NIS-2-Richtlinie: Neue rechtliche Vorgaben für Unternehmen – Was Sie jetzt wissen und tun müssen

Wer ist betroffen? – Anwendungsbereich und Schwellenwerte

Die NIS-2-Pflichten treffen Unternehmen, die als „wesentliche“ oder „wichtige“ Einrichtungen gelten. Dies betrifft insbesondere Sektoren wie Energie, Transport, Gesundheit, digitale Infrastruktur und weitere. Maßgeblich sind in der Regel folgende Schwellenwerte: Mindestens 50 Beschäftigte und mindestens 10 Millionen Euro Jahresumsatz oder Bilanzsumme. Die Betroffenheit ist eigenverantwortlich und anhand der jeweiligen Tätigkeit, Größe und Struktur zu prüfen.

Wichtige Begriffe kurz erklärt

• Wesentliche und wichtige Einrichtungen: Unternehmen, die in bestimmten Sektoren tätig sind und bestimmte Größenkriterien erfüllen.
• Informationssicherheitsmanagementsystem (ISMS): Ein systematisches Konzept zur Sicherstellung der Informationssicherheit, oft nach ISO 27001 aufgebaut.
• Managed Service Provider (MSP): Unternehmen mit tatsächlichem Zugriff und technischer Verantwortung für IT-Systeme; reine Beratung und Support ohne Zugriff fällt nicht darunter.

Was sind die zentralen Pflichten?

1. Risikomanagement und technische Maßnahmen

Unternehmen müssen umfassende Risikoanalysen durchführen, Schwachstellen identifizieren und adäquate technische sowie organisatorische Maßnahmen implementieren. Diese Maßnahmen müssen den Stand der Technik berücksichtigen und auf den individuellen Risikoprofilen der Unternehmen basieren. Die fortlaufende Dokumentation und regelmäßige Überprüfung der Maßnahmen sind verpflichtend, hierzu gehört auch die Bewertung der Sicherheitsmaßnahmen von Lieferanten und Dienstleistern.

2. Incident Management und Meldepflichten

Ein zentrales Element ist der Incident Response Plan: Sicherheitsvorfälle, die erhebliche Auswirkungen haben, müssen innerhalb von 24 Stunden an die zuständige nationale Behörde gemeldet werden. Prüfen Sie fortlaufend, ob Ihr Unternehmen meldepflichtige Vorfälle registriert und das Vorgehen klar definiert ist.

3. Schulungen und Sensibilisierung

Die Geschäftsleitung muss regelmäßig an Schulungen teilnehmen; in der Regel mindestens alle drei Jahre, wobei diese Intervalle je nach Risikoexposition auch kürzer gestaltet werden sollten. Die gesetzlich geforderte Mindestdauer von vier Stunden kann aufgeteilt werden. Pflichtschulungen gelten nicht nur für Geschäftsführende, sondern auch für andere Personen mit Entscheidungsbefugnis im IT-Bereich. Die BSI-Handreichungen betonen die Bedeutung fortlaufender Sensibilisierung von Mitarbeitenden.

4. Verantwortung und Haftung der Geschäftsleitung

Die Geschäftsleitung trägt die strategische Gesamtverantwortung für die Einhaltung der Vorgaben. Die persönliche Haftung greift, wenn Schadensfälle auf Pflichtverletzungen zurückzuführen sind – dies kann zivilrechtliche Ansprüche nach sich ziehen oder, falls keine entsprechende Gesellschaftsregelung vorhanden ist, unmittelbar aus dem NIS-2-Gesetz.

5. Lieferkettensicherheit

Sicherheitsanforderungen für Lieferanten sind integraler Bestandteil der Compliance. Unternehmen müssen diese Anforderungen in Verträge integrieren und die Umsetzung regelmäßig überprüfen – auch Audits oder Anfragen zur Lieferkette sind gefordert. Zertifikate wie ISO 27001 sind hilfreich, ersetzen aber nicht die individuelle Risikobewertung und Kontrolle.

6. Registrierungspflicht beim BSI

Wesentliche und wichtige Einrichtungen sind verpflichtet, sich beim BSI über das zu Beginn des Jahres 2026 gestartete BSI-Portal zu registrieren. Für die Registrierung ist ein ELSTER-Organisationszertifikat erforderlich, dessen Ausstellung erfahrungsgemäß fünf bis zehn Werktage in Anspruch nimmt. Im Portal sind Angaben zu Unternehmensgröße, Rechtsform, NIS-2-Kontaktstelle, Sektor sowie der zuständigen Aufsichtsbehörde zu machen. Änderungen dieser Daten sind binnen zwei Wochen zu aktualisieren. Das Portal dient darüber hinaus als zentrale Plattform für die Meldung von Sicherheitsvorfällen.

Die ursprüngliche Registrierungsfrist endete am 6. März 2026. Unternehmen, die noch nicht registriert sind, sollten dies umgehend nachholen, um Bußgeldrisiken zu vermeiden.

Praktische Handlungsoptionen

• Prüfen Sie Ihre Betroffenheit anhand der Schwellenwerte und Einrichtungsdefinitionen.
• Implementieren Sie ein ISMS nach anerkanntem Standard (z. B. ISO 27001).
• Schulen Sie alle relevanten Führungskräfte und Mitarbeitenden regelmäßig.
• Dokumentieren Sie Sicherheitsmaßnahmen, Vorfälle und Schulungen.
• Machen Sie Cybersicherheit zum Bestandteil sämtlicher Verträge mit Dienstleistern und Lieferanten.
• Erstellen und testen Sie einen Incident Response Plan; beachten Sie die Meldepflicht.
• Überwachen Sie kontinuierlich die Umsetzung – z. B. durch interne Audits.
• Registrieren Sie Ihr Unternehmen zeitnah im BSI-Portal; beachten Sie den Vorlauf für das erforderliche ELSTER-Organisationszertifikat.

Risiken für Unternehmen bei Nichtbeachtung

Die Einhaltung der NIS-2-Pflichten wird durch die Bundesbehörde (BSI) kontrolliert. Verstöße können zu empfindlichen Bußgeldern (bis zu 7 bzw. 10 Millionen Euro oder 1,4% bzw. 2% des Gesamtumsatzes) führen. Darüber hinaus entstehen Haftungsrisiken für die Geschäftsleitung. Verstöße gegen Meldepflichten und mangelhafte Dokumentation können das Unternehmen und dessen Leitung erheblich schädigen.

Fazit und Handlungsempfehlung

Die NIS-2-Richtlinie setzt neue Standards für Cybersicherheit und verlangt von Unternehmen, strategische Verantwortung zu übernehmen und klare Prozesse zu etablieren. Ein striktes Risikomanagement, regelmäßige Schulungen, sorgfältige Lieferantenkontrolle und eine lückenlose Incident-Dokumentation sind unverzichtbar. Nutzen Sie die Vorgaben nicht nur als gesetzliche Pflicht, sondern als Chance, Ihr Unternehmen gegen Cyberrisiken zukunftssicher aufzustellen.

Sie haben Fragen zu NIS-2? Sprechen Sie uns an!

Sollten Sie im Hinblick auf diese vorstehende Ausführungen Fragen haben, melden Sie sich gerne bei unserem Rechtsanwalt Herrn Joachim Nellissen über unsere Mitarbeiterin Frau Bur per E Mail an bur@dhk-law.com oder unter der Telefonnummer 0241 946210 .