Die Geschichte der NIS-2-Richtlinie beginnt im Jahr 2016, als die Europäische Union mit der Richtlinie (EU) 2016/1148, bekannt als NIS-1-Richtlinie, die erste EU-weite Gesetzgebung im Bereich der Cybersicherheit verabschiedete. Die Abkürzung NIS stand für Network and Information Security, also Netz- und Informationssicherheit. Die grundlegende Intention dieser ersten Richtlinie war es, die kritischen Infrastrukturen der einzelnen Mitgliedsstaaten zu stärken. Die NIS-1-Richtlinie verfolgte drei wesentliche Ziele: Erstens verbesserte sie die nationalen Cybersicherheitskapazitäten, indem sie die Mitgliedstaaten verpflichtete, nationale Cybersicherheitsstrategien zu entwickeln und zentrale Ansprechpartner zu benennen. Zweitens förderte sie die Zusammenarbeit zwischen den Mitgliedstaaten auf EU-Ebene durch den Aufbau von Austauschforen für strategische und operative Informationen. Drittens verbesserte sie die Cyber-Resilienz öffentlicher und privater Einrichtungen in sieben besonders kritischen Sektoren sowie in drei Bereichen digitaler Dienstleistungen.

Konkret erfasste NIS-1 Betreiber wesentlicher Dienste aus den Sektoren Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasserversorgung und digitale Infrastruktur sowie Anbieter digitaler Dienste wie Online-Marktplätze, Online-Suchmaschinen und Cloud-Computing-Dienste. Diese Unternehmen mussten angemessene technische und organisatorische Sicherheitsmaßnahmen nach dem Stand der Technik einführen, schwerwiegende IT-Sicherheitsvorfälle unverzüglich melden und Kontaktstellen benennen.

Die Grenzen von NIS-1 und die Geburt von NIS-2

Die EU-Kommission war verpflichtet, die Wirksamkeit der NIS-1-Richtlinie zu bewerten, und diese Evaluierung offenbarte erhebliche Mängel, die eine vollständige Überarbeitung des Regelwerks notwendig machten. Ein zentrales Problem war die uneinheitliche Umsetzung in den Mitgliedstaaten. NIS-1 gab den einzelnen Ländern erheblichen Spielraum bei der Definition, wer überhaupt unter die Richtlinie fiel, was zu einem regelrechten Flickenteppich unterschiedlicher nationaler Regelungen führte. Viele Organisationen blieben unentdeckt oder konnten mit oberflächlichen Maßnahmen die gesetzlichen Anforderungen umgehen, und Prüfer hatten große Schwierigkeiten, Sicherheitsstandards länderübergreifend zu vergleichen oder Maßnahmen zu koordinieren.

Ein weiteres Manko war der zu enge Anwendungsbereich. Die Beschränkung auf lediglich sieben Sektoren erwies sich als unzureichend, da viele Bereiche der modernen digitalen Wirtschaft vollständig unreguliert blieben – etwa Managed Service Provider, SaaS-Anbieter sowie zahlreiche mittelständische Unternehmen mit erheblicher gesellschaftlicher Relevanz. Gleichzeitig entwickelten sich die Cyberbedrohungen dramatisch weiter: Ransomware, Lieferkettenangriffe und die Manipulation kritischer Systeme wurden zu ernsthaften Bedrohungen für die Geschäfts- und nationale Sicherheit. Besonders problematisch war zudem, dass sich viele Dienstleister außerhalb der EU der Aufsicht vollständig entziehen konnten. Diese regulatorischen Lücken sowie die mangelnde Harmonisierung der Sanktionen und Durchsetzungsmechanismen machten deutlich, dass ein grundlegend neuer Ansatz erforderlich war.

Auf Basis der Evaluierungsergebnisse arbeitete die Europäische Kommission einen umfassenden Reformvorschlag aus. Am 16. Dezember 2020 legte sie ihren Vorschlag für eine neue Richtlinie vor, die die alte NIS-1-Richtlinie ersetzen und gleichzeitig die neuere CER-Richtlinie flankieren sollte, die sich auf physische Bedrohungen kritischer Einrichtungen konzentriert. Nach fast zweijährigen Verhandlungen wurde die neue Richtlinie schließlich verabschiedet und am 27. Dezember 2022 im Amtsblatt der EU veröffentlicht. Offiziell in Kraft trat die NIS-2-Richtlinie – mit der Bezeichnung (EU) 2022/2555 – am 16. Januar 2023. Gemäß den Vorgaben der Richtlinie hatten die Mitgliedstaaten die Aufgabe, die europäischen Vorgaben bis zum 17. Oktober 2024 in nationales Recht zu überführen. Die NIS-2-Richtlinie ersetzt mit ihrem Inkrafttreten vollständig die bisherige NIS-1-Richtlinie aus dem Jahr 2016 und markiert den Beginn einer neuen Ära europäischer Cybersicherheitsregulierung.

Die Notwendigkeit der NIS-2-Richtlinie

Die Notwendigkeit für ein grundlegend überarbeitetes Regelwerk ergibt sich in erster Linie aus der dramatischen Verschärfung der Cyberbedrohungslage in den letzten Jahren. Die Digitalisierung und die zunehmende Vernetzung von Wirtschaft und Gesellschaft haben die Angriffsflächen massiv vergrößert, und geopolitische Konflikte haben die Bedrohungslage weiter verschärft. Ransomware, Supply-Chain-Angriffe und gezielte Sabotage sind längst zum unternehmerischen Alltag geworden. Die europäische Wirtschaft erleidet durch Cyberkriminalität jedes Jahr Milliardenschäden; allein in Deutschland beziffert der Digitalverband Bitkom den gesamtwirtschaftlichen Schaden auf rund 206 Milliarden Euro jährlich. Das Bundesamt für Sicherheit in der Informationstechnik registrierte in seinem Lagebericht zur IT-Sicherheit täglich durchschnittlich 250.000 neue Schadprogramm-Varianten. Diese Zahlen unterstreichen die existenzielle Dringlichkeit robuster Sicherheitsmaßnahmen.

Die NIS-1-Richtlinie litt unter strukturellen Problemen: dem fragmentierten Ansatz mit unterschiedlichen nationalen Umsetzungen, der mangelnden Harmonisierung der Durchsetzungsmechanismen und der unzureichenden Berücksichtigung von Lieferkettenrisiken. Zudem enthielt sie keine expliziten Regelungen zur Verantwortlichkeit des Managements, was in der Praxis dazu führte, dass Cybersicherheit oft nicht die notwendige strategische Priorität erhielt. Vor diesem Hintergrund verfolgt die NIS-2-Richtlinie ambitionierte strategische Ziele: Sie schafft einen gemeinsamen Rechtsrahmen für die Cybersicherheit in der gesamten Europäischen Union, hebt das Cybersicherheitsniveau auf ein neues, hohes Niveau und sichert nicht nur klassische kritische Infrastrukturen, sondern das gesamte digitale Ökosystem ab.

Die Umsetzung der NIS-2-Richtlinie in Deutschland

Der verspätete Start: Deutschland verpasst die Umsetzungsfrist

Die Umsetzung der NIS-2-Richtlinie gestaltete sich in Deutschland äußerst schwierig. Die EU-weite Frist zur Überführung der Richtlinie in nationales Recht endete am 17. Oktober 2024, doch Deutschland gehörte zu den zahlreichen Mitgliedstaaten, die diese Frist nicht einhalten konnten. Die Europäische Kommission reagierte darauf mit der Einleitung von Vertragsverletzungsverfahren gegen die säumigen Länder. Die Verzögerung in Deutschland hatte mehrere Ursachen. Ein erster Gesetzentwurf des sogenannten NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes vom 2. Oktober 2024 konnte wegen des Scheiterns der Ampelkoalition nicht innerhalb der laufenden Wahlperiode abgeschlossen werden und erledigte sich vollständig.

Erst mit der Bildung der neuen Bundesregierung im Frühjahr 2025 nahm der Gesetzgebungsprozess wieder Fahrt auf. Die neue Regierung machte die Umsetzung der NIS-2-Richtlinie zu einer prioritären Aufgabe und überarbeitete den vorherigen Gesetzentwurf innerhalb weniger Wochen grundlegend. Am 30. Juli 2025 verabschiedete die Bundesregierung den überarbeiteten Entwurf des Gesetzes zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung.

Der finale Durchbruch: Das NIS2UmsuCG tritt in Kraft

Nach intensiven parlamentarischen Beratungen wurde das Gesetz schließlich am 13. November 2025 vom Deutschen Bundestag beschlossen, am 21. November 2025 vom Bundesrat gebilligt und am 5. Dezember 2025 im Bundesgesetzblatt verkündet. Mit diesem formellen Akt trat das NIS2UmsuCG am folgenden Tag, dem 6. Dezember 2025, offiziell in Kraft. Damit wurde die europäische NIS-2-Richtlinie mehr als ein Jahr nach Ablauf der Umsetzungsfrist endgültig in deutsches Recht überführt.

Die massive Ausweitung des Anwendungsbereichs

Das NIS2UmsuCG bringt eine grundlegende Neuausrichtung der Cybersicherheitsregulierung in Deutschland mit sich. Standen bisher vornehmlich Betreiber Kritischer Infrastrukturen im Fokus, erfasst das neue Regime einen deutlich breiteren Kreis von Akteuren. Die Anzahl der regulierten Einrichtungen steigt von vormals rund 4.500 Unternehmen unter dem NIS-1-Regime auf nunmehr geschätzt bis zu 30.000 Unternehmen – eine nahezu Verachtfachung. Die NIS-2-Richtlinie erfasst insgesamt 18 Sektoren, die in zwei Kategorien eingeteilt sind. Zu den hochkritischen Sektoren mit besonders strengen Anforderungen zählen unter anderem Energie, Verkehr, Banken, Finanzmarktinfrastrukturen, Gesundheitswesen, Wasser, digitale Infrastruktur und Raumfahrt. Hinzu kommen weitere wichtige Sektoren wie Abfallwirtschaft, Lebensmittelproduktion und -verarbeitung, Herstellung von Medizinprodukten sowie digitale Dienste.

Zwei Kategorien betroffener Einrichtungen

Das deutsche BSIG unterscheidet zwei Kategorien von betroffenen Einrichtungen. Besonders wichtige Einrichtungen sind Unternehmen, die in hochkritischen Sektoren tätig sind und entweder mindestens 250 Mitarbeiter beschäftigen oder einen Jahresumsatz von über 50 Millionen Euro sowie eine Jahresbilanzsumme von über 43 Millionen Euro aufweisen. Einige Einrichtungen fallen unabhängig von ihrer Größe in diese Kategorie, etwa DNS-Diensteanbieter oder Betreiber kritischer Anlagen. Wichtige Einrichtungen sind Unternehmen mit mindestens 50 Mitarbeitern oder einem Jahresumsatz und einer Jahresbilanzsumme von über 10 Millionen Euro. Für diese Kategorie gelten etwas weniger strenge Anforderungen, insbesondere im Hinblick auf die behördliche Aufsicht, die eher reaktiv nach Vorfällen ausgestaltet ist. Eine deutschlandspezifische Besonderheit ist die sogenannte vernachlässigbare Geschäftstätigkeit: Bei der Prüfung, ob ein Unternehmen in einem relevanten Sektor tätig ist, können Tätigkeiten unberücksichtigt bleiben, die nur einen sehr geringen Anteil am Gesamtgeschäft ausmachen.

Die zentralen materiellen Pflichten

Im Zentrum der unternehmerischen Pflichten stehen die Risikomanagementmaßnahmen. Gefordert werden unter anderem ein kohärentes Konzept für Risikomanagement und Informationssicherheit, Prozesse zur Bewältigung von Sicherheitsvorfällen, belastbare Prozesse zur Erkennung, Meldung und Bewältigung von Sicherheitsvorfällen, Regelungen zu Betriebskontinuität, Backup-Strategien und Krisenorganisation, Maßnahmen zur Sicherheit der Lieferkette sowie klare Anforderungen an IKT-Produkte und -Dienste, ein sicherer Entwicklungsprozess inklusive Schwachstellen- und Patch-Management, gelebte Cyberhygiene und systematische Schulung der Mitarbeitenden, ein konsistenter Einsatz von Kryptografie, ein wirksames Zugriffs- und Asset-Management sowie der verpflichtende Einsatz von Multi-Faktor-Authentifizierung und abgesicherten Notfall-Kommunikationswegen. Für Betreiber kritischer Anlagen gelten darüber hinaus weitergehende Anforderungen, insbesondere der verpflichtende Einsatz von Systemen zur Angriffserkennung.

Das neue Melderegime sieht eine gestufte Meldepflicht bei erheblichen Sicherheitsvorfällen vor: eine frühe Erstmeldung innerhalb von 24 Stunden nach Kenntnisnahme, eine Detailmeldung innerhalb von 72 Stunden mit weiteren Informationen und Bewertung sowie eine Abschlussmeldung spätestens einen Monat nach der Detailmeldung. Die Meldungen erfolgen an das Bundesamt für Sicherheit in der Informationstechnik (BSI) sowie im Energiesektor zusätzlich an die Bundesnetzagentur.

Mit der NIS-2-Richtlinie wird Cybersicherheit explizit zur Chefsache gemacht. Die Geschäftsleitung trägt die persönliche Verantwortung für die Umsetzung und Überwachung der Risikomanagementmaßnahmen und hat sich regelmäßig zu NIS-2-Risiken und Risikomanagementpraktiken fortzubilden. Die Norm verknüpft dies mit einer persönlichen Haftung der Leitungsorgane gegenüber der eigenen Einrichtung. Besteht keine Binnenhaftung nach gesellschaftsrechtlichen Bestimmungen, sieht die NIS-2-Umsetzung einen Auffangtatbestand vor, wonach die Geschäftsleitungen für einen schuldhaft verursachten Schaden nach dem BSIG haften.

Das Sanktionsregime wurde im Vergleich zu NIS-1 erheblich verschärft. Für besonders wichtige Einrichtungen drohen Bußgelder von bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen beträgt die Obergrenze sieben Millionen Euro oder 1,4 Prozent des Jahresumsatzes. Darüber hinaus sehen die deutschen Regelungen eine persönliche und unbeschränkte Haftung der Geschäftsleitung mit ihrem Privatvermögen vor. Das Unternehmen kann die Führungskräfte weder von dieser Verantwortung befreien noch die Bußgelder erstatten.

Die zentrale Rolle des ISMS

Für die praktische Umsetzung der NIS-2-Anforderungen spielt ein Informationssicherheitsmanagementsystem (ISMS) eine zentrale Rolle. Das Gesetz verlangt von betroffenen Unternehmen, ein angemessenes Risikomanagement zu etablieren und zu dokumentieren. Insbesondere wird ausdrücklich die Einführung eines ISMS empfohlen, um den Behörden auf Anfrage detaillierte Informationen über die Cybersicherheitsstrategien zur Verfügung stellen zu können. Die in § 30 BSIG aufgelisteten Risikomanagementmaßnahmen decken sich in wesentlichen Teilen mit den Anforderungen internationaler Standards für Informationssicherheitsmanagementsysteme, insbesondere der ISO/IEC 27001. Themen wie Risikomanagement, Incident-Handling, Business Continuity Management, Lieferkettensicherheit, Schwachstellenmanagement, Monitoring und Logging sowie Zugriffs- und Asset-Management sind dort bereits umfassend abgebildet. Die Einführung eines ISMS hilft Unternehmen nicht nur bei der Erfüllung der gesetzlichen Pflichten, sondern bietet auch die notwendige Dokumentationsgrundlage für behördliche Prüfungen und Nachweise. Angesichts der erheblichen Sanktionen bei Verstößen wird ein systematisches, dokumentiertes und zertifizierbares Informationssicherheitsmanagement für betroffene Unternehmen zur existenziellen Notwendigkeit.

Fazit: Ein neues Zeitalter der Cybersicherheitsregulierung

Die NIS-2-Richtlinie markiert einen historischen Wendepunkt in der europäischen Cybersicherheitsregulierung. Sie überwindet die Defizite des ersten Rechtsrahmens aus dem Jahr 2016 durch einen deutlich erweiterten Anwendungsbereich, harmonisierte Standards, verschärfte Sanktionen und die Einbeziehung des Top-Managements in die persönliche Verantwortung. Die dramatische Zunahme von Cyberbedrohungen in den letzten Jahren und die strukturellen Mängel von NIS-1 machten diesen grundlegenden Neuanfang zwingend erforderlich. Die Umsetzung in Deutschland erfolgte mit erheblicher Verspätung – das NIS2UmsuCG trat erst am 6. Dezember 2025 in Kraft, mehr als ein Jahr nach Ablauf der EU-weiten Transpositionsfrist. Mit dem finalen Inkrafttreten ist die Rechtslage nun geklärt: Für geschätzte 30.000 Unternehmen in Deutschland gelten ab sofort deutlich strengere Cybersicherheitspflichten. Die NIS-2-Richtlinie ist mehr als nur eine weitere regulatorische Hürde – sie ist der Ausdruck eines grundlegenden Paradigmenwechsels. Cybersicherheit ist nicht mehr allein eine technische Angelegenheit der IT-Abteilung, sondern wird zu einem integralen Bestandteil der Corporate Governance. Unternehmen, die sich frühzeitig und systematisch auf die neuen Anforderungen einstellen – insbesondere durch die Einführung eines zertifizierten Informationssicherheitsmanagementsystems – schaffen nicht nur die notwendige Compliance, sondern positionieren sich auch als vertrauenswürdige Partner in einer zunehmend vernetzten digitalen Wirtschaft.