Was ist NIS 2? - Einfache Erklärung der EU-Richtlinie

NIS 2 Definition: Was ist NIS 2?

NIS 2 (Network and Information Security Directive 2) ist die zweite EU-Richtlinie zur Netzwerk- und Informationssicherheit und stellt eine überarbeitete, verschärfte Nachfolgeversion der ersten NIS-Richtlinie von 2016 dar. Das EU-Parlament verabschiedete NIS 2 am 14. Dezember 2022, und die EU-Mitgliedstaaten sind verpflichtet, die Richtlinie bis Oktober 2024 in nationales Recht umzusetzen. In Deutschland wird die Umsetzung in Form des NIS 2-Umsetzungsgesetzes für Ende des Jahres 2025 bzw. Anfang 2026 erwartet. Diese EU-weite Regulierung legt gemeinsame Mindeststandards für die Cybersicherheit fest und definiert Kriterien, um Betreiber kritischer Dienstleistungen - sog. „wichtige“ und „besonders wichtige Einrichtungen“ - in verschiedenen Sektoren zu identifizieren.

Die Abkürzung steht für „Network and Information Security Directive 2“, also die zweite Richtlinie über die Sicherheit von Netz- und Informationssystemen der EU. Ihr Kernanliegen ist es, die Widerstandsfähigkeit (Resilienz) und Sicherheit kritischer Infrastrukturen und digitaler Dienste in Europa angesichts wachsender Cyber-Bedrohungen zu erhöhen.

In den letzten Jahren wurde die Verwundbarkeit kritischer Infrastrukturen zunehmend offensichtlich - beispielsweise durch Sabotageakte wie die Anschläge auf die Nord-Stream-Pipelines 2022 und Ausfälle von Bahnkommunikationsnetzen. Solche Ereignisse sowie die steigende Zahl staatlich unterstützter Cyberangriffe haben Politik und EU-Kommission alarmiert. NIS 2 wurde ins Leben gerufen, um aus diesen Erfahrungen Konsequenzen zu ziehen: Die Richtlinie soll sicherstellen, dass wesentliche Dienste und Infrastrukturen selbst im Falle von Cyberangriffen weiter funktionsfähig bleiben und katastrophale Folgen verhindert werden.

Die Bedeutung von NIS 2 für Unternehmen

Die Cybersicherheitsrichtlinie NIS 2 weitet sich der Kreis der betroffenen Unternehmen drastisch aus. Schätzungen gehen davon aus, dass in Deutschland rund 30.000 Unternehmen unter die Regelungen fallen werden - im Vergleich zu nur etwa 2.000 Unternehmen, die von NIS1 betroffen waren. Europaweit steigt die Anzahl der regulierten Firmen ebenfalls deutlich an. Nun unterliegen also längst nicht mehr nur klassische Betreiber kritischer Infrastrukturen wie Großkraftwerke oder Kliniken der Richtlinie, sondern auch viele mittelständische Betriebe in diversen Branchen. Das verdeutlicht sowohl die unternehmerische als auch die gesamtgesellschaftliche Bedeutung von NIS 2.

Ob Ihr Unternehmen unter die NIS 2-Richtlinie fällt, hängt im Wesentlichen von Branche und Größe ab. Die Richtlinie definiert insgesamt 18 Sektoren, die als kritisch oder wichtig eingestuft sind - dazu zählen unter anderem Energie, Verkehr, Gesundheitswesen, Trink- und Abwasser, Finanz- und Bankwesen, digitale Infrastruktur und öffentliche Verwaltung, aber auch Bereiche wie Abfallwirtschaft, Chemie- und Lebensmittelproduktion, Hersteller wichtiger Güter (z.B. Maschinenbau, Fahrzeugbau, Elektronik) sowie digitale Dienste (z.B. Online-Marktplätze, Cloud- und Suchmaschinen). Wenn ein Unternehmen in einem dieser Sektoren tätig ist und eine gewisse Größe überschreitet, gilt es künftig als „wesentliche“ oder „wichtige Einrichtung“ im Sinne der NIS 2. In diesem Kontext spricht man synonym auch von „wichtigen“ und „besonders wichtigen“ Einrichtungen.

Als Faustregel kann man sagen: Mittlere und große Unternehmen der genannten Sektoren sind erfasst, Kleinunternehmen meistens nicht.

Konkret greift NIS 2 in der Regel ab 50 Mitarbeitern oder 10 Mio. Euro Jahresumsatz und Bilanzsumme - Unternehmen, die diese Schwellen überschreiten, fallen je nach Sektor in den Geltungsbereich. (Ausnahmen gelten, wenn ein kleiner Betrieb eine Schlüsselrolle in einem kritischen Sektor spielt, etwa als alleiniger Spezial-Dienstleister; solche Unternehmen können trotz Unterschreitung der Grenzwerte erfasst sein.)

Wichtig: Es gibt keine automatische Benachrichtigung durch Behörden, hinsichtlich der Betroffenheit Ihres Unternehmens!

Die Verantwortung liegt bei der Geschäftsführung.

Anhand der Kriterien ist selbst zu prüfen, ob das eigene Unternehmen unter den Geltungsbereich von NIS 2 fällt. Die deutschen Behörden (BSI)  bieten dazu beispielsweise Online-Tools zur Betroffenheitsprüfung an. Zudem sollten Unternehmen, die in kritischen Branchen tätig sind, das Gespräch mit ihren IT-Sicherheitsberatern oder Branchenverbänden suchen, um Klarheit zu erlangen.

Auch indirekt kann NIS 2 Ihr Unternehmen beeinflussen, selbst wenn es nicht direkt als wesentlich oder wichtig eingestuft ist. Die Vorgaben der Richtlinie wirken sich nämlich auf die gesamte Lieferkette aus: Betreiber kritischer Einrichtungen werden verlangen (müssen), dass auch ihre Zulieferer und Dienstleister bestimmte Sicherheitsstandards einhalten. Mit anderen Worten: Wenn Ihr Unternehmen z.B. IT-Dienstleister, Zulieferer oder Auftragnehmer für einen NIS 2-regulierten Betrieb ist, werden Sie voraussichtlich ebenfalls höhere Anforderungen an Ihre IT-Sicherheit erfüllen müssen. Daher sollten sich auch nicht direkt betroffene Firmen mit dem Thema befassen, um wettbewerbsfähig zu bleiben.

Für Unternehmen, die neu unter NIS 2 fallen, bedeutet die Richtlinie eine erhebliche Ausweitung der IT-Sicherheits-Pflichten. Sie müssen künftig formale Risikomanagement-Maßnahmen einführen, Sicherheitsvorfälle an die Behörden melden und die Einhaltung all dieser Maßnahmen organisatorisch sicherstellen. Die Unternehmensleitung steht dabei besonders in der Pflicht: Geschäftsführende Organe müssen für die Umsetzung und Überwachung der Cybersicherheitsmaßnahmen sorgen und können bei Vernachlässigung persönlich zur Verantwortung gezogen werden.

Welche Auswirkungen hat NIS 2 konkret auf Unternehmen?

Erfasste Unternehmen müssen eine Reihe konkreter Sicherheitsmaßnahmen ergreifen und neue Prozesse etablieren. Die Richtlinie nennt dabei insbesondere Bereiche wie Risikomanagement, Lieferkettensicherheit und das Melden von Sicherheitsvorfällen als zentrale Handlungsfelder. Im Folgenden werden diese Aspekte näher erläutert: