NIS2
In Kraft (gestaffelt)Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau (NIS-2-Richtlinie)
Betrifft dich, wenn …
- Deine Einrichtung fällt in einen der 18 Sektoren (u. a. Energie, Verkehr, Gesundheit, digitale Infrastruktur, IT-Dienste, Verwaltung von IKT-Diensten).
- Du bist ein mittleres oder großes Unternehmen (ab 50 Beschäftigte oder 10 Mio. EUR Jahresumsatz) in einem betroffenen Sektor.
- Du bist Anbieter kritischer Dienste (z. B. Cloud, Rechenzentrum, DNS, Managed Services), unabhängig von der Größe.
Kern-Pflichten
- Risikomanagement-Maßnahmen für Cybersicherheit einführen (technisch und organisatorisch, Stand der Technik).
- Schwerwiegende Sicherheitsvorfälle innerhalb von 24 Stunden (Frühwarnung) und 72 Stunden (Meldung) an die zuständige Behörde melden.
- Verantwortung der Unternehmensleitung: Geschäftsführung haftet und muss Cybersicherheit überwachen und schulen.
- Lieferketten-Sicherheit und Sicherheit der Netz- und Informationssysteme über den gesamten Lebenszyklus gewährleisten.
Weiterlesen — kostenlos
Den vollständigen Inhalt freischalten
Trag deine E-Mail-Adresse ein und bestätige sie: Du abonnierst den Signal-Forge-Newsletter von FORGE und erhältst sofort Zugang zu diesem und allen weiteren registrierungspflichtigen Inhalten. Die Abmeldung ist jederzeit möglich.
Schon registriert? Der Link aus deiner Bestätigungs-Mail schaltet dieses Gerät wieder frei.
Erste Schritte
- Prüfen, ob die Einrichtung als wesentlich oder wichtig eingestuft ist (Sektor + Größe).
- Bestehende Cybersicherheits-Maßnahmen gegen die NIS2-Mindestanforderungen abgleichen (Gap-Analyse).
- Incident-Response- und Meldeprozess mit den 24h-/72h-Fristen aufsetzen.
- Registrierung beim BSI prüfen — in Deutschland lief die Registrierungsfrist bereits ab (06.03.2026); Nachregistrierung und Leitungsschulungen zeitnah nachholen.
Fristen
- 2024-10-17EU-Frist zur Umsetzung in nationales Recht (Deutschland hat diese Frist zunächst überschritten)
- 2025-04-17Mitgliedstaaten sollen Listen der wesentlichen und wichtigen Einrichtungen erstellen
- 2025-12-06Deutschland: NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in Kraft getreten
- 2026-03-06Deutschland: Ende der 3-Monats-Frist für die Registrierung betroffener Einrichtungen beim BSI
Sanktion bei Verstoß
Bußgelder bis 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes (wesentliche Einrichtungen) bzw. bis 7 Mio. EUR oder 1,4 % (wichtige Einrichtungen); persönliche Verantwortung der Leitung möglich.