NIS2 (EU-Richtlinie zur Cybersicherheit)

NIS2 (kurz für NIS-2-Richtlinie) ist die Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union. Sie löst die Richtlinie (EU) 2016/1148 (NIS1) ab und gibt den Mitgliedstaaten ein Mindestniveau für Cybersicherheit und Meldepflichten vor. In Kraft getreten ist sie am 16. Januar 2023, dem zwanzigsten Tag nach der Veröffentlichung im Amtsblatt vom 27. Dezember 2022 (Art. 45).

Was die Richtlinie verlangt

Erfasst sind nach Art. 21 Abs. 1 und Art. 23 Abs. 1 nur wesentliche und wichtige Einrichtungen. Sie treffen drei Pflichtenkomplexe; hinzu kommt die Aufsicht durch die zuständigen Behörden (Art. 32 bis 34). Die Einstufung nach Art. 3 löst diese Pflichten jedoch nicht allein aus. Nach Art. 4 Abs. 1 finden die einschlägigen Bestimmungen der Richtlinie einschließlich der Bestimmungen über Aufsicht und Durchsetzung in Kapitel VII keine Anwendung auf die Einrichtung, wenn ein sektorspezifischer Rechtsakt der Union von ihr Maßnahmen zum Cybersicherheitsrisikomanagement oder die Meldung erheblicher Sicherheitsvorfälle verlangt und diese Anforderungen in ihrer Wirkung den Verpflichtungen der Richtlinie zumindest gleichwertig sind. Gleichwertig sind sie nach Art. 4 Abs. 2, wenn die Risikomanagementmaßnahmen den Maßnahmen nach Art. 21 Abs. 1 und 2 in ihrer Wirkung mindestens gleichwertig sind (Buchst. a) oder wenn der sektorspezifische Rechtsakt den CSIRTs, den zuständigen Behörden oder den zentralen Anlaufstellen einen unmittelbaren, gegebenenfalls automatischen und direkten Zugang zu den Vorfallmeldungen verschafft und die Anforderungen an die Meldung erheblicher Sicherheitsvorfälle den Anforderungen nach Art. 23 Abs. 1 bis 6 mindestens gleichwertig sind (Buchst. b). Gelten solche sektorspezifischen Rechtsakte der Union nicht für alle Einrichtungen eines bestimmten Sektors, so bleiben die einschlägigen Bestimmungen der Richtlinie für die übrigen Einrichtungen anwendbar (Art. 4 Abs. 1 Unterabs. 2):

• Risikomanagementmaßnahmen im Bereich der Cybersicherheit (Art. 21), mindestens in zehn Bereichen nach Abs. 2 Buchst. a bis j (vorbehaltlich Art. 4 Abs. 1).
• Meldung erheblicher Sicherheitsvorfälle (Art. 23): Frühwarnung innerhalb von 24 Stunden und Meldung innerhalb von 72 Stunden nach Kenntnisnahme, Abschlussbericht spätestens einen Monat nach der Meldung; ist der Vorfall zu diesem Zeitpunkt noch andauernd, sind ein Fortschrittsbericht und der Abschlussbericht innerhalb eines Monats nach Behandlung des Vorfalls vorzulegen, und abweichend von der 72-Stunden-Frist meldet ein Vertrauensdiensteanbieter einen erheblichen Sicherheitsvorfall, der sich auf die Erbringung seiner Vertrauensdienste auswirkt, innerhalb von 24 Stunden (Art. 23 Abs. 4); auch diese Meldepflichten bleiben nach Art. 4 Abs. 1 außer Anwendung, soweit ein sektorspezifischer Rechtsakt der Union in seiner Wirkung zumindest gleichwertige Meldungen erheblicher Sicherheitsvorfälle verlangt. Die Einrichtung unterrichtet gegebenenfalls unverzüglich die Empfänger ihrer Dienste über erhebliche Sicherheitsvorfälle, die die Erbringung des jeweiligen Dienstes beeinträchtigen könnten (Art. 23 Abs. 1), und teilt gegebenenfalls den potenziell von einer erheblichen Cyberbedrohung betroffenen Empfängern mit, welche Maßnahmen oder Abhilfemaßnahmen sie ergreifen können (Art. 23 Abs. 2).
• Governance: Das Leitungsorgan billigt die Maßnahmen, überwacht ihre Umsetzung und kann für Verstöße verantwortlich gemacht werden (Art. 20 Abs. 1); seine Mitglieder müssen an Schulungen teilnehmen (Art. 20 Abs. 2). Auch diese Bestimmungen bleiben nach Art. 4 Abs. 1 außer Anwendung, soweit ein sektorspezifischer Rechtsakt der Union in seiner Wirkung zumindest gleichwertige Maßnahmen zum Cybersicherheitsrisikomanagement verlangt.

Wen die Richtlinie erfasst: Größe und Sektor

Erfasst ist nach Art. 2 Abs. 1 eine Einrichtung, deren Tätigkeit einer Art der Anhänge I oder II entspricht, die ihre Dienste in der Union erbringt oder ihre Tätigkeiten dort ausübt und die mindestens mittlere Größe hat. Anhang I listet die Sektoren mit hoher Kritikalität, Anhang II die sonstigen kritischen Sektoren. Die Klasse folgt als Grundregel aus Größe und Sektor:

Größe der Einrichtung	Tätigkeit nach Anhang I	Tätigkeit nach Anhang II
groß: mindestens 250 Jahresarbeitseinheiten oder mehr als 50 Millionen Euro Jahresumsatz und mehr als 43 Millionen Euro Jahresbilanzsumme	wesentliche Einrichtung (Grundregel, Art. 3 Abs. 1 Buchst. a)	wichtige Einrichtung (Grundregel, Art. 3 Abs. 2)
mittel: mindestens 50 Jahresarbeitseinheiten oder mehr als 10 Millionen Euro Jahresumsatz und mehr als 10 Millionen Euro Jahresbilanzsumme, aber nicht groß	wichtige Einrichtung (Grundregel, Art. 3 Abs. 2)	wichtige Einrichtung (Grundregel, Art. 3 Abs. 2)
klein: weniger als 50 Jahresarbeitseinheiten und höchstens 10 Millionen Euro Jahresumsatz oder Jahresbilanzsumme	nicht erfasst (Art. 2 Abs. 1), außer in den Fällen des Art. 2 Abs. 2 bis 4	nicht erfasst (Art. 2 Abs. 1), außer in den Fällen des Art. 2 Abs. 2 bis 4

Diese Grundregel hat Ausnahmen: Art. 3 Abs. 1 Buchst. b bis g nennt weitere wesentliche Einrichtungen; sie sind im Absatz zu den unabhängig von der Größe erfassten Einrichtungen und den weiteren Fällen des Art. 3 Abs. 1 aufgeführt.

Art. 2 Abs. 1 des Anhangs der Empfehlung 2003/361/EG umschreibt die Größenklasse der Kleinstunternehmen sowie der kleinen und mittleren Unternehmen (KMU): Sie setzt sich aus Unternehmen zusammen, die weniger als 250 Personen beschäftigen und die entweder höchstens 50 Millionen Euro Jahresumsatz erzielen oder deren Jahresbilanzsumme sich auf höchstens 43 Millionen Euro beläuft; die beiden finanziellen Werte sind dabei Alternativen. Innerhalb dieser Kategorie definieren Abs. 2 und 3 desselben Artikels das kleine und das Kleinstunternehmen mit niedrigeren Schwellen; nach Art. 2 Abs. 1 der Richtlinie erfasst sind deshalb nur Einrichtungen, die nach Art. 2 des Anhangs als mittlere Unternehmen gelten oder die Schwellenwerte für mittlere Unternehmen nach Abs. 1 jenes Artikels überschreiten. Die Schwellen für mittlere Unternehmen überschreitet umgekehrt, wer mindestens 250 Personen beschäftigt oder sowohl mehr als 50 Millionen Euro Jahresumsatz als auch mehr als 43 Millionen Euro Jahresbilanzsumme erzielt; solche Einrichtungen gelten als groß. Kleines Unternehmen ist nach Art. 2 Abs. 2 des Anhangs, wer weniger als 50 Personen beschäftigt und dessen Jahresumsatz oder Jahresbilanzsumme 10 Millionen Euro nicht übersteigt. Bei einer Tätigkeit nach Anhang I oder II ist damit erfasst, wer mindestens 50 Jahresarbeitseinheiten beschäftigt oder sowohl mehr als 10 Millionen Euro Jahresumsatz als auch mehr als 10 Millionen Euro Jahresbilanzsumme erzielt; wer weniger als 50 Jahresarbeitseinheiten beschäftigt und bei einem der beiden Finanzwerte höchstens 10 Millionen Euro bleibt, ist kleines Unternehmen und nicht erfasst. Die Angaben beziehen sich auf den letzten Rechnungsabschluss und werden auf Jahresbasis berechnet, der Umsatz ohne Mehrwertsteuer und sonstige indirekte Steuern, die Mitarbeiterzahl entspricht den Jahresarbeitseinheiten; die Größenklasse wechselt erst nach einer Über- oder Unterschreitung in zwei aufeinander folgenden Geschäftsjahren (Art. 4 und 5 des Anhangs der Empfehlung). Die Rechnung gilt für eigenständige Unternehmen; bei Partnerunternehmen und verbundenen Unternehmen sind die Daten nach Art. 6 Abs. 2 des Anhangs anteilig beziehungsweise vollständig hinzuzurechnen. Das nationale Umsetzungsrecht kann davon abweichen: Nach § 28 Abs. 4 BSIG bleiben die Daten von Partner- oder verbundenen Unternehmen in Deutschland unberücksichtigt, wenn das Unternehmen mit Blick auf Beschaffenheit und Betrieb seiner informationstechnischen Systeme, Komponenten und Prozesse unabhängig ist; nach § 25 Abs. 4 NISG 2026 gilt dasselbe in Österreich, wenn die Einrichtung in Bezug auf die Netz- und Informationssysteme organisatorisch, technisch und operativ unabhängig ist.

Unabhängig von der Größe gilt die Richtlinie nach Art. 2 Abs. 2 auch für Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste, für Vertrauensdiensteanbieter, für Namenregister der Domäne oberster Stufe und DNS-Diensteanbieter sowie für Einrichtungen, die in einem Mitgliedstaat der einzige Anbieter eines für die Aufrechterhaltung kritischer gesellschaftlicher oder wirtschaftlicher Tätigkeiten unerlässlichen Dienstes sind, deren Störung sich wesentlich auf die öffentliche Ordnung, die öffentliche Sicherheit oder die öffentliche Gesundheit auswirken könnte, die ein wesentliches Systemrisiko verursachen könnte, die aufgrund ihrer besonderen Bedeutung für den Sektor kritisch ist oder die eine Einrichtung der öffentlichen Verwaltung nach Art. 2 Abs. 2 Buchst. f ist. Nach Art. 2 Abs. 3 gilt die Richtlinie zusätzlich für kritische Einrichtungen nach der Richtlinie (EU) 2022/2557, nach Art. 2 Abs. 4 für Anbieter von Domänennamenregistrierungsdiensten. Qualifizierte Vertrauensdiensteanbieter, Namenregister der Domäne oberster Stufe und DNS-Diensteanbieter sind dabei ohne Größenprüfung wesentliche Einrichtungen, Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste ab mittlerer Größe (Art. 3 Abs. 1 Buchst. b und c). Ebenfalls wesentlich sind Einrichtungen der öffentlichen Verwaltung der Zentralregierung (Art. 3 Abs. 1 Buchst. d), nach der Richtlinie (EU) 2022/2557 als kritisch eingestufte Einrichtungen (Buchst. f) sowie die vom Mitgliedstaat nach Buchst. e und g gleichgestellten Einrichtungen. Alle übrigen erfassten Einrichtungen der Anhänge I und II sind wichtige Einrichtungen (Art. 3 Abs. 2). Einrichtungen, die Domänennamen-Registrierungsdienste erbringen, erfasst Art. 2 Abs. 4 unabhängig von ihrer Größe; Art. 3 stuft sie dadurch aber nicht als wesentliche oder wichtige Einrichtungen ein. Die Pflichten aus Art. 21 und Art. 23 treffen nur wesentliche und wichtige Einrichtungen (Art. 21 Abs. 1 und Art. 23 Abs. 1); sie greifen nach Art. 4 Abs. 1 nicht, soweit ein sektorspezifischer Rechtsakt der Union in seiner Wirkung zumindest gleichwertige Maßnahmen zum Cybersicherheitsrisikomanagement oder Meldungen erheblicher Sicherheitsvorfälle verlangt.

Die Mitgliedstaaten dürfen den Kreis erweitern: Art. 2 Abs. 5 erlaubt das für Einrichtungen der öffentlichen Verwaltung auf lokaler Ebene und für Bildungseinrichtungen, Art. 3 Abs. 1 Buchst. e und Abs. 2 für Einrichtungen, die der Mitgliedstaat als wesentlich oder wichtig einstuft. Für ein ERP-Projekt ist deshalb die Einstufung nach dem Recht des Mitgliedstaats maßgeblich, in dem die Einrichtung niedergelassen ist; das ist die Grundregel des Art. 26 Abs. 1. Abweichend davon gilt das Recht des Mitgliedstaats, in dem sie ihre Dienste erbringt, für Anbieter öffentlicher elektronischer Kommunikationsnetze oder Anbieter öffentlich zugänglicher elektronischer Kommunikationsdienste (Art. 26 Abs. 1 Buchst. a), das Recht des Mitgliedstaats ihrer Hauptniederlassung in der Union für die in Art. 26 Abs. 1 Buchst. b genannten Arten (Abs. 2) und das Recht des Mitgliedstaats, der sie gegründet hat, für Einrichtungen der öffentlichen Verwaltung (Buchst. c).

Welche Maßnahmen das ERP betreffen

Die zehn Bereiche nach Art. 21 Abs. 2 gelten für jede wesentliche und wichtige Einrichtung (Art. 21 Abs. 1); die Einstufung löst die Pflicht nicht allein aus, denn nach Art. 4 Abs. 1 bleiben diese Bestimmungen außer Anwendung, soweit ein sektorspezifischer Rechtsakt der Union in seiner Wirkung zumindest gleichwertige Maßnahmen zum Cybersicherheitsrisikomanagement verlangt. Die folgende Zuordnung nennt je Bereich, was davon im ERP anfällt; sie ist eine redaktionelle Übersetzung des Richtlinientextes und keine zusätzliche Pflicht:

Buchst.	Maßnahme nach Art. 21 Abs. 2 (Pflicht der wesentlichen und wichtigen Einrichtung, vorbehaltlich Art. 4 Abs. 1)	Was davon im ERP anfällt
a	Konzepte zur Risikoanalyse und Sicherheit für Informationssysteme	Schutzbedarf je Datenbereich, Rolle und Schnittstelle festhalten
b	Bewältigung von Sicherheitsvorfällen	Ablauf, wer Zugänge sperrt und wen informiert; dazu eine Übung
c	Aufrechterhaltung des Betriebs, Backup-Management, Wiederherstellung nach einem Notfall, Krisenmanagement	Sicherungsplan und Restore-Test für Datenbank und Belege, Notbetrieb per Formular
d	Sicherheit der Lieferkette gegenüber unmittelbaren Anbietern und Diensteanbietern	Wartungs-, Hosting- und Schnittstellenverträge des ERP: Updates, Supportzugänge, Unterauftragnehmer
e	Sicherheit bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen einschließlich Schwachstellenmanagement	Änderungs- und Patchprozess, Freigabe von Anpassungen, Testsystem vor der Produktivsetzung
f	Konzepte und Verfahren zur Bewertung der Wirksamkeit der Maßnahmen	Prüfungen und Auswertungen, etwa Änderungsprotokoll, Rechteprüfung, Sicherungsprotokolle
g	Grundverfahren der Cyberhygiene und Schulungen im Bereich der Cybersicherheit	Schulung der Anwender zu Zugangsdaten und Phishing
h	Konzepte und Verfahren für Kryptografie und gegebenenfalls Verschlüsselung	Verschlüsselung von Sicherungen und Transportwegen, Schlüsselverwaltung
i	Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen	Rollen- und Berechtigungskonzept, Sperren beim Austritt, Verzeichnis der ERP-Zugänge
j	Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung, gesicherte Kommunikation	Multi-Faktor-Authentifizierung für Fernzugriff und Administratorkonten, gesicherte Schnittstellen

Die Maßnahmen müssen verhältnismäßig sein: Zu berücksichtigen sind die Risikolage, die Größe der Einrichtung und die Wahrscheinlichkeit und Schwere von Vorfällen (Art. 21 Abs. 1). Die Vorschrift nennt den Stand der Technik und gegebenenfalls einschlägige europäische und internationale Normen als Orientierung. Für die Umsetzung im ERP stehen das Backup-Konzept fürs ERP, die Sicherheits-Basismaßnahmen im ERP und das Rollen- und Rechtekonzept bereit; den Ablauf nach einem Vorfall beschreibt Cyberangriff auf das ERP.

Was die Einstufung für die Aufsicht bedeutet

Wesentliche Einrichtungen werden aufsichtlich aktiver geprüft: Die Behörden dürfen unter anderem Vor-Ort-Kontrollen und regelmäßige sowie gezielte Sicherheitsprüfungen durchführen und dokumentierte Cybersicherheitskonzepte anfordern (Art. 32 Abs. 2). Bei wichtigen Einrichtungen werden die Behörden erst aufgrund von Nachweisen, Hinweisen oder Informationen über einen möglichen Verstoß tätig (Art. 33 Abs. 1); dann stehen ihnen gezielte Sicherheitsprüfungen und Auskunftsverlangen ebenfalls offen (Art. 33 Abs. 2). Diese Aufsichtsbefugnisse und die Geldbußen stehen in Kapitel VII; sie greifen nach Art. 4 Abs. 1 nicht, soweit ein sektorspezifischer Rechtsakt der Union in seiner Wirkung zumindest gleichwertige Maßnahmen zum Cybersicherheitsrisikomanagement oder Meldungen erheblicher Sicherheitsvorfälle verlangt. Verstöße gegen Art. 21 oder Art. 23 können sonst Geldbußen auslösen. Art. 34 legt dafür Mindestwerte für den gesetzlichen Höchstbetrag fest, keine Mindestbuße: Der Höchstbetrag muss bei wesentlichen Einrichtungen mindestens 10 Millionen Euro oder mindestens 2 Prozent des gesamten weltweiten Umsatzes betragen, den das Unternehmen, dem die Einrichtung angehört, im vorangegangenen Geschäftsjahr getätigt hat, je nachdem, welcher Betrag höher ist (Art. 34 Abs. 4); bei wichtigen Einrichtungen muss er bei mindestens 7 Millionen Euro oder mindestens 1,4 Prozent nach derselben Rechnung liegen (Art. 34 Abs. 5). Die nationalen Höchstbeträge können höher liegen; die Bemessung im Einzelfall richtet sich nach den Umständen des Verstoßes (Art. 34 Abs. 1 und 3). Für Einrichtungen der öffentlichen Verwaltung kann nach Art. 34 Abs. 7 jeder Mitgliedstaat unbeschadet der Befugnisse der zuständigen Behörden nach Art. 32 und 33 Vorschriften dafür festlegen, ob und in welchem Umfang Geldbußen verhängt werden können.

Wo die Pflicht für Sie entsteht

Die Richtlinie ist an die Mitgliedstaaten gerichtet (Art. 46) und wird über das nationale Recht wirksam. Die Umsetzungsvorschriften mussten bis 17. Oktober 2024 erlassen und veröffentlicht werden; ab dem 18. Oktober 2024 mussten die Mitgliedstaaten sie anwenden (Art. 41 Abs. 1). Welche Behörde zuständig ist und welche Registrierungs- und Nachweispflichten gelten, steht daher im Recht des jeweiligen Mitgliedstaats; auch die Bezeichnung weicht ab. Deutschland setzt die Richtlinie im BSI-Gesetz um und nennt die höhere Klasse besonders wichtige Einrichtung (§ 28 Abs. 1 BSIG); in Österreich heißt das Umsetzungsgesetz Netz- und Informationssystemsicherheitsgesetz 2026, § 25 regelt die Unternehmensgröße. Ob die Pflichten aus Art. 21 und Art. 23 eingreifen, ist zusätzlich am Vorbehalt des Art. 4 Abs. 1 zu prüfen: Verlangt ein sektorspezifischer Rechtsakt der Union in seiner Wirkung zumindest gleichwertige Maßnahmen zum Cybersicherheitsrisikomanagement oder Meldungen erheblicher Sicherheitsvorfälle, so bleiben die einschlägigen Bestimmungen der Richtlinie einschließlich der Aufsicht und Durchsetzung außer Anwendung. Die Einzelheiten und die Fristen stehen in den Länderartikeln: NIS2-Betroffenheit in Deutschland und NIS2 in Österreich. Die Schweiz ist nicht Mitglied der Europäischen Union; für Schweizer Betriebe gilt grundsätzlich das schweizerische Recht (Meldepflicht in der Schweiz). Nach der Grundregel des Art. 26 Abs. 1 gilt das Recht des Mitgliedstaats, in dem die Einrichtung niedergelassen ist; für Anbieter öffentlicher elektronischer Kommunikationsnetze oder Anbieter öffentlich zugänglicher elektronischer Kommunikationsdienste gilt das Recht des Mitgliedstaats, in dem sie ihre Dienste erbringen (Art. 26 Abs. 1 Buchst. a). Eine weitere Ausnahme gilt für Anbieter ohne Niederlassung in der Union, die zu den Arten des Art. 26 Abs. 1 Buchst. b gehören und in der Union Dienste anbieten: Sie müssen, soweit sie die Voraussetzungen des Art. 2 erfüllen, nach Art. 26 Abs. 3 einen Vertreter in der Union benennen, und es gilt das Recht des Mitgliedstaats, in dem dieser Vertreter niedergelassen ist. Zu diesen Arten gehören DNS-Diensteanbieter, TLD-Namenregister, Einrichtungen, die Domänennamen-Registrierungsdienste erbringen, Anbieter von Cloud-Computing-Diensten und von Rechenzentrumsdiensten, Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste, Betreiber von Inhaltszustellnetzen sowie Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke. Welche Anforderungen Kunden, die wesentliche oder wichtige Einrichtungen sind, an Zulieferer stellen können, behandelt NIS2 und Lieferkette.

Nicht zu verwechseln mit

• NIS1: die Richtlinie (EU) 2016/1148; sie ist mit Wirkung vom 18. Oktober 2024 aufgehoben (Art. 44).
• Richtlinie (EU) 2022/2557 (CER-Richtlinie): Sie regelt die Resilienz kritischer Einrichtungen. Wer nach ihr als kritische Einrichtung eingestuft wurde, fällt nach Art. 2 Abs. 3 unabhängig von der Größe unter NIS2.
• Nationalem Umsetzungsrecht: Die Richtlinie bindet Betriebe nicht unmittelbar; maßgeblich sind die Gesetze der Mitgliedstaaten, die den Rahmen der Richtlinie ausfüllen (Art. 41).