Was Sie über die EU-Richtlinie wissen müssen NIS2 ist Gesetz und keine Option

Anbieter zum Thema

G DATA CyberDefense AG

Infinigate Deutschland GmbH

sysob IT-Distribution GmbH & Co. KG

SentinelOne GmbH

SailPoint Technologies GmbH

mehr weniger

ELOVADE Deutschland GmbH

Bechtle AG

PCO Personal Computer Organisation GmbH & Co. KG

Bitkom e.V.

ESET Deutschland GmbH

WatchGuard Technologies GmbH

weniger

NIS2 ist am 6.12.2025 in Kraft getreten und für viele Unternehmen ein verspäteter Weckruf. Zurücklehnen ist keine Option mehr. Anforderungen der Richtlinie, Meldepflichten und Strafzahlung gelten und müssen strategisch wie operativ umgesetzt werden.

Anders als eine direkte Verordnung ist NIS2 eine EU-Richtlinie und richtet sich damit an die Mitgliedsstaaten der Europäischen Union. Diese müssen aus der Richtlinie eine entsprechende Verordnung für ihr eigenes Land festlegen. In Deutschland hat sich die Umsetzung von NIS2 lange verzögert. Doch seit dem 6. Dezember 2025 ist die Verordnung in Kraft. Das heißt, dass die Vorbereitungszeit für betroffene Unternehmen vorbei ist. Diese sollten sich bereits auf Audits und Überprüfungen einstellen.

Wen betrifft NIS2?

„NIS2 ist bei vielen unserer Kunden inzwischen angekommen – allerdings mit unterschiedlicher Intensität“, beschreibt Andreas Weyert, Senior Architect Information Security bei PCO, die Situation. Die Richtlinie gilt bereits ab 50 Mitarbeitenden oder einem Jahresumsatz von zehn Millionen Euro und umfasst damit rund 30.000 Unternehmen.

Sie betrifft jedoch nicht nur große Unternehmen, sondern auch viele KMU sowie Dienstleister in verschiedenen kritischen Sektoren. Dazu gehören die Gesundheitsversorgung, Energieversorgung, Wasserwirtschaft, Transport und Informationstechnologie. IT-Lösungsanbieter sind häufig sowohl selbst als auch als Dienst­leister betroffen. Und: „Auch IT-Dienstleister, die selbst nicht unter die Richt­linie fallen, müssen sich fundiertes Wissen aneignen, um ihre Kunden kompetent zu begleiten“, weiß Johannes Ulbrich, Senior Pre-Sales Manager Cybersecurity bei Elovade.

Grundsätzlich sind Großunternehmen und KRITIS-nahe branchenführend bei der Umsetzung. Doch auch die Sektoren und die Motivation des Managements haben großen Einfluss auf den Fortschritt. Patrick Scholl, Director OT CoE bei Infinigate, sieht beispielsweise „wachsendes Interesse bei mittelständischen Unternehmen, die zunehmend erkennen, dass sie ebenfalls unter die erweiterten NIS2-­Kategorien fallen. Darüber hinaus steigt die Nachfrage in OT-nahen Branchen, in denen die enge Verzahnung von IT- und Produktionsnetzwerken neue Risiken schafft und die geschäftskritische Wertschöpfungskette bedrohen kann“.

Florian Ender, IT-Security-Manager bei SecTepe, erklärt, dass „dort, wo Betroffenheit als wichtiges oder sehr wichtiges Unternehmen herrscht, haben wir bisher sehr positive Erfahrungen dahingehend gemacht, dass das Management sehr hinter der Erfüllung der NIS2-Vorgaben steht und dafür auch die entsprechenden Ressourcen bereitstellt“. „Wir haben sehr früh begonnen, unsere Kunden und Partner zu informieren und zu unterstützen, beispielsweise mit Webinaren, Whitepapers, Vorträgen und Leitfäden. Viele Unternehmen haben sich rechtzeitig mit den Anforderungen beschäftigt und erste Maßnahmen umgesetzt. Trotzdem sehen wir noch immer viele, die das Thema unterschätzt haben und jetzt unter Zeitdruck geraten“, erzählt Maik Wetzel, Strategic Business Development Director DACH bei Eset Deutschland.

Was ist das Ziel von NIS2?

Das Ziel von NIS2 ist es, das Sicherheits­niveau aller EU-Staaten zu erhöhen und damit die digitale Umgebung in Europa abzusichern. Für den kritischen Bereich soll eine fortlaufende Versorgung mit konsistenten Standards erreicht werden. Um dies zu erreichen, muss die gesamte Lieferkette mit den Standards versehen werden, um Angriffe und Cyberbedrohungen erfolgreich zu bewältigen und mögliche Ausbreitungen zu Partnern und Kunden zu vermeiden. Eine erfolgreiche Umsetzung von NIS2 kann nur dann erfolgen, wenn „Menschen, Prozesse und Technologien gleichermaßen berücksichtigt werden“, wie Dirk Müller-Niessner, CTO bei Bechtle, weiß. Thomas Kress, Gründer und CEO beim Systemhaus Deutsche Cyberkom ist zudem überzeugt: „Gerade Organisationen, die sich bisher nur oberflächlich oder gar nicht mit Informationssicherheit beschäftigt haben, profitieren massiv: Sie erhalten einen klaren Orientierungsrahmen, der ihnen hilft, Risiken endlich strukturiert zu adressieren und bestehende Schwachstellen gezielt abzuarbeiten.“

Auch die Sorge vor übermäßiger Regulierung sieht er als nicht begründet. „Der Gesetzgeber schreibt kein starres Korsett vor, sondern setzt bewusst auf risikobasierte Gestaltungsspielräume. Unternehmen können die Maßnahmen so ausprägen, dass sie zu ihrer Größe, ihrer Branche und ihrem Risiko-Exposure passen. Genau diese Flexibilität macht NIS2 zu einem praxisnahen Instrument, das nicht bremst, sondern befähigt.“

Ein wesentlicher Aspekt dabei ist die Resilienz der Unternehmen: Auf Zwischenfälle muss schnell und effektiv reagiert werden, um potenzielle Schäden zu vermeiden. Wetzel sieht darin, dass Organisationen jetzt gezwungen sind, sich systematisch mit Risiken auseinanderzusetzen, eine Stärkung der „Resilienz jedes einzelnen Unternehmens und damit auch der digitalen Stabilität in Europa insgesamt“. Scholl empfiehlt den Betroffenen im Rahmen der NIS2-Umsetzung, „ein ganzheitliches und dauerhaft verankertes Sicherheitsniveau zu etablieren, das die Resilienz gegenüber Cyberangriffen deutlich stärkt“. Müller-Niessner betont: „Security als fortlaufenden, risikobasierten Managementprozess zu verstehen und als festen Bestandteil der Geschäftstätigkeit zu verankern – statt als Produkt oder einmaliges Projekt – ist wichtig und richtig.“

Was ist die erweiterte Eingriffsbefugnis des BMI?

Zudem gibt es Änderungen bezüglich der Eingriffsbefugnis für kritische Komponenten (§ 41 BSIG-E). Mit einer erweiterten Befugnis kann das Bundesinnenministerium aktiv werden, um kritische Komponenten zu verbieten, ohne dass diese zuvor von den betroffenen Unternehmen gemeldet werden müssen. Als kritische Komponenten gelten essentielle Teile der Infrastruktur, die für grundlegende Dienstleistungen, wie zum Beispiel in den Bereichen Wasser, Telekommunikation und Energie unerlässlich sind, wie man am Beispiel „Berlin“ aktuell gut sehen konnte. Aus der Wirtschaft gab es dazu eine deutliche Warnung: „Für Unternehmen bedeutet das: Einschätzungen des Innenministeriums können kostspielige Austauschpflichten nach sich ziehen“, so Ulrich Plate, Senior Information Security Consultant beim Eco-Verband.

Welche Pflichten haben NIS2-Betroffene?

Im Zuge dieser Umsetzung ergeben sich für betroffene Unternehmen bestimmte Pflichten, wie beispielsweise die Implementierung von Risikomanagementmaßnahmen, die Einrichtung eines Informationssicherheitsmanagementsystems (ISMS) und die Durchführung regelmäßiger Schulungen. Unternehmen sind auch verpflichtet, sicherheitsrelevante Vorfälle unverzüglich an die zuständigen Behörden zu melden und regelmäßige Sicherheitsüberprüfungen sowie Audits durchzuführen. „Die Umsetzung der NIS2-Richtlinie ist zwingend erforderlich, damit wir uns auf unsere digitalisierten Prozesse verlassen können, damit vertrauliche Daten vertraulich bleiben, damit IT-gestützte Prozesse zuverlässig funktionieren“, hebt Dr. Timo Hauschild, Fachbereichsleiter Cyber-Sicherheit für Kritische Infrastrukturen des BSI, hervor.

Geschäftsführerhaftung

Mit der Einführung von NIS2 wird die Verantwortung bezüglich IT-Sicherheit nicht nur verstärkt, sondern direkt auf die oberste Leitungsebene übertragen. Geschäftsführer haften persönlich bei sicherheitsrelevanten Fehlern oder Versäumnissen. Persönliche Haftung entsteht, wenn grundlegende Aufgaben wie die Priorisierung von Sicherheitsmaßnahmen, das Risikomanagement, die Ressourcensteuerung oder die Definition klarer Verantwortlichkeiten vernachlässigt werden.

Laut Kress, ist der ausschlaggebende Punkt, dass Entscheidungen 2026 anders getroffen werden müssen: „Sicherheits- und Risikoaspekte gehören systematisch in die strategische Planung, Investitionen in Resilienz dürfen nicht länger als reine Kostenposition betrachtet werden.“ Lieferantenbewertungen, Modernisierungspläne und Notfallpläne müssen auf einer sorgfältigen und dokumentierten Risikobewertung basieren. Operative Aufgaben können an die entsprechende Abteilung abgegeben werden, jedoch bleibt die Steuerungsverantwortung eindeutig bei der Geschäftsführung.

Um Haftungsrisiken zu reduzieren, sollten sich Geschäftsführer aktiv über notwendige Maßnahmen informieren, die die Cybersicherheit in Unternehmen steigert. Dazu gehört unter anderem die Einrichtung eines dokumentierten ISMS oder regelmäßige Berichte an die Geschäftsleitung.

Des Weiteren ist es unerlässlich, der nach §38 Abs. 3 BSIG-E festgelegten Schulungspflicht nachzukommen und sich auch kontinuierlich weiterzubilden. Schließlich müssen Unternehmen sicherstellen, dass sie allen gesetzlichen Meldepflichten bei sicherheitsrelevanten Vorfällen nachkommen.

Bei Nichteinhaltung der NIS2-Vorgaben drohen hohe behördliche Bußgelder, was den Druck auf betroffene Unternehmen deutlich erhöht. OpenKritis nennt Bußgelder bis zu 2 Millionen Euro. Als juristische Person oder Organisation können sogar bis zu 20 Millionen Euro anfallen. Daher ist es wichtig, dass alle Ebenen in einem Unternehmen Pflichten und Vorgaben der Richtlinie ernst nehmen und aktiv zu einer wirksamen Umsetzung beitragen.

IT-BUSINESS Podcast – Folge 13

Podcast „IT ImPuls“: Startklar für NIS2?

Was sind die Herausforderungen bei der NIS2-Umsetzung?

Eine Umfrage von G Data im Rahmen der Studie „Cybersicherheit in Zahlen 2025/2026“ ergab, dass lediglich 12,1 Prozent die Richtlinie vollständig umgesetzt haben. „In der finalen Umsetzungsphase“ befinden sich 20 Prozent, knapp ein Drittel (31 %) ist „mitten in der Umsetzung“. Von den restlichen Befragten haben 18 Prozent „erste Planungen gestartet“, 7 Prozent sich noch nicht mit dem Thema beschäftigt und 11 Prozent sind nicht betroffen oder haben keine Angabe gemacht.

„Generell scheint die Awareness, dass es sich bei NIS2 um ein Gesetz handelt, nicht überall verbreitet zu sein“, mutmaßt Ender. Doch wo liegen die Probleme? „Die größten Hürden bei der NIS2-Umsetzung liegen weniger in der Technik, sondern in der organisatorischen Befähigung“, bringt es Kress auf den Punkt. Auch Weyert von der PCO, sieht Probleme in der „organisatorischen und strategischen Umsetzung“ sowie der „fehlenden Klarheit und Priorisierung“. Beide Manager sind sich einig, dass es neben Budget an klarer Governance, Transparenz, Ressourcen und Kompetenzen fehle. „Die größte Herausforderung liegt darin, jahrelange Versäumnisse in der Cybersicherheit aufzuholen, besonders im Mittelstand, der seine Angriffsfläche oft unterschätzt. Wo jahrelang an Technologie und Fachpersonal gespart wurde, wird die Umsetzung der breiten Anforderungen und strikten Meldepflichten nun schmerzhaft anstrengend, zumal die Geschäftsleitung persönlich für Fehler haftet“, fasst Hena Kless, Mitglied im Executive Council, GTIA, zusammen.

Doch es gibt auch andere Meinungen, bezüglich der größten Herausforderungen bei der Umsetzung. Durch die Überschreitung der Frist liegt für Benedikt Kind, Leiter Recht und Regulierungsgrundsätze beim Breko, ein Problem „in fehlender Umsetzungszeit und mangelnder Rechtssicherheit. Viele kleinere und mittlere Unternehmen werden erstmals mit einem derart anspruchsvollen Sicherheitsniveau konfrontiert, sodass die praktische Umsetzung der Anforderungen nicht in jedem Fall sofort reibungslos funktionieren wird“. Das sieht auch Felix Kuhlenkamp, Leiter Sicherheit beim Bitkom so: „Die Verzögerungen beim Umsetzungsgesetz haben in vielen Unternehmen zu erheblicher Unsicherheit geführt, insbesondere weil kleinere Betriebe häufig externe Unterstützung benötigen, um ihre Betroffenheit sowie notwendige Maßnahmen zu klären.“

Doch auch Konzerne wie Bechtle sehen Probleme in den Verzögerungen sowie „sowie in den weiterhin unklaren Regelungen für international agierende Unternehmen“, bestätigt Müller-Niessner. „Kommunikativ haben wir das Thema in den vergangenen zwei Jahren sowohl intern als auch gegenüber unseren Partnern und Kunden sehr deutlich adressiert. Viele Prozesse und Grundlagen für NIS2 sind bereits geschaffen. Nach dem Inkrafttreten geht es darum, die erforderlichen Aktualisierungen gezielt vorzunehmen.“ Doch: „IT-Verantwortliche sind oft unsicher, wo sie am besten anfangen sollten, selbst wenn bereits klar ist, wo genau Handlungsbedarf besteht“, meint Nikolas Schran, VP Sales & Marketing bei G Data Cyberdefense.

Erhan Oezmen, VP Sales Germany and Austria bei SentinelOne, und Maik Wetzel glauben, dass die europäische Dimension der Richtlinie mit national voneinander abweichenden Umsetzungsregeln die größte Challenge ist.

Bildergalerie

Bildergalerie mit 16 Bildern

Die Akzeptanz im Management, dass in Cybersicherheit investiert werden muss, ist eine essentielle Voraussetzung. „Bei KMU besteht noch Verbesserungsbedarf. Ich denke, es ist wichtig, gerade in den kleineren Bereichen (ohne Legal oder Compliance-Abteilung), Awareness zu betreiben“, kommentiert Benjamin Richter, Geschäftsführender Gesellschafter bei der Cyber Complete Corporation. Auch Ulbrich von Elovade sieht Nachholbedarf im Mittelstand: „Gerade für Organisationen, die bisher keinen Berührungspunkt mit regulatorischen Vorgaben zur IT- und Informationssicherheit hatten, beginnt eine neue Reise – mit vielen offenen Fragen: Was ist zu tun? Wer trägt die Verantwortung?“

Chance für Systemhäuser?

Peter Schneider, Channel Account Manager bei Sysob, sieht darin die Chance für Systemhäuser: „Je kleiner das Unternehmen, desto größer der Umsetzungs- und Beratungsbedarf.“ Hersteller und Distributoren erwarten 2026 positive Effekte und daraus resultierend ein spürbares Wachstum. Richter vergleicht: „Wir erwarten einen ähnlichen Einfluss wie die DSGVO im Frühjahr 2018. Daher gehen wir 2026 von einem deutlichen Wachstum aus.“

Bechtle-CTO Müller-Niessner merkt an, dass „Security seit Jahren zu unserem Unternehmenserfolg beiträgt“. Auch Schran von G Data baut auf „deutliche Einflüsse auf unseren Umsatz und den unserer Partner“, ebenso wie Weyert von PCO: „Wir erwarten für 2026 einen deutlichen Einfluss auf unsere Umsätze. Viele Unternehmen starten erst jetzt mit konkreten Projekten, weil die Rechtslage klar ist und im Falle von Versäumnissen Sanktionen greifen.“ Scholl rechnet mit einem „klar spürbaren und nachhaltigen Umsatzimpuls, wenn die Rechtslage bei den Leitungsorganen der Unternehmen angekommen ist“. Wachstum sehen die Experten neben dem reinen Vertrieb von Lösungen vor allem bei Consulting und Enablement, in den Bereichen Identity, OT-Security und Managed Services, Automatisierung und Threat Detection sowie bei Security Awareness Trainings.

Doch es gibt auch kritische Stimmen. „NIS2 wird einen positiven Einfluss auf die Umsätze haben, dies wird aber konterkariert von der gesamtwirtschaftlichen Situation. Wenn kein Geld vorhanden ist, kann nichts investiert werden, weshalb eine stabile Wirtschaft notwendig ist, damit Unternehmen agieren können“, fordert Schneider von Sysob. Ender von SecTepe meint, dass der spürbare Einfluss auf die Umsätze „derzeit noch schwer vorhersehbar“ ist. „Viele Unternehmen haben bereits IT-Dienstleister und wenden sich in der Regel zuerst an diese, egal ob der IT-Dienstleister sich explizit mit den Anforderungen aus NIS2 auskennt oder nicht. Oft sind Umsetzungen dadurch sehr technisch und operativ getrieben; Management- und Prozesskomponenten bleiben auf der Strecke. Diese sind langfristig aber notwendig, um die von NIS2- geforderten Anforderungen dauerhaft einzuhalten.“

So geht die Umsetzung

Wie sollten Unternehmen am besten vorgehen? Der erste notwendige Schritt ist die Klärung, ob das Unternehmen überhaupt unter die Richtlinie fällt. Da diese Prüfung für kleinere Betriebe oft komplex ist, sollten sie frühzeitig externe Unterstützung durch spezialisierte Systemhäuser oder Berater hinzuzuziehen. Unternehmen sollten zudem rechtzeitig finanzielle und personelle Kapazitäten einplanen, da die Umsetzung oft kurzfristig nicht allein leistbar ist. Bevor technische Details angegangen werden, muss die Akzeptanz im Management geschaffen werden, dass in Cybersicherheit investiert werden muss. Es ist entscheidend, dass die Geschäftsleitung ihre persönliche Haftung versteht.

Ein bewährter praktischer Einstieg ist die Durchführung eines sogenannten NIS2-Checks, den u.a. das BSI kostenfrei anbietet. Auch eine Gap-Analyse, bei der das aktuelle Sicherheitsniveau mit den Anforderungen verglichen wird, um Lücken zu identifizieren, kann sinnvoll sein. Parallel dazu sollten Unternehmen eine Inventur ihrer kritischen Assets und eine Analyse der Lieferkettenabhängigkeiten vornehmen, da Transparenz die Basis für jedes Risikomanagement ist. Zudem sollte ein ISMS, beispielsweise auf Basis der ISO 27001, etabliert werden.

Da NIS2 verbindliche Security-Awareness-Trainings für alle Mitarbeitenden und die Geschäftsführung vorschreibt, sollten diese fest in den Fahrplan integriert werden. Wichtig ist zudem das Verständnis, dass Compliance kein einmaliges Projekt, sondern eine kontinuierliche strategische Priorität ist, die regelmäßige Überprüfungen erfordert. Denn schließlich ist „NIS2 keine Option“, bringt es Scholl auf den Punkt. 

„Die Bedrohungslage entwickelt sich stetig weiter. Gerade KI-gesteuerte Angriffe verschärfen die Risiken, insbesondere für Unternehmen mit veralteten Systemen und komplexen Lieferketten“, warnt Steve Bradford, Senior Vice President EMEA bei Sailpoint. Er sieht in der Compliance einen strategischen Vorteil. „Jetzt ist der richtige Zeitpunkt, die eigenen Schutzmaßnahmen zu überprüfen, Schwachstellen zu schließen und neuen Bedrohungen einen Schritt voraus zu sein.“

Ulbrich von Elovade konkretisiert die Perspektiven für Dienstleister: „Der nächste logische Schritt führt viele Unternehmen zum Systemhaus ihres Vertrauens – in der Hoffnung, dort auf Expertise zu stoßen. Wer hier gut aufgestellt ist, kann echten Mehrwert bieten – und aus der Herausforderung eine Chance machen.“ Und auch wenn die Hürden aktuell groß scheinen, passt der Vergleich von Peter Schneider von Sysob mit der Einführung von Sicherheitsgurten und Kopfstützen im Auto: „Anfangs hat sich jeder darüber beschwert und nicht verstanden, warum man jetzt einen Gurt anlegen sollte – heute gehört es einfach dazu.“

Weiterführende Informationen zu NIS2

Die NIS2-Umsetzung ist eine Herausforderung. So können CISOs 6 typische Fehler bei der Umsetzung vermeiden.

IT-Compliance und ihr zentraler Baustein IT-Dokumentation werden immer wichtiger. Unternehmen müssen eine belastbare IT-Sicherheitsstrategie entwickeln.

Regulatorische Anforderungen wie NIS2 und DORA unterstützen die Unternehmens-Resilienz. Ein Systemhaus-Experte erklärt die praktische Umsetzung solcher Projekte.

NIS2 beinhaltet nun eine persönliche Haftung der Geschäftsführung. Die Business Judgement Rule kann hier schützen.

Cyberrisiken nehmen stetig zu und erfordern eine umfassende Resilienz. Die NIS2-Richtlinie verschärft die Voraussetzungen für rund 30.000 Unternehmen.

Quantencomputer gefährden die klassische Verschlüsselung. Eine explizite Pflicht für ein Kryptokonzept fehlt der NIS2-Richtlinie bislang.

(ID:50681562)