NIS-2-Richtlinie: Sind Sie betroffen — und was müssen Sie tun?
Die NIS-2-Richtlinie (EU 2022/2555) verpflichtet tausende Unternehmen in Deutschland zu konkreten Cybersicherheitsmaßnahmen. Viele wissen noch nicht, ob sie betroffen sind — und was genau auf sie zukommt.
Konzept 17 prüft Ihre Betroffenheit, erklärt Ihre Pflichten und unterstützt bei der strukturierten Umsetzung.
Wer ist von der
NIS-2-Richtlinie betroffen?
Die NIS-2-Richtlinie erweitert den Anwendungsbereich erheblich und betrifft deutlich mehr Organisationen als die bisherige NIS-Richtlinie. Maßgeblich ist nicht nur die Branche, sondern auch die Größe und Bedeutung der Organisation.
Als wesentliche Einrichtungen gelten Organisationen, deren Ausfall erhebliche Auswirkungen auf Gesellschaft, Wirtschaft oder Sicherheit hätte. Dazu zählen insbesondere Unternehmen und Institutionen aus den Bereichen Energie, Verkehr, Gesundheitswesen, digitale Infrastruktur, Wasser- und Abwasserversorgung sowie bestimmte öffentliche Stellen. IT-Sicherheit in der Wirtschaft ist für diese Einrichtungen keine Option — sondern gesetzliche Pflicht.
Wichtige Einrichtungen sind Organisationen aus weiteren wirtschaftlich relevanten Branchen wie Abfallwirtschaft, Lebensmittelproduktion, Maschinen- und Anlagenbau, chemische Industrie sowie Anbieter digitaler Dienste. Für die Einordnung sind in der Regel Mitarbeiterzahl und Jahresumsatz maßgeblich. Auch die Sicherheit kritischer Infrastruktur zählt zu den zentralen Schutzzielen der NIS-2-Richtlinie.
Pflichten nach
der NIS-2-Richtlinie
Die NIS-2 Richtlinie verpflichtet betroffene Unternehmen und Einrichtungen zu klar definierten technischen, organisatorischen und rechtlichen Maßnahmen zur Stärkung der Cybersicherheit. Ziel ist es, Risiken frühzeitig zu erkennen, Sicherheitsvorfälle zu minimieren und die Resilienz kritischer und wichtiger Strukturen nachhaltig zu erhöhen.
1. Risikomanagement & technische Sicherheitsmaßnahmen
Unternehmen müssen geeignete technische und organisatorische Maßnahmen einführen und in verbindlichen IT-Sicherheitsrichtlinien und IT-Sicherheitsleitlinien festhalten. Dazu zählen Sicherheitskonzepte, Zugriffskontrollen, Notfallpläne, regelmäßige Risikoanalysen sowie ein strukturiertes IT-Sicherheitsmanagement für die gesamte Liefer- und Betriebskette.
2. Meldepflichten bei IT-Sicherheitsvorfällen
Die NIS-2 Richtlinie führt verbindliche Meldepflichten für erhebliche Sicherheitsvorfälle ein. Betroffene Organisationen müssen Cyberangriffe oder Störungen innerhalb festgelegter Fristen an die zuständigen Behörden melden. Dies dient einer schnellen Reaktion, der Schadensbegrenzung und der besseren Koordination auf nationaler und europäischer Ebene.
3. Organisatorische Verantwortung & Mitarbeitende
Neben technischen Maßnahmen legt NIS-2 besonderen Wert auf klare Verantwortlichkeiten innerhalb der Organisation. Geschäftsleitungen tragen erhöhte Verantwortung für die Umsetzung der Sicherheitsanforderungen. Mitarbeitende müssen durch IT-Awareness-Maßnahmen ausreichend sensibilisiert und geschult werden, um IT-Sicherheitsrisiken frühzeitig zu erkennen und korrekt zu handeln. Sicherheit und Datenschutz sind dabei eng miteinander verbunden.
4. Kontrolle, Nachweise & Sanktionen
Die Einhaltung der NIS-2 Vorgaben muss nachweisbar dokumentiert werden. Behörden sind befugt, Kontrollen durchzuführen und bei Verstößen Sanktionen zu verhängen. Diese reichen von Anordnungen zur Nachbesserung bis hin zu empfindlichen Bußgeldern, wodurch Cybersicherheit zu einem verbindlichen Bestandteil der Unternehmensführung wird.
Die Einhaltung der NIS-2-Anforderungen erfordert ein strukturiertes IT-Sicherheitsmanagement mit klaren IT-Sicherheitsrichtlinien, definierten Verantwortlichkeiten und belastbaren IT-Sicherheitsleitlinien. Konzept 17 unterstützt Sie dabei, alle relevanten Pflichten nachvollziehbar umzusetzen.
FAQ – Häufige Fragen zum externen Datenschutzbeauftragten
Wann gilt NIS-2 in Deutschland?
Die EU-Richtlinie hätte bis Oktober 2024 in nationales Recht umgesetzt werden sollen. Das NIS-2-Umsetzungsgesetz (NIS2UmsuCG) ist noch nicht in Kraft — der Prozess läuft. Unternehmen sollten die Umsetzung trotzdem jetzt angehen: Wer wartet, bis das Gesetz gilt, hat keine Zeit mehr für eine strukturierte Umsetzung.
Was passiert, wenn wir NIS-2 nicht umsetzen?
Bußgelder: bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen, bis zu 7 Mio. € oder 1,4 % für wichtige Einrichtungen. Hinzu kommt die persönliche Haftung der Geschäftsführung.
Wir sind ein kleines Unternehmen — sind wir wirklich betroffen?
Nicht automatisch. Entscheidend sind Sektor, Mitarbeiterzahl und Umsatz. Aber: Sind Sie Lieferant eines betroffenen Unternehmens, können dessen Anforderungen auf Sie durchschlagen — auch ohne direkte gesetzliche Pflicht. Wir klären das im Erstgespräch.
Was kostet die NIS-2-Umsetzung?
Das hängt vom aktuellen Sicherheitsniveau ab. Wer bereits ein IT-Sicherheitskonzept hat, braucht oft nur Lücken zu schließen. Wer bei null anfängt, braucht einen strukturierten Aufbau. Über die BAFA-Förderung lässt sich die Beratung mit bis zu 80 % bezuschussen.
Wie läuft eine NIS-2-Beratung bei Konzept 17 ab?
Erstgespräch → Betroffenheitsprüfung → Ist-Analyse des Sicherheitsniveaus → Maßnahmenplan → Umsetzungsbegleitung und Dokumentation. Kein Einheitskonzept — wir arbeiten mit dem, was in Ihrem Unternehmen bereits vorhanden ist.
Unser Vorgehen bei der NIS-2-Umsetzung
Sektor, Größe, Lieferkettenstatus: Sind Sie betroffen und in welcher Kategorie?
Welche Sicherheitsmaßnahmen existieren bereits, wo liegen Lücken?
Priorisierte Liste der Umsetzungsschritte, angepasst an Ihre Ressourcen