NIS2

Richtlinie über Netz- und Informationssicherheit (NIS2)

NIS2 verpflichtet mittlere und große Organisationen in 18 EU-Sektoren dazu, ein dokumentiertes Cybersicherheitsrisikomanagement einzuführen, die Verantwortung der Leitungsorgane verbindlich zu verankern und erhebliche Sicherheitsvorfälle innerhalb strenger Fristen an die zuständigen nationalen Behörden zu melden. Bei Verstößen können Geldbußen von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes verhängt werden.

Demo anfragen Lösung entdecken

Nächste relevante Frist:

30. Juni 2026: Wesentliche Einrichtungen in mehreren EU-Mitgliedstaaten müssen ihr erstes formelles NIS2-Konformitätsaudit abschließen.

Die wesentlichen NIS2-Verpflichtungen, darunter Risikomanagement, Governance, Sicherheit der Lieferkette und Meldung von Vorfällen, gelten ab dem Datum, an dem das nationale Umsetzungsgesetz des jeweiligen Mitgliedstaats in Kraft tritt. Für die meisten EU-Länder ist dieser Zeitpunkt bereits verstrichen.

Der 30. Juni 2026 ist der erste formelle Überprüfungsstichtag für wesentliche Einrichtungen in mehreren Mitgliedstaaten: Die zuständigen Behörden prüfen, ob Governance-Strukturen dokumentiert sind, Risikobewertungen vollständig sind und Prozesse zur Reaktion auf Vorfälle funktionsfähig sind. 

Wesentliche Einrichtungen unterliegen gemäß NIS2 einer proaktiven (Ex-ante-)Aufsicht, was bedeutet, dass die Behörden Prüfungsanträge einleiten können, ohne auf einen Vorfall oder Hinweise auf Nichteinhaltung zu warten. Wichtige Einrichtungen unterliegen einer reaktiven Aufsicht, unterliegen jedoch ab dem Tag des Inkrafttretens ihres nationalen Umsetzungsgesetzes denselben wesentlichen Verpflichtungen.

Was die Verordnung vorschreibt

NIS2 (Richtlinie (EU) 2022/2555) trat am 16. Januar 2023 in Kraft, wobei die Frist für die Umsetzung durch die Mitgliedstaaten am 17. Oktober 2024 endet. Die Richtlinie gilt für mittlere und große Organisationen in 18 Sektoren. 

Als wesentliche Einrichtungen gelten im Allgemeinen Organisationen in den in Anhang I aufgeführten Sektoren, darunter Energie, Verkehr, Gesundheitswesen und digitale Infrastruktur, mit mindestens 250 Beschäftigten oder einem Jahresumsatz von über 50 Millionen Euro in Verbindung mit einer Bilanzsumme von über 43 Millionen Euro. 

Als „wichtige Einrichtungen“ gelten im Allgemeinen Organisationen in den Sektoren des Anhangs I oder des Anhangs II, darunter Fertigung, Lebensmittel und Chemie, mit mindestens 50 Beschäftigten oder einem Jahresumsatz von über 10 Millionen Euro in Verbindung mit einer Bilanzsumme von über 10 Millionen Euro. 

Für beide Kategorien gelten dieselben Kernverpflichtungen: ein dokumentiertes, alle Gefahren abdeckendes Risikomanagement sowie technische Sicherheitsmaßnahmen; ein dreistufiger Prozess zur Meldung von Vorfällen (Frühwarnung innerhalb von 24 Stunden, Benachrichtigung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats); sowie die persönliche Rechenschaftspflicht der Leitungsgremien. Unternehmen müssen zudem Cybersicherheitsrisiken bewerten und bewältigen, die von Lieferanten und Dienstleistern ausgehen und ihre Informationssicherheit beeinträchtigen können.

Häufige Herausforderungen bei der Umsetzung der NIS2

Die Festlegung des Anwendungsbereichs hängt von allen wirtschaftlichen Aktivitäten ab, nicht nur vom Primärsektor

Ein Unternehmen, dessen Kerngeschäft außerhalb des Anwendungsbereichs von NIS2 liegt, kann dennoch unter die Richtlinie fallen, wenn eine Nebentätigkeit (wie der Betrieb eines Rechenzentrums für Konzerngesellschaften) in einen erfassten Sektor fällt. Bei internationalen Konzernen mit juristischen Personen in mehreren EU-Mitgliedstaaten ist für jede juristische Person eine separate Bewertung des Anwendungsbereichs erforderlich, wobei die zuständige Aufsichtsbehörde, das Registrierungsverfahren und der Prüfungszyklus je nach Rechtsordnung unterschiedlich sind.

NIS2 scope determination

Die Governance-Verpflichtungen gemäß NIS2 gehen über bestehende IT-Rahmenwerke hinaus

NIS2 macht die Leitungsorgane persönlich haftbar für die Genehmigung und Überwachung von Maßnahmen zum Cybersicherheits-Risikomanagement. Organisationen benötigen klar definierte Cybersicherheitsrollen und Berichtswege, eine formelle Genehmigung von Entscheidungen zur Risikobehandlung durch die Geschäftsleitung sowie dokumentierte Nachweise darüber, dass das Leitungsorgan regelmäßig über Cybersicherheitsfragen informiert wird.

NIS2 governance obligations

Sicherheitsdaten von Drittanbietern sind selten konsolidiert oder strukturiert

NIS2 verpflichtet Organisationen dazu, Lieferanten und Dienstleister zu bewerten und zu verwalten, die Zugriff auf ihre Informationssysteme haben oder Einfluss darauf ausüben können. Die Identifizierung relevanter Lieferanten, die Erfassung strukturierter Sicherheitsnachweise und die Durchführung wiederkehrender Bewertungen erfordern Prozesse und Werkzeuge, die bestehende ERP- und Beschaffungssysteme in der Regel nicht bereitstellen.

NIS2 security data

Die nationalen NIS2-Umsetzungen unterscheiden sich erheblich zwischen den Mitgliedstaaten

NIS2 ist eine Richtlinie: Die Kernverpflichtungen sind EU-weit einheitlich, doch die nationalen Umsetzungsdetails variieren erheblich. 

Das deutsche Umsetzungsgesetz trat am 6. Dezember 2025 in Kraft, mit einer Registrierungsfrist bis zum 6. März 2026; In Belgien gelten die Anforderungen bereits seit Oktober 2024; In Italien liegen die ersten Fristen für die Umsetzung von Sicherheitsmaßnahmen im Oktober 2026.

NIS2 national implementations

Strukturierte NIS2-Compliance in allen Verpflichtungsbereichen

Der osapiens HUB für NIS2 ordnet die NIS2-Verpflichtungen strukturierten Prozessen zu, die direkt auf den Lieferanten- und Unternehmensdaten aufbauen, die bereits in der osapiens HUB Supplier Intelligence-Lösungssuite vorhanden sind.

Erfassen Sie den Anwendungsbereich von NIS2, führen Sie strukturierte Bewertungen durch und verfolgen Sie den Fortschritt bei der Umsetzung aller Verpflichtungen

Vordefinierte NIS2-Fragebögen werden an die entsprechenden Lieferanten gesendet, zusammen mit von KI zugewiesenen Risikobewertungen und automatisierten Warnmeldungen aus der kontinuierlichen Nachrichtenüberwachung. Die für die CSDDD-Sorgfaltspflicht erstellten Lieferantenprofile werden direkt für die NIS2-Risikobewertungen von Drittparteien wiederverwendet, ohne dass ein separater Prozess zur Einbindung der Lieferanten erforderlich ist.

WEITERE NIS2-RESSOURCEN

429 Too many requests

Error 429 Too many requests

Too many requests

Error 54113

Details: cache-cmh1290024-CMH 1787053476 1935920560

Varnish cache server

429 Too many requests

Error 429 Too many requests

Too many requests

Error 54113

Details: cache-cmh1290024-CMH 1787053476 1935920560

Varnish cache server

429 Too many requests

Error 429 Too many requests

Too many requests

Error 54113

Details: cache-cmh1290024-CMH 1787053476 1935920560

Varnish cache server

429 Too many requests

Error 429 Too many requests

Too many requests

Error 54113

Details: cache-cmh1290024-CMH 1787053476 1935920560

Varnish cache server

429 Too many requests

Error 429 Too many requests

Too many requests

Error 54113

Details: cache-cmh1290024-CMH 1787053476 1935920560

Varnish cache server