NIS2
EU-Richtlinie über Netz- und Informationssicherheit 2
Network and Information Security Directive 2
NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung. In Deutschland wird sie durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) umgesetzt, das das BSI-Gesetz grundlegend reformiert.
Historie. Die erste NIS-Richtlinie von 2016 war Europas erster Anlauf zu einheitlicher Cybersicherheit, blieb in der Praxis aber lückenhaft und uneinheitlich umgesetzt. NIS2 trat 2023 auf EU-Ebene in Kraft; die Umsetzungsfrist für die Mitgliedstaaten endete am 17. Oktober 2024. Deutschland überschritt diese Frist deutlich — das NIS2UmsuCG wurde erst am 13. November 2025 vom Bundestag beschlossen und trat am 6. Dezember 2025 ohne Übergangsfrist in Kraft.
Fakten. Betroffen sind rund 29.500 Einrichtungen aus 18 Sektoren, grob ab 50 Beschäftigten oder 10 Mio. € Umsatz, unterteilt in „besonders wichtige“ und „wichtige“ Einrichtungen. Kernpflichten sind die Risikomanagement-Maßnahmen nach § 30 BSIG-neu (u. a. Vorfallsbehandlung, Business Continuity, Lieferkettensicherheit, Kryptografie, Zugriffskontrolle), die Meldekette 24 Stunden Frühwarnung / 72 Stunden Meldung / ein Monat Abschlussbericht sowie die Registrierungspflicht beim BSI (Frist 6. März 2026). Die Geschäftsleitung haftet persönlich; Bußgelder reichen bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes.
Ausblick & Empfehlung. NIS2 verschiebt Cybersicherheit endgültig von der IT-Abteilung in die Verantwortung der Geschäftsführung. Wer noch nicht registriert ist, sollte dies umgehend nachholen — die fehlende Registrierung ist ein eigenständiger Bußgeldtatbestand. Ein gelebtes ISMS nach ISO 27001 ist eine starke Basis, ersetzt aber die spezifische Nachweisführung nicht. NEOSEC begleitet als ISO-27001-Lead-Auditor-geführtes Haus Gap-Analyse, technische Maßnahmen und die Meldekette — der erste Schritt ist stets eine belastbare Bestandsaufnahme der eigenen IT.