--- title: NIS2 --- [![Logo-SRC](https://www.src-consulting.com/hubfs/HubSpot%20website/Logo-SRC.svg "Logo-SRC")](https://www.src-consulting.com/) - [Über uns](https://www.src-consulting.com/about-us) - [Work](https://www.src-consulting.com/work) - [Services](https://www.src-consulting.com/services) - [DORA](https://www.src-consulting.com/dora-implementieren) - NIS2 - [NIS2 meistern](https://www.src-consulting.com/services/nis2) - [Betroffenheitsanalyse](https://www.src-consulting.com/nis2/nis2-betroffenheitsanalyse) - [NIS2 Reifegrad-Tool](https://www.src-consulting.com/nis2/nis2-reifegrad) - [Meldeprozess](https://www.src-consulting.com/nis2/nis2-meldeprozess) - [Security](https://www.src-consulting.com/services/it-security-consulting) - [IT-Governance](https://www.src-consulting.com/services/it-governance-consulting) - [Internes Kontrollsystem](https://www.src-consulting.com/services/internes-kontrollsystem) - [Risikomanagement](https://www.src-consulting.com/services/risk-management-consulting) - [IT-Compliance](https://www.src-consulting.com/services/it-compliance-consulting) - [Automation](https://www.src-consulting.com/services/sgrc-automation) - [Data Analytics](https://www.src-consulting.com/services/data-analytics-consulting) - [Career](https://www.src-consulting.com/career) - [Blog](https://www.src-consulting.com/blog) [Kontaktieren Sie uns](https://www.src-consulting.com/contact) [![Logo-SRC](https://www.src-consulting.com/hubfs/HubSpot%20website/Logo-SRC.svg "Logo-SRC")](https://www.src-consulting.com/) [Kontaktieren Sie uns](https://www.src-consulting.com/contact) [![Logo-SRC](https://www.src-consulting.com/hubfs/HubSpot%20website/Logo-SRC.svg "Logo-SRC")](https://www.src-consulting.com/) - [Über uns](https://www.src-consulting.com/about-us) - [Work](https://www.src-consulting.com/work) - [Services](https://www.src-consulting.com/services) - [DORA](https://www.src-consulting.com/dora-implementieren) - NIS2 - [NIS2 meistern](https://www.src-consulting.com/services/nis2) - [Betroffenheitsanalyse](https://www.src-consulting.com/nis2/nis2-betroffenheitsanalyse) - [NIS2 Reifegrad-Tool](https://www.src-consulting.com/nis2/nis2-reifegrad) - [Meldeprozess](https://www.src-consulting.com/nis2/nis2-meldeprozess) - [Security](https://www.src-consulting.com/services/it-security-consulting) - [IT-Governance](https://www.src-consulting.com/services/it-governance-consulting) - [Internes Kontrollsystem](https://www.src-consulting.com/services/internes-kontrollsystem) - [Risikomanagement](https://www.src-consulting.com/services/risk-management-consulting) - [IT-Compliance](https://www.src-consulting.com/services/it-compliance-consulting) - [Automation](https://www.src-consulting.com/services/sgrc-automation) - [Data Analytics](https://www.src-consulting.com/services/data-analytics-consulting) - [Career](https://www.src-consulting.com/career) - [Blog](https://www.src-consulting.com/blog) [Kontaktieren Sie uns](https://www.src-consulting.com/contact) [![Logo-SRC](https://www.src-consulting.com/hubfs/HubSpot%20website/Logo-SRC.svg "Logo-SRC")](https://www.src-consulting.com/) [Kontaktieren Sie uns](https://www.src-consulting.com/contact) - [Über uns](https://www.src-consulting.com/about-us) - [Work](https://www.src-consulting.com/work) - [Services](https://www.src-consulting.com/services) - [DORA](https://www.src-consulting.com/dora-implementieren) - NIS2 - [NIS2 meistern](https://www.src-consulting.com/services/nis2) - [Betroffenheitsanalyse](https://www.src-consulting.com/nis2/nis2-betroffenheitsanalyse) - [NIS2 Reifegrad-Tool](https://www.src-consulting.com/nis2/nis2-reifegrad) - [Meldeprozess](https://www.src-consulting.com/nis2/nis2-meldeprozess) - [Security](https://www.src-consulting.com/services/it-security-consulting) - [IT-Governance](https://www.src-consulting.com/services/it-governance-consulting) - [Internes Kontrollsystem](https://www.src-consulting.com/services/internes-kontrollsystem) - [Risikomanagement](https://www.src-consulting.com/services/risk-management-consulting) - [IT-Compliance](https://www.src-consulting.com/services/it-compliance-consulting) - [Automation](https://www.src-consulting.com/services/sgrc-automation) - [Data Analytics](https://www.src-consulting.com/services/data-analytics-consulting) - [Career](https://www.src-consulting.com/career) - [Blog](https://www.src-consulting.com/blog) # NIS2-RICHTLINIE meistern Compliance-Leitfaden für deutsche Unternehmen Navigieren Sie sicher durch die neue Cybersicherheitslandschaft Compliance sicherstellen • Strafen vermeiden • Zukunft absichern ## 1. Zusammenfassung Die NIS2-Richtlinie stellt einen grundlegenden Wandel in der europäischen Cybersicherheitsregulierung dar und erweitert die Abdeckung bei gleichzeitig erheblich verschärften Strafen bei Nichteinhaltung. ### ⚠️ Hinweis für Unternehmen **Warten Sie nicht auf das Inkrafttreten!** Das NIS2-Umsetzungsgesetz kann jederzeit verabschiedet werden. Betroffene Unternehmen sollten bereits jetzt mit der Vorbereitung beginnen. Mehr zum Zeitplan unter 4.  **1. Anwendbarkeit prüfen** Sektor, Größe & Einrichtungstyp bestimmen **2. Gap-Analyse durchführen** Aktuelle Sicherheitsmaßnahmen bewerten **3. Implementierung planen** Roadmap für technische & org. Maßnahmen ### Auswirkungen für deutsche Unternehmen ~29.000 Betroffene Unternehmen Organisationen, die nun den NIS2-Anforderungen in Deutschland unterliegen €3,6 Mrd. Potentielle Strafen Gesamtes mögliches finanzielles Risiko aller betroffenen Unternehmen ### Was Organisationen tun müssen - ✓ **Sofortige Bewertung:** Prüfen Sie, ob Ihre Organisation unter NIS2 fällt - ✓ **Gap-Analyse:** Identifizieren Sie aktuelle Cybersicherheitslücken gegenüber NIS2-Anforderungen - ✓ **Risikomanagement:** Implementieren Sie umfassendes Cybersicherheits-Risikomanagement - ✓ **Incident Response:** Etablieren Sie 24-Stunden-Meldeverfahren für Vorfälle - ✓ **Governance:** Stellen Sie Management-Oversight und Verantwortlichkeit sicher - ✓ **Dokumentation:** Führen Sie Compliance-Nachweise für mögliche Audits ## 2. Die Cybersicherheits-Herausforderung Die durch COVID-19 beschleunigte digitale Transformation hat die Bedrohungslandschaft grundlegend verändert und eine umfassende Cybersicherheitsregulierung kritischer denn je gemacht. ### Branchenweite Bedrohungsstatistiken 61% Supply Chain Angriffe der Unternehmen erlebten im letzten Jahr einen Software-Lieferketten-Angriff 76% Steigende Angriffskosten Anstieg der Software-Lieferketten-Angriffskosten von 2023 bis 2026 80% Ransomware-Wachstum Anstieg der Ransomware-Zahlungen im letzten Jahr $13,8 Bio. Globale Auswirkungen Prognostizierte Kosten der Cyberkriminalität bis 2028 ### Die regulatorische Antwort NIS2 begegnet diesen eskalierenden Bedrohungen durch: - ✓ **Erweiterten Geltungsbereich:** Abdeckung über traditionelle kritische Infrastruktur hinaus - ✓ **Harmonisierte Standards:** Einheitliche Cybersicherheitsanforderungen in der EU - ✓ **Supply Chain Fokus:** Anforderungen für Drittanbieter-Risikomanagement - ✓ **Vorfallsmeldung:** Obligatorische 24-Stunden-Meldeverfahren - ✓ **Management-Verantwortlichkeit:** Direkte Vorstandsverantwortung ## 3. NIS2 verstehen Die Richtlinie über Netz- und Informationssicherheit 2 (NIS2) ist die umfassende Cybersicherheitsgesetzgebung der EU, die sich mit sich entwickelnden Bedrohungen in der digitalen Post-COVID-Landschaft befasst. ### Hauptmotivationen hinter NIS2 #### Schnell evolvierende Cybersicherheitslandschaft Die COVID-19-Pandemie beschleunigte die digitale Transformation und führte zu erhöhten Cyberbedrohungen und -schwachstellen. Organisationen führten schnell Remote-Arbeit, Cloud-Services und digitale Prozesse ein, was neue Angriffsflächen schuf. #### Technologische Fortschritte Technologische Fortschritte haben zu ausgeklügelteren Cyberangriffen geführt, die stärkere und ausgerichtete Cybersicherheitsmaßnahmen in kritischen Infrastrukturen und wesentlichen Diensten erfordern. #### Stärkere Anforderungen für breiteren Geltungsbereich Mit der Digitalisierung verschiedener Sektoren erstreckt sich kritische Infrastruktur über den NIS-1-Geltungsbereich hinaus und erfordert die Einbeziehung einer breiteren Palette von Sektoren (ESOs und DSPs). ### NIS2 vs. NIS-1: Hauptunterschiede | Aspekt | NIS-1 | NIS2 | | --- | --- | --- | | **Geltungsbereich** | Begrenzt auf spezifische kritische Sektoren | Erweitert auf 18+ Sektoren einschließlich digitaler Dienste | | **Größenschwelle** | Bestimmung durch Mitgliedstaat | Klare EU-weite Größenkriterien (Mitarbeiter/Umsatz) | | **Strafen** | Bis zu €50.000 | Bis zu €10M oder 2% des globalen Umsatzes | | **Meldung** | Vorfallsbenachrichtigung | 24-Stunden-Initial + detaillierte Berichterstattung | | **Management** | Allgemeine Aufsicht | Direkte Vorstandsverantwortlichkeit | ## 4. Implementierungs-Zeitplan # NIS2-Zeitplan Implementierung der NIS2-Richtlinie in Deutschland Stand: 30. Juli 2025 NIS2-Verpflichtungen Vollständige Umsetzung erforderlich 2021 2022 2023 2024 2025 🇪🇺 EU-Ebene Europäische Union Dez 2020 EU-Vorschlag zur Aktualisierung von NIS-1 Europäische Kommission veröffentlicht Vorschlag zur Überarbeitung der NIS-Richtlinie 27. Dez 2022 Veröffentlichung der NIS2-Richtlinie Offizielle Publikation der NIS2-Richtlinie auf europäischer Ebene 🇩🇪 Staat Deutschland 24. Juni 2025 Referentenentwurf veröffentlicht BMI veröffentlicht ersten Gesetzesentwurf zur nationalen Umsetzung der NIS2-Richtlinie 30. Juli 2025 Regierungsentwurf verabschiedet Bundesregierung beschließt finale Fassung des NIS2-Umsetzungsgesetzes nach Stellungnahmenverfahren Laufend Parlamentarisches Verfahren Bundestag und Bundesrat beraten über das NIS2-Umsetzungsgesetz **Gesetz noch nicht verkündet** Erwartet: Zweites Halbjahr 2025 Gesetz tritt in Kraft Nach Verabschiedung durch Bundestag und Bundesrat wird das NIS2UmsuCG verkündet und tritt in Kraft 🏢 Unternehmen Betroffene Organisationen Jetzt empfohlen Proaktive Vorbereitung beginnen Anwendbarkeit prüfen und Gap-Analyse durchführen - nicht auf Inkrafttreten warten! Bei Inkrafttreten Sofortige Registrierung erforderlich Registrierung bei BSI innerhalb von 3 Monaten nach Inkrafttreten für betroffene Einrichtungen 3-6 Monate nach Inkrafttreten Vollständige Maßnahmen implementiert Alle technischen und organisatorischen Maßnahmen müssen umgesetzt sein Laufend ab Inkrafttreten Compliance & Auditbereitschaft 24h-Meldeverfahren aktiv, regelmäßige Audits (KRITIS alle 3 Jahre) SRC Security Risk Compliance GmbH ## 5. Kernanforderungen NIS2 etabliert umfassende Cybersicherheitsanforderungen in sechs Hauptkategorien von Verpflichtungen. 🛡️ Risikomanagement Umfassende Cybersicherheits-Risikoanalyse, IT-Sicherheitskonzepte, Vorfallsmanagement und Geschäftskontinuitätsplanung einschließlich Supply Chain-Sicherheit. 📋 Meldepflichten Harmonisierte Vorfallsmeldung an nationale Behörden innerhalb von 24 Stunden nach Entdeckung, mit detaillierten Folgeberichten. 📝 Registrierung Selbstidentifikation und Registrierung bei relevanten Behörden, einschließlich Bewertung der Infrastrukturauswirkungen auf kritische Dienste. 👥 Informationspflichten Beratung und Kooperation mit Behörden, Information der Kunden über Sicherheitsanweisungen und Abhilfemaßnahmen. 🏛️ Governance Management muss Risikomanagementmaßnahmen genehmigen, regelmäßige Schulungen sicherstellen und Haftung für Schäden bei Pflichtverletzung übernehmen. 🔍 Nachweis & Audit KRITIS-Betreiber müssen NIS-2-Implementierung durch Audits oder Zertifizierungen alle 3 Jahre nachweisen. Wesentliche Einrichtungen können nach Durchsetzung verpflichtet werden. ## 6. Anwendungsbereich & Geltung NIS2 gilt für Organisationen in 18+ Sektoren, unterschieden nach ihrer Größe und Bedeutung für das Funktionieren der Gemeinschaft. ### Einrichtungskategorien #### Wesentliche Einrichtungen ("Essential Services") **Betreiber kritischer Systeme (KRITIS) - Hochkritische Sektoren:** - Energiesektor - Transport- und Verkehrssysteme - Gesundheitssysteme - Finanzdienstleistungen - Wasserwirtschaft - Digitale Infrastruktur - Raumfahrtsektor #### Wichtige Einrichtungen ("Important Services") **Organisationen aus zusätzlichen Sektoren:** - Abfallbehandlung - Chemiesektor - Lebensmittelproduktion - Digitale Dienstanbieter - Forschungseinrichtungen # Übersicht der Anwendbaren Verpflichtungen ## für Einrichtungstypen in NIS2UmsuCG Systematische Darstellung der sieben Hauptkategorien von Verpflichtungen gemäß der deutschen NIS2-Umsetzung ⚙️ Risikomanagement (§ 30, § 31 NIS2UmsuCG) 📋 Meldepflichten (§ 32 NIS2UmsuCG) 📝 Registrierung (§ 33, 34 NIS2UmsuCG) 👥 Informationspflichten (§ 35, 36 NIS2UmsuCG) 🏛️ Governance (§ 38 NIS2UmsuCG) 🔍 Nachweise (§ 39, 65, 66 NIS2UmsuCG) 🔒 Spezielle KRITIS-Anforderungen (§ 31, 39 NIS2UmsuCG) KRITIS Wesentliche Einrichtungen Wichtige Einrichtungen ## 7. Strafen & Durchsetzung NIS2 führt erhebliche finanzielle Strafen ein, die darauf ausgelegt sind, organisatorisches Engagement für Cybersicherheits-Compliance sicherzustellen. ### Strafstruktur | Einrichtungstyp | Strafbereich | | --- | --- | | **KRITIS-Betreiber** | **€100.000 – 10 Mio. EUR ODER 2% des Jahresumsatzes\*** | | **Wesentliche Einrichtungen** | **€100.000 – 7 Mio. EUR ODER 1,4% des Jahresumsatzes\*** | | **Wichtige Einrichtungen** | **€100.000 – 2 Mio. EUR** | *\*Prozentsätze gelten für Organisationen mit einem Jahresumsatz von mehr als 500 Mio. EUR* ## 8. Implementierungsstrategie 1 Bewertung & Planung - Anwendbarkeitsbestimmung - Komplexe Qualifikation 2 Risikobewertung & Gap-Analyse - Risikobewertung - Inventar & Gap-Analyse 3 Implementierung - Sicherheitsmaßnahmen - Incident Response-Pläne - Mitarbeiterschulung - Monitoring & Optimierung 4 Kontinuierliche Überwachung - Laufende Compliance-Wartung - Betriebskosten - Kontinuierliche Verbesserung ## 9. ISO 27001 Integration Organisationen mit bestehenden ISO 27001-Zertifizierungen haben einen erheblichen Vorteil bei der effizienten und kosteneffektiven Erreichung der NIS2-Compliance. #### Strategische Vorteile der Integration - **Vereinfachte Compliance:** Ein ISO 27001-zertifiziertes ISMS vereinfacht die Erfüllung der NIS-2-Anforderungen. - **Umfassende Sicherheit:** Risikobewertungen, Notfallpläne und Sicherheitsmaßnahmen sind integraler Bestandteil. - **Engagement demonstrieren:** Zertifizierung zeigt Kunden und Partnern, dass Cybersicherheit oberste Priorität hat. - **Kontinuierliche Verbesserung:** Fördert regelmäßige Updates und Verbesserungen der Sicherheitspraktiken. ## 10. Nächste Schritte Ergreifen Sie sofortige Maßnahmen zur Sicherstellung der NIS2-Compliance und zum Schutz Ihrer Organisation vor schweren Strafen und Cyberbedrohungen. #### Bereit, Ihre NIS2-Reise zu beginnen? **Kontaktieren Sie uns noch heute für eine vertrauliche Beratung und schnelle Compliance-Bewertung.** **E-Mail:** info@src-consulting.com **Website:** www.src-consulting.com ![SRC-logo_white](https://www.src-consulting.com/hubfs/HubSpot%20website/SRC-logo_white.svg) Ihr Enabler für Security, Risk und Compliance [Folgen Sie uns auf LinkedIn](https://www.linkedin.com/company/security-risk-compliance/) [Folgen Sie uns auf Twitter](https://twitter.com/SrcGmbh) [Folgen Sie uns auf Facebook](https://www.facebook.com/ConsultingBySRC/) [Lesen Sie unsere Beiträge auf Medium](https://src-security.medium.com/) Copyright by SRC Security Risk Compliance GmbH © 2025 - [Datenschutzerklärung](https://www.src-consulting.com/datenschutzerklaerung) - [Impressum](https://www.src-consulting.com/impressum)