NIS2 (NIS2UmsuCG)

NIS2 ist die EU-Richtlinie zur Netz- und Informationssicherheit; das deutsche NIS2UmsuCG gilt seit 6. Dezember 2025 und verpflichtet rund 29.500 Einrichtungen zu Risikomanagement und Meldungen.

NIS2 steht für die zweite EU-Richtlinie zur Netz- und Informationssicherheit (Richtlinie (EU) 2022/2555). Sie löst die erste NIS-Richtlinie von 2016 ab und weitet den Kreis der regulierten Unternehmen deutlich aus. In Deutschland setzt das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) die Richtlinie um. Es ist am 6. Dezember 2025 in Kraft getreten (BGBl. 2025 I Nr. 301) und hat das BSI-Gesetz (BSIG) grundlegend neu gefasst.

Betroffen sind rund 29.500 „besonders wichtige“ und „wichtige“ Einrichtungen in 18 Sektoren, darunter Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur, verarbeitendes Gewerbe, Lebensmittel und Chemie. Als Schwelle gelten in der Regel 50 Beschäftigte oder 10 Millionen Euro Jahresumsatz. Anders als die Vorgängerregelung erfasst NIS2 damit einen großen Teil des industriellen Mittelstands, der sich bisher nicht als reguliert verstanden hat.

Die wichtigsten Pflichten

• Registrierung beim BSI binnen drei Monaten nach Inkrafttreten; das BSI hat eine Nachfrist bis zum 31. Juli 2026 eingeräumt.
• Risikomanagement nach Stand der Technik: Risikoanalyse, Incident Handling, Business Continuity und Backup, Sicherheit der Lieferkette, sichere Entwicklung und Beschaffung, Schulungen, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung.
• Dreistufige Meldepflicht: Erstmeldung erheblicher Vorfälle binnen 24 Stunden, Folgemeldung binnen 72 Stunden, Abschlussbericht binnen eines Monats.
• Verantwortung der Geschäftsleitung: Sie muss die Maßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Verstöße können zu persönlicher Haftung führen.
• Wirksamkeitskontrolle: Die Maßnahmen müssen nachweislich funktionieren. Penetrationstests und Red Teaming gelten als anerkannte Verfahren, um diese Wirksamkeit zu belegen.

Bedeutung für Unternehmen

NIS2 verändert die Rolle der Geschäftsführung. Informationssicherheit lässt sich nicht mehr vollständig an die IT delegieren; die Leitung muss verstehen, welche Risiken bestehen und ob die beschlossenen Maßnahmen greifen. Genau an dieser Stelle setzen Sicherheitstests an. Ein ISMS auf dem Papier erfüllt die Dokumentationspflicht, beantwortet aber nicht die Frage, ob ein Angreifer tatsächlich aufgehalten wird.

Typische Fehler, die wir in Projekten sehen: Unternehmen prüfen zunächst monatelang, ob sie überhaupt betroffen sind, statt die ohnehin sinnvollen Grundmaßnahmen umzusetzen. Die Lieferkette wird vergessen, obwohl laut Verizon DBIR 2025 Drittparteien an 30 Prozent der Breaches beteiligt waren. Und die Meldekette wird nie geübt, sodass die 24-Stunden-Frist im Ernstfall an fehlenden Zuständigkeiten scheitert.

Praxis-Hinweise

1. Klären Sie die Betroffenheit anhand von Sektor und Unternehmensgröße und registrieren Sie sich beim BSI, falls noch nicht geschehen.
2. Richten Sie die Maßnahmen an einem etablierten Rahmen aus, etwa BSI IT-Grundschutz oder ISO 27001, statt eine eigene Liste zu erfinden.
3. Testen Sie die Wirksamkeit regelmäßig: jährlicher Pentest der exponierten Systeme, ergänzt um einen Assumed-Breach-Test, der zeigt, was nach dem ersten Klick auf eine Phishing-Mail passiert.
4. Üben Sie die Meldekette in einer Tabletop-Übung mit Geschäftsleitung, IT und Kommunikation.
5. Nehmen Sie Dienstleister in die Pflicht: vertragliche Sicherheitsanforderungen, Auditrechte und Meldewege.