NIS2 EU-Richtlinie zur Cybersicherheit
Kurz gesagt
NIS2 ist die zweite EU-Richtlinie zur Netz- und Informationssicherheit. Sie verpflichtet Unternehmen aus bestimmten Sektoren ab einer bestimmten Größe zu nachweisbaren Sicherheitsmaßnahmen, zur Registrierung bei der Aufsicht und zur Meldung erheblicher Sicherheitsvorfälle. In Deutschland gilt das Umsetzungsgesetz seit Dezember 2025; Zulieferer betroffener Unternehmen sind indirekt über die Lieferkette betroffen.
Fachlich geprüft von Marcel, IT-Admin & Webentwickler · Stand September 2026
Warum das für dich wichtig ist
NIS2 erreicht deutlich mehr Unternehmen als die Vorgängerregelung, darunter das verarbeitende Gewerbe, also Maschinenbau, Elektronik, Optik oder Medizintechnik, in der Regel ab 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz. Viele Betriebe in Jena und Umgebung haben sich nie als „kritische Infrastruktur“ verstanden und fallen trotzdem darunter.
Die größte Gruppe steht nicht im Gesetz: Zulieferer. Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette nachweisen und reichen die Anforderungen als Fragebogen, Vertragsklausel oder Audit weiter. Wer keine glaubwürdigen Antworten hat, verliert im Zweifel den Auftrag.
Worauf es ankommt
- Das Gesetz nennt Maßnahmen, keine Produkte: Risikoanalyse, Backup, Mehr-Faktor-Authentifizierung, Protokollierung, Notfallplan, Patch-Management, Schulung.
- Nachweisbarkeit ist der Kern. Viele Unternehmen haben MFA und Backup längst, aber nichts, was sie einem Prüfer oder Kunden vorlegen könnten.
- Die Geschäftsführung trägt die Verantwortung und kann sie nicht an die IT delegieren.
- Meldepflichten sind gestuft: Frühwarnung innerhalb von 24 Stunden, ausführliche Meldung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats.
- Die verbindliche Einstufung ist eine Rechtsfrage. Das hier ist eine technische Einordnung, keine Rechtsberatung.
Wie wir damit arbeiten
Wir übernehmen die technische Umsetzung von NIS2: Gap-Analyse, Sofortmaßnahmen, Dokumentation, danach laufender Betrieb im Rahmen der Cyber Security. Ob und wie du betroffen bist, erklärt der Ratgeber NIS2: Bin ich betroffen?, für Grenzfälle gehört die Einstufung zu einer Kanzlei.
Verwandte Begriffe: Mehr-Faktor-Authentifizierung, 3-2-1-Backup, VPN
FAQHäufige Fragen zu NIS2
Woher weiß ich, ob mein Unternehmen unter NIS2 fällt?
Entscheidend sind Sektor und Größe: Arbeitet dein Unternehmen in einem der im Gesetz genannten Sektoren und hat es in der Regel mindestens 50 Beschäftigte oder mehr als 10 Millionen Euro Jahresumsatz, bist du wahrscheinlich betroffen. Das BSI bietet online eine Betroffenheitsprüfung an. Für Grenzfälle, etwa in Unternehmensgruppen, ist eine Kanzlei der richtige Ansprechpartner.
Was passiert, wenn ich NIS2 ignoriere?
Die Aufsicht kann Nachweise verlangen, Anordnungen treffen und Bußgelder verhängen, und die Geschäftsleitung ist für die Umsetzung verantwortlich. Im Alltag spüren viele Unternehmen den Druck aber zuerst über Kunden, die Fragebögen und Nachweise verlangen. Wer dann keine glaubwürdigen Antworten hat, verliert eher einen Auftrag als ein Verfahren.
Gibt es eine NIS2-Zertifizierung?
Eine eigene gesetzliche NIS2-Zertifizierung gibt es nicht. Gefordert sind Maßnahmen und ihr Nachweis; Standards wie ISO 27001 oder der IT-Grundschutz des BSI können dabei helfen, sind aber keine Pflicht. Wer ein „NIS2-Zertifikat“ anbietet, verkauft ein eigenes Siegel, keine Bestätigung der Behörde.