NIS2 verständlich erklärt: Anforderungen an Cybersicherheit und Unternehmensverantwortung

Cyberangriffe, IT-Ausfälle und Sicherheitsvorfälle gehören inzwischen zu den größten Risiken für Unternehmen, öffentliche Einrichtungen und kritische Dienstleistungen. Mit der NIS2-Richtlinie (EU) 2022/2555 möchte die Europäische Union das Sicherheitsniveau in Europa deutlich erhöhen und Unternehmen stärker dazu verpflichten, ihre IT- und Informationssicherheit systematisch zu organisieren.

In Deutschland ist die NIS2-Richtlinie durch das NIS-2-Umsetzungsgesetz umgesetzt, das am 6. Dezember 2025 in Kraft getreten ist (BGBl. 2025 I Nr. 301). Die Pflichten ergeben sich seitdem aus dem BSIG: Risikomanagementmaßnahmen (§ 30), Meldung erheblicher Sicherheitsvorfälle (§ 32), Registrierung beim BSI (§ 33) und Verantwortung der Geschäftsleitung (§ 38).

NIS2 betrifft nicht nur klassische Betreiber kritischer Infrastrukturen. Auch viele weitere Unternehmen aus Bereichen wie Energie, Gesundheit, Transport, digitale Dienste, Lebensmittel, Maschinenbau, Entsorgung oder IT-Dienstleistungen können unter die Anforderungen fallen; von der öffentlichen Verwaltung erfasst das BSIG nur die Bundesverwaltung. Entscheidend sind die Art der Tätigkeit (Anlagen 1 und 2 zum BSIG) und die Unternehmensgröße: in der Regel ab 50 Beschäftigten oder mehr als 10 Mio. Euro Jahresumsatz und Jahresbilanzsumme. Einige Einrichtungen, etwa Betreiber kritischer Anlagen, sind unabhängig von ihrer Größe erfasst. Betroffene Einrichtungen müssen sich innerhalb von drei Monaten beim BSI registrieren. Eine erste Einschätzung bietet die Betroffenheitsprüfung des BSI: https://betroffenheitspruefung-nis-2.bsi.de/

Im Kern verlangt NIS2, dass betroffene Organisationen ihre Cyberrisiken kennen, geeignete Schutzmaßnahmen umsetzen und Sicherheitsvorfälle rechtzeitig erkennen, bewerten und melden können. Erhebliche Sicherheitsvorfälle sind dem BSI gestuft zu melden: frühe Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung spätestens einen Monat danach. Zu den Maßnahmen gehören beispielsweise klare Verantwortlichkeiten, Risikomanagement, Notfallkonzepte, Zugriffsschutz, Backup-Strategien, Lieferantensicherheit, Schulungen und eine nachvollziehbare Dokumentation.

Besonders wichtig ist: Cybersicherheit wird durch NIS2 stärker zur Leitungsaufgabe. Geschäftsführungen und Vorstände müssen die Risikomanagementmaßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen (§ 38 BSIG). Diese Verantwortung können sie nicht vollständig an die IT-Abteilung auslagern. Für Unternehmen bedeutet das, dass Informationssicherheit nicht mehr nur technisch, sondern organisatorisch, rechtlich und strategisch betrachtet werden muss.

NIS2 sollte daher nicht nur als Pflicht verstanden werden, sondern als Chance: Unternehmen, die ihre Informationssicherheit frühzeitig systematisch aufbauen, reduzieren Risiken, verbessern ihre Reaktionsfähigkeit bei Vorfällen und schaffen Vertrauen bei Kunden, Partnern und Aufsichtsstellen.

Hinweis: In MGMSYS lassen sich NIS2-Anforderungen, Verantwortlichkeiten, Maßnahmen und Nachweise für Audits oder interne Prüfungen in einem Modul dokumentieren und nachverfolgen.