Individuelle NIS-2-Beratung
Mit rund 13 Monaten Verzögerung gegenüber der EU-Frist wurde das deutsche NIS-2-Umsetzungsgesetz am 5. Dezember 2025 verkündet und ist am 6. Dezember 2025 in Kraft getreten.
Die Novelle des BSI-Gesetzes erweitert den Kreis der regulierten Organisationen von bisher ca. 4.500 auf rund 30.000 Unternehmen und Einrichtungen. Unternehmen, die unter die NIS-2-Regelungen fallen, müssen ab sofort alle Anforderungen erfüllen.
Seit dem 6. Dezember 2025 gilt das deutsche NIS-2-Umsetzungsgesetz. NIS-2- zielt darauf ab, die Cybersicherheitsmaßnahmen innerhalb der EU zu harmonisieren und zu verstärken.
Beim NIS-2-Umsetzungsgesetz handelt es sich um eine strukturelle Neujustierung von Governance und Informationssicherheit. Das Gesetz verschärft die Anforderungen an die Sicherheitsmaßnahmen und an die Meldung von Sicherheitsvorfällen in Unternehmen.
Die NIS2-Richtlinie betrifft Organisationen aus 18 spezifischen Sektoren (Anhang I/II). Einrichtungen in diesen Sektoren werden – je nach Größe/Kritikalität – als besonders wichtig (essential) oder wichtig (important) eingestuft.
- Elektrizität
- Fernwärme
- Erdöl
- Erdgas
- Wasserstoff
- Luftverkehr
- Schienenverkehr
- Schifffahrt
- Straßenverkehr
- Kreditinstitute
- Handelsplätze
- Zentrale Gegenpartien
- Gesundheitsdienstleister
- EU Labore
- Medizinforschung
- Pharmazeutik
- Medizingeräte
- Wasserversorgung
- Abwasserentsorgung
- Internet-Knoten (IXP)
- DNS (ohne Root)*
- TLD Registries*
- Cloud Provider
- Rechenzentren
- CDNs
- Vertrauensdienste (TSP)*
- Elektronische Kommunikation*
- Managed Service Providers
- Managed Security Service Providers
- Zentralregierung*
- Regionale Regierung*
- Bodeninfrastruktur
- Postdienste
- Abfallbewirtschaftung
- Produzierende Unternehmen
- Herstellung
- Handel
- Produktion
- Verarbeitung
- Vertrieb
- Medizinprodukte und In-vitro
- DV (Computer), Elektronik, Optik
- Elektrische Ausrüstung
- Maschinenbau
- Kraftwagen und Teile
- Fahrzeugbau
- Marktplätze
- Suchmaschinen
- Soziale Netzwerke
- Forschende Institute
Die Unterschiede zwischen "besonders wichtigen" und "wichtigen" Sektoren Einrichtungen:
- Besonders wichtige Einrichtungen werden proaktiv durch die Behörden beaufsichtigt (ohne Anlass).
Bußgeldrahmen: bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (je nachdem, was höher ist) - Wichtige Einrichtungen müssen grds. nur anlassbezogen einer Aufsicht unterzogen.
Bußgeldrahmen: bis 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes.
Unabhängig von der Größe oder dem Umsatz eines Unternehmens gibt es bestimmte Ausnahmen. Zum Beispiel können Unternehmen, die kritische Tätigkeiten ausführen, Auswirkungen auf die öffentliche Ordnung haben oder vom Staat als "wichtig" eingestuft werden, unter die NIS2-Richtlinie fallen. Dies gilt auch, wenn sie weniger als 50 Mitarbeiter haben oder ihr Jahresumsatz unter 10 Millionen Euro liegt.
Verteidigung oder Geheimdienste können teilweise oder ganz von den Regelungen ausgenommen sein. KRITIS-Unternehmen gelten automatisch als „besonders wichtig“. Das Gesetz schreibt zudem ein verbindliches IT-Risikomanagement nach BSI-IT-Grundschutz und die Anwendung der BSI-Mindeststandards für die Bundesverwaltung vor.
Unternehmen müssen ein Risikomanagementsystem einführen und angemessene Sicherheitsmaßnahmen implementieren, um sich wirksam gegen Cyberbedrohungen zu schützen. Dazu gehören eine Risikoanalyse mit Sicherheitskonzepten, Business Continuity Management einschließlich Backups, Incident-Handling und Forensik, Patch- und Schwachstellenmanagement, Logging, Monitoring und Anomalieerkennung, ein Zugriffs- und Identitätsmanagement, Kryptomanagement, Maßnahmen zur Absicherung der Lieferkette sowie regelmäßige Schulungen und Awareness-Maßnahmen für Mitarbeitende.
Sicherheitsvorfälle müssen unverzüglich an die zuständigen Behörden gemeldet werden. Dies soll eine schnelle Reaktion und Minimierung der Auswirkungen ermöglichen. Hierbei sind klare Meldefristen definiert.
Die NIS-2-Richtlinie sieht erhebliche Sanktionen für Unternehmen vor, die ihre Verpflichtungen nicht erfüllen. Dies umfasst finanzielle Strafen und andere regulatorische Maßnahmen.
Für betroffene Unternehmen ist es entscheidend, frühzeitig Maßnahmen zu ergreifen, um die Anforderungen der NIS-2-Richtlinie zu erfüllen. Wir empfehlen ein mehrstufiges Vorgehen:
Bewertung des aktuellen Sicherheitsniveaus: Führen Sie eine umfassende Bewertung Ihrer aktuellen Sicherheitsmaßnahmen und -protokolle durch, um Schwachstellen zu identifizieren.
Entwicklung eines Risikomanagementplans: Erstellen Sie einen detaillierten Risikomanagementplan, der spezifische Maßnahmen zur Verbesserung der Cybersicherheit beinhaltet. Es gilt klare Richtlinien und Verfahren für den Umgang mit Sicherheitsvorfällen zu definieren.
Schulung und Sensibilisierung: Stellen Sie sicher, dass Ihre Mitarbeiter regelmäßig geschult werden und sich der Bedeutung der Cybersicherheit bewusst sind. Die größte Schwachstelle bei Cyberangriffen ist nach wie vor der Mensch.
Implementierung von Sicherheitsmaßnahmen: Implementieren Sie die erforderlichen Sicherheitsmaßnahmen, einschließlich technologischer Lösungen und organisatorischer Prozesse. Ein Informationssicherheitskonzept kann dabei hilfreich sein.
Regelmäßige Überprüfung und Aktualisierung: Überprüfen und aktualisieren Sie regelmäßig Ihre Sicherheitsmaßnahmen, um mit den sich ständig weiterentwickelnden Bedrohungen Schritt zu halten.
Schutz der Vertraulichkeit und Integrität von Daten während der Übertragung und Speicherung.
Evaluierung von Sicherheitsrichtlinien, Prozessen und Technologien zur Identifizierung von Schwachstellen und Implementierung von Verbesserungen.
Regelmäßige Awareness-Schulungen sensibilisieren Mitarbeitende für Cyber-Bedrohungen und vermitteln Best Practices (z. B. Phishing-Prävention, sichere Passwortverwendung, Erkennung verdächtiger Aktivitäten); darüber hinaus verpflichtet NIS-2 die Unternehmensleitung, die Cybersicherheits-Maßnahmen zu genehmigen und zu überwachen, selbst an Schulungen teilzunehmen und persönliche Verantwortung zu tragen.
Simulationen von Cyberangriffen durch Sicherheitsexperten zur Aufdeckung von Schwachstellen in Systemen und Netzwerken, um potenzielle Sicherheitslücken zu identifizieren und zu beheben.
Regelmäßige Aktualisierung von Software und Betriebssystemen, um bekannte Schwachstellen zu schließen und die Angriffsfläche zu reduzieren.
Grundlegende Schutzmechanismen zum Blockieren unerlaubten Zugriffs und schädlicher Software.
Mit Tools wie zum Beispiel WEBCON BPS können Unternehmen ihre Sicherheits- und Compliance-Prozesse im Rahmen der NIS2-Richtlinie schnell digitalisieren, transparent steuern und flexibel an neue Anforderungen anpassen.
Verstöße gegen die Vorgaben der NIS-2-Anforderungen können mit deutlich verschärften Sanktionen verbunden sein. Unternehmen müssen, in Abhängigkeit Ihrer Einstufung als wesentliche oder besonders wichtige Einrichtung, mit erheblichen Bußgeldern rechnen. Dabei kommen sowohl feste Höchstbeträge als auch umsatzbezogene Bußgeldrahmen auf Basis des weltweiten Jahresumsatzes in Betracht.
Das BSI ist zudem befugt, bei erheblichen oder wiederholten Mängeln aufsichtsrechtliche Maßnahmen zu ergreifen, etwa in Form von Prüfungen, verbindlichen Anordnungen zur Umsetzung von Sicherheitsmaßnahmen oder weiteren organisatorischen Vorgaben. Ein unzureichendes Risikomanagement, verspätete oder unterlassene Meldungen von Sicherheitsvorfällen oder eine fehlende Registrierung können damit schnell zu spürbaren finanziellen und organisatorischen Konsequenzen führen.
Es ist daher sinnvoll, die eigenen Prozesse frühzeitig an die neuen NIS-2-Anforderungen anzupassen und so Risiken zu minimieren.
Fazit
Die NIS-2-Richtlinie kann einen bedeutenden Schritt zur Verbesserung der Cybersicherheit in der EU darstellen, wiewohl die Umsetzung gerade für den Mittelstand entsprechende Ressourcen erfordert.
Durch eine frühzeitige Vorbereitung und kann die fristgerechte Umsetzung robuster Sicherheitsmaßnahmen gewährleistet werden.Unternehmen stelle somit nicht nur die Compliance sicher, sondern stärken auch ihre Widerstandsfähigkeit gegenüber Cyberbedrohungen.
Bei Fragen zur praktischen Umsetzung stehen wir Ihnen jederzeit gerne unterstützend zur Seite
Sonntag & Partner
Partnerschaftsgesellschaft mbB
Wirtschaftsprüfer, Steuerberater, Rechtsanwälte
Schertlinstraße 23
86159 Augsburg
Telefon: +49 821 57058-0
Telefax: +49 821 57058-153
