NIS2-Richtlinie: Was Unternehmen jetzt wissen müssen

Viele Unternehmen gehen davon aus, dass die NIS2-Richtlinie nur Betreiber kritischer Infrastrukturen betrifft. Doch seit dem 6. Dezember 2025 gilt das deutsche NIS2-Umsetzungsgesetz und erfasst deutlich mehr Unternehmen als bisher. Tausende mittelständische Unternehmen müssen strengere Anforderungen an ihre IT-Sicherheit erfüllen – häufig ohne es zu wissen.

Ob ein Unternehmen betroffen ist, hängt davon ab, ob das Unternehmen einer der gesetzlich erfassten Einrichtungsarten und Branchen zuzuordnen ist und bestimmte Größenkriterien erfüllt.

Was ist die NIS2-Richtlinie?

Die NIS2-Richtlinie (Network and Information Security Directive 2) ist eine EU-Richtlinie zur Stärkung der Cybersicherheit. Sie ersetzt die bisherige NIS-Richtlinie und erweitert sowohl den Kreis der betroffenen Unternehmen als auch deren gesetzliche Pflichten. Ziel ist es, Unternehmen besser gegen Cyberangriffe zu schützen und die Versorgung wichtiger Dienstleistungen sicherzustellen. Dabei geht es nicht nur um technische Schutzmaßnahmen, sondern um ein umfassendes Sicherheits- und Risikomanagement.

Kurzcheck: Könnte Ihr Unternehmen unter NIS2 fallen?

Eine genauere Prüfung ist insbesondere sinnvoll, wenn Ihr Unternehmen:

• mindestens 50 Mitarbeitende beschäftigt,
• bestimmte Schwellenwerte bei Jahresumsatz und Bilanzsumme überschreitet oder
• beispielsweise in den Bereichen Energie, Gesundheit, Transport und Logistik, Lebensmittel, Chemie, Produktion, digitale Infrastruktur oder IT-Dienstleistungen tätig ist.

Auch Unternehmen außerhalb dieser Beispiele können betroffen sein. Entscheidend sind die konkrete Tätigkeit, die Unternehmensgröße und die gesetzlichen Vorgaben. Für bestimmte Einrichtungsarten gelten zudem Sonderregelungen.

Welche Unternehmen sind von NIS2 betroffen?

Die NIS2-Richtlinie betrifft deutlich mehr Unternehmen als bisher. Neben Betreibern kritischer Infrastrukturen fallen künftig auch zahlreiche mittelständische Unternehmen unter die Regelungen. Dazu gehören unter anderem Unternehmen aus den Bereichen Energie, Gesundheitswesen, Transport und Logistik, Lebensmittelindustrie, Chemie, Maschinenbau, Digitale Infrastruktur, IT- und Cloud-Dienstleistungen und Öffentliche Verwaltung. 

Als Orientierung gilt: Unternehmen mit mehr als 50 Mitarbeitenden oder mehr als 10 Millionen Euro Jahresumsatz bzw. Bilanzsumme können betroffen sein. Ob die Richtlinie tatsächlich greift, hängt zusätzlich von der jeweiligen Branche und den gesetzlichen Vorgaben ab.

Wo können Unternehmen prüfen, ob sie von NIS2 betroffen sind?

Eine erste Anlaufstelle ist die NIS-2-Betroffenheitsprüfung des Bundesamts für Sicherheit in der Informationstechnik (BSI). Das Online-Tool führt Unternehmen anhand eines an der geltenden Gesetzgebung orientierten Fragenkatalogs durch die wichtigsten Kriterien und gibt eine erste Einschätzung, ob das Unternehmen unter die NIS2-Regulierung fällt. Die Prüfung ist rechtlich unverbindlich. Bestehen Zweifel – beispielsweise aufgrund komplexer Unternehmensstrukturen, unterschiedlicher Geschäftsbereiche oder verbundener Unternehmen – sollte die Betroffenheit zusätzlich rechtlich geprüft werden, etwa durch eine auf IT- und Cybersicherheitsrecht spezialisierte Kanzlei.

Wichtig: Unternehmen sind grundsätzlich selbst dafür verantwortlich zu prüfen, ob sie unter die gesetzlichen NIS2-Regelungen fallen. Ergibt die Prüfung, dass das Unternehmen als wichtige oder besonders wichtige Einrichtung eingestuft wird, folgen daraus unter anderem Pflichten zu Risikomanagement, Meldung von Sicherheitsvorfällen und Registrierung.

Welche Pflichten bringt die NIS2-Richtlinie mit sich?

Die NIS2-Richtlinie verpflichtet Unternehmen dazu, ihre Informationssicherheit systematisch zu organisieren und geeignete Sicherheitsmaßnahmen nachvollziehbar umzusetzen und zu dokumentieren. Dazu gehören unter anderem:

• Risiken für IT-Systeme und Geschäftsprozesse analysieren und bewerten, beispielsweise durch die Identifikation möglicher Cyberbedrohungen, Schwachstellen und potenzieller Auswirkungen auf den Geschäftsbetrieb. 
• Geeignete technische und organisatorische Schutzmaßnahmen umsetzen, etwa Zugriffskonzepte, Multi-Faktor-Authentifizierung, Datensicherungen oder Netzwerksicherheit. 
• Sicherheitsvorfälle erkennen, bewerten und fristgerecht melden. 
• Notfall- und Wiederherstellungspläne erstellen, um den Betrieb nach einem Cyberangriff schnell wieder aufnehmen zu können. 
• Risiken in der Lieferkette berücksichtigen, indem IT-Dienstleister und andere wichtige Partner hinsichtlich ihrer Sicherheitsstandards bewertet werden. 
• Mitarbeitende regelmäßig schulen, damit Phishing, Social Engineering und andere Angriffsversuche frühzeitig erkannt werden. 
• Alle Sicherheitsmaßnahmen nachvollziehbar dokumentieren, um die Einhaltung der gesetzlichen Anforderungen nachweisen zu können.

Neu ist außerdem die stärkere Verantwortung der Geschäftsleitung. Sie muss die Umsetzung überwachen und trägt eine persönliche Mitverantwortung für die Einhaltung der gesetzlichen Anforderungen.

Was passiert, wenn Unternehmen NIS2 nicht umsetzen?

Wer unter die NIS2-Regelungen fällt, sollte die Anforderungen nicht aufschieben. Unternehmen müssen unter anderem geeignete Risikomanagementmaßnahmen umsetzen, Sicherheitsvorfälle melden und die Einhaltung ihrer Maßnahmen dokumentieren. Wer diesen Pflichten nicht ausreichend nachkommt, muss mit aufsichtsrechtlichen Maßnahmen und erheblichen Bußgeldern rechnen. Auch die Geschäftsleitung steht stärker in der Verantwortung: Sie muss die Umsetzung der erforderlichen Sicherheitsmaßnahmen überwachen. 

Unternehmen sollten deshalb zunächst klären, ob sie von NIS2 betroffen sind, anschließend bestehende Sicherheitsmaßnahmen prüfen und mögliche Lücken bei Risikoanalyse, Verantwortlichkeiten, Dokumentation und Dienstleistern identifizieren. Wer jetzt handelt, erfüllt damit nicht nur gesetzliche Anforderungen. Ein strukturiertes Sicherheitsmanagement reduziert zugleich das Risiko von Cyberangriffen, Betriebsunterbrechungen und Datenverlusten und erhöht die Widerstandsfähigkeit des gesamten Unternehmens.