NIS-2-Schulungen für regulierte Unternehmen

NIS-2 (Network and Information Security Directive 2) ist die überarbeitete EU-Richtlinie zur Cybersicherheit kritischer Infrastruktur. 

Sie ersetzt die ursprüngliche NIS-Richtlinie von 2016 und legt verbindliche Mindestanforderungen für Cyberresilienz, Risikomanagement, Meldepflichten, Lieferkettensicherheit und ganz explizit Mitarbeiterschulungen fest.

Die Richtlinie trat EU-weit am 16. Januar 2023 in Kraft und musste von den Mitgliedstaaten bis zum 17. Oktober 2024 in nationales Recht umgesetzt werden.

Das NIS-2-Umsetzungsgesetz (NIS2UmsuCG) trat am 6. Dezember 2025 in Kraft – ohne Übergangsfrist. Betroffene Unternehmen müssen die Pflichten seitdem unmittelbar erfüllen. Zuständige Behörde ist das BSI, bei dem eine Registrierung erforderlich ist.

Für betroffene Unternehmen bedeutet das: Sie dürfen Cybersicherheit nicht mehr als reines IT-Thema verstehen, sondern als organisatorische Daueraufgabe, und sie müssen sie nachweisbar umsetzen, statt sie nur technisch zu dokumentieren.

Die Einstufung folgt drei Schritten: Sektor → Größe → Kategorie. Reguliert werden 18 Sektoren, aufgeteilt in zwei Gruppen gemäß zwei Anlagen des BSIG:

Anlage 1 - Sektoren besonders wichtiger und wichtiger Einrichtungen (hohe Kritikalität): Energie, Transport und Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trink- und Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, öffentliche Verwaltung, Weltraum.

Anlage 2 – Sektoren wichtiger Einrichtungen: Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittelproduktion, verarbeitendes Gewerbe (u. a. Maschinenbau, Medizinprodukte, Elektronik, Fahrzeugbau), Anbieter digitaler Dienste, Forschung.

Innerhalb dieser Sektoren entscheidet die Unternehmensgröße („size-cap rule“) über die Kategorie:

• Wichtige Einrichtung ab 50 Mitarbeitenden ODER 10 Mio. € Umsatz/Bilanzsumme, sowie
• besonders wichtige Einrichtung ab 250 Mitarbeitenden ODER 50 Mio. € Umsatz/43 Mio. € Bilanzsumme.

Größenunabhängig betroffen sind zudem KRITIS-Betreiber, Vertrauensdiensteanbieter sowie TLD-/DNS-Anbieter. Auch Zulieferer geraten über Lieferketten-Anforderungen häufig indirekt in die Pflicht.

Für eine Betroffenheitsanalyse bietet das BSI einen entsprechenden Service an. Die Betroffenheitsanalyse beruht auf dem Entscheidungsbaum des BSIs.

Bei wesentlichen Einrichtungen können Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes verhängt werden – je nachdem, welcher Betrag höher ist. Bei wichtigen Einrichtungen liegt die Obergrenze bei 7 Millionen Euro oder 1,4 % des Jahresumsatzes. Darüber hinaus können Aufsichtsbehörden temporäre Betriebseinschränkungen anordnen.

Besonders relevant: Geschäftsführer und Leitungsorgane haften persönlich für die Umsetzung der Sicherheitspflichten.

Die gesetzlichen Pflichten lassen sich in fünf Kategorien zusammenfassen:

1. Umfassendes Risikomanagement (§30 BSIG)
Betroffene Unternehmen müssen technische und organisatorische Maßnahmen umsetzen – von der Risikoanalyse über Vorfallbewältigung, Business Continuity und Lieferkettensicherheit bis hin zu Zugriffskontrolle und Multi-Faktor-Authentifizierung. Der Umfang richtet sich nach dem Verhältnismäßigkeitsprinzip, nicht nach einer starren Einheitsliste.

2. Meldung von Sicherheitsvorfällen innerhalb fester Fristen (§32 BSIG)
Bei einem erheblichen Sicherheitsvorfall gilt ein dreistufiges Meldeverfahren: eine Frühwarnung innerhalb von 24 Stunden nach Kenntniserlangung, eine Folgemeldung mit erster Bewertung innerhalb von 72 Stunden, und ein Abschlussbericht spätestens nach einem Monat.

3. Registrierungspflicht (§33 BSIG)
Betroffene Unternehmen müssen sich beim BSI registrieren – unabhängig von den übrigen Pflichten.

4. Umsetzungs-, Überwachungs- und Schulungspflicht der Geschäftsleitung (§38 BSIG)
Die Geschäftsleitung muss die Risikomanagementmaßnahmen persönlich billigen, ihre Umsetzung überwachen und sich selbst regelmäßig schulen lassen. Diese Pflicht ist nicht an die IT-Abteilung delegierbar.

5. Nachweispflicht (§39 BSIG)
Besonders wichtige Einrichtungen müssen die Wirksamkeit ihrer Maßnahmen gegenüber dem BSI in regelmäßigen Abständen nachweisen, etwa durch Audits oder Zertifizierungen.