> Die NIS2-Richtlinie (EU) 2022/2555 zusammengefasst: Ziele, Sektoren, Pflichten, Fristen und Bußgelder, mit Artikel-Navigator zum deutschen BSI-Gesetz. # NIS2-Richtlinie: die Zusammenfassung, Artikel für Artikel Die NIS2-Richtlinie hat 46 Artikel und drei Anhänge. Für dein Unternehmen zählen davon eine Handvoll. Hier stehen genau diese, in verständlicher Sprache, und daneben, wo du sie im deutschen BSI-Gesetz wiederfindest. Die offizielle Fassung als PDF ist unten verlinkt. [NIS2 mit uns angehen](https://mediabrandcast.com/kontakt/?anliegen=security) 150 € pro Stunde, pauschal für alles. Für Unternehmen, zzgl. USt. - [Zum Artikel-Navigator](https://mediabrandcast.com/leistungen/cybersecurity/nis2/nis2-richtlinien/#navigator) Kurz gesagt Die NIS2-Richtlinie (EU) 2022/2555 ist das EU-Gesetz für ein hohes gemeinsames Cybersicherheitsniveau. Sie verpflichtet mittlere und große Unternehmen aus 18 Sektoren zu Risikomanagement, Meldung erheblicher Sicherheitsvorfälle und Verantwortung der Leitungsebene, und sie setzt Mindestbußgelder von bis zu 10 Mio. € oder 2 % des weltweiten Umsatzes. Als Richtlinie gilt sie nicht direkt, sondern über nationale Gesetze, in Deutschland über das neu gefasste BSI-Gesetz seit dem 6. Dezember 2025. Orientierung, keine Rechtsberatung. ## Was ist die NIS2-Richtlinie? Die NIS2-Richtlinie ist die „Richtlinie über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union“. Sie wurde am 14. Dezember 2022 beschlossen, im Amtsblatt vom 27. Dezember 2022 veröffentlicht und löst die erste NIS-Richtlinie von 2016 ab. NIS steht für Netz- und Informationssicherheit. Der wichtigste Unterschied zu ihrer Vorgängerin: Sie gilt nicht mehr nur für wenige Betreiber kritischer Infrastrukturen, sondern für alle mittleren und großen Unternehmen in den genannten Sektoren. Dazu kommen schärfere Pflichten, feste Meldefristen und eine persönliche Verantwortung der Leitungsorgane. Eine Richtlinie richtet sich an die Mitgliedstaaten. Sie mussten NIS2 bis zum 17. Oktober 2024 in nationales Recht umsetzen. Deutschland war spät dran: Die EU-Kommission leitete am 28. November 2024 ein Vertragsverletzungsverfahren gegen 23 Mitgliedstaaten ein, darunter Deutschland, und schickte am 7. Mai 2025 begründete Stellungnahmen an 19 Staaten. Das deutsche Umsetzungsgesetz gilt seit dem 6. Dezember 2025. 18 Sektoren: 11 mit hoher Kritikalität (Anhang I), 7 sonstige kritische (Anhang II) 10 Mio. € oder 2 % des weltweiten Jahresumsatzes: Bußgeld-Obergrenze, die mindestens möglich sein muss (Art. 34) 17.10.2024 Frist für die Umsetzung in nationales Recht (Art. 41) ## Für wen gilt NIS2? Sektoren und Größe Zwei Bedingungen, beide müssen passen: Sektor aus Anhang I oder II und mindestens mittlere Unternehmensgröße. Ausnahmen gibt es für einige Einrichtungen, die unabhängig von der Größe erfasst sind. ### Anhang I: Sektoren mit hoher Kritikalität - Energie - Verkehr - Bankwesen - Finanzmarktinfrastrukturen - Gesundheitswesen - Trinkwasser - Abwasser - Digitale Infrastruktur - Verwaltung von IKT-Diensten zwischen Unternehmen - Öffentliche Verwaltung - Weltraum ### Anhang II: sonstige kritische Sektoren - Post- und Kurierdienste - Abfallbewirtschaftung - Produktion, Herstellung und Handel mit chemischen Stoffen - Produktion, Verarbeitung und Vertrieb von Lebensmitteln - Verarbeitendes Gewerbe, etwa Medizinprodukte, Elektronik, Maschinen, Fahrzeuge - Anbieter digitaler Dienste: Online-Marktplätze, Suchmaschinen, soziale Netzwerke - Forschung Mittlere Unternehmen sind laut EU-Empfehlung 2003/361/EG solche ab 50 Beschäftigten oder mit mehr als 10 Mio. € Umsatz und Bilanzsumme. Ob du dazugehörst, prüfst du mit dem [NIS2-Check](https://mediabrandcast.com/tools/nis2-check/). ## Artikel-Navigator: NIS2 und BSI-Gesetz Die Richtlinie sagt, was die Staaten regeln müssen. Das BSI-Gesetz sagt, was in Deutschland gilt. Hier findest du beides nebeneinander. Die wichtigsten Artikel der Richtlinie (EU) 2022/2555 und ihre Entsprechung im BSIG. Stand 14.11.2026, Orientierung, keine Rechtsberatung | NIS2-Richtlinie | Worum es geht | BSIG (Deutschland) | |---|---|---| | Art. 2 | Anwendungsbereich: Sektoren aus den Anhängen, ab mittlerer Unternehmensgröße, mit Ausnahmen | § 28 mit Anlagen 1 und 2 | | Art. 3 | Zwei Kategorien: wesentliche und wichtige Einrichtungen | § 28: besonders wichtige und wichtige Einrichtungen | | Art. 20 | Leitungsorgane billigen die Maßnahmen, überwachen ihre Umsetzung, können haftbar gemacht werden und nehmen an Schulungen teil | § 38: Umsetzungs-, Überwachungs- und Schulungspflicht der Geschäftsleitung | | Art. 21 | Risikomanagement: zehn Mindestmaßnahmen von Risikoanalyse bis Multi-Faktor-Authentifizierung | § 30 Abs. 2 Nr. 1–10 | | Art. 23 | Meldung erheblicher Sicherheitsvorfälle: Frühwarnung in 24 Stunden, Meldung in 72 Stunden, Abschlussbericht nach einem Monat | § 32 | | Art. 27 | Register für bestimmte digitale Anbieter wie DNS, Cloud und Rechenzentren | § 34: besondere Registrierungspflicht; allgemein § 33 | | Art. 32 und 33 | Aufsicht: vorab und anlassbezogen bei wesentlichen, nachträglich bei wichtigen Einrichtungen | §§ 61 und 62 | | Art. 34 | Bußgelder: mindestens bis 10 Mio. € oder 2 % (wesentliche) bzw. 7 Mio. € oder 1,4 % (wichtige) | § 65 | | Art. 41 | Umsetzung bis 17.10.2024, Anwendung ab 18.10.2024 | in Kraft seit 6.12.2025 | Ein feiner Unterschied: Die Richtlinie spricht in Art. 20 davon, dass die Leitung die Maßnahmen „billigt“. Das deutsche Gesetz geht weiter und verpflichtet die Geschäftsleitung in § 38, die Maßnahmen umzusetzen und die Umsetzung zu überwachen. ## Die Pflichten in vier Sätzen 1. Registrieren: Betroffene Einrichtungen melden sich bei der zuständigen Behörde, in Deutschland beim BSI. 2. Risiken managen: angemessene technische und organisatorische Maßnahmen nach Art. 21, verhältnismäßig zur Größe und zum Risiko. 3. Vorfälle melden: erhebliche Sicherheitsvorfälle in festen Stufen, beginnend innerhalb von 24 Stunden. 4. Verantwortung übernehmen: Die Leitung trägt die Maßnahmen, überwacht sie und bildet sich fort. Wie du das in deinem Unternehmen umsetzt, mit Nachweisliste und 90-Tage-Plan, steht unter [NIS2 umsetzen](https://mediabrandcast.com/leistungen/cybersecurity/nis2/nis2-umsetzung/). Fakten - Richtlinie (EU) 2022/2555 vom 14.12.2022, ABl. L 333 vom 27.12.2022. Quelle: [EUR-Lex](https://eur-lex.europa.eu/eli/dir/2022/2555/oj), abgerufen am 14.11.2026 - Vertragsverletzungsverfahren gegen 23 Mitgliedstaaten am 28.11.2024, begründete Stellungnahmen an 19 Staaten am 7.5.2025, jeweils auch Deutschland. Quelle: [EU-Kommission](https://digital-strategy.ec.europa.eu/en/policies/nis2-directive-germany), abgerufen am 14.11.2026 - Deutsches Umsetzungsgesetz in Kraft seit 6.12.2025. Quelle: [BGBl. 2025 I Nr. 301](https://www.recht.bund.de/bgbl/1/2025/301/VO.html) ## Checkliste: Was du nach dem Lesen der Richtlinie tun solltest Die Richtlinie ist der Rahmen. Diese sechs Punkte machen sie für dein Unternehmen konkret. ### Sektor finden Deine Tätigkeit in Anhang I oder II suchen, im Zweifel die Anlagen 1 und 2 des BSIG und die Betroffenheitsprüfung des BSI. ### Größe prüfen Beschäftigte, Umsatz und Bilanzsumme nach den EU-Schwellen, verbundene Unternehmen mitgezählt. ### Kategorie festhalten Besonders wichtig oder wichtig, und warum. Diese Notiz brauchst du bei jeder Nachfrage. ### Registrierung erledigen Beim BSI, spätestens drei Monate nach erstmaliger Betroffenheit. ### Lieferkette prüfen Auch ohne eigene Betroffenheit: Kundschaft aus NIS2-Sektoren reicht Anforderungen an dich weiter. ### Plan aufsetzen Zehn Maßnahmen gegen den Bestand halten, Meldeweg einrichten, Leitung schulen. ## Häufige Fragen zur NIS2-Richtlinie ### Was ist die NIS2-Richtlinie einfach erklärt? Die NIS2-Richtlinie ist ein EU-Gesetz, das Unternehmen in wichtigen Branchen zu mehr Cybersicherheit verpflichtet. Betroffene müssen Risiken systematisch managen, schwere Sicherheitsvorfälle schnell melden und die Leitung in die Verantwortung nehmen. Die Mitgliedstaaten setzen sie in eigene Gesetze um, Deutschland über das BSI-Gesetz. ### Wo finde ich die NIS2-Richtlinie als PDF? Die amtliche Fassung steht kostenlos auf EUR-Lex, dem Rechtsportal der EU, als HTML und PDF in allen Amtssprachen. Den direkten Link zur deutschen PDF-Fassung findest du unten in den Quellen. Für die Pflichten in Deutschland ist zusätzlich das BSI-Gesetz maßgeblich. ### Was ist der Unterschied zwischen NIS2-Richtlinie und NIS2-Umsetzungsgesetz? Die Richtlinie gibt den EU-weiten Rahmen vor und richtet sich an die Mitgliedstaaten. Das deutsche NIS2-Umsetzungsgesetz macht daraus geltendes Recht für Unternehmen, vor allem über das neu gefasste BSI-Gesetz. Für dich gelten deshalb die Paragrafen des BSIG, die Richtlinie hilft beim Verständnis. ### Welche Bußgelder sieht NIS2 vor? Die Richtlinie verlangt, dass die Staaten Bußgelder von mindestens bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes für wesentliche und 7 Mio. € oder 1,4 % für wichtige Einrichtungen ermöglichen, je nachdem, welcher Betrag höher ist. Die deutschen Beträge stehen in § 65 BSIG. Orientierung, keine Rechtsberatung. ### Seit wann gilt NIS2? Die Richtlinie ist seit Januar 2023 in Kraft und sollte bis zum 17. Oktober 2024 umgesetzt sein, angewendet ab dem 18. Oktober 2024. In Deutschland gelten die Pflichten mit dem NIS2-Umsetzungsgesetz seit dem 6. Dezember 2025. ## Quellen 1. [Richtlinie (EU) 2022/2555 (NIS2), EUR-Lex](https://eur-lex.europa.eu/eli/dir/2022/2555/oj), abgerufen am 14.11.2026. 2. [NIS2-Richtlinie als PDF (deutsche Fassung), EUR-Lex](https://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=CELEX:32022L2555), abgerufen am 14.11.2026. 3. [BSI-Gesetz (BSIG), Inhaltsverzeichnis mit §§ 28–40 und 61–65](https://www.gesetze-im-internet.de/bsig_2025/), abgerufen am 14.11.2026. 4. [EU-Kommission: Aufforderung an 23 Mitgliedstaaten](https://digital-strategy.ec.europa.eu/en/news/commission-calls-23-member-states-fully-transpose-nis2-directive), 28.11.2024, abgerufen am 14.11.2026. 5. [EU-Kommission: begründete Stellungnahmen an 19 Mitgliedstaaten](https://digital-strategy.ec.europa.eu/en/news/commission-calls-19-member-states-fully-transpose-nis2-directive), 07.05.2025, abgerufen am 14.11.2026. 6. [Empfehlung 2003/361/EG (KMU-Definition), EUR-Lex](https://eur-lex.europa.eu/eli/reco/2003/361/oj), abgerufen am 14.11.2026. Geschrieben von [Alexander Scharff](https://mediabrandcast.com/team/alexander-scharff/) Mitgründer von Juice 9, Marketing, IT und KI Marketing-Master (KI-Studie, Note 1,0), IT-Ausbildung, KI-Manager. Baut Websites, Software und KI-Automatisierungen, die im Live-Betrieb laufen. [Alexander Scharff auf LinkedIn](https://www.linkedin.com/in/alexander-scharff-de/) ## Genug Paragrafen. Lass uns anfangen. Wir übersetzen die Richtlinie in einen Plan für dein Unternehmen und setzen ihn mit dir um. [NIS2 mit uns angehen](https://mediabrandcast.com/kontakt/?anliegen=security) 150 € pro Stunde, pauschal für alles. Für Unternehmen, zzgl. USt. - [Cybersecurity](https://mediabrandcast.com/leistungen/cybersecurity/)