NIS2 — Network and Information Security Directive
Der vollständige Leitfaden zur EU-Richtlinie für Netz- und Informationssicherheit. Betrifft über 160.000 Unternehmen in der EU.
📋 Inhaltsverzeichnis
- 1. Was ist NIS2?
- 2. NIS1 vs. NIS2 — was hat sich geändert?
- 3. Wer ist von NIS2 betroffen?
- 4. Die 18 betroffenen Sektoren
- 5. Sonderfälle: Rechenzentren & PV-Anlagen — Schwellenwerte
- 6. Pflichten für Unternehmen
- 7. Lieferkettensicherheit unter NIS2
- 8. Geschäftsführerhaftung
- 9. Bußgelder und Sanktionen
- 10. Umsetzung in Deutschland und Österreich
- 11. NIS2 und Lieferantenmonitoring
- 12. Häufig gestellte Fragen
1. Was ist NIS2?
Die NIS2-Richtlinie (Richtlinie (EU) 2022/2555) ist die Nachfolgerin der ersten NIS-Richtlinie von 2016 und stellt den umfassendsten Rechtsrahmen für Cybersicherheit dar, den die Europäische Union je verabschiedet hat. Sie wurde am 14. Dezember 2022 im EU-Amtsblatt veröffentlicht und musste bis zum 17. Oktober 2024 in nationales Recht umgesetzt werden.
NIS2 erweitert den Anwendungsbereich drastisch: Statt der geschätzten 15.000 Unternehmen unter NIS1 sind nun über 160.000 Unternehmen in der EU betroffen. Die Richtlinie führt strengere Sicherheitsanforderungen ein, harmonisiert die Durchsetzung und etabliert erstmals eine persönliche Haftung der Geschäftsführung für Cybersicherheitsmängel.
Das Ziel von NIS2 ist klar: ein einheitliches, hohes Cybersicherheitsniveau in der gesamten EU zu schaffen — und zwar nicht nur bei den Unternehmen selbst, sondern entlang ihrer gesamten Lieferkette. Die Richtlinie erkennt an, dass die Vernetzung der europäischen Wirtschaft bedeutet, dass die Cybersicherheit eines jeden Unternehmens von der Sicherheit seiner Partner und Dienstleister abhängt.
2. NIS1 vs. NIS2 — was hat sich geändert?
| Kriterium | NIS1 (2016) | NIS2 (2022) |
|---|---|---|
| Betroffene Unternehmen | ~15.000 | ~160.000+ |
| Sektoren | 7 Sektoren | 18 Sektoren |
| Größenkriterium | Individuell durch Mitgliedstaaten | Standardisiert: ≥50 MA oder ≥10 Mio. € Umsatz |
| Geschäftsführerhaftung | Nein | Ja, persönliche Haftung |
| Bußgelder | Nicht harmonisiert | Bis 10 Mio. € oder 2% Umsatz |
| Lieferkettensicherheit | Nicht explizit gefordert | Explizite Pflicht (Artikel 21) |
| Meldepflicht | 72 Stunden | 24h Frühwarnung + 72h Bericht |
| Durchsetzung | Fragmentiert | Harmonisiert mit Peer Reviews |
| Klassifizierung | Betreiber wesentl. Dienste / Digitale Dienste | Wesentliche / Wichtige Einrichtungen |
3. Wer ist von NIS2 betroffen?
NIS2 unterscheidet zwischen wesentlichen Einrichtungen (essential entities) und wichtigen Einrichtungen (important entities). Die Einstufung bestimmt die Aufsichtsintensität und die Höhe möglicher Bußgelder.
Wesentliche Einrichtungen
Großunternehmen (≥250 MA oder ≥50 Mio. € Umsatz) in Sektoren hoher Kritikalität
- Proaktive Aufsicht (auch ohne Vorfall)
- Vor-Ort-Prüfungen und Audits
- Bußgelder bis 10 Mio. € oder 2% des Umsatzes
- Regelmäßige Sicherheitsaudits
Wichtige Einrichtungen
Mittlere Unternehmen (≥50 MA oder ≥10 Mio. € Umsatz) in allen 18 Sektoren
- Reaktive Aufsicht (nach Vorfall/Hinweis)
- Anlassbezogene Prüfungen
- Bußgelder bis 7 Mio. € oder 1,4% des Umsatzes
- Stichprobenartige Überprüfungen
Ausnahme vom Größenkriterium: Bestimmte Einrichtungen fallen unabhängig von ihrer Größe unter NIS2 — darunter Anbieter von DNS-Diensten, TLD-Registrare, Anbieter öffentlicher elektronischer Kommunikationsnetze und Einrichtungen, deren Ausfall systemische Auswirkungen hätte.
4. Die 18 betroffenen Sektoren
Sektoren hoher Kritikalität (Anhang I)
Strom, Fernwärme, Öl, Gas, Wasserstoff
Luft, Schiene, Wasser, Straße
Kreditinstitute
Handelsplätze, CCPs
Krankenhäuser, Labore, Pharma, Medizinprodukte
Wasserversorgung
Abwasserentsorgung
IXPs, DNS, TLD, Cloud, Rechenzentren, CDNs, TSPs
MSPs, MSSPs
Zentral- und Regionalregierungen
Bodeninfrastruktur für Weltraumdienste
Sonstige kritische Sektoren (Anhang II)
Postdienstleister
Abfallentsorgung und Recycling
Herstellung, Produktion, Vertrieb
Produktion, Verarbeitung, Vertrieb
Medizinprodukte, IT, Elektronik, Optik, Maschinen, Kfz, Anhänger
Marktplätze, Suchmaschinen, Soziale Netzwerke
Forschungseinrichtungen
Sonderfälle: Rechenzentren & Photovoltaik-Anlagen — ab welchen Schwellen NIS2 greift
In der Praxis tauchen zwei Themen besonders häufig in Lieferanten-Audits auf, weil die Schwellenwerte oft missverstanden werden: Rechenzentrumsbetrieb (digitale Infrastruktur, Anhang I) und Photovoltaik-Anlagen (Energie/Strom, Anhang I). Beide fallen unter „Sektoren hoher Kritikalität" — entscheidend ist aber, ab welcher Größe ein Betreiber wirklich in den NIS2-Anwendungsbereich rutscht.
Rechenzentrumsbetrieb (Data Center Services)
NIS2 (Anhang I, Ziffer 8) erfasst „Anbieter von Rechenzentrumsdiensten" als digitale Infrastruktur — also kommerzielle Colocation-, Hosting- und Cloud-Rechenzentren, die Dienste für Dritte erbringen. Reine Inhouse-Rechenzentren, die ausschließlich den eigenen Betrieb stützen, gelten nach Erwägungsgrund 35 grundsätzlich nicht als „Rechenzentrumsdienste" — sie können aber über den Hauptsektor des Unternehmens (z. B. Energie, Bank, Gesundheit) trotzdem unter NIS2 fallen.
Schwellenwerte (Größenkriterium nach Art. 2 NIS2):
- • Wesentliche Einrichtung: ≥ 250 Mitarbeiter oder ≥ 50 Mio. € Jahresumsatz und ≥ 43 Mio. € Bilanzsumme
- • Wichtige Einrichtung: ≥ 50 Mitarbeiter oder ≥ 10 Mio. € Jahresumsatz und ≥ 10 Mio. € Bilanzsumme
- • Unter 50 MA / 10 Mio. €: grundsätzlich nicht NIS2-pflichtig — außer bei systemischer Bedeutung (z. B. einziger regionaler Anbieter, kritische Kunden in Energie/Verwaltung)
Häufige Kommentare aus der Praxis: „Wir sind nur ein kleiner Hoster mit 20 Racks" — entscheidend ist nicht die Rack-Zahl, sondern Mitarbeiter und Umsatz. Auch ein Managed-Service-Provider (MSP), der Server bei einem Colocator betreibt, fällt eigenständig unter NIS2 (Anhang I, Ziffer 9 „IKT-Dienstemanagement"). Wer Rechenzentrumsfläche von einem nicht-NIS2-pflichtigen Anbieter mietet, übernimmt die Compliance-Verantwortung für den eigenen Stack — das wird beim Lieferantenmonitoring oft unterschätzt.
Photovoltaik-Anlagen & Stromerzeugung
PV-Anlagen fallen unter Anhang I, Sektor Energie / Elektrizität — konkret als „Stromerzeuger" gemäß Art. 2 Nr. 38 der Strommarktrichtlinie (EU) 2019/944. Damit zählt jede juristische Person, die Strom erzeugt — vom Solarpark-Betreiber bis zum kommunalen Stadtwerk mit PV-Dach. Maßgeblich sind nicht die installierten Megawatt-Peak, sondern (a) die Unternehmensgröße nach Art. 2 NIS2 und (b) die rechtliche Einstufung als Energieversorger im jeweiligen nationalen Energierecht (in Österreich: ElWOG/EAG, in Deutschland: EnWG).
Praktische Schwellen für PV-Betreiber:
- • Private Aufdach-Anlage / Eigenverbrauch: kein NIS2 — keine gewerbliche Stromerzeugung im Sinne der Richtlinie
- • Kleiner Gewerbe-PV-Park bis ~1 MWp, Einspeisung über Direktvermarkter: meist nicht NIS2-pflichtig, sofern Betreibergesellschaft < 50 MA und < 10 Mio. € Umsatz (typische Projekt-SPV)
- • Energiegemeinschaft nach EAG (AT) bzw. § 3 Nr. 15 EnWG (DE): NIS2-relevant ab Erreichen der Größenschwellen — auch wenn der einzelne Park klein ist, zählt die Gesamtgesellschaft
- • Solarpark-Betreiber / IPP mit ≥ 50 MA oder ≥ 10 Mio. € Umsatz: wichtige Einrichtung — volle NIS2-Pflichten inkl. Lieferketten- und Wechselrichter-Sicherheit
- • Virtuelles Kraftwerk / Aggregator mit kritischer Bedeutung: kann unabhängig von der Größe als wesentliche Einrichtung eingestuft werden (Art. 2 Abs. 2 NIS2)
Achtung Wechselrichter & Fernwartung: BSI und E-Control warnen vor Wechselrichtern mit dauerhaftem Cloud-Zugriff (Huawei, Sungrow, SMA u. a.). Sobald ein PV-Betreiber unter NIS2 fällt, gilt die Lieferkettensicherheit nach Art. 21 Abs. 2 lit. d auch für Wechselrichter-Hersteller, SCADA-Systeme und Fernwartungsportale. Das ist 2025 einer der häufigsten Audit-Befunde bei Energieversorgern — kompromittierte OT-Zugangsdaten siehe Darknet-Monitoring.
Faustregel für Lieferanten-Onboarding: Fragen Sie Rechenzentrums- und PV-Lieferanten nach (1) Mitarbeiterzahl, (2) Jahresumsatz und (3) Selbsteinstufung als wesentliche/wichtige Einrichtung nach NISG 2024 (AT) bzw. NIS2UmsuCG (DE). Liegen die Werte unter den Schwellen, dokumentieren Sie das schriftlich — Sie bleiben aber selbst für die Sicherheit dieser Komponenten in Ihrer Lieferkette verantwortlich.
5. Pflichten für Unternehmen
Artikel 21 der NIS2-Richtlinie definiert zehn Mindestmaßnahmen, die alle betroffenen Unternehmen umsetzen müssen. Diese Maßnahmen bilden einen umfassenden Cybersicherheitsrahmen:
Risikoanalyse und Sicherheitskonzepte
Unternehmen müssen systematische Risikoanalysen durchführen und darauf basierende Sicherheitskonzepte für ihre Informationssysteme entwickeln und pflegen. Dies umfasst die Identifikation von Assets, Bedrohungsanalysen und die Implementierung angemessener Schutzmaßnahmen.
Bewältigung von Sicherheitsvorfällen
Ein strukturiertes Incident-Response-Management muss implementiert werden: Erkennung, Analyse, Eindämmung, Behebung und Nachbereitung von Sicherheitsvorfällen. Die Meldekette muss klar definiert sein.
Business Continuity und Krisenmanagement
Backup-Management, Disaster-Recovery-Pläne und Krisenmanagement-Prozesse müssen etabliert und regelmäßig getestet werden.
Sicherheit der Lieferkette
Die Sicherheit der gesamten Lieferkette muss gewährleistet werden — einschließlich der Beziehungen zu direkten Anbietern und Dienstleistern. Dies ist die für das Lieferantenmonitoring zentrale Anforderung.
Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen
Sicherheit muss in den gesamten Lebenszyklus von IT-Systemen integriert werden — von der Beschaffung über die Entwicklung bis zur Wartung und Außerbetriebnahme, einschließlich Schwachstellenmanagement.
Bewertung der Wirksamkeit von Maßnahmen
Die implementierten Sicherheitsmaßnahmen müssen regelmäßig auf ihre Wirksamkeit überprüft werden — durch interne Audits, Penetrationstests und Schwachstellenanalysen.
Cyberhygiene und Schulungen
Grundlegende Cyberhygiene-Praktiken müssen etabliert und Mitarbeiter regelmäßig geschult werden — von der Geschäftsführung bis zum operativen Personal.
Kryptographie und Verschlüsselung
Konzepte und Verfahren für den Einsatz von Kryptographie und Verschlüsselung müssen definiert und implementiert werden.
Personalsicherheit und Zugriffskontrolle
Zugangskontrollen, Asset-Management und Personalsicherheit müssen implementiert werden — einschließlich Multi-Faktor-Authentifizierung und Zero-Trust-Ansätzen.
Sichere Kommunikation
Gesicherte Sprach-, Video- und Textkommunikation sowie Notfallkommunikationssysteme müssen verfügbar sein.
6. Lieferkettensicherheit unter NIS2
Artikel 21 Absatz 2 Buchstabe d der NIS2-Richtlinie verpflichtet Unternehmen explizit zur Sicherheit der Lieferkette. Dies umfasst die sicherheitsbezogenen Aspekte der Beziehungen zwischen jedem Unternehmen und seinen unmittelbaren Anbietern oder Dienstleistern. Die Richtlinie verlangt:
Risikobewertung der Lieferanten
Unternehmen müssen die spezifischen Schwachstellen jedes direkten Anbieters und Dienstleisters berücksichtigen. Die Gesamtqualität der Produkte und Cybersicherheitspraktiken der Anbieter — einschließlich der Sicherheit ihrer Entwicklungsprozesse — muss bewertet werden.
Koordinierte Risikobewertungen
Die EU-Mitgliedstaaten können gemeinsam koordinierte Sicherheitsrisikobewertungen kritischer Lieferketten durchführen — wie bereits für 5G-Netze geschehen. Die Ergebnisse dieser Bewertungen fließen in die Anforderungen an Unternehmen ein.
Vertragliche Anforderungen
Unternehmen müssen in ihren Verträgen mit Anbietern und Dienstleistern angemessene Sicherheitsanforderungen festlegen — und deren Einhaltung überwachen.
Kontinuierliche Überwachung
Die Risikobewertung ist keine einmalige Aufgabe. Unternehmen müssen die Sicherheitslage ihrer Lieferanten kontinuierlich überwachen und bei Veränderungen reagieren.
Die Europäische Agentur für Cybersicherheit (ENISA) hat festgestellt, dass 62% aller erfolgreichen Cyberangriffe über die Lieferkette erfolgten. NIS2 reagiert darauf mit klaren Pflichten — und RisikoMonitor liefert die technische Lösung, um diese Pflichten effizient zu erfüllen.
7. Geschäftsführerhaftung — persönliche Verantwortung
NIS2 führt erstmals eine persönliche Haftung der Geschäftsführung für Cybersicherheitsmängel ein. Artikel 20 legt fest:
Pflichten der Geschäftsleitung:
- Das Leitungsorgan muss die Risikomanagementmaßnahmen genehmigen und deren Umsetzung überwachen
- Geschäftsführer müssen an Cybersicherheitsschulungen teilnehmen
- Bei Verstößen können Leitungsorgane persönlich haftbar gemacht werden
- In schwerwiegenden Fällen kann ein vorübergehendes Verbot zur Ausübung von Leitungsfunktionen verhängt werden
- Die Haftung kann nicht an den CISO oder die IT-Abteilung delegiert werden
Diese persönliche Haftung ist ein Paradigmenwechsel. Cybersicherheit ist nicht mehr nur ein IT-Thema, sondern eine Vorstandsangelegenheit. Geschäftsführer, die die NIS2-Anforderungen ignorieren — einschließlich der Lieferkettensicherheit — riskieren ihr persönliches Vermögen und ihre berufliche Zukunft.
8. Bußgelder und Sanktionen
Wesentliche Einrichtungen
Bis 10 Mio. €
oder 2% des weltweiten Jahresumsatzes — je nachdem, welcher Betrag höher ist
- • Proaktive Aufsicht und Durchsetzung
- • Regelmäßige Audits und Vor-Ort-Prüfungen
- • Bindende Anweisungen mit Fristen
Wichtige Einrichtungen
Bis 7 Mio. €
oder 1,4% des weltweiten Jahresumsatzes — je nachdem, welcher Betrag höher ist
- • Reaktive Aufsicht (nach Vorfällen)
- • Anlassbezogene Prüfungen
- • Nachträgliche Durchsetzungsmaßnahmen
9. Umsetzung in Deutschland und Österreich
DEDeutschland: NIS2UmsuCG
Das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) setzt die NIS2-Richtlinie in deutsches Recht um. Der Entwurf sieht eine Änderung des BSI-Gesetzes vor und erweitert den Kreis der regulierten Unternehmen erheblich. Das BSI (Bundesamt für Sicherheit in der Informationstechnik) wird zur zentralen Aufsichtsbehörde. Geschätzt sind ca. 29.000 Unternehmen in Deutschland betroffen.
Die Umsetzung hat sich verzögert — ursprünglich geplant für Oktober 2024, wird das Gesetz voraussichtlich im Frühjahr 2025 verabschiedet. Unternehmen sollten dennoch jetzt mit der Vorbereitung beginnen.
ATÖsterreich: NISG 2024
Österreich setzt NIS2 durch das Netz- und Informationssystemsicherheitsgesetz 2024 (NISG 2024) um. Das Innenministerium und das Bundeskanzleramt koordinieren die Umsetzung. Die NIS-Behörde im Innenministerium und das GovCERT Austria sind die zentralen Akteure. Geschätzt sind ca. 4.000–5.000 Unternehmen in Österreich betroffen.
Auch in Österreich hat sich die Umsetzung verzögert. Unternehmen in kritischen Sektoren sollten bereits jetzt die notwendigen Maßnahmen implementieren.
10. NIS2 und Lieferantenmonitoring — technische Umsetzung
NIS2 verlangt die Sicherheit der Lieferkette — aber wie setzt man das in der Praxis um? Fragebögen liefern subjektive Momentaufnahmen. RisikoMonitor liefert objektive, kontinuierliche und nachweisbare technische Bewertungen.
❌ Fragebögen
- ✗Subjektive Selbstauskunft
- ✗Jährliche Momentaufnahme
- ✗Nicht verifizierbar
- ✗Hoher manueller Aufwand
- ✗Belastet Lieferantenbeziehung
✅ RisikoMonitor
- Objektive technische Prüfung
- Kontinuierliche Überwachung
- Audit-fähige Dokumentation
- Vollautomatisiert
- Keine Lieferantenmitwirkung nötig
11. Häufig gestellte Fragen zu NIS2
Bin ich von NIS2 betroffen?
Wenn Ihr Unternehmen in einem der 18 NIS2-Sektoren tätig ist und mindestens 50 Mitarbeiter oder 10 Mio. € Jahresumsatz hat, fallen Sie sehr wahrscheinlich unter NIS2. Bestimmte Einrichtungen (DNS, TLD, Telekom) sind unabhängig von der Größe betroffen. Im Zweifel sollten Sie eine rechtliche Prüfung durchführen lassen.
Was ist der Unterschied zwischen NIS2 und DORA?
NIS2 ist die allgemeine Cybersicherheitsrichtlinie für alle kritischen Sektoren. DORA ist eine sektorspezifische Verordnung für den Finanzsektor. DORA geht als lex specialis vor — Finanzunternehmen müssen primär DORA erfüllen, NIS2 gilt ergänzend.
Muss ich auch meine Lieferanten überwachen?
Ja. Artikel 21 Absatz 2 Buchstabe d verpflichtet Sie explizit zur Sicherheit der Lieferkette. Sie müssen die Cybersicherheitspraktiken Ihrer direkten Anbieter und Dienstleister bewerten und überwachen.
Haftet mein Geschäftsführer persönlich?
Ja. NIS2 führt eine persönliche Haftung der Geschäftsleitung ein. Das Leitungsorgan muss die Cybersicherheitsmaßnahmen genehmigen und überwachen. Bei Verstößen können Geschäftsführer persönlich mit Bußgeldern belegt werden und vorübergehend von Leitungsfunktionen ausgeschlossen werden.
Was passiert, wenn die Frist bereits verstrichen ist?
Die EU-Frist (17. Oktober 2024) ist verstrichen, die nationale Umsetzung in Deutschland und Österreich verzögert sich. Unternehmen sollten dennoch jetzt mit der Umsetzung beginnen — die Anforderungen werden rückwirkend gelten und Aufsichtsbehörden können bereits jetzt auf Basis der Richtlinie tätig werden.
Reicht ein ISO 27001-Zertifikat für NIS2?
ISO 27001 ist eine gute Grundlage, deckt aber nicht alle NIS2-Anforderungen ab. Insbesondere die Meldepflichten, die Lieferkettensicherheit und die Geschäftsführerhaftung gehen über ISO 27001 hinaus. Ein ISMS nach ISO 27001 erleichtert die NIS2-Compliance, ersetzt sie aber nicht.
NIS2-Compliance für Ihre Lieferkette
Erfahren Sie, wie RisikoMonitor Ihnen hilft, die NIS2-Anforderungen an die Lieferkettensicherheit nachweisbar zu erfüllen — technisch, automatisiert und audit-fähig.