Richtlinie über Netz- und Informationssicherheit (NIS2)

NIS2 gilt für mittelgroße und große Organisationen in 18 Sektoren, die in zwei Anhängen aufgeführt sind. 

Als „wesentliche Einrichtungen“ gelten im Allgemeinen Organisationen in den Branchen des Anhangs I, darunter Energie, Verkehr, Gesundheitswesen, Bankwesen und digitale Infrastruktur, mit mindestens 250 Beschäftigten oder einem Jahresumsatz von über 50 Millionen Euro in Verbindung mit einer Bilanzsumme von über 43 Millionen Euro. Als „wichtige Einrichtungen“ gelten im Allgemeinen Organisationen in den Sektoren von Anhang I oder Anhang II, darunter verarbeitendes Gewerbe, Chemie, Lebensmittelproduktion, Postdienste und Forschung, mit mindestens 50 Beschäftigten oder einem Jahresumsatz von über 10 Millionen Euro in Verbindung mit einer Bilanzsumme von über 10 Millionen Euro. 

Bestimmte Organisationen werden unabhängig von ihrer Größe stets als wesentliche Einrichtungen eingestuft, darunter qualifizierte Vertrauensdienstleister, DNS-Dienstleister und Einrichtungen, die gemäß der Richtlinie über die Widerstandsfähigkeit kritischer Einrichtungen (Richtlinie (EU) 2022/2557) als kritische Infrastruktur identifiziert wurden. Auch Nicht-EU-Unternehmen, die Dienstleistungen innerhalb der EU erbringen, können je nach ihren Tätigkeiten und den geltenden nationalen Umsetzungsvorschriften in den Anwendungsbereich fallen.

NIS2 legt Höchstbeträge für Geldbußen fest, die die Mitgliedstaaten verhängen müssen. Für wesentliche Stellen gelten Geldbußen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für wichtige Stellen gelten Geldbußen von bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Über Geldbußen hinaus können die zuständigen Behörden verbindliche Anweisungen erteilen, Sicherheitsprüfungen auf Kosten des Unternehmens anordnen, Zertifizierungen oder Genehmigungen aussetzen und Führungskräften vorübergehend die Ausübung von Führungsaufgaben untersagen. Die Leitungsorgane haften gemäß Artikel 20 persönlich für Verstöße. Die Richtlinie verlangt, dass Sanktionen wirksam, verhältnismäßig und abschreckend sind; die Intensität und Priorität der Durchsetzung unterscheiden sich je nach Mitgliedstaat.

Artikel 21 verpflichtet die betroffenen Organisationen, angemessene und verhältnismäßige technische, betriebliche und organisatorische Maßnahmen umzusetzen, die auf einem All-Hazards-Ansatz basieren und Cyberangriffe, physische Bedrohungen, menschliches Versagen sowie Umweltrisiken abdecken. In der Praxis bedeutet dies ein dokumentiertes Informationssicherheits-Managementsystem (ISMS) mit regelmäßigen Risikobewertungen; Netzwerksicherheit, Zugriffskontrollen und Anlagenverwaltung; Verfahren zur Erkennung und Behebung von Schwachstellen; Sicherungs- und Wiederherstellungsverfahren; eine auf das Sicherheitsvorfallmanagement abgestimmte Geschäftskontinuitätsplanung; obligatorische Cybersicherheitsschulungen für Führungskräfte und Mitarbeiter; sowie Richtlinien zur Kryptografie und zur Multi-Faktor-Authentifizierung. Die Maßnahmen müssen sich aus einer dokumentierten Risikobewertung ergeben. Artikel 23 schreibt die Meldung schwerwiegender Vorfälle in drei Stufen vor: Frühwarnung innerhalb von 24 Stunden nach Bekanntwerden des Vorfalls, Benachrichtigung innerhalb von 72 Stunden mit einer ersten Einschätzung der Schwere und der Auswirkungen sowie einen Abschlussbericht innerhalb eines Monats, der die Grundursache und die Abhilfemaßnahmen umfasst.

NIS2 verpflichtet Organisationen ausdrücklich dazu, Anforderungen an die Cybersicherheit in ihre Lieferantenbeziehungen zu integrieren, sofern diese Lieferanten das Potenzial haben, die Informationssicherheit zu beeinträchtigen. Dies gilt für Lieferanten mit Systemzugriff, Hosting- oder Wartungsaufgaben, Fernzugriffsrechten oder kritischen Funktionen bei der Erbringung von Dienstleistungen. Organisationen müssen relevante Lieferanten identifizieren, strukturierte Sicherheitsbewertungen durchführen, Cybersicherheitsklauseln in Verträge aufnehmen und Lieferanten kontinuierlich überwachen. Angriffe auf die Lieferkette werden in der Präambel der NIS2 ausdrücklich als hochriskant eingestuft, da sich Schwachstellen bei externen Partnern rasch über miteinander verbundene Systeme ausbreiten können. Die Verpflichtung erstreckt sich sowohl auf direkt beauftragte Lieferanten als auch auf wichtige Unterauftragnehmer, bei denen Sicherheitsrisiken bestehen.

NIS2 ist eine Richtlinie: Die Kernverpflichtungen sind einheitlich, doch das nationale Recht jedes Mitgliedstaats regelt das jeweilige Registrierungsportal, die Aufsichtsbehörde und die in diesem Land geltenden Prüfungsverfahren. Bei internationalen Konzernen ist für jede juristische Person eine separate Bewertung des Anwendungsbereichs erforderlich. In der Regel bestimmt der Sitzstaat der Hauptniederlassung einer juristischen Person, welche nationale Behörde zuständig ist, wobei für Nebentätigkeiten in anderen Mitgliedstaaten zusätzliche lokale Anforderungen gelten können. Die Registrierungsverfahren und Fristen unterscheiden sich bereits erheblich: In Deutschland war die Frist der 6. März 2026; in Belgien gelten die Anforderungen bereits seit Oktober 2024; und im Juni 2026 sind einige Mitgliedstaaten noch dabei, die Umsetzung abzuschließen. Unternehmen, die EU-weit tätig sind, benötigen einen strukturierten Prozess, um nachzuverfolgen, welche Verpflichtungen und Fristen in den einzelnen Rechtsordnungen gelten.

Eigenständige ISMS-Tools verwalten zwar Informationssicherheitsprozesse, sind jedoch nicht mit Lieferantendaten, Due-Diligence-Workflows und der aufsichtsrechtlichen Berichterstattung verknüpft. Der osapiens HUB für NIS2 ist Teil der „Supplier Intelligence“-Lösungssuite: Lieferanten- und Unternehmensdaten, die für CSDDD oder andere Due-Diligence-Prüfungen in der Lieferkette erfasst wurden, werden direkt für NIS2-Risikobewertungen von Drittparteien wiederverwendet, und der NIS2-Compliance-Status wird im Reporting Cockpit neben anderen regulatorischen Verpflichtungen angezeigt. Für Unternehmen, die bereits Lieferantendaten im osapiens HUB erfassen, ist kein separater Lieferantenfragebogen erforderlich. 

Für Unternehmen, die NIS2 parallel zur CSDDD verwalten, deckt dasselbe Lieferantenprofil beide regulatorischen Verpflichtungen ab, ohne dass parallele Datenerfassungsprozesse durchgeführt werden müssen.