Wissen · Compliance-Leitfaden

NIS2 umsetzen: Leitfaden für Unternehmen in der DACH-Region

NIS2 ist die EU-Richtlinie 2022/2555, die für mittlere und große Unternehmen in vielen Branchen ein gemeinsames Mindestniveau bei der Cybersicherheit festlegt. In Deutschland gilt das Umsetzungsgesetz seit Dezember 2025, in Österreich seit dem 1. Oktober 2026. Die Frage ist also nicht mehr, ob du betroffen bist, sondern wie schnell du deine Lücken schließt.

Aktualisiert: 6. November 2026

Was NIS2 ist und warum es jetzt drängt

Die NIS2-Richtlinie löst die erste NIS-Richtlinie ab und erweitert sowohl die Zahl der Sektoren als auch die Tiefe der Pflichten. Als Richtlinie wirkt sie nicht direkt, sondern erst über das Gesetz des jeweiligen Mitgliedstaats. Die Umsetzungsfrist lief am 17. Oktober 2024 ab, viele Länder waren spät dran. Nach Angaben der Europäischen Kommission schickte sie im Mai 2025 begründete Stellungnahmen an 19 Mitgliedstaaten, darunter Deutschland und Österreich.

Die Richtlinie ruht auf drei Säulen: Sicherheitsmaßnahmen, die du ergreifen musst (Artikel 21), Meldungen von Vorfällen an die Behörde (Artikel 23) und die persönliche Verantwortung der Geschäftsleitung (Artikel 20). Aufsichtsbehörden dürfen prüfen, und die Bußgelder sind hoch genug, dass das Thema in die Chefetage gehört und nicht nur in die IT.

Wer betroffen ist

Die Richtlinie nennt Sektoren in zwei Anhängen. Anhang I umfasst Sektoren mit hoher Kritikalität, etwa Energie, Verkehr, Bankwesen, Gesundheit, Trinkwasser, digitale Infrastruktur und das Management von IKT-Diensten. Anhang II umfasst sonstige kritische Sektoren, zum Beispiel Post, Abfallwirtschaft, Chemie, Lebensmittel, die Herstellung bestimmter Waren und digitale Anbieter. Besonders wichtige Einrichtungen sind die größeren Unternehmen aus Anhang I, wichtige Einrichtungen sind die übrigen.

Grundregel bei der Größe: Ab mittleren Unternehmen aufwärts bist du im Anwendungsbereich. Deutschland setzt das im BSI-Gesetz so um: Mit mindestens 50 Beschäftigten oder mit Umsatz und Bilanzsumme jeweils über 10 Millionen Euro bist du mindestens eine wichtige Einrichtung. Mit mindestens 250 Beschäftigten oder mit über 50 Millionen Euro Umsatz und über 43 Millionen Euro Bilanzsumme bist du in einem Anhang-I-Sektor eine besonders wichtige Einrichtung. Manche Anbieter, etwa DNS-Dienste und Registrierungsstellen für Top-Level-Domains, sind unabhängig von der Größe erfasst.

Bei der Berechnung zählen verbundene Unternehmen und Partner mit, es sei denn, die Einrichtung betreibt ihre IT unabhängig. Und auch unterhalb der Schwellen reichen größere Kunden ihre Anforderungen per Vertrag an dich weiter.

Die Risikomanagementmaßnahmen nach Artikel 21

Artikel 21 verlangt angemessene und verhältnismäßige technische, operative und organisatorische Maßnahmen auf Basis eines Ansatzes, der alle Gefahren berücksichtigt. Die Richtlinie nennt einen Mindestkatalog, den du als Gerüst für dein Programm nutzen kannst.

• Risikoanalyse und Sicherheitskonzepte für Informationssysteme
• Bewältigung von Sicherheitsvorfällen
• Betriebskontinuität, Backup-Management und Krisenmanagement
• Sicherheit der Lieferkette, auch bei direkten Lieferanten und Dienstleistern
• Sicherheit bei Beschaffung, Entwicklung und Wartung, inklusive Umgang mit Schwachstellen und deren Offenlegung
• Verfahren zur Bewertung der Wirksamkeit der Maßnahmen
• Grundlegende Cyberhygiene und Schulungen
• Konzepte für Kryptografie und Verschlüsselung
• Personalsicherheit, Zugriffskontrolle und Anlagenmanagement
• Mehrfaktor- oder durchgängige Authentifizierung, gesicherte Kommunikation und Notfallkommunikation

Meldepflichten und Verantwortung der Geschäftsleitung

Bei einem erheblichen Sicherheitsvorfall läuft ein dreistufiges Verfahren. Unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, sendest du eine Frühwarnung und gibst an, ob du böswillige Handlungen oder grenzüberschreitende Auswirkungen vermutest. Innerhalb von 72 Stunden folgt die Meldung mit einer ersten Bewertung von Schwere und Auswirkungen und, falls vorhanden, Kompromittierungsindikatoren. Die Abschlussmeldung kommt spätestens einen Monat nach dieser Meldung. Dauert der Vorfall dann noch an, schickst du zuerst einen Fortschrittsbericht und die Abschlussmeldung nach Ende der Bearbeitung. Deutschland regelt das in Paragraf 32 des BSI-Gesetzes genau so.

Die Geschäftsleitung muss die Maßnahmen umsetzen beziehungsweise billigen, ihre Umsetzung überwachen und an Schulungen teilnehmen. In Deutschland macht Paragraf 38 des BSI-Gesetzes Geschäftsleiter gegenüber ihrem Unternehmen haftbar, wenn sie diese Pflichten schuldhaft verletzen, nach den Regeln der jeweiligen Rechtsform. Wer die Arbeit an ein Sicherheitsteam delegiert, delegiert damit nicht die Pflicht.

Die Höhe der Bußgelder legt jedes Land selbst fest. Die Richtlinie verlangt Höchstbeträge von mindestens 10 Millionen Euro oder 2 Prozent des weltweiten Umsatzes für besonders wichtige Einrichtungen und mindestens 7 Millionen Euro oder 1,4 Prozent für wichtige Einrichtungen, je nachdem, was höher ist. Das deutsche Gesetz nennt in Paragraf 65 genau diese Obergrenzen.

Stand in Deutschland, Österreich und der Schweiz (November 2026)

Deutschland: Das NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten und hat das BSI-Gesetz neu gefasst. Eine Übergangsfrist für die Pflichten gibt es nicht. Betroffene Einrichtungen müssen sich beim BSI registrieren. Das BSI schreibt auf seiner Seite, die gesetzliche Frist sei abgelaufen. Laut Fachpresse zu einer BSI-Mitteilung gewährte das BSI eine Nachfrist bis zum 31. Juli 2026, bis dahin hatten sich mehr als 19.000 Einrichtungen registriert, und das BSI behielt sich bußgeldbewehrte Schritte vor.

Österreich: Das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) wurde als BGBl. I Nr. 94/2025 kundgemacht. Die konsolidierte Fassung im Rechtsinformationssystem nennt den 1. Oktober 2026 als Datum des Inkrafttretens. Es löst das alte NISG ab und schafft die neue Behörde für Cybersicherheit. Wie die Registrierung genau abläuft, solltest du auf der Seite der Behörde prüfen, weil Details per Verordnung geregelt werden und sich noch ändern können.

Schweiz: Als Nicht-EU-Land ist sie von NIS2 selbst nicht erfasst. Seit dem 1. April 2025 müssen aber Betreiber kritischer Infrastrukturen Cyberangriffe innerhalb von 24 Stunden nach der Entdeckung an das Nationale Zentrum für Cybersicherheit melden, die vollständige Meldung darf binnen 14 Tagen folgen. Wer nicht meldet, kann mit bis zu 100.000 Franken gebüßt werden, Sanktionen gelten seit dem 1. Oktober 2025. Schweizer Firmen mit EU-Tochtergesellschaften oder EU-Kunden sollten trotzdem prüfen, ob NIS2 für sie relevant ist.

Ein realistischer Start in fünf Schritten

Die wenigsten Unternehmen brauchen im ersten Monat ein perfektes Programm. Sie brauchen einen nachvollziehbaren, dokumentierten Weg. Diese Reihenfolge hat sich bewährt.

• Betroffenheitsprüfung: Gleiche Gesellschaften, Sektoren, Mitarbeiterzahl und Finanzzahlen mit dem nationalen Gesetz ab. In Deutschland hilft die Betroffenheitsprüfung des BSI. Dokumentiere das Ergebnis in jedem Fall.
• Lückenanalyse: Vergleiche deine bestehenden Kontrollen mit den zehn Bereichen aus Artikel 21, zum Beispiel mit ISO/IEC 27001 oder dem BSI IT-Grundschutz als Maßstab. Sortiere die Lücken nach Risiko und Aufwand.
• Maßnahmen und Zuständigkeit: Benenne pro Bereich eine verantwortliche Person, hole die Freigabe der Geschäftsleitung für Budget und Plan ein und plane die Schulung der Geschäftsleitung. Beginne mit Identitäten und Zugriffen, Backups, Patching und Logging.
• Incident-Prozess: Lege fest, was als erheblich gilt, wer entscheidet, wer die 24-Stunden-Meldung über welches Portal absendet, und übe das in einer Tabletop-Übung.
• Lieferkette: Liste kritische Lieferanten und Dienstleister auf, nimm Sicherheitsklauseln und Meldepflichten in die Verträge auf und fordere Nachweise passend zu ihrer Rolle.

Wann sich externe Dienstleister lohnen

Nur wenige mittelständische Unternehmen können eine Überwachung rund um die Uhr oder ein eigenes Incident-Team besetzen, und die 24-Stunden-Frist richtet sich nicht nach Bürozeiten. Externe Hilfe lohnt sich vor allem an vier Stellen: bei einem Managed SOC oder Detection-Service für die Überwachung rund um die Uhr, bei einem Incident-Response-Retainer, damit Forensik und Eindämmung innerhalb von Stunden starten, bei unabhängigen Prüfungen wie Lückenanalysen, Penetrationstests und Schwachstellenscans sowie beim Aufbau von Richtlinien und Lieferkettenprozess.

Die Verantwortung bleibt im Unternehmen. Du kannst Aufgaben auslagern, aber die Geschäftsleitung trägt weiter die Entscheidung und die Meldepflicht. Lass dir Umfang und Reaktionszeiten schriftlich zusagen und frage, wie die Arbeit die Nachweise liefert, die eine Aufsichtsbehörde verlangen würde.