NIS-2-Richtlinie
NIS-2-Richtlinie
Die NIS-2-Richtlinie (Richtlinie (EU) 2022/2555) ist die zweite europäische Richtlinie zur Netz- und Informationssicherheit. Sie trat am 16. Januar 2023 in Kraft und ersetzt die NIS-Richtlinie 2016/1148. Ziel ist ein einheitlich hohes Cybersicherheitsniveau in der EU durch verbindliche Mindeststandards, Risikomanagementpflichten und Meldeverfahren.
Wichtige Fakten
- Verabschiedung: 14. Dezember 2022
- Inkrafttreten: 16. Januar 2023 (EU-weit)
- Umsetzungsfrist: bis 17. Oktober 2024 in nationales Recht
- Anwendungsbereich: 18 kritische und wichtige Sektoren
- Deutsche Umsetzung: NIS2-Umsetzungsgesetz (BSIG-neu) in Kraft seit 6. Dezember 2025
Zielsetzung und Inhalt
Die Richtlinie stärkt die Cybersicherheits-Resilienz von Wirtschaft, Verwaltung und kritischer Infrastruktur. Sie verpflichtet die Mitgliedstaaten, nationale Cybersicherheitsstrategien zu entwickeln, zuständige Behörden und Computer-Notfallteams (CSIRTs) einzurichten und die Zusammenarbeit über EU-Grenzen hinweg zu intensivieren. Unternehmen müssen ein strukturiertes Risikomanagement etablieren, schwerwiegende Sicherheitsvorfälle melden und technische sowie organisatorische Schutzmaßnahmen nach dem Stand der Technik umsetzen.
Anwendungsbereich und Pflichten
Erfasst sind mittlere und große Einrichtungen aus Sektoren wie Energie, Verkehr, Finanz- und Gesundheitswesen, Wasserwirtschaft, öffentlicher Verwaltung, digitaler Infrastruktur, Fertigung, Post- und Kurierdiensten sowie Weltraum. Sie werden in „wesentliche Einrichtungen“ (strenge Aufsicht) und „wichtige Einrichtungen“ (nachträgliche Kontrolle) eingeteilt. Voraussetzung sind in der Regel mindestens 50 Beschäftigte oder 10 Mio. € Jahresumsatz . Das Management trägt persönliche Verantwortung; bei Verstößen drohen Geldbußen von bis zu 10 Mio. € bzw. 2 % des weltweiten Umsatzes .
Umsetzung in Deutschland
Deutschland setzt die Richtlinie durch das Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung um. Es reformiert das BSI-Gesetz, erweitert den Kreis betroffener Unternehmen auf rund 30 000 Organisationen und verpflichtet die Bundesverwaltung zu verbindlichen IT-Sicherheitsstandards unter Aufsicht des Bundesamt für Sicherheit in der Informationstechnik.
Bedeutung
Mit NIS-2 professionalisiert die EU ihre Cybersicherheitsgesetzgebung. Sie adressiert zunehmende Cyberbedrohungen, stärkt die Verantwortung der Unternehmensführung und vereinheitlicht Sicherheitsanforderungen innerhalb des Binnenmarkts. Dadurch wird die digitale Infrastruktur Europas robuster gegen Störungen und Angriffe.
Quellen
(brl.de)