Die NIS-2-Richtlinie ist von einem Gesprächsthema in Ausschüssen zu einer rechtlichen Pflicht geworden, die Tausende von Unternehmen betrifft. Wenn Ihre Organisation in einen der erfassten Sektoren fällt, geht es 2026 nicht mehr darum, sich vorzubereiten: Es geht darum nachzuweisen, dass Sie es sind. In diesem Artikel erkläre ich klar, was NIS 2 verlangt, wer betroffen ist, was sich gegenüber NIS 1 ändert, welche Meldefristen gelten, wie hoch die Sanktionen tatsächlich sind und wie sich die PECB-Zertifizierung Lead Implementer in Ihren Fahrplan einfügt.

Was NIS 2 ist und was sich gegenüber NIS 1 ändert

NIS 2 ist die Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union. Sie ersetzt die NIS-Richtlinie von 2016 und macht daraus etwas Ehrgeizigeres: Sie erweitert die erfassten Sektoren, hebt das Mindestniveau der technischen und organisatorischen Maßnahmen an, verschärft die Meldepflichten und legt vor allem die letzte Verantwortung auf das Leitungsorgan der Einrichtung.

Jeder Mitgliedstaat setzt NIS 2 in nationales Recht um und benennt eine zuständige nationale Behörde, gestützt auf CSIRTs für die Meldung von Vorfällen. In Deutschland beispielsweise setzt das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) die Richtlinie um; zuständige Behörde ist das Bundesamt für Sicherheit in der Informationstechnik (BSI).

Der zentrale Unterschied zu NIS 1: NIS 2 hebt die Unterscheidung zwischen „Betreibern wesentlicher Dienste“ und „Anbietern digitaler Dienste“ auf und ersetzt sie durch „wesentliche Einrichtungen“ und „wichtige Einrichtungen“, mit konkreteren Pflichten und höheren Sanktionen für beide Kategorien.

Für wen die Richtlinie gilt

Der Anwendungsbereich ist breit und kann überraschen, wenn Sie sich noch nie damit befasst haben. NIS 2 erfasst 18 Sektoren in zwei Kategorien:

Wesentliche Einrichtungen (hohe Auswirkung): Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, öffentliche Verwaltung und Weltraum.

Wichtige Einrichtungen (erhebliche Auswirkung): Post- und Kurierdienste, Abfallbewirtschaftung, Herstellung, Produktion und Vertrieb von Chemikalien, Produktion, Verarbeitung und Vertrieb von Lebensmitteln, Herstellung von Medizinprodukten, Computern und Elektronik, Fahrzeugen und sonstigen Transportmitteln, Anbieter digitaler Dienste und Forschungseinrichtungen.

Die Größenschwelle ist entscheidend: Im Allgemeinen gilt NIS 2 für mittlere und große Einrichtungen (mehr als 50 Beschäftigte oder mehr als 10 Millionen EUR Umsatz) in diesen Sektoren. Es gibt aber Ausnahmen: Bestimmte kritische Dienste sind unabhängig von ihrer Größe erfasst, einschließlich KMU, die wesentliche Dienste für andere Einrichtungen erbringen.

Die Maßnahmen nach Artikel 21

Artikel 21 von NIS 2 legt zehn Blöcke technischer, operativer und organisatorischer Maßnahmen fest, die jede erfasste Einrichtung umsetzen muss. Er ist das Rückgrat der Compliance. Das sind die zehn Blöcke, mit dem, was jeder in der Praxis bedeutet:

  1. Konzepte für die Risikoanalyse und die Sicherheit von Informationssystemen. Ein formaler Rahmen für das Risikomanagement, nichts Improvisiertes.
  2. Bewältigung von Sicherheitsvorfällen. Prozesse zum Erkennen, Reagieren und Wiederherstellen.
  3. Aufrechterhaltung des Betriebs. Verwaltung von Sicherungskopien, Wiederherstellung nach Katastrophen und Krisenmanagement.
  4. Sicherheit der Lieferkette. Wie Sie das Risiko Ihrer IKT-Lieferanten steuern.
  5. Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen. Einschließlich Behandlung und Offenlegung von Schwachstellen.
  6. Konzepte und Verfahren zur Bewertung der Wirksamkeit der Maßnahmen. Wie Sie messen, dass das Eingeführte tatsächlich funktioniert.
  7. Grundlegende Verfahren der Cyberhygiene und Schulungen. Wiederkehrende Sensibilisierung, nicht ein jährlicher Pflichtkurs.
  8. Konzepte und Verfahren für den Einsatz von Kryptografie. Und Verschlüsselung, wo sie relevant ist.
  9. Sicherheit des Personals. Zugriffskontrolle, Identitätsmanagement.
  10. Multi-Faktor-Authentifizierung und gesicherte Kommunikationslösungen.

Wenn Ihre Organisation bereits ein Informationssicherheits-Managementsystem nach ISO/IEC 27001 hat, beginnen Sie mit einem guten Teil des Weges bereits hinter sich. NIS 2 geht aber in einigen Punkten weiter, insbesondere beim Risikomanagement in der Lieferkette und bei der Verantwortung der Leitung.

Möchten Sie sich als NIS 2 Lead Implementer zertifizieren lassen?
Offizielle PECB-Schulung mit einem praktizierenden Berater, im Selbststudium oder mit Einzelbegleitung auf Englisch.

Zum Kurs →Mit Ricardo sprechen

Meldefristen für Vorfälle

Eine der anspruchsvollsten Änderungen von NIS 2 ist die Regelung zur Meldung erheblicher Sicherheitsvorfälle. Die Fristen sind kurz und lassen keinen Raum für Improvisation:

  • 24 Stunden: Frühwarnung an das zuständige CSIRT, wenn es Anzeichen dafür gibt, dass der Vorfall auf rechtswidrige Handlungen zurückgehen oder grenzüberschreitende Auswirkungen haben könnte.
  • 72 Stunden: förmliche Meldung des Vorfalls mit einer ersten Bewertung (Schweregrad, Auswirkungen, Kompromittierungsindikatoren).
  • 1 Monat: Abschlussbericht mit Ursachen, ergriffenen Maßnahmen und Folgen.

Diese Fristen sind nicht verhandelbar und setzen ausgereifte Prozesse für Erkennung und Einstufung voraus, die vor dem Vorfall bestehen müssen, nicht danach.

Sanktionen und Verantwortung der Leitung

Die Sanktionsregelung von NIS 2 ist bewusst abschreckend. Bei wesentlichen Einrichtungen können die Geldbußen 10 Millionen EUR oder 2 % des weltweiten Jahresumsatzes erreichen, je nachdem, welcher Betrag höher ist. Bei wichtigen Einrichtungen 7 Millionen EUR oder 1,4 % des Umsatzes.

Die wichtigste Neuerung ist aber nicht die Höhe: NIS 2 macht die Mitglieder des Leitungsorgans persönlich verantwortlich. Die Richtlinie verlangt, dass sie die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen zur Cybersicherheit teilnehmen. Bei einem nachgewiesenen schweren Verstoß können sie vorübergehend von Leitungsfunktionen ausgeschlossen werden.

Ein Fahrplan für den Einstieg

Wenn Ihre Organisation erfasst ist und noch keine Fortschritte gemacht hat, empfehle ich in den Projekten, an denen ich arbeite, Folgendes, in dieser Reihenfolge:

  1. Prüfung der Anwendbarkeit. Klären Sie, ob Ihre Einrichtung erfasst ist (Sektor + Größe) und in welcher Kategorie (wesentlich oder wichtig). Es gibt Feinheiten, und sie sind nicht offensichtlich.
  2. Lückenanalyse gegenüber Artikel 21. Zehn Maßnahmenblöcke: was Sie bereits haben und was fehlt. Wahrscheinlich haben Sie mehr, als Sie denken, vor allem wenn Sie mit ISO 27001 arbeiten.
  3. Rahmen für die Meldung von Vorfällen. Verfahren, Vorlagen und Übungen für die Fristen von 24 Stunden, 72 Stunden und 1 Monat.
  4. Verzeichnis der kritischen IKT-Lieferanten. Ohne eine klare Landkarte der Lieferanten ist die Säule Lieferkette nicht zu bewältigen.
  5. Förmliche Einbindung des Leitungsorgans. Billigung der Richtlinien, ein eigener Schulungsplan und dokumentarische Nachvollziehbarkeit seiner Beteiligung.
Der Unterschied zwischen den Organisationen, die NIS 2 ohne Zwischenfälle erfüllen werden, und denen, die mit Sanktionen rechnen müssen, wird nicht das Budget sein, sondern die Voraussicht. Wer 2026 in Ruhe beginnt, kommt ans Ziel; wer bei der ersten Prüfung beginnt, liegt bereits zurück.

Schulung und Zertifizierung

Wenn Sie den Schritt zur offiziellen PECB-Zertifizierung gehen möchten, ist der Kurs NIS 2 Lead Implementer der direkte Weg: offizielles PECB-Selbststudium, damit Sie in Ihrem eigenen Tempo vorankommen und sich auf die Zertifizierungsprüfung vorbereiten.