Ist Ihr Unternehmen tatsächlich NIS2-konform?

NIS2 (Richtlinie (EU) 2022/2555) erweitert den Anwendungsbereich der ursprünglichen NIS-Richtlinie erheblich. Allein in Deutschland steigt die Zahl der betroffenen Unternehmen von rund 4.500 auf geschätzte 29.500, und zwar branchenübergreifend weit über die traditionelle Liste der kritischen Infrastrukturen hinaus – Energie, Verkehr, Gesundheit, digitale Infrastruktur, verarbeitendes Gewerbe, Postdienste, Abfallwirtschaft und mehr. Das deutsche Umsetzungsgesetz (NIS2UmsuCG) trat am 6. Dezember 2025 in Kraft – ohne Übergangsfrist für die Umsetzung technischer und organisatorischer Maßnahmen und mit einer Registrierungsfrist, die bereits drei Monate später ablief. Falls Ihr Unternehmen neu in den Geltungsbereich fällt, ist die Übergangsfrist bereits abgelaufen.

Zwei Aspekte unterscheiden NIS2 von früheren Cybersicherheitsvorschriften. Die Fristen für die Meldung von Vorfällen sind knapp bemessen: eine Frühwarnung innerhalb von 24 Stunden, eine detaillierte Meldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats – Fristen, die davon ausgehen, dass Ihre Organisation bereits weiß, was als meldepflichtiger Vorfall gilt und wer für diesen Prozess verantwortlich ist. Zudem ist die Haftung der Geschäftsleitung nun persönlich: Die Leitungsgremien müssen Maßnahmen zum Cybersicherheits-Risikomanagement genehmigen und überwachen und können persönlich haftbar gemacht werden – einschließlich eines vorübergehenden Ausschlusses von Führungsaufgaben bei wesentlichen Einrichtungen –, wenn sie dies nicht tun.

Gemeinsam mit Viccon befasst sich diese spezielle Sitzung (separat von unserem kombinierten DORA/NIS2-Briefing) eingehend speziell mit NIS2:

• Wer fällt nun tatsächlich in den Geltungsbereich, und was hat sich mit dem deutschen NIS2UmsuCG geändert?
• Fristen für die Meldung von Vorfällen und was „meldepflichtig“ in der Praxis tatsächlich bedeutet
• Haftung der Geschäftsführung: Welche Überwachungs- und Dokumentationsmaßnahmen muss die Geschäftsführung nachweisen können?
• Wie der osapiens HUB das NIS2-Risikomanagement und die Dokumentation von Vorfällen unterstützt – aus der Perspektive von Viccon
• Fragen und Antworten