NIS2-Richtlinie: die Zusammenfassung, Artikel für Artikel
Die NIS2-Richtlinie hat 46 Artikel und drei Anhänge. Für dein Unternehmen zählen davon eine Handvoll. Hier stehen genau diese, in verständlicher Sprache, und daneben, wo du sie im deutschen BSI-Gesetz wiederfindest. Die offizielle Fassung als PDF ist unten verlinkt.
150 € pro Stunde, pauschal für alles. Für Unternehmen, zzgl. USt.
Was ist die NIS2-Richtlinie?
Die NIS2-Richtlinie ist die „Richtlinie über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union“. Sie wurde am 14. Dezember 2022 beschlossen, im Amtsblatt vom 27. Dezember 2022 veröffentlicht und löst die erste NIS-Richtlinie von 2016 ab. NIS steht für Netz- und Informationssicherheit.
Der wichtigste Unterschied zu ihrer Vorgängerin: Sie gilt nicht mehr nur für wenige Betreiber kritischer Infrastrukturen, sondern für alle mittleren und großen Unternehmen in den genannten Sektoren. Dazu kommen schärfere Pflichten, feste Meldefristen und eine persönliche Verantwortung der Leitungsorgane.
Eine Richtlinie richtet sich an die Mitgliedstaaten. Sie mussten NIS2 bis zum 17. Oktober 2024 in nationales Recht umsetzen. Deutschland war spät dran: Die EU-Kommission leitete am 28. November 2024 ein Vertragsverletzungsverfahren gegen 23 Mitgliedstaaten ein, darunter Deutschland, und schickte am 7. Mai 2025 begründete Stellungnahmen an 19 Staaten. Das deutsche Umsetzungsgesetz gilt seit dem 6. Dezember 2025.
Für wen gilt NIS2? Sektoren und Größe
Zwei Bedingungen, beide müssen passen: Sektor aus Anhang I oder II und mindestens mittlere Unternehmensgröße. Ausnahmen gibt es für einige Einrichtungen, die unabhängig von der Größe erfasst sind.
Anhang I: Sektoren mit hoher Kritikalität
- Energie
- Verkehr
- Bankwesen
- Finanzmarktinfrastrukturen
- Gesundheitswesen
- Trinkwasser
- Abwasser
- Digitale Infrastruktur
- Verwaltung von IKT-Diensten zwischen Unternehmen
- Öffentliche Verwaltung
- Weltraum
Anhang II: sonstige kritische Sektoren
- Post- und Kurierdienste
- Abfallbewirtschaftung
- Produktion, Herstellung und Handel mit chemischen Stoffen
- Produktion, Verarbeitung und Vertrieb von Lebensmitteln
- Verarbeitendes Gewerbe, etwa Medizinprodukte, Elektronik, Maschinen, Fahrzeuge
- Anbieter digitaler Dienste: Online-Marktplätze, Suchmaschinen, soziale Netzwerke
- Forschung
Mittlere Unternehmen sind laut EU-Empfehlung 2003/361/EG solche ab 50 Beschäftigten oder mit mehr als 10 Mio. € Umsatz und Bilanzsumme. Ob du dazugehörst, prüfst du mit dem NIS2-Check.
Die Pflichten in vier Sätzen
- Registrieren: Betroffene Einrichtungen melden sich bei der zuständigen Behörde, in Deutschland beim BSI.
- Risiken managen: angemessene technische und organisatorische Maßnahmen nach Art. 21, verhältnismäßig zur Größe und zum Risiko.
- Vorfälle melden: erhebliche Sicherheitsvorfälle in festen Stufen, beginnend innerhalb von 24 Stunden.
- Verantwortung übernehmen: Die Leitung trägt die Maßnahmen, überwacht sie und bildet sich fort.
Wie du das in deinem Unternehmen umsetzt, mit Nachweisliste und 90-Tage-Plan, steht unter NIS2 umsetzen.
Checkliste: Was du nach dem Lesen der Richtlinie tun solltest
Die Richtlinie ist der Rahmen. Diese sechs Punkte machen sie für dein Unternehmen konkret.
Sektor finden
Deine Tätigkeit in Anhang I oder II suchen, im Zweifel die Anlagen 1 und 2 des BSIG und die Betroffenheitsprüfung des BSI.
Größe prüfen
Beschäftigte, Umsatz und Bilanzsumme nach den EU-Schwellen, verbundene Unternehmen mitgezählt.
Kategorie festhalten
Besonders wichtig oder wichtig, und warum. Diese Notiz brauchst du bei jeder Nachfrage.
Registrierung erledigen
Beim BSI, spätestens drei Monate nach erstmaliger Betroffenheit.
Lieferkette prüfen
Auch ohne eigene Betroffenheit: Kundschaft aus NIS2-Sektoren reicht Anforderungen an dich weiter.
Plan aufsetzen
Zehn Maßnahmen gegen den Bestand halten, Meldeweg einrichten, Leitung schulen.
Häufige Fragen zur NIS2-Richtlinie
Was ist die NIS2-Richtlinie einfach erklärt?
Die NIS2-Richtlinie ist ein EU-Gesetz, das Unternehmen in wichtigen Branchen zu mehr Cybersicherheit verpflichtet. Betroffene müssen Risiken systematisch managen, schwere Sicherheitsvorfälle schnell melden und die Leitung in die Verantwortung nehmen. Die Mitgliedstaaten setzen sie in eigene Gesetze um, Deutschland über das BSI-Gesetz.
Wo finde ich die NIS2-Richtlinie als PDF?
Die amtliche Fassung steht kostenlos auf EUR-Lex, dem Rechtsportal der EU, als HTML und PDF in allen Amtssprachen. Den direkten Link zur deutschen PDF-Fassung findest du unten in den Quellen. Für die Pflichten in Deutschland ist zusätzlich das BSI-Gesetz maßgeblich.
Was ist der Unterschied zwischen NIS2-Richtlinie und NIS2-Umsetzungsgesetz?
Die Richtlinie gibt den EU-weiten Rahmen vor und richtet sich an die Mitgliedstaaten. Das deutsche NIS2-Umsetzungsgesetz macht daraus geltendes Recht für Unternehmen, vor allem über das neu gefasste BSI-Gesetz. Für dich gelten deshalb die Paragrafen des BSIG, die Richtlinie hilft beim Verständnis.
Welche Bußgelder sieht NIS2 vor?
Die Richtlinie verlangt, dass die Staaten Bußgelder von mindestens bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes für wesentliche und 7 Mio. € oder 1,4 % für wichtige Einrichtungen ermöglichen, je nachdem, welcher Betrag höher ist. Die deutschen Beträge stehen in § 65 BSIG. Orientierung, keine Rechtsberatung.
Seit wann gilt NIS2?
Die Richtlinie ist seit Januar 2023 in Kraft und sollte bis zum 17. Oktober 2024 umgesetzt sein, angewendet ab dem 18. Oktober 2024. In Deutschland gelten die Pflichten mit dem NIS2-Umsetzungsgesetz seit dem 6. Dezember 2025.
Quellen
- Richtlinie (EU) 2022/2555 (NIS2), EUR-Lex, abgerufen am 14.11.2026.
- NIS2-Richtlinie als PDF (deutsche Fassung), EUR-Lex, abgerufen am 14.11.2026.
- BSI-Gesetz (BSIG), Inhaltsverzeichnis mit §§ 28–40 und 61–65, abgerufen am 14.11.2026.
- EU-Kommission: Aufforderung an 23 Mitgliedstaaten, 28.11.2024, abgerufen am 14.11.2026.
- EU-Kommission: begründete Stellungnahmen an 19 Mitgliedstaaten, 07.05.2025, abgerufen am 14.11.2026.
- Empfehlung 2003/361/EG (KMU-Definition), EUR-Lex, abgerufen am 14.11.2026.
Genug Paragrafen. Lass uns anfangen.
Wir übersetzen die Richtlinie in einen Plan für dein Unternehmen und setzen ihn mit dir um.