NIS2, erklärt ohne Juristendeutsch.

NIS2 ist die Richtlinie (EU) 2022/2555. Sie hat die ursprüngliche NIS-Richtlinie von 2016 abgelöst, ist am 16.01.2023 in Kraft getreten, und die Mitgliedstaaten mussten sie bis zum 17.10.2024 in nationales Recht umsetzen und ab dem 18.10.2024 anwenden.

Ein Punkt ist wichtiger als alles andere auf dieser Seite: NIS2 ist eine Richtlinie, keine Verordnung. Sie bindet Ihr Unternehmen nicht unmittelbar. Ihre Pflichten ergeben sich aus dem Umsetzungsgesetz Ihres eigenen Landes, und diese Gesetze weichen in erheblichen Punkten voneinander ab: andere Bezeichnungen für die Kategorien, andere Meldewege, andere Fristen. Gehen Sie immer von Ihrem nationalen Gesetz aus, nicht allein von der Richtlinie.

Die Umsetzung verläuft schleppend. Im Juli 2026 hat die Kommission vier Mitgliedstaaten beim Gerichtshof verklagt, weil sie die Richtlinie noch immer nicht umgesetzt hatten.

Darüber entscheiden zwei Fragen: Ihre Branche und Ihre Größe.

Branche. Anhang I führt 11 Sektoren „mit hoher Kritikalität“ auf: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten (Managed Service Provider und Managed Security Service Provider), öffentliche Verwaltung und Weltraum. Anhang II ergänzt 7 „sonstige kritische“ Sektoren: Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe (Medizinprodukte, Elektronik, elektrische Ausrüstungen, Maschinenbau, Kraftfahrzeuge, sonstiger Fahrzeugbau), digitale Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke) und Forschung.

Größe. Grundsätzlich fallen Sie ab mittlerer Größe in den Anwendungsbereich: mindestens 50 Beschäftigte oder ein Umsatz über 10 Millionen EUR und eine Bilanzsumme über 10 Millionen EUR. Als groß gelten Sie ab 250 Beschäftigten oder bei einem Umsatz über 50 Millionen EUR und einer Bilanzsumme über 43 Millionen EUR. Partner- und verbundene Unternehmen zählen bei Ihrer Größe mit, weshalb eine kleine Tochtergesellschaft eines großen Konzerns häufig in den Anwendungsbereich fällt.

Wesentlich oder wichtig. Einrichtungen aus Anhang I oberhalb des Größenschwellenwerts sind „wesentliche Einrichtungen“. Alles Übrige im Anwendungsbereich sind „wichtige Einrichtungen“. Der Unterschied zeigt sich darin, wie Sie beaufsichtigt werden und wie hoch die Bußgelder ausfallen können.

Größe schützt nicht immer. Manche Einrichtungen fallen unabhängig von ihrer Größe in den Anwendungsbereich: DNS- und TLD-Anbieter, Vertrauensdiensteanbieter, Anbieter öffentlicher elektronischer Kommunikationsdienste, die öffentliche Verwaltung und jedes Unternehmen, das in seinem Land alleiniger Anbieter eines Dienstes ist, von dem Gesellschaft oder Wirtschaft abhängen.

Governance. Ihr Leitungsorgan muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen, und es kann für Versäumnisse haftbar gemacht werden. Die Geschäftsleitung muss an Schulungen teilnehmen, und Sie müssen Ihren Beschäftigten regelmäßig Schulungen anbieten.

Risikomanagement. Artikel 21 legt zehn Mindestmaßnahmen fest: Konzepte für Risikoanalyse und Sicherheit von Informationssystemen; Bewältigung von Sicherheitsvorfällen; Aufrechterhaltung des Betriebs und Krisenmanagement; Sicherheit der Lieferkette; Sicherheit bei Erwerb, Entwicklung und Wartung, einschließlich des Umgangs mit Schwachstellen; Verfahren zur Bewertung, ob Ihre Maßnahmen tatsächlich wirken; grundlegende Cyberhygiene und Schulungen; Kryptografie und Verschlüsselung; Sicherheit des Personals, Zugriffskontrolle und Anlagenmanagement; sowie Multi-Faktor-Authentifizierung und gesicherte Kommunikation.

Meldung von Sicherheitsvorfällen. Das ist die engste Frist: eine Frühwarnung innerhalb von 24 Stunden, nachdem Sie von einem erheblichen Sicherheitsvorfall Kenntnis erlangt haben, eine ausführlichere Meldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats. Ein Vorfall ist erheblich, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann oder wenn er anderen erheblichen Schaden zufügt oder zufügen kann. Die Meldung als solche erhöht Ihre Haftung nicht.

Registrierung. Die Mitgliedstaaten führen ein Verzeichnis der betroffenen Einrichtungen, und die meisten betreiben ein Portal zur Selbstregistrierung. Die Registrierung setzt in der Regel alle weiteren Fristen in Gang, was sie zum ersten und nicht zum letzten Schritt macht.

Wesentlichen Einrichtungen drohen Bußgelder von bis zu 10 Millionen EUR oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Wichtigen Einrichtungen drohen bis zu 7 Millionen EUR oder 1,4 %. Diese Obergrenzen knüpfen speziell an Versäumnisse beim Risikomanagement (Artikel 21) und bei der Meldepflicht (Artikel 23) an.

Die Geschäftsleitung kann persönlich haftbar gemacht werden. Möglicherweise haben Sie auch gelesen, dass Leitungspersonen die Ausübung von Leitungsaufgaben untersagt werden kann. Das gibt es tatsächlich, es ist aber sehr viel enger gefasst, als das Marketing üblicherweise nahelegt: Es gilt nur für wesentliche Einrichtungen und nur als letztes Mittel, nachdem andere Durchsetzungsmaßnahmen erfolglos geblieben sind und eine Frist zur Abhilfe verstrichen ist. Wenn Sie eine wichtige Einrichtung sind, gilt es für Sie überhaupt nicht.