NIS-2-Richtlinie - gesetzliche Anforderungen zur IT-Sicherheit
Mit dem Inkrafttreten des neuen BSI-Gesetzes am 6. Dezember 2025 wurde die europäische NIS-2-Richtlinie in deutsches Recht umgesetzt. Ziel ist es, die Cybersicherheit deutlich zu stärken, insbesondere bei Unternehmen mit hoher Bedeutung für Wirtschaft, Versorgung und Gesellschaft. Betroffene Unternehmen müssen sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren. Die Registrierungsfrist läuft bis spätestens 31. Juli 2026.
Das BSI geht davon aus, dass ein erheblicher Teil der betroffenen Unternehmen noch nicht registriert ist. Handeln Sie jetzt, denn die Frist endet am 31. Juli 2026.
Das Wichtigste in Kürze
- Das neue BSI-Gesetz gilt seit dem 6. Dezember 2025.
- Die NIS-2 Richtlinie gilt für bestimmte Unternehmen mit mindestens 50 Mitarbeitern und 10 Mio. Euro Umsatz in 18 festgelegten Sektoren.
- Die Registrierungspflicht beim BSI muss bis spätestens 31. Juli 2026 erfüllt sein.
- Prüfen Sie Ihre Betroffenheit mit der BSI-Betroffenheitsprüfung und dokumentieren Sie das Ergebnis, egal ob betroffen oder nicht.
- NIS-2 Konformität kann mit einem Informationssicherheitsmanagementsystems (ISMS) erreicht werden. Viele NIS-2-Anforderungen sind aus der DIN EN ISO/IEC 27001 bekannt.
- Hier finden Sie eine kurze Videozusammenfassung (2 Minuten)
NIS-2-Richtlinie im Überblick
NIS-2-Richtlinie im Überblick
Die NIS-2-Richtlinie zielt darauf ab, die Sicherheitsstandards für Netz- und Informationssysteme in der EU zu harmonisieren und zu verbessern. Sie legt fest, dass Unternehmen in bestimmten Sektoren strenge Sicherheitsanforderungen erfüllen müssen, um ihre Netzwerke und Systeme vor Cyber-Bedrohungen zu schützen.
Betroffene Sektoren:
- Energieversorgung: Strom-, Gas- und Ölversorgung
- Transportwesen: Schienen-, Straßen-, Luft- und Seeverkehr
- Banken und Finanzmärkte: Banken, Zahlungsdienstleister und Finanzmarktinfrastrukturen
- Gesundheitswesen: Krankenhäuser und andere medizinische Einrichtungen
- Wasserversorgung: Trinkwasserversorger und Abwasserentsorgung
- Digitale Infrastrukturen: Cloud-Dienste, Online-Marktplätze und Suchmaschinen
Unternehmen dieser Sektoren sind dazu verpflichtet, umfassende Sicherheitsmaßnahmen zu implementieren, um den Schutz vor Cyberangriffen zu gewährleisten.
Inkrafttreten des Gesetzes
Mit der Verkündung vom 05.12.2025 des Gesetzes zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung tritt ab 06.12.2025 eine umfassende Modernisierung des Cybersicherheitsrechts in Kraft.
Betroffenheit von Unternehmen
Die NIS2-Richtlinie betrifft in Deutschland schätzungsweise rund 30.000 Organisationen und Einrichtungen. Diese werden in folgende Sektoren unterteilt:
| Betroffenheitsgrad | Unternehmensgröße | Sektoren |
| Besonders wichtige Einrichtungen |
|
|
| Wichtige Einrichtungen |
|
|
Unternehmen müssen selbständig ihre Betroffenheit hinsichtlich der NIS-2-Richtlinie ermitteln. Hierzu stellt das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine Betroffenheitsprüfung zur Verfügung, die folgende Schritte beinhaltet:
Was sollten Sie jetzt konkret tun?
Handlungsempfehlungen für Unternehmen
1. Betroffenheit prüfen und dokumentieren
Starten Sie mit einer NIS-2-Betroffenheitsprüfung (oder FitNIS2-Navigator), um festzustellen, ob Ihr Unternehmen von den NIS2-Richtlinien betroffen ist. Diese Einschätzung ist entscheidend, um die nächsten Schritte gezielt und effizient zu planen.
Wichtig: Dokumentieren Sie Ihre Einschätzung – sowohl bei Betroffenheit als auch bei Nicht-Betroffenheit. Diese Dokumentation dient als Nachweis gegenüber dem BSI. Ziehen Sie bei Unsicherheit rechtliche Beratung hinzu.
2. Teilnahme an NIS-2-Veranstaltungen
Teilnahme an NIS-2-Veranstaltungen: Informieren Sie sich durch die Teilnahme an NIS-2-Veranstaltungen: Das BSI informiert über NIS-2 in verschiedenen kostenlosen Webinaren. Schauen Sie auch regelmäßig vorbei: Das Angebot wird fortlaufend aktualisiert und angepasst.
3. Registrierung im BSI-Portal starten
Zwei-Stufen-Prozess: Die Registrierung im BSI-Portal ist nicht identisch mit der NIS-2-Registrierung. Sie öffnet zunächst nur den Zugang zum Portal (z. B. für die Allianz für Cybersicherheit). Die eigentliche NIS-2-Registrierung kann dort anschließend vorgenommen werden.
- Registrierung über das Unternehmenskonto (MUK) mit ELSTER-Zertifikat (Steuernummer der juristischen Person und Kontaktdaten eines Ansprechpartners erforderlich).
- Nach dem Absenden erhalten Sie per Briefpost einen Aktivierungscode. Achtung: dieser wird an die ELSTER-Kontaktadresse (Buchhaltung, Personalabteilung etc.) geschickt, nicht an den Ansprechpartner.
- Nach Eingabe des Codes erhält der Ansprechpartner per E-Mail das für künftige Logins benötigte Zertifikat.
- Jede juristische Person muss sich separat registrieren.
3. Interne Verantwortlichkeiten klären
- Wer ist zuständig für die Registrierung im BSI-Portal und die interne Vergabe von Berechtigungen?
- Der Ansprechpartner der erstmaligen Registrierung ist automatisch Verwalter für alle nachfolgenden Registrierungen.
- Wie werden ELSTER-Zertifikate und zugehörige Passwörter sicher verwahrt? Empfehlung: Passwort-Safe nutzen.
4. Überprüfung Ihrer Cybersicherheit mit einem IT-Sicherheitscheck
Weitere Informationen und Anmeldung: CyberSicherheitsCheck für KMU.
5. Pflichten für Unternehmen umsetzen
- Risikomanagementmaßnahmen (§§ 30, 31): z. B. Kryptografie, Verschlüsselung, Multi-Faktor-Authentifizierung
- Meldepflichten (§ 32): Erhebliche Sicherheitsvorfälle müssen dem BSI gemeldet werden.
- Unterrichtungspflichten (§ 35)
- Billigungs-, Überwachungs- und Schulungspflicht für Geschäftsleiter (§ 38):BSI-Hinweise zur NIS-2-Geschäftsleitungsschulung
6. Umsetzung der Maßnahmen
Vieles von dem, was die NIS2 fordert, ist bereits aus der DIN ISO/IEC 27001, dem global anerkannten Standard für Informationssicherheit, bekannt. Ein ISMS nach ISO 27001 bietet eine starke Sicherheitsstruktur für Unternehmen, Betriebe und Organisationen. Die vielschichtige und komplexe Natur dieser Systeme berücksichtigt sowohl technische als auch menschliche Sicherheitsaspekte und kann den entscheidenden Unterschied bei Cyberangriffen ausmachen. Auf Basis der Ergebnisse des Assessments sollten konkrete Maßnahmen ergriffen werden:
- Technologische Konzepte: Implementieren Sie technische Sicherheitsmaßnahmen wie die Einführung einer Zero-Trust-Architektur und die Etablierung von Kryptografie-Standards.
- Prävention, Detektion und Reaktion: Implementieren Sie ein leistungsfähiges Security Incident Management System, um die kontinuierliche Überwachung, Analyse und schnelle Reaktion auf IT-Sicherheitsvorfälle sicherzustellen. ISO-zertifizierte Managed Security Services (MSS) bieten eine zuverlässige und kosteneffiziente Möglichkeit, sicherheitsrelevante Prozesse zum Schutz vor Cyber-Bedrohungen teilweise oder vollständig auszulagern.
- Faktor Mensch und Sicherheitskultur: Stärken Sie die Sicherheitskultur in Ihrem Unternehmen durch regelmäßige Schulungen und Awareness-Programme für Ihre Mitarbeiter.
Rechtsfolgen
Erfüllt ein Unternehmen die neuen Anforderungen nicht, drohen nicht nur dem Unternehmen selbst, sondern auch den Geschäftsverantwortlichen empfindliche Strafen. Die NIS 2-Richtlinie sieht Bußgelder von bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes vor - je nachdem, welcher Betrag höher ist.
Fazit
Die NIS-2-Richtlinie stellt eine erhebliche Herausforderung für Unternehmen dar, bietet aber gleichzeitig die Möglichkeit, die eigene Cyberresilienz zu stärken und sich besser gegen die zunehmenden Bedrohungen im digitalen Raum zu wappnen. Unternehmen sollten die neuen Anforderungen ernst nehmen und umgehend damit beginnen, ihre internen Strukturen anzupassen, um Strafen zu vermeiden und die Sicherheit ihrer Netzwerke und Informationssysteme zu gewährleisten. Durch die Umsetzung der NIS-2-Richtlinie können Unternehmen nicht nur die Einhaltung gesetzlicher Vorschriften sicherstellen, sondern auch ihr Vertrauen bei Kunden und Partnern stärken.
Ihre IHK unterstützt Sie
Senden Sie uns Ihre Fragen – wir leiten sie anonym und gebündelt an das BSI weiter.
Die IHK sammelt Praxisfragen aus Unternehmen, bündelt diese und leitet sie anonymisiert an das BSI weiter. Das BSI hat zugesagt, die offenen Punkte gesammelt im Rahmen seiner FAQ zu beantworten.
Beispiele für bisher gestellte Fragen: Wie sieht eine Austrittsmöglichkeit aus, wenn man sich vorsorglich registriert hat und nach Prüfung feststellt, dass man doch nicht der NIS-2-Regulierung unterliegt? Welchen konkreten Mehrwert bietet eine Registrierung im BSI-Portal?
Informieren Sie sich!
Außerdem informieren wir zu allen Themen rund um NIS-2. Als Einstieg empfehlen wir die DIHK-Webinare zur NIS-2-Umsetzung.
Sie suchen Unterstützung bei der Umsetzung von NIS-2?
In der IHK-Datenbank finden Sie qualifizierte IT-Sicherheitsdienstleister aus der Region. Die gelisteten Unternehmen verfügen über ausgewiesene Expertise und unterstützen Sie praxisnah bei der Analyse, Umsetzung und Absicherung Ihrer IT-Strukturen.
+49 3681 362-661
+49 3681 362-203