Welche Sektoren sind betroffen?

NIS2 definiert den Anwendungsbereich anhand zweier Anhänge. Anhang I umfasst Sektoren hoher Kritikalität, in denen große Betreiber als wesentliche Einrichtungen eingestuft werden: Energie (Strom, Fernwärme, Öl, Gas, Wasserstoff), Verkehr (Luft-, Schienen-, Wasser- und Straßenverkehr), Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur (Internet-Knoten, DNS-Diensteanbieter, TLD-Namensregister, Cloud-Computing-Dienste, Rechenzentren, Content-Delivery-Netzwerke, Vertrauensdiensteanbieter, Anbieter öffentlicher elektronischer Kommunikationsnetze), Verwaltung von IKT-Diensten (Managed Services, Managed Security Services), Weltraum sowie öffentliche Verwaltung.

Anhang II umfasst weitere kritische Sektoren, in denen Organisationen unabhängig von ihrer Größe in der Regel als wichtige Einrichtungen eingestuft werden: Post- und Kurierdienste, Abfallbewirtschaftung, Herstellung, Produktion und Vertrieb von Chemikalien, Produktion, Verarbeitung und Vertrieb von Lebensmitteln, verarbeitendes Gewerbe (Medizinprodukte, Computer, elektrische Ausrüstung, Maschinenbau, Kraftfahrzeuge, sonstiger Fahrzeugbau), digitale Anbieter (Online-Marktplätze, Online-Suchmaschinen, Plattformen sozialer Netzwerke) sowie Forschungseinrichtungen.

Die Größenschwelle — und entscheidende Ausnahmen

Die allgemeine Größenregel nach NIS2 ist unkompliziert. In Anhang-I-Sektoren: Organisationen, die große Unternehmen sind (250 oder mehr Beschäftigte, oder ein Jahresumsatz von über 50 Mio. € und eine Jahresbilanzsumme von über 43 Mio. €), werden als wesentliche Einrichtungen eingestuft. Organisationen, die mittlere Unternehmen sind (50–249 Beschäftigte), werden in denselben Sektoren als wichtige Einrichtungen eingestuft.

In Anhang-II-Sektoren: mittlere und große Unternehmen werden unabhängig davon, welchem Anhang sie zugeordnet sind, als wichtige Einrichtungen eingestuft.

Was müssen wesentliche Einrichtungen umsetzen? Art. 21 NIS2

Artikel 21 der NIS2-Richtlinie schreibt zehn Kategorien von Cybersicherheits-Risikomanagementmaßnahmen vor. Sowohl wesentliche als auch wichtige Einrichtungen müssen alle zehn umsetzen, wobei von wesentlichen Einrichtungen erwartet wird, dass sie diese auf einem höheren Niveau umsetzen; sie werden zudem proaktiv vom BSI geprüft, um die Einhaltung zu verifizieren:

Persönliche Haftung der Geschäftsleitung nach Art. 20 NIS2

Artikel 20 der NIS2-Richtlinie führt eine bedeutende Verschärfung gegenüber NIS1 ein: die Unternehmensleitung haftet persönlich für die Nichteinhaltung der NIS2-Anforderungen. Die Leitungsorgane sowohl wesentlicher als auch wichtiger Einrichtungen müssen die Cybersicherheits-Risikomanagementmaßnahmen genehmigen, deren Umsetzung überwachen und können persönlich haftbar gemacht werden, wenn die Einrichtung die Vorgaben nicht einhält.

Entscheidend ist, dass Mitglieder der Geschäftsleitung wesentlicher Einrichtungen verpflichtet sind, Schulungen zur Cybersicherheit zu absolvieren, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung von Risiken und zur Bewertung von Cybersicherheitspraktiken zu erlangen. Diese Verantwortung kann nicht vollständig an den CISO oder die IT-Abteilung delegiert werden. Geschäftsführungen, die bisher davon ausgingen, Cybersicherheit sei rein technisches Thema, sind nach NIS2 einer persönlichen Haftung ausgesetzt. In Deutschland sieht das NIS2UmsuCG entsprechende persönliche Haftungsregelungen für die Geschäftsleitung wesentlicher und wichtiger Einrichtungen vor, die sich eng an Art. 20 NIS2 orientieren.

Die Registrierungspflicht beim BSI

Alle wesentlichen und wichtigen Einrichtungen müssen sich bei der zuständigen nationalen Behörde registrieren. In Deutschland wird das Registrierungsverfahren vom BSI betrieben, das die zentrale Meldestelle für Cybersicherheitsvorfälle und die Aufsichtsbehörde für die NIS2-Umsetzung ist. Das NIS2UmsuCG sieht Fristen für die Selbstregistrierung nach Inkrafttreten des Gesetzes vor. Eine unterlassene Registrierung ist unabhängig von einem etwaigen materiellen Cybersicherheitsverstoß bereits selbst ein sanktionierbarer Verstoß.

Meldefristen bei Sicherheitsvorfällen (Art. 23 NIS2)

Artikel 23 der NIS2-Richtlinie legt für erhebliche Sicherheitsvorfälle ein dreistufiges Meldeverfahren fest:

• Frühwarnung — innerhalb von 24 Stunden: Meldung an das BSI, dass ein erheblicher Sicherheitsvorfall eingetreten ist. Angabe, ob ein Verdacht auf rechtswidrige oder böswillige Handlung besteht und ob grenzüberschreitende Auswirkungen möglich sind.
• Vorfallmeldung — innerhalb von 72 Stunden: Bereitstellung einer ersten Bewertung des Vorfalls, einschließlich Schweregrad, Auswirkungen und Kompromittierungsindikatoren.
• Abschlussbericht — innerhalb von 1 Monat: Vorlage eines detaillierten Berichts mit Ursachenanalyse, angewendeten Abhilfemaßnahmen, Bewertung der grenzüberschreitenden Auswirkungen und gewonnenen Erkenntnissen.

Häufig gestellte Fragen

Wenn mein Unternehmen bereits nach NIS1 reguliert war, wird es automatisch zu einer wesentlichen Einrichtung nach NIS2?

Nicht automatisch. Ehemalige Betreiber wesentlicher Dienste (OES) nach NIS1 sind starke Kandidaten für die Einstufung als wesentliche Einrichtung, und viele Mitgliedstaaten haben sie standardmäßig so eingestuft. Die endgültige Klassifizierung hängt jedoch von den NIS2-Größenschwellen und Sektordefinitionen ab, ergänzt durch eine mögliche zusätzliche Benennung durch die zuständige nationale Behörde. Unternehmen sollten ihre Einstufung proaktiv beim BSI oder der jeweils zuständigen Sektorbehörde überprüfen.

Bis wann müssen die Risikomanagementmaßnahmen nach Art. 21 NIS2 umgesetzt sein?

Die Pflicht zur Umsetzung der Maßnahmen nach Art. 21 gilt ab dem Zeitpunkt der nationalen Umsetzung — dem 17. Oktober 2024 in den Mitgliedstaaten, die fristgerecht umgesetzt haben. In Deutschland gilt die Pflicht mit Inkrafttreten des NIS2UmsuCG. Eine formale Übergangsfrist gibt es nicht. Das BSI hat einen gewissen Ermessensspielraum bei der Durchsetzung, doch Unternehmen, die mit der Umsetzung der Art.-21-Maßnahmen noch nicht begonnen haben, befinden sich bereits im Verzug. Sofortiges Handeln ist erforderlich.

Kann ein Geschäftsführer persönlich für einen NIS2-Cybersicherheitsverstoß haftbar gemacht werden?

Ja. Art. 20 NIS2 sieht ausdrücklich vor, dass Leitungsorgane wesentlicher und wichtiger Einrichtungen persönlich für Verstöße haftbar gemacht werden können. Dies schließt Geschäftsführer und Vorstandsmitglieder ein. Mehrere Mitgliedstaaten haben Regelungen eingeführt, die es den nationalen Behörden erlauben, einzelne Führungskräfte bei wiederholten oder schwerwiegenden NIS2-Verstößen vorübergehend von der Ausübung von Leitungsfunktionen auszuschließen; das deutsche NIS2UmsuCG orientiert sich an diesem Ansatz.

Wie unterstützt IgeraRegTech Unternehmen bei der laufenden NIS2-Compliance?

IgeraRegTech bietet eine kontinuierlich aktualisierte Regulatory-Intelligence-Schicht, die das Profil Ihres Unternehmens mit den NIS2-Anforderungen abgleicht, Änderungen in der nationalen Umsetzung und den ENISA-Leitlinien verfolgt und Nachweisdokumentation für die Maßnahmen nach Art. 21 erstellt. Sobald sich der Rechtstext ändert — etwa durch eine nationale Durchführungsverordnung oder neue ENISA-Leitlinien — kennzeichnet IgeraRegTech automatisch die Auswirkungen auf Ihren Compliance-Status und aktualisiert Ihr Pflichtenregister. Compliance-Verantwortliche erhalten Fristenwarnungen für Meldefenster bei Vorfällen und Registrierungserneuerungen, wodurch das Risiko verfahrensbedingter Verstöße entfällt.