5 Was ist NIS2? Ein Überblick für Führungskräfte NIS2 ist die aktualisierte Cybersicherheitsrichtlinie (auf Englisch) der Europäischen Union. Sie schafft eine gemeinsame rechtliche Grundlage für Sicherheit und Resilienz in allen EU-Mitgliedstaaten. Die Richtlinie ersetzt den ursprünglichen NIS-Rahmen und spiegelt wider, wie stark Wirtschaft und öffentliche Dienste heute auf digitalen Systemen, Daten und Netzwerken beruhen. Anders als freiwillige Standards begründet NIS2 verbindliche rechtliche Pflichten. Organisationen, die wesentliche oder weit verbreitete Dienste erbringen, müssen ihre Anforderungen über die nationalen Gesetze des jeweiligen Mitgliedstaats erfüllen. Im Kern geht es der Richtlinie um die Steuerung, das Management und die Meldung von Cybersicherheitsrisiken in einem zunehmend vernetzten digitalen Umfeld. Wichtiger Hinweis zum Zeitplan: Die EU-Mitgliedstaaten mussten NIS2 bis zum 17. Oktober 2024 in nationales Recht umsetzen. In der Praxis bedeutet das, dass viele Organisationen bereits nationalen Anforderungen nach NIS2 unterliegen oder ihnen unterliegen werden, sobald die Durchsetzung in ihrem Land an Fahrt aufnimmt. Warum die EU eine aktualisierte Cybersicherheitsrichtlinie eingeführt hat Der ursprüngliche NIS-Rahmen war ein Ausgangspunkt, doch mit der Zeit wurden Lücken deutlich. Cyberbedrohungen nahmen in Umfang und Wirkung zu. Ransomware legte Krankenhäuser, Verkehrssysteme und öffentliche Dienste lahm. Angriffe auf die Lieferkette zeigten, wie sich eine einzige Schwachstelle auf viele Organisationen und Länder auswirken kann. Auch die Durchsetzung unterschied sich stark zwischen den Mitgliedstaaten. Diese Unterschiede führten zu Rechtsunsicherheit und einem ungleichen Schutzniveau. Die aktualisierte Richtlinie geht diese Probleme an, indem sie den Anwendungsbereich erweitert, Erwartungen präzisiert und die Aufsicht stärkt. Der Schwerpunkt verlagert sich vom Schutz eines begrenzten Kreises von Betreibern hin zum Management systemischer Cyberrisiken in vernetzten Umgebungen. Wer fällt unter NIS2? NIS2 erweitert den Kreis der betroffenen Organisationen erheblich. Je nach Sektor und Größe stuft die Richtlinie Einrichtungen als wesentlich oder wichtig ein; sie gilt in der Regel für mittlere und große Organisationen. Wesentliche Einrichtungen umfassen Sektoren wie Energie, Verkehr, Gesundheitswesen, Bankwesen und Finanzmarktinfrastruktur, öffentliche Verwaltung und digitale Infrastruktur. Wichtige Einrichtungen umfassen die verarbeitende Industrie, die Lebensmittelproduktion, die Abfallwirtschaft sowie viele Anbieter digitaler Dienste und Managed Service Provider. Auch manche kleinere Organisationen können in den Anwendungsbereich fallen, wenn sie für Gesellschaft oder Wirtschaft kritische Dienste erbringen. Da NIS2 über nationales Recht umgesetzt wird, sollten Organisationen die Anwendbarkeit sowohl anhand der EU-Leitlinien als auch anhand der Regeln ihres Mitgliedstaats prüfen. Zentrale Pflichten und Erwartungen Die Richtlinie definiert grundlegende Erwartungen an das Cybersicherheitsrisikomanagement und die operative Resilienz. Organisationen müssen Folgendes abdecken: Risikobewertung und -minderung Behandlung und Meldung von Vorfällen Business Continuity und Krisenmanagement Sicherheit der Lieferkette Im Mittelpunkt stehen Ergebnisse, nicht vorgeschriebene Technologien. Organisationen entscheiden selbst, wie sie die Anforderungen erfüllen, doch die Governance spielt eine zentrale Rolle. Leitungsorgane genehmigen Cybersicherheitsmaßnahmen und überwachen ihre Umsetzung. Cybersicherheit wird als Geschäftsrisiko behandelt, nicht nur als technisches Thema. NIS2 führt zudem klare Meldepflichten für Vorfälle ein. Organisationen müssen erhebliche Vorfälle innerhalb festgelegter Fristen an die Behörden melden und im Verlauf der Untersuchung Folgeberichte liefern. Die Sanktionen bergen ein echtes finanzielles Risiko. Bei bestimmten Verstößen können nationale Behörden Geldbußen verhängen von bis zu: 10 Mio. € oder 2 % des gesamten weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist) für wesentliche Einrichtungen 7 Mio. € oder 1,4 % des gesamten weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist) für wichtige Einrichtungen Governance und Verantwortung NIS2 überträgt der Unternehmensleitung ausdrücklich Verantwortung. Führungskräfte müssen Cyberrisiken verstehen, Sicherheitsmaßnahmen genehmigen und für ihre wirksame Umsetzung sorgen. Sie steuern keine technischen Kontrollen, sind aber für die Ergebnisse verantwortlich. Dieser Ansatz verankert Cybersicherheit im regulären unternehmensweiten Risikomanagement und in der Aufsicht durch das Leitungsorgan. Für wesentliche Einrichtungen verfügen die Aufsichtsbehörden zudem über stärkere Durchsetzungsbefugnisse. Je nach nationaler Umsetzung können dazu Maßnahmen gegen Personen mit Leitungsverantwortung gehören, wenn eine Organisation Durchsetzungsmaßnahmen nicht nachkommt. NIS2 im Vergleich zu ISO 27001 NIS2 und ISO 27001 dienen unterschiedlichen Zwecken. ISO 27001 (auf Englisch) ist ein freiwilliger internationaler Standard für Informationssicherheits-Managementsysteme. Organisationen führen ihn ein, um einen strukturierten und prüfbaren Sicherheitsansatz nachzuweisen. NIS2 ist eine gesetzliche Anforderung. Sie definiert verbindliche Mindestanforderungen an Governance, Risikomanagement, Meldung von Vorfällen und Resilienz. Eine Zertifizierung nach ISO 27001 kann die Umsetzung unterstützen, garantiert aber keine Compliance. Standards helfen Organisationen, ihre Programme zu strukturieren, während die Richtlinie die Pflicht festlegt. NIS2 im Vergleich zur Cybersicherheitsregulierung in den USA Die Vereinigten Staaten haben kein direktes Gegenstück zu NIS2. Die Cybersicherheitsregulierung in den USA folgt einem fragmentierten, sektorbezogenen Modell. Für Finanzdienstleistungen, Gesundheitswesen, kritische Infrastrukturen und Regierungssysteme gelten auf Bundes- und Bundesstaatsebene unterschiedliche Regeln. Viele US-Organisationen setzen auf freiwillige Rahmenwerke wie das NIST Cybersecurity Framework. Diese Rahmenwerke unterstützen das Risikomanagement, haben aber in der Regel keine Gesetzeskraft. NIS2 hingegen schafft in der gesamten EU einen zentralen, sektorübergreifenden Rechtsrahmen. Rahmenwerke zur Unterstützung der Compliance nutzen NIS2 schreibt kein bestimmtes Cybersicherheits-Rahmenwerk vor, sondern definiert die erforderlichen Ergebnisse. Viele Organisationen nutzen Rahmenwerke wie ISO 27001 oder das NIST CSF, um Kontrollen zu ordnen, Lücken zu bewerten und risikobasierte Entscheidungen zu treffen. Rahmenwerke unterstützen die Compliance, ersetzen aber keine gesetzlichen Anforderungen. Warum NIS2 über die Compliance hinaus wichtig ist NIS2 ist nicht nur eine Compliance-Übung. Die Richtlinie betont Resilienz, Wiederherstellung und Kontinuität. Sie geht davon aus, dass Vorfälle eintreten werden, und verlangt von Organisationen, sich auf Störungen vorzubereiten und Dienste wirksam wiederherzustellen. Viele Organisationen nutzen NIS2 als Anstoß, ihre Cybersicherheitspraktiken weiterzuentwickeln. Wer Sicherheitsinvestitionen an operativen Risiken und Business Continuity ausrichtet, gewinnt einen Mehrwert, der über die reine Einhaltung von Vorschriften hinausgeht. Eine gemeinsame Grundlage für das Management von Cyberrisiken in der EU NIS2 legt eine Mindestgrundlage für Cybersicherheit in einer Vielzahl von Sektoren fest, ist aber keine vollständige Sicherheitsstrategie. Die Richtlinie definiert, was Organisationen erreichen sollen, nicht genau, wie sie es erreichen müssen. Für Compliance-, Risiko- und Führungsteams schafft die Richtlinie Klarheit. Sie verknüpft Cybersicherheit mit Governance, Verantwortung und operativer Resilienz und setzt einheitliche Erwartungen in der gesamten EU. Organisationen, die NIS2 als Fundament statt als Checkliste begreifen, können sich langfristig besser an sich wandelnde Bedrohungen, regulatorische Prüfungen und geschäftliche Veränderungen anpassen. NIS2 legt eine regulatorische Mindestgrundlage für eine Vielzahl von Sektoren fest. Die Richtlinie schreibt keine vollständige Cybersicherheitsstrategie vor, definiert aber klare Erwartungen an Governance, Verantwortung und Risikomanagement. Organisationen bleiben dafür verantwortlich, wie sie diese Pflichten in ihrem eigenen betrieblichen und regulatorischen Kontext erfüllen.
