Die NIS2-Richtlinie (Network and Information Security Directive) ist eine erweiterte EU-Richtlinie. Sie wurde am 27. Dezember 2022 veröffentlicht und trat am 16. Januar 2023 in Kraft. Das Ziel der Richtlinie ist eine höhere Cybersicherheit für Unternehmen und Organisationen in der ganzen EU. Sie ersetzt die ursprüngliche NIS-Richtlinie und erweitert deren Geltungsbereich und Anforderungen.

Ziel ist es, eine einheitliche Sicherheitsstufe für Netz- und Informationssysteme in der europäischen Union zu gewährleisten und ein einheitliches Register für Sicherheitsmeldungen einzurichten. Dazu verpflichtet NIS2 – und das daraus folgende deutsche Gesetz – Unternehmen und öffentliche Institutionen zu strengeren Sicherheitsmaßnahmen, systematischem Risikomanagement und einer besseren Zusammenarbeit mit Behörden. Die Richtlinie soll die Widerstandsfähigkeit gegen Cyberangriffe erhöhen und sicherstellen, dass die EU auf digitale Bedrohungen effektiv reagieren kann, indem Tendenzen und Entwicklungen nachverfolgt werden.

Als EU-Richtlinie muss NIS2 noch von den EU-Mitgliedsstaaten in nationales Recht umgesetzt werden. In Deutschland wird dies durch das “Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung” (NIS2UmsuCG) in Verbindung mit dem „Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen“ (BSI-Gesetz“ geregelt, welches am 06. Dezember 2025 in Kraft trat.

Vielfach wird die NIS2-Richtlinie als überflüssiges bürokratisches Instrument gesehen. Dabei wird die Umsetzung der NIS2 zahlreiche Vorteile mit sich bringen.

Einer der größten Vorteile der NIS2-Richtlinie ist die Verbesserung der Cybersicherheit für Unternehmen. Die Umsetzung strengerer Anforderungen an die IT- und Informationssicherheit erhöht die Widerstandsfähigkeit gegen Cyberangriffe. Durch die von NIS2 vorgesehenen regelmäßigen Risikobewertungen erkennen und beheben Unternehmen darüber hinaus vorhandene Schwachstellen schneller und effektiver. Das führt insgesamt zu einer robusteren Sicherheitsinfrastruktur.

Unternehmen profitieren also von einer verringerten Anfälligkeit für Sicherheitsverletzungen. Das gewährleistet einerseits langfristige Stabilität und Sicherheit des Geschäftsbetriebs. Andererseits bedeutet eine erhöhte Widerstandsfähigkeit gegenüber Angriffen auch geringere Kosten, die für die Beseitigung der Folgen eines Sicherheitsvorfalls oder durch Produktionsausfälle anfallen würden. Viele Unternehmen werden zu Beginn Investitionen in die Sicherheit vornehmen müssen. Langfristig werden sich diese Investitionen jedoch durch eine höhere Verfügbarkeit bezahlt machen.

Die NIS2-Richtlinie betrifft eine größere Zahl von Wirtschaftssektoren als frühere Regelungen. Bisher sind nur bestimmte Sektoren wie Energie, Verkehrswesen und Banken betroffen. NIS2 umfasst auch Telekommunikationsanbieter, Postdienste und die Lebensmittelerzeugung. Sie erstreckt sich auf Einrichtungen und Unternehmen aus 18 Branchen. Das bedeutet, dass die neuen Regeln für etwa 30.000 Unternehmen in Deutschland greifen, die bisher davon nicht betroffen waren.

Eine weitere Neuerung von NIS2 sind die deutlich strengeren Anforderungen an die IT- und Informationssicherheit. NIS1 schrieb Unternehmen grundlegende Sicherheitsmaßnahmen und Meldungen von schwerwiegenden Sicherheitsvorfällen vor. Die NIS2 verlangt eine regelmäßige Risikobewertung und wesentlich strengere Maßnahmen. Darüber hinaus werden Organisationen und Unternehmen verpflichtet, erhebliche Vorfälle innerhalb von 24 Stunden zu melden. Detaillierte Informationen über sicherheitskritische Vorfälle sind dann nachfolgend an die Behörden zu übermitteln.

Die Richtlinie verlangt zudem die Schulung von Mitarbeitenden und Geschäftsführungen zu Themen der Cybersicherheit („Awareness“) und die Implementierung von Notfallplänen. Unternehmen müssen eine kontinuierliche Überwachung und Aktualisierung ihrer IT-Infrastrukturen sicherstellen.

Ein positiver Nebeneffekt wird die engere Zusammenarbeit und der Informationsaustausch der nationalen und europäischen Behörden sein. Mit dem so gebündelten Wissen lassen sich Bedrohungen frühzeitig erkennen und bekämpfen.

NIS2 bedeutet für viele Unternehmen erhöhte Sicherheitsanforderungen und umfassenderes Risikomanagement. Die @-yet begleitet Sie, beginnend mit einem Reifegrad Assessment. Eine nachfolgende Business Impact Analyse dient als Grundlage für ein Risikomanagement. Schritt für Schritt erarbeiten die Expert:innen der @-yet die Konformität Ihrer Organisation mit NIS2 auf Basis des Umsetzungsgesetzes. Neben Awarenessschulungen für die Leitungsebene begleitet die @-yet technische und organisatorische Maßnahmen.