NIS2-Compliance in Wochen, nicht Monaten

NIS2 (EU-Richtlinie 2022/2555) ist die überarbeitete EU-Cybersicherheitsrichtlinie, die den Schutz kritischer und wichtiger Infrastrukturen in Europa auf ein neues Niveau hebt. In Deutschland wurde sie durch das NIS2-Umsetzungsgesetz (NIS2UmsuCG) in nationales Recht überführt. Das Gesetz ist seit dem 6. Dezember 2025 in Kraft. Damit gelten die neuen Pflichten nicht irgendwann in der Zukunft, sondern jetzt.

Betroffen sind Unternehmen aus 18 Sektoren, die mindestens 50 Mitarbeitende beschäftigen oder einen Jahresumsatz von mehr als 10 Millionen Euro erzielen. Dazu gehören unter anderem Energie, Transport, Gesundheit, digitale Infrastruktur, Abfallwirtschaft, Lebensmittel, verarbeitendes Gewerbe, Post- und Kurierdienste sowie Anbieter digitaler Dienste. Auch Unternehmen unterhalb der Schwellenwerte können betroffen sein, wenn sie als Zulieferer für regulierte Einrichtungen tätig sind.

Im Vergleich zur alten NIS-Richtlinie von 2016 bringt NIS2 weitreichende Verschärfungen. Die Zahl der regulierten Sektoren hat sich mehr als verdoppelt. Die persönliche Haftung der Geschäftsleitung ist explizit geregelt: Geschäftsführer und Vorstände müssen Risikomanagement-Massnahmen genehmigen und deren Umsetzung überwachen. Verstösse können zu Bussgeldern von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes führen. Neu ist auch die verpflichtende Absicherung der Lieferkette: Unternehmen müssen sicherstellen, dass auch ihre Dienstleister und Zulieferer angemessene Sicherheitsmassnahmen umsetzen.

Das NIS2UmsuCG ist geltendes Recht. Das BSI kann seit Inkrafttreten Registrierungen einfordern, Audits durchführen und Sanktionen verhängen. Wer jetzt nicht handelt, riskiert nicht nur Bussgelder, sondern auch den Verlust von Aufträgen bei regulierten Kunden, die ihre Lieferkette absichern müssen.