NIS-2-Richtlinie umsetzen

NIS-2 ist eine europäische Richtlinie zur Stärkung der Cybersicherheit. Ziel ist es, Risiken für Netz- und Informationssysteme systematisch zu reduzieren und die Widerstandsfähigkeit betroffener Organisationen gegenüber Sicherheitsvorfällen zu erhöhen. Dabei stehen risikobasierte Maßnahmen, klare Verantwortlichkeiten und Nachweisfähigkeit im Vordergrund.

Das Umsetzungsgesetz wurde am 06.12.2025 verabschiedet. Die Verpflichtungen auf Basis des BSIG als Umsetzung der NIS-2-Richtlinie der EU gelten ab Inkrafttreten des geänderten BSI-Gesetzes mit den dort genannten Fristen.

Betroffene Einrichtungen müssen sich innerhalb von drei Monaten nach Einstufung als wesentliche oder wichtige Einrichtung beim BSI registrieren. Die Registrierung ist gesetzlich vorgeschrieben.

Betroffene Einrichtungen müssen sich innerhalb von drei Monaten nach Einstufung als wesentliche oder wichtige Einrichtung beim BSI registrieren. Die Registrierung ist gesetzlich vorgeschrieben.

Die Prüfung der Betroffenheit ist nach Maßgabe der genannten Vorschrift durch die eventuell Betroffenen selbst durchzuführen, eine Mitteilung der Betroffenheit durch das BSI erfolgt nicht.

Das Umsetzungsgesetz sieht Bußgelder vor, die sich am weltweiten Jahresumsatz orientieren können. Darüber hinaus kann das BSI Maßnahmen anordnen, Fristen setzen und Nachweise verlangen. Unabhängig davon entstehen erhebliche wirtschaftliche Risiken, etwa durch Reputationsschäden oder Betriebsunterbrechungen. 

Es sind Bußgelder für Verstöße gegen die Meldepflichten im Sinne des NIS-2-Umsetzungsgesetzes möglich. 

Je nach Einrichtung sind Bußgelder bis zu 7 Mio bzw. 10 Mio Euro oder 1,4% bzw. 2% des Gesamtumsatzes der Einrichtung möglich. 

Das BSI als zuständige Aufsichtsbehörde überwacht die Einhaltung der Meldepflichten. Das BSI kann dazu u.a. Informationen anfordern, Prüfungen durchführen und Anordnungen erlassen. 

Die Anforderungen beziehen sich auf die NIS-2-relevanten Tätigkeiten und Systeme. In der Praxis sind jedoch auch unterstützende Prozesse, IT-Systeme und Dienstleister einzubeziehen, sofern sie die Sicherheit oder Verfügbarkeit dieser Tätigkeiten beeinflussen.

Ein etabliertes ISMS bietet eine solide Grundlage. NIS-2 stellt jedoch zusätzliche Anforderungen, insbesondere an Governance, Meldeprozesse, Lieferkettenrisiken und die Einbindung der Unternehmensleitung. Bestehende Systeme müssen daher gezielt überprüft und ergänzt werden.

Die Geschäftsleitung trägt die Verantwortung für die Einführung, Überwachung und Wirksamkeit der Sicherheitsmaßnahmen. Sie muss sicherstellen, dass Risiken angemessen behandelt, Maßnahmen überprüft und Entscheidungen dokumentiert werden. Die operative Umsetzung kann delegiert werden, die Verantwortung nicht.

Wir begleiten Organisationen entlang des gesamten Umsetzungsprozesses – von der Betroffenheitsanalyse über die IST‑Standaufnahme und Gap‑Analyse bis hin zur Konzeption und Einführung wirksamer technischer und organisatorischer Maßnahmen. Dabei werden bestehende Sicherheits‑ und Governance‑Strukturen gezielt weiterentwickelt.