Die NIS2-Richtlinie (Network and Information Security Directive 2) ist seit Oktober 2024 in deutsches Recht umgesetzt – und sie betrifft deutlich mehr Unternehmen als die Vorgängerversion. Viele Geschäftsführer und IT-Verantwortliche fragen sich: Bin ich eigentlich betroffen? Was muss ich tun? Und was passiert, wenn ich nichts unternehme? Dieser Leitfaden gibt klare Antworten.
Was ist NIS2 – und warum ist es wichtiger als NIS1?
NIS2 ist die überarbeitete EU-Richtlinie zur Cybersicherheit kritischer und wichtiger Einrichtungen. Im Vergleich zur ersten NIS-Richtlinie aus dem Jahr 2016 wurde der Anwendungsbereich massiv erweitert: Statt einigen Hundert Unternehmen in Deutschland sind jetzt schätzungsweise 30.000 bis 40.000 Unternehmen betroffen.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist die zuständige Aufsichtsbehörde in Deutschland. Die Strafen für Verstöße sind empfindlich – bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes. Und: Geschäftsführer haften persönlich.
Wer ist betroffen? Die wichtigsten Kriterien
NIS2 unterscheidet zwischen wesentlichen Einrichtungen (essential entities) und wichtigen Einrichtungen (important entities). Entscheidend sind Branche und Unternehmensgröße:
Wesentliche Einrichtungen (höchste Anforderungen)
Unternehmen mit mehr als 250 Mitarbeitern oder mehr als 50 Mio. € Jahresumsatz in diesen Sektoren:
- Energie (Strom, Gas, Öl, Fernwärme, Wasserstoff)
- Verkehr (Luft, Bahn, Schiff, Straße)
- Bankwesen und Finanzmarktinfrastruktur
- Gesundheitswesen (Krankenhäuser, Labore, Pharmahersteller)
- Trinkwasser und Abwasser
- Digitale Infrastruktur (Cloud-Anbieter, Rechenzentren, DNS)
- Öffentliche Verwaltung
Wichtige Einrichtungen (erweiterte Anforderungen)
Unternehmen mit mehr als 50 Mitarbeitern oder mehr als 10 Mio. € Jahresumsatz in diesen Sektoren:
- Post- und Kurierdienste
- Abfallwirtschaft
- Chemische Industrie
- Lebensmittelproduktion und -verarbeitung
- Maschinenbau, Fahrzeugbau, Elektronikhersteller
- Digitale Dienste (Suchmaschinen, soziale Netzwerke, Online-Marktplätze)
- Forschungseinrichtungen
Wichtig: Auch Unternehmen, die als Zulieferer oder Dienstleister für betroffene Einrichtungen tätig sind, können über die Lieferketten-Regelung in den Geltungsbereich fallen – selbst wenn sie selbst kleiner sind.
Was müssen betroffene Unternehmen umsetzen?
NIS2 schreibt konkrete technische und organisatorische Maßnahmen vor. Die wichtigsten im Überblick:
1. Risikomanagement und Sicherheitsrichtlinien
Unternehmen müssen ein dokumentiertes Informationssicherheitsmanagementsystem (ISMS) betreiben – oder zumindest ein risikobasiertes Sicherheitskonzept vorweisen können. Das BSI empfiehlt als Rahmen den IT-Grundschutz oder ISO 27001.
2. Incident Response: Meldepflichten bei Sicherheitsvorfällen
Erhebliche Sicherheitsvorfälle müssen dem BSI gemeldet werden – und zwar schnell: innerhalb von 24 Stunden eine erste Frühwarnung, innerhalb von 72 Stunden ein vollständiger Bericht. Das setzt voraus, dass Sie Vorfälle überhaupt erkennen und dokumentieren können.
3. Lieferkettensicherheit
Sie müssen die Cybersicherheit Ihrer Dienstleister und Zulieferer aktiv prüfen und vertraglich sicherstellen. Das betrifft auch Cloud-Anbieter, IT-Dienstleister und Software-Hersteller, die Sie einsetzen.
4. Zugangskontrolle und Authentifizierung
Multi-Faktor-Authentifizierung (MFA) ist nicht mehr optional – sie wird für alle kritischen Systeme vorausgesetzt. Auch Zugriffsprotokolle und das Prinzip der minimalen Rechtevergabe (Least Privilege) sind erforderlich.
5. Datensicherung und Business Continuity
Regelmäßige, geprüfte Backups und ein Notfallplan für den Fall eines Ausfalls oder Angriffs – das sind keine Empfehlungen mehr, sondern Pflicht. Backups müssen verschlüsselt und vom Produktivsystem getrennt aufbewahrt werden.
6. Schulung und Awareness
Geschäftsführung und Mitarbeiter müssen nachweislich in Cybersicherheits-Grundlagen geschult werden. Die Geschäftsführung haftet persönlich für die Einhaltung – Unwissenheit ist keine Entschuldigung.
Welche Rolle spielt die Cloud-Wahl bei NIS2?
Einer der kritischsten Punkte bei der NIS2-Compliance ist die Wahl Ihrer Cloud-Infrastruktur. US-amerikanische Cloud-Dienste wie Microsoft 365, Google Workspace oder AWS unterliegen dem CLOUD Act, der US-Behörden Zugriff auf gespeicherte Daten ermöglicht – unabhängig vom Serverstandort. Das ist mit den NIS2-Anforderungen zur Lieferkettensicherheit und Datensouveränität nur schwer vereinbar.
Für NIS2-pflichtige Unternehmen empfehlen wir daher ausdrücklich den Einsatz europäischer Cloud-Lösungen. Nextcloud bei MyCubeServer erfüllt die NIS2-Anforderungen an Datensouveränität, Zugangskontrolle und Lieferkettensicherheit – mit AVV nach DSGVO, Serverstandort Deutschland und vollem Quellcode-Zugang.
Was passiert, wenn ich NIS2 ignoriere?
Das BSI kann bei Verstößen:
- Bußgelder bis zu 10 Mio. € oder 2 % des Jahresumsatzes verhängen
- Bei wesentlichen Einrichtungen Betriebsuntersagungen aussprechen
- Geschäftsführer persönlich haftbar machen
- Öffentliche Bekanntmachungen von Verstößen veranlassen
Abgesehen von den Bußgeldern: Ein ungeplanter Sicherheitsvorfall ohne vorbereitete Incident-Response kostet im Schnitt ein Vielfaches der Investition in präventive Sicherheitsmaßnahmen.
Erste Schritte: So starten Sie jetzt
- Prüfen Sie, ob Sie betroffen sind – mit unserem kostenlosen NIS2-Schnellcheck.
- Inventarisieren Sie Ihre IT-Assets – welche Systeme, Dienste und Daten sind kritisch?
- Bewerten Sie Ihre Dienstleister – welche Cloud-Dienste nutzen Sie? Wo liegen Ihre Daten?
- Erstellen Sie ein einfaches Sicherheitskonzept – kein 200-Seiten-Dokument, sondern klare Regeln für Zugänge, Backups und Vorfallmeldung.
- Schulen Sie Ihr Team – mindestens einmal jährlich, dokumentiert.
Fazit: NIS2 ist Pflicht – aber auch Chance
NIS2 mag wie eine Bürde erscheinen – aber Unternehmen, die ihre IT-Sicherheit ernst nehmen, sind widerstandsfähiger, vertrauenswürdiger und wettbewerbsfähiger. Kunden und Partner erwarten zunehmend den Nachweis, dass ihre Daten bei Ihnen sicher sind.
MyCubeServer unterstützt Sie auf dem Weg zur NIS2-Compliance: von der ersten Bestandsaufnahme über DSGVO-konforme Cloud-Infrastruktur bis hin zu konkreten Sicherheitsmaßnahmen. Sprechen Sie uns an – kostenlos und unverbindlich.
