gebracht werden. Die Vorgängerrichtlinie NIS-1 von 2016 hatte nur eine Handvoll Branchen erfasst. NIS-2 erweitert den Kreis erheblich.
Besonders wichtige Einrichtungen sind Unternehmen mit mindestens 250 Mitarbeitern oder mindestens 50 Millionen Euro Jahresumsatz, die in einem der erfassten Sektoren tätig sind.
Wichtige Einrichtungen sind Unternehmen mit mindestens 50 Mitarbeitern oder mindestens 10 Millionen Euro Jahresumsatz in den erfassten Sektoren. Hier gilt eine ODER-Verknüpfung: Es reicht, einen der beiden Schwellenwerte zu überschreiten.
Zu den erfassten Sektoren zählen unter anderem Energie, Transport, Finanzwesen, Gesundheit, digitale Infrastruktur, IT-Dienstleistungen, öffentliche Verwaltung sowie Produktion kritischer Güter. Auch Zulieferer und Dienstleister können indirekt betroffen sein, wenn ihre Auftraggeber unter NIS-2 fallen und Anforderungen an ihre Lieferkette stellen.
In Deutschland sind rund 29.500 Unternehmen direkt betroffen. Die Registrierungsfrist beim BSI (Bundesamt für Sicherheit in der Informationstechnik) endete am 6. März 2026. Ob dein Unternehmen betroffen ist, kannst du mit unserem NIS-2-Betroffenheitscheck in wenigen Minuten klären.
{{nis2-betroffenheitscheck="/system/components"}}
NIS-2 stellt Anforderungen in zwei Bereichen: technische und organisatorische Sicherheitsmaßnahmen sowie Meldepflichten bei Sicherheitsvorfällen.
Betroffene Unternehmen müssen ihre Informationsrisiken systematisch analysieren und ein Sicherheitskonzept entwickeln. Kein einmaliges Dokument, sondern ein laufender Prozess.
Das Gesetz fordert konkrete Maßnahmen: Zugriffskontrollen, Verschlüsselung, Multi-Faktor-Authentifizierung (MFA – ein Anmeldeverfahren, das mindestens zwei unabhängige Nachweise der Identität verlangt), Schwachstellenmanagement und sichere Konfiguration von Systemen.
Unternehmen müssen sicherstellen, dass kritische Geschäftsprozesse auch im Störfall weitergeführt werden können. Das umfasst Notfallpläne, Backup-Konzepte und Wiederanlaufprozesse.
Betroffene Unternehmen sind verpflichtet, Sicherheitsanforderungen auch an ihre Dienstleister und Zulieferer weiterzugeben und deren Umsetzung zu überprüfen.
Bei erheblichen Sicherheitsvorfällen gelten gestaffelte Meldepflichten gegenüber dem BSI: eine erste Meldung innerhalb von 24 Stunden, eine detaillierte Folgemeldung innerhalb von 72 Stunden und ein abschließender Bericht innerhalb eines Monats.
NIS-2 macht Leitungsorgane persönlich verantwortlich für die Umsetzung der Anforderungen. Geschäftsführer und Vorstände können nicht mehr auf die IT-Abteilung verweisen. Sie müssen Cybersicherheitsschulungen absolvieren und die Umsetzung aktiv steuern.
{{guide-nis2-magazin="/system/components"}}
Für besonders wichtige Einrichtungen drohen Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent des Umsatzes.
Hinzu kommt die persönliche Haftung der Geschäftsleitung. Im Unterschied zur DSGVO ist bei NIS-2 explizit vorgesehen, dass Leitungsorgane für Verstöße persönlich zur Verantwortung gezogen werden können.
Digimojo begleitet dich durch den gesamten NIS-2-Prozess: vom Betroffenheitscheck über die Gap-Analyse (Bestandsaufnahme der Lücken zwischen aktuellem Stand und den Anforderungen) bis zur vollständigen Umsetzung der geforderten Maßnahmen.
Unser NIS-2-Starter-Guide für KMU gibt dir einen strukturierten Einstieg in die wichtigsten Anforderungen. Für die laufende Umsetzung und Dokumentation steht dir DigimojoCOMPLY zur Seite: Risikoanalyse, Maßnahmenverfolgung und Nachweisdokumentation an einem Ort, dauerhaft auditbereit.
Schreib uns kurz, worum es geht. Wir melden uns innerhalb von 24 Stunden mit konkreten nächsten Schritten.
