NIS2 in Deutschland: Fristen, Betroffenheit & Umsetzung

Mit der NIS2-Richtlinie verschärft die Europäische Union ihre Anforderungen an die Cybersicherheit von Unternehmen und öffentlichen Einrichtungen. Gleichzeitig wird der Anwendungsbereich der Regulierung deutlich erweitert, sodass künftig deutlich mehr Unternehmen als bisher unter die Vorgaben fallen. Ziel ist es, kritische digitale Infrastrukturen besser zu schützen und ein einheitliches Sicherheitsniveau innerhalb der EU zu schaffen.

Für viele Unternehmen stellt sich deshalb erstmals die Frage, ob sie von NIS2 betroffen sind und welche Anforderungen sich daraus ergeben. In Deutschland erfolgt die nationale Umsetzung über das Gesetz zur Umsetzung der NIS-2-Richtlinie.

Der folgende Artikel zeigt, welche Rolle NIS2 für Unternehmen in Deutschland spielt und welche Aspekte bei der Einordnung und Umsetzung der Richtlinie relevant werden.

Das Wichtigste zu NIS2 auf einen Blick

• NIS2 ist eine EU-Richtlinie zur Stärkung der Cybersicherheit von Unternehmen und öffentlichen Einrichtungen.
• Sie erweitert die bisherige Regulierung und betrifft deutlich mehr Organisationen als die klassische KRITIS-Regulierung.
• Die Umsetzung der NIS2- Richtlinie in Deutschland erfolgt über das NIS2-Umsetzungsgesetz (NIS2UmsuCG).
• Betroffene Unternehmen müssen organisatorische und technische Sicherheitsmaßnahmen umsetzen und Sicherheitsvorfälle melden.
• Bei Verstößen gegen die Anforderungen der Richtlinie drohen behördliche Aufsicht sowie mögliche Bußgelder.

‍

Was genau ist NIS2?

‍

Die NIS2-Richtlinie (EU 2022/2555) ist eine europäische Regelung zur Stärkung der IT-Sicherheit und des Risikomanagements in Unternehmen und öffentlichen Einrichtungen. Sie baut auf der ursprünglichen NIS-Richtlinie auf und erweitert sowohl den Kreis der betroffenen Organisationen als auch die Anforderungen an IT-Sicherheit und Risikomanagement.

Ziel von NIS2 ist es, ein einheitlich höheres Sicherheitsniveau für digitale Infrastrukturen und zentrale Dienstleistungen innerhalb der Europäischen Union zu schaffen. Digitale Systeme bilden heute die Grundlage vieler wirtschaftlicher und gesellschaftlicher Prozesse. Sicherheitsvorfälle oder Cyberangriffe können deshalb schnell Auswirkungen auf ganze Branchen oder Lieferketten haben.

Mit NIS2 reagiert die EU auf diese Entwicklung und definiert verbindliche Mindestanforderungen für den Umgang mit Cyberrisiken. Unternehmen müssen Sicherheitsmaßnahmen systematisch organisieren, Risiken bewerten und Prozesse zur Meldung von Sicherheitsvorfällen etablieren.

‍

Grund und Ziel der Richtlinie

Die NIS2-Richtlinie entstand vor dem Hintergrund einer zunehmenden Digitalisierung wirtschaftlicher und öffentlicher Prozesse. Digitale Infrastrukturen, Cloud-Dienste und vernetzte IT-Systeme bilden heute die Grundlage vieler Geschäftsmodelle und Versorgungsstrukturen. Entsprechend steigt die Bedeutung stabiler und sicherer Informationssysteme für Unternehmen und Organisationen.

Gleichzeitig zeigt sich in der Praxis, dass die ursprüngliche NIS-Regulierung nur einen begrenzten Teil der digitalen Infrastruktur erfasst und in den einzelnen EU-Mitgliedstaaten unterschiedlich umgesetzt wird. Dadurch entstanden teilweise uneinheitliche Sicherheitsstandards innerhalb des europäischen Binnenmarkts.

Mit NIS2 verfolgt die Europäische Union das Ziel, Cybersicherheit stärker zu harmonisieren. Die Richtlinie definiert gemeinsame Mindestanforderungen für den Umgang mit Cyberrisiken und beschreibt zentrale Risikomanagementmaßnahmen. Damit soll die Stabilität digitaler Dienstleistungen innerhalb der EU langfristig verbessert werden.

‍

Was sich gegenüber NIS (alt) verschärft 

Mit NIS2 werden die regulatorischen Anforderungen im Vergleich zur ursprünglichen NIS-Regulierung deutlich verschärft. Die NIS2-Richtlinie stärkt insbesondere die organisatorische Verantwortung für Cybersicherheit und führt verbindlichere Pflichten für das Risikomanagement in Unternehmen ein.

Ein wesentlicher Unterschied betrifft die Rolle der Unternehmensleitung. Während Cybersicherheit zuvor häufig als rein technische Aufgabe betrachtet wurde, verankert NIS2 die Verantwortung stärker auf Managementebene. Geschäftsleitungen müssen sicherstellen, dass geeignete Sicherheitsmaßnahmen etabliert und entsprechende Risiken strukturiert bewertet werden.

Gleichzeitig stärkt die NIS2-Richtlinie die Aufsicht durch Behörden und schafft klarere Vorgaben für den Umgang mit Sicherheitsvorfällen, etwa bei Melde- und Reaktionsprozessen. Zudem werden mögliche Sanktionen bei Verstößen ausgeweitet, wodurch die Einhaltung der Anforderungen stärker in den Fokus unternehmerischer Compliance rückt.

‍

Warum NIS2 „mehr Unternehmen“ betrifft als vorher

Ein wesentlicher Unterschied zur ursprünglichen Regulierung liegt im deutlich erweiterten Anwendungsbereich der NIS2-Richtlinie. Während sich die erste NIS-Regulierung vor allem auf klassische Betreiber kritischer Infrastrukturen konzentriert, erfasst NIS2 heute deutlich mehr wirtschaftliche Akteure.

Die NIS2-Richtlinie bezieht neben etablierten KRITIS-Bereichen wie Energie, Transport oder Gesundheitswesen auch weitere Branchen ein, die für wirtschaftliche Abläufe und digitale Dienstleistungen eine zentrale Rolle spielen. Dazu gehören beispielsweise digitale Infrastruktur, IT-Dienstleistungen sowie Teile des verarbeitenden Gewerbes.

Darüber hinaus orientiert sich NIS2 stärker an der Größe und wirtschaftlichen Bedeutung eines Unternehmens. Dadurch fallen auch viele mittelständische Organisationen erstmals unter regulatorische Anforderungen. Für zahlreiche Unternehmen stellt sich daher die Frage: Wer ist von NIS2 betroffen?

‍

Wer ist von NIS2 betroffen?

‍

Die NIS2-Richtlinie betrifft vor allem mittlere und große Unternehmen sowie öffentliche Einrichtungen in wirtschaftlich relevanten Sektoren. Schätzungen zufolge könnten in Deutschland rund 30.000 Unternehmen unter NIS2 fallen. Zum Vergleich: Unter der ursprünglichen NIS-Regulierung werden lediglich etwa 2.000 Organisationen erfasst.

Ob ein Unternehmen unter die Regulierung fällt, ergibt sich in der Regel aus zwei Kriterien: Unternehmensgröße und Sektorzugehörigkeit. Für die Einordnung der Unternehmensgröße orientiert sich die Richtlinie an den Schwellenwerten für mittlere und große Unternehmen. Maßgeblich sind dabei insbesondere folgende Größenkriterien:

• mindestens fünfzig Beschäftigte oder
• mehr als zehn Millionen Euro Jahresumsatz oder eine Jahresbilanzsumme von mehr als zehn Millionen Euro

Neben der Größe spielt auch der wirtschaftliche Tätigkeitsbereich eine Rolle. Die NIS2-Richtlinie unterscheidet dabei zwischen „wesentlichen“ und „wichtigen“ Einrichtungen. Zu den betroffenen Bereichen zählen unter anderem:

• Energie, Transport und Gesundheitswesen
• Banken und Finanzmarktinfrastrukturen
• digitale Infrastruktur, Rechenzentren oder Cloud-Dienste
• öffentliche Verwaltung und bestimmte IT-Dienstleistungen
• Post- und Kurierdienste, Abfallwirtschaft oder Teile der Lebensmittelproduktion

Für viele Organisationen ergibt sich die Betroffenheitsprüfung aus einer Kombination von Branche, Unternehmensgröße und Rolle innerhalb digitaler Wertschöpfungsstrukturen. In bestimmten Fällen können jedoch auch Unternehmen unterhalb dieser Schwellenwerte betroffen sein, etwa wenn sie zentrale digitale Dienste bereitstellen oder eine wichtige Rolle innerhalb der Lieferkette regulierter Organisationen einnehmen. Zusätzlich rückt die Sicherheit der Lieferkette stärker in den Fokus.

‍

Wann wurde NIS2 in Deutschland verpflichtend?

‍

Die NIS2-Richtlinie wurde auf europäischer Ebene im Jahr 2023 verabschiedet. Anschließend mussten die Mitgliedstaaten die Vorgaben in nationales Recht überführen.

In Deutschland erfolgte diese Umsetzung über das NIS2-Umsetzungsgesetz, das am 06.12.2025 in Kraft trat.  Seit diesem Zeitpunkt gelten die Anforderungen der NIS2 auch für betroffene Unternehmen in Deutschland verbindlich.

Organisationen, die unter die Regulierung fallen, mussten sich dabei einmalig bis März 2026 beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren, um als regulierte Organisation erfasst zu werden.

Für Unternehmen bedeutet das, dass die erforderlichen organisatorischen und technischen Maßnahmen seit Ende 2025 strukturiert umgesetzt werden müssen.

‍

NIS2 Anforderungen: Was organisatorisch & technisch erwartet wird

Die Anforderungen von NIS2 betreffen sowohl organisatorische Strukturen als auch konkrete Schutzmaßnahmen.

Auf organisatorischer Ebene müssen Unternehmen klare Verantwortlichkeiten für Informationssicherheit definieren und ein strukturiertes Risikomanagement etablieren. 

Dazu gehören insbesondere:

• Direkte Verantwortung der Geschäftsleitung für Cybersicherheit und Risikomanagement
• Einführung strukturierter Risikomanagement-Prozesse
• Prozesse zur Meldung von Sicherheitsvorfällen an zuständige Behörden
• Berücksichtigung von Sicherheitsrisiken innerhalb der Lieferkette
• regelmäßige Schulungen von Mitarbeitenden zu Cyberrisiken

Neu ist dabei insbesondere die stärkere Verantwortung auf Managementebene. Geschäftsleitungen müssen sicherstellen, dass angemessene Sicherheitsmaßnahmen umgesetzt und Risiken systematisch bewertet werden.

Ergänzend verlangt NIS2 technische Maßnahmen, die sich am Stand der Technik orientieren. Typische Beispiele sind:

• Multi-Faktor-Authentifizierung für Systeme und Benutzerkonten
• Absicherung von IT-Netzwerken und Trennung verschiedener Systembereiche
• Verschlüsselung vertraulicher Daten
• strukturiertes Management von Sicherheitsupdates und Softwareaktualisierungen
• Systeme zur Erkennung von Sicherheitsvorfällen
• klare Zugriffskontrollen und Berechtigungsmodelle

Welche Maßnahmen konkret erforderlich sind, hängt von Branche, Unternehmensgröße und Risikoprofil ab.

‍

Was ist der Unterschied zwischen KRITIS und NIS2?

‍

Der Unterschied zwischen KRITIS und NIS2 liegt vor allem im regulatorischen Ansatz und im Umfang der betroffenen Organisationen. Während die deutsche KRITIS-Verordnung in erster Linie Betreiber besonders kritischer Infrastrukturen adressiert, verfolgt NIS2 einen breiteren Ansatz zur Regulierung von Cybersicherheit in wirtschaftlich relevanten Sektoren.

Unter KRITIS fallen in Deutschland vor allem Einrichtungen, deren Ausfall erhebliche Auswirkungen auf das öffentliche Leben hätte. Dazu zählen beispielsweise Bereiche wie Energieversorgung, Gesundheitswesen, Transport oder Telekommunikation. Unternehmen, die unter die KRITIS-Verordnung fallen, müssen bestimmte IT-Sicherheitsmaßnahmen umsetzen und relevante Störungen gegenüber dem Bundesamt für Sicherheit in der Informationstechnik melden.

Die NIS2-Richtlinie verfolgt dagegen einen europaweiten Ansatz zur Regulierung von Cybersicherheit. Sie definiert gemeinsame Anforderungen für Unternehmen in verschiedenen wirtschaftlich relevanten Sektoren und soll so ein einheitliches Sicherheitsniveau innerhalb der EU schaffen. In Deutschland werden diese Vorgaben über das NIS2-Umsetzungsgesetz in nationales Recht überführt.

Während die KRITIS-Verordnung eine nationale Regulierung für besonders kritische Betreiber darstellt, verfolgt NIS2 einen europaweiten Ansatz mit deutlich größerem Anwendungsbereich.

‍

NIS2 Umsetzungsgesetz / NIS2UmsuCG: Was in Deutschland geregelt wird

‍

Die europäische NIS2-Richtlinie wird in Deutschland durch das NIS2-Umsetzungsgesetz (NIS2UmsuCG) umgesetzt. Dieses Gesetz schafft die rechtliche Grundlage, um die europäischen Vorgaben verbindlich in deutsches Recht zu überführen.

Das NIS2UmsuCG definiert vor allem, wie die Anforderungen der NIS2 Umsetzung innerhalb Deutschlands organisiert und überwacht werden. Dazu gehören insbesondere Zuständigkeiten der Behörden, Meldeprozesse bei Sicherheitsvorfällen sowie die regulatorische Einordnung betroffener Unternehmen.

Eine zentrale Rolle übernimmt dabei das Bundesamt für Sicherheit in der Informationstechnik, das als Aufsichtsbehörde für die Umsetzung der gesetzlichen Vorgaben zuständig ist. Das Amt überwacht die Einhaltung der Regelungen, kann Sicherheitsüberprüfungen durchführen und bei Verstößen entsprechende Maßnahmen anordnen.

Das Gesetz bildet damit die nationale Grundlage für die praktische Umsetzung der europäischen Vorgaben in Deutschland.

‍

KRITIS-Dachgesetz: Was es regelt – und wie es sich zu NIS2 verhält

‍

Neben der europäischen NIS2-Regulierung wird in Deutschland auch das sogenannte KRITIS-Dachgesetz eingeführt. Während sich viele Regelungen der NIS2 auf Cybersicherheit und den Schutz digitaler Systeme konzentrieren, adressiert das KRITIS-Dachgesetz vor allem die physische Resilienz kritischer Infrastrukturen. Ziel ist unter anderem eine Regelung des Informationssicherheitsmanagements für Betreiber kritischer Anlagen.

Betreiber kritischer Einrichtungen müssen Risiken systematisch analysieren und geeignete Maßnahmen ergreifen, um die Funktionsfähigkeit ihrer Anlagen auch bei Störungen oder anderen sicherheitsrelevanten Ereignissen wie Naturkatastrophen aufrechtzuerhalten. Zusätzlich gelten Meldepflichten gegenüber zuständigen Behörden, wenn es zu erheblichen Störungen kommt.

Das KRITIS-Dachgesetz ergänzt die bestehenden Regelungen der KRITIS-Verordnung und steht in engem Zusammenhang mit der Umsetzung der NIS2 in Deutschland. Beide Regulierungen verfolgen unterschiedliche Schwerpunkte, greifen in der Praxis jedoch häufig ineinander.

‍

NIS2 Beratung & Compliance: So läuft ein typisches Projekt ab

‍

Die Umsetzung der NIS2-Richtlinie erfolgt in vielen Unternehmen im Rahmen eines strukturierten Projekts. Ziel ist es, bestehende Sicherheitsprozesse zu überprüfen, organisatorische Zuständigkeiten zu klären und regulatorische Anforderungen systematisch umzusetzen.

Ein NIS2 Beratungsprojekt folgt dabei meist einem mehrstufigen Vorgehen:

• Einordnung der Betroffenheit: Unternehmen prüfen zunächst, ob und in welchem Umfang sie unter die Vorgaben der NIS2-Richtlinie fallen.
• Ist-Analyse der Sicherheitsstruktur: Bestehende Prozesse, Richtlinien und technische Maßnahmen werden analysiert, um mögliche Lücken zur NIS2 Compliance zu identifizieren.
• Risikobewertung und Maßnahmenplanung: Auf Basis der Analyse werden priorisierte Maßnahmen zur Verbesserung der Sicherheitsstruktur festgelegt.
• Umsetzung organisatorischer und technischer Maßnahmen: Sicherheitsrichtlinien, Governance-Strukturen und technische Schutzmechanismen werden entsprechend angepasst.
• Dokumentation und Schulungen: Unternehmen etablieren Meldeprozesse für Sicherheitsvorfälle und dokumentieren ihre Sicherheitsmaßnahmen nachvollziehbar.

Ein zentraler Bestandteil der NIS2 Compliance ist die regelmäßige Überprüfung und Weiterentwicklung der Sicherheitsprozesse.

‍

NIS2 Umsetzung mit Hilfe von Vertragsmanagement

‍

Die NIS2-Richtlinie betrifft nicht nur interne IT-Sicherheitsmaßnahmen, sondern auch die Absicherung von Dienstleistern und Lieferanten. Da viele digitale Leistungen über externe Anbieter erbracht werden, entstehen Sicherheitsrisiken häufig entlang der Lieferkette.

Vor diesem Hintergrund gewinnt ein strukturiertes Vertragsmanagement an Bedeutung. Verträge mit Dienstleistern, IT-Anbietern oder Plattformbetreibern enthalten häufig zentrale Regelungen zu Sicherheitsstandards, Verantwortlichkeiten und Meldepflichten bei Sicherheitsvorfällen. Diese Vereinbarungen bilden eine wichtige Grundlage, um Anforderungen der NIS2-Richtlinie auch über die eigene Organisation hinaus umzusetzen.

Ein systematisches Vertragsmanagement kann Unternehmen dabei unterstützen,

• sicherheitsrelevante Vertragsklauseln zentral zu dokumentieren
• Sicherheitsanforderungen für Dienstleister bereits bei der Vertragsgestaltung festzulegen und im Vertrag nachvollziehbar festzuhalten
• Fristen, Meldepflichten oder Audit-Rechte aus Verträgen zu überwachen
• NIS2-relevante Vertragsklauseln schnell auffindbar zu machen

Damit wird Vertragsmanagement zu einem wichtigen Baustein, um regulatorische Anforderungen strukturiert umzusetzen.

‍

NIS2 Aufgaben und Fristen mit Vertragsmanagement Software organisieren

Die Anforderungen der NIS2-Richtlinie betreffen in vielen Unternehmen auch vertragliche Beziehungen zu Dienstleistern und Technologiepartnern. Vor allem in der Lieferkette müssen Sicherheitsanforderungen klar geregelt und dokumentiert werden. Dadurch entstehen zusätzliche organisatorische Aufgaben für Fachbereiche wie IT, Legal oder Einkauf.

Eine strukturierte Vertragsmanagement Software kann dabei unterstützen, relevante Verträge zentral zu erfassen und sicherheitsrelevante Verpflichtungen systematisch zu steuern. Dadurch lassen sich wichtige Informationen zu Sicherheitsanforderungen, Zuständigkeiten und Meldepflichten konsistent dokumentieren.

Typische Einsatzbereiche sind beispielsweise:

• zentrale Übersicht über Lieferanten- und IT-Verträgen, um sicherheitsrelevante Lieferketten zu identifizieren
• zentrale Erfassung von Sicherheitsanforderungen aus Vertragsklauseln
• Dokumentation von Audit-Rechten und Sicherheitsnachweisen gegenüber Behörden
• Verwaltung sicherheitsrelevanter Zertifikate oder Compliance-Nachweise von Dienstleistern
• Organisation relevanter NIS2-Fristen, etwa bei der Dokumentation von Sicherheitsvorfällen oder bei internen Prüfprozessen

Durch eine strukturierte Organisation dieser Informationen lassen sich vertragliche Verpflichtungen und regulatorische Anforderungen im operativen Alltag besser steuern.

‍

Fazit: NIS2 strukturiert umsetzen und Zuständigkeiten absichern

‍

Mit der NIS2-Richtlinie steigen die Anforderungen an Risikomanagement und organisatorische Verantwortung in vielen Unternehmen deutlich. Für zahlreiche Organisationen geht es deshalb darum, Sicherheitsanforderungen, Zuständigkeiten und Prozesse dauerhaft nachvollziehbar zu integrieren. Gerade dort, wo externe Dienstleister und mehrere Fachbereiche beteiligt sind, wird die Umsetzung schnell zu einer bereichsübergreifenden Aufgabe. Bei schwerwiegenden Verstößen sind zudem Bußgelder möglich.

Ein strukturiertes Vertragsmanagement kann dafür eine wichtige organisatorische Grundlage schaffen. Sicherheitsanforderungen an Dienstleister, Audit-Rechte oder Meldepflichten werden häufig direkt in Verträgen geregelt. Sind diese Informationen dezentral abgelegt, entsteht schnell zusätzlicher Abstimmungsaufwand. Eine zentrale Verwaltung hilft dabei, Verpflichtungen nachvollziehbar zu dokumentieren und Zuständigkeiten klar zuzuordnen.

ContractHero unterstützt Unternehmen genau an dieser Stelle. Die Plattform bündelt Verträge zentral, macht sicherheitsrelevante Informationen leichter auffindbar und bildet Fristen, Verantwortlichkeiten und vertragliche Verpflichtungen strukturiert ab. So kann die Umsetzung enger an den tatsächlichen Vereinbarungen mit Dienstleistern und Partnern organisiert werden.

‍

NIS2 Selbstcheck: Sind Ihre Verträge auf eine Prüfung vorbereitet?

‍

Viele Unternehmen investieren derzeit stark in IT-Sicherheit. Gleichzeitig zeigt sich in der Praxis, dass vertragliche Sicherheitsanforderungen oft verteilt in einzelnen Dokumenten, E-Mails oder Abteilungen liegen.

Unser kurzer NIS2 Governance Selbstcheck hilft dabei, typische Risiken im Vertragsmanagement schnell zu erkennen.

Prüfen Sie in fünf Minuten:

• ob Ihre IT- und Dienstleisterverträge vollständig erfasst sind
• ob sicherheitsrelevante Verpflichtungen nachvollziehbar dokumentiert sind
• ob Fristen und Verantwortlichkeiten strukturiert organisiert sind

Download: NIS2 Selbstcheck für Unternehmen

‍