NIS2: Wesentliche Einrichtungen vs. Wichtige Einrichtungen — Was Ihr Unternehmen wissen muss (2026)

Die NIS2-Richtlinie (EU 2022/2555, in Deutschland umgesetzt durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, kurz NIS2UmsuCG) schafft zwei Kategorien regulierter Einrichtungen: wesentliche Einrichtungen und wichtige Einrichtungen. Diese Unterscheidung ist entscheidend, denn wesentliche Einrichtungen unterliegen strengeren Pflichten, proaktiver Aufsicht durch das BSI (Bundesamt für Sicherheit in der Informationstechnik) und Bußgeldern von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes. Dieser Leitfaden erklärt, welche Kategorie für Ihr Unternehmen gilt und was jetzt umgesetzt werden muss.

Was ist NIS2 und wann trat sie in Kraft?

Die Richtlinie EU 2022/2555 (NIS2) wurde am 14. Dezember 2022 verabschiedet und ersetzt die ursprüngliche NIS1-Richtlinie (2016/1148). NIS2 erweitert den Anwendungsbereich der regulierten Sektoren erheblich, führt strengere Pflichten ein und schafft eine klarere persönliche Haftung der Unternehmensleitung. Die Mitgliedstaaten mussten NIS2 bis zum 17. Oktober 2024 in nationales Recht umsetzen.

In Deutschland erfolgt die Umsetzung durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), das den bestehenden Rechtsrahmen des BSI-Gesetzes (BSIG) grundlegend novelliert. Die zuständige nationale Behörde ist das BSI (Bundesamt für Sicherheit in der Informationstechnik), das für Registrierung, Aufsicht, Meldeentgegennahme und Durchsetzung von Bußgeldern zuständig ist. Unternehmen müssen sich beim BSI registrieren und ihre Ansprechpartner für Cybersicherheit benennen.

Wesentliche vs. wichtige Einrichtungen — die zentrale Unterscheidung

NIS2 teilt regulierte Organisationen in zwei Kategorien ein. Wesentliche Einrichtungen sind in der Regel große Unternehmen, die in den kritischsten Sektoren (Anhang I) tätig sind. Wichtige Einrichtungen sind mittelgroße Unternehmen in Anhang-I-Sektoren oder Unternehmen jeder Größe in den hochkritischen Sektoren des Anhangs II. Die praktischen Konsequenzen dieser Einstufung sind erheblich.

Welche Sektoren sind betroffen?

NIS2 definiert den Anwendungsbereich anhand zweier Anhänge. Anhang I umfasst Sektoren hoher Kritikalität, in denen große Betreiber als wesentliche Einrichtungen eingestuft werden: Energie (Strom, Fernwärme, Öl, Gas, Wasserstoff), Verkehr (Luft-, Schienen-, Wasser- und Straßenverkehr), Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur (Internet-Knoten, DNS-Diensteanbieter, TLD-Namensregister, Cloud-Computing-Dienste, Rechenzentren, Content-Delivery-Netzwerke, Vertrauensdiensteanbieter, Anbieter öffentlicher elektronischer Kommunikationsnetze), Verwaltung von IKT-Diensten (Managed Services, Managed Security Services), Weltraum sowie öffentliche Verwaltung.

Anhang II umfasst weitere kritische Sektoren, in denen Organisationen unabhängig von ihrer Größe in der Regel als wichtige Einrichtungen eingestuft werden: Post- und Kurierdienste, Abfallbewirtschaftung, Herstellung, Produktion und Vertrieb von Chemikalien, Produktion, Verarbeitung und Vertrieb von Lebensmitteln, verarbeitendes Gewerbe (Medizinprodukte, Computer, elektrische Ausrüstung, Maschinenbau, Kraftfahrzeuge, sonstiger Fahrzeugbau), digitale Anbieter (Online-Marktplätze, Online-Suchmaschinen, Plattformen sozialer Netzwerke) sowie Forschungseinrichtungen.

Die Größenschwelle — und entscheidende Ausnahmen

Die allgemeine Größenregel nach NIS2 ist unkompliziert. In Anhang-I-Sektoren: Organisationen, die große Unternehmen sind (250 oder mehr Beschäftigte, oder ein Jahresumsatz von über 50 Mio. € und eine Jahresbilanzsumme von über 43 Mio. €), werden als wesentliche Einrichtungen eingestuft. Organisationen, die mittlere Unternehmen sind (50–249 Beschäftigte), werden in denselben Sektoren als wichtige Einrichtungen eingestuft.

In Anhang-II-Sektoren: mittlere und große Unternehmen werden unabhängig davon, welchem Anhang sie zugeordnet sind, als wichtige Einrichtungen eingestuft.

Was müssen wesentliche Einrichtungen umsetzen? Art. 21 NIS2

Artikel 21 der NIS2-Richtlinie schreibt zehn Kategorien von Cybersicherheits-Risikomanagementmaßnahmen vor. Sowohl wesentliche als auch wichtige Einrichtungen müssen alle zehn umsetzen, wobei von wesentlichen Einrichtungen erwartet wird, dass sie diese auf einem höheren Niveau umsetzen; sie werden zudem proaktiv vom BSI geprüft, um die Einhaltung zu verifizieren:

Persönliche Haftung der Geschäftsleitung nach Art. 20 NIS2

Artikel 20 der NIS2-Richtlinie führt eine bedeutende Verschärfung gegenüber NIS1 ein: die Unternehmensleitung haftet persönlich für die Nichteinhaltung der NIS2-Anforderungen. Die Leitungsorgane sowohl wesentlicher als auch wichtiger Einrichtungen müssen die Cybersicherheits-Risikomanagementmaßnahmen genehmigen, deren Umsetzung überwachen und können persönlich haftbar gemacht werden, wenn die Einrichtung die Vorgaben nicht einhält.

Entscheidend ist, dass Mitglieder der Geschäftsleitung wesentlicher Einrichtungen verpflichtet sind, Schulungen zur Cybersicherheit zu absolvieren, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung von Risiken und zur Bewertung von Cybersicherheitspraktiken zu erlangen. Diese Verantwortung kann nicht vollständig an den CISO oder die IT-Abteilung delegiert werden. Geschäftsführungen, die bisher davon ausgingen, Cybersicherheit sei rein technisches Thema, sind nach NIS2 einer persönlichen Haftung ausgesetzt. In Deutschland sieht das NIS2UmsuCG entsprechende persönliche Haftungsregelungen für die Geschäftsleitung wesentlicher und wichtiger Einrichtungen vor, die sich eng an Art. 20 NIS2 orientieren.

Die Registrierungspflicht beim BSI

Alle wesentlichen und wichtigen Einrichtungen müssen sich bei der zuständigen nationalen Behörde registrieren. In Deutschland wird das Registrierungsverfahren vom BSI betrieben, das die zentrale Meldestelle für Cybersicherheitsvorfälle und die Aufsichtsbehörde für die NIS2-Umsetzung ist. Das NIS2UmsuCG sieht Fristen für die Selbstregistrierung nach Inkrafttreten des Gesetzes vor. Eine unterlassene Registrierung ist unabhängig von einem etwaigen materiellen Cybersicherheitsverstoß bereits selbst ein sanktionierbarer Verstoß.

Meldefristen bei Sicherheitsvorfällen (Art. 23 NIS2)

Artikel 23 der NIS2-Richtlinie legt für erhebliche Sicherheitsvorfälle ein dreistufiges Meldeverfahren fest:

• Frühwarnung — innerhalb von 24 Stunden: Meldung an das BSI, dass ein erheblicher Sicherheitsvorfall eingetreten ist. Angabe, ob ein Verdacht auf rechtswidrige oder böswillige Handlung besteht und ob grenzüberschreitende Auswirkungen möglich sind.
• Vorfallmeldung — innerhalb von 72 Stunden: Bereitstellung einer ersten Bewertung des Vorfalls, einschließlich Schweregrad, Auswirkungen und Kompromittierungsindikatoren.
• Abschlussbericht — innerhalb von 1 Monat: Vorlage eines detaillierten Berichts mit Ursachenanalyse, angewendeten Abhilfemaßnahmen, Bewertung der grenzüberschreitenden Auswirkungen und gewonnenen Erkenntnissen.

Häufig gestellte Fragen

Wenn mein Unternehmen bereits nach NIS1 reguliert war, wird es automatisch zu einer wesentlichen Einrichtung nach NIS2?

Nicht automatisch. Ehemalige Betreiber wesentlicher Dienste (OES) nach NIS1 sind starke Kandidaten für die Einstufung als wesentliche Einrichtung, und viele Mitgliedstaaten haben sie standardmäßig so eingestuft. Die endgültige Klassifizierung hängt jedoch von den NIS2-Größenschwellen und Sektordefinitionen ab, ergänzt durch eine mögliche zusätzliche Benennung durch die zuständige nationale Behörde. Unternehmen sollten ihre Einstufung proaktiv beim BSI oder der jeweils zuständigen Sektorbehörde überprüfen.

Bis wann müssen die Risikomanagementmaßnahmen nach Art. 21 NIS2 umgesetzt sein?

Die Pflicht zur Umsetzung der Maßnahmen nach Art. 21 gilt ab dem Zeitpunkt der nationalen Umsetzung — dem 17. Oktober 2024 in den Mitgliedstaaten, die fristgerecht umgesetzt haben. In Deutschland gilt die Pflicht mit Inkrafttreten des NIS2UmsuCG. Eine formale Übergangsfrist gibt es nicht. Das BSI hat einen gewissen Ermessensspielraum bei der Durchsetzung, doch Unternehmen, die mit der Umsetzung der Art.-21-Maßnahmen noch nicht begonnen haben, befinden sich bereits im Verzug. Sofortiges Handeln ist erforderlich.

Kann ein Geschäftsführer persönlich für einen NIS2-Cybersicherheitsverstoß haftbar gemacht werden?

Ja. Art. 20 NIS2 sieht ausdrücklich vor, dass Leitungsorgane wesentlicher und wichtiger Einrichtungen persönlich für Verstöße haftbar gemacht werden können. Dies schließt Geschäftsführer und Vorstandsmitglieder ein. Mehrere Mitgliedstaaten haben Regelungen eingeführt, die es den nationalen Behörden erlauben, einzelne Führungskräfte bei wiederholten oder schwerwiegenden NIS2-Verstößen vorübergehend von der Ausübung von Leitungsfunktionen auszuschließen; das deutsche NIS2UmsuCG orientiert sich an diesem Ansatz.

Wie unterstützt IgeraRegTech Unternehmen bei der laufenden NIS2-Compliance?

IgeraRegTech bietet eine kontinuierlich aktualisierte Regulatory-Intelligence-Schicht, die das Profil Ihres Unternehmens mit den NIS2-Anforderungen abgleicht, Änderungen in der nationalen Umsetzung und den ENISA-Leitlinien verfolgt und Nachweisdokumentation für die Maßnahmen nach Art. 21 erstellt. Sobald sich der Rechtstext ändert — etwa durch eine nationale Durchführungsverordnung oder neue ENISA-Leitlinien — kennzeichnet IgeraRegTech automatisch die Auswirkungen auf Ihren Compliance-Status und aktualisiert Ihr Pflichtenregister. Compliance-Verantwortliche erhalten Fristenwarnungen für Meldefenster bei Vorfällen und Registrierungserneuerungen, wodurch das Risiko verfahrensbedingter Verstöße entfällt.