Stufen Sie Ihre Einrichtung ein und verfolgen Sie die Cybersicherheits-Risikomanagementmaßnahmen nach Artikel 21. Halten Sie die NIS2-Meldefristen von 24 Stunden, 72 Stunden und einem Monat ein — in einem einzigen Arbeitsbereich.
Wer muss handeln
Mittlere und große Einrichtungen in Sektoren der Anhänge I/II (über 50 Beschäftigte oder über 10 Mio. € Umsatz)
In Kraft seit
Gilt ab dem 18. Oktober 2024 (Art. 41 Abs. 1)
Höchststrafen
Höchstbetrag von mindestens 10 Mio. € oder 2% des Umsatzes (wesentliche), 7 Mio. € oder 1,4% (wichtige)
Der Anwendungsbereich richtet sich nach Artikel 2 in Verbindung mit den Anhängen I und II. Bestimmte Einrichtungen — etwa DNS-Diensteanbieter, Register für Domänennamen oberster Stufe (TLD) und qualifizierte Vertrauensdiensteanbieter — fallen unabhängig von ihrer Größe darunter. Dies ist eine Orientierungshilfe, keine Rechtsberatung; klären Sie Ihren Status mit einem Rechtsbeistand.
NIS2 erhöht die Anforderungen an das Cyber-Risikomanagement und die Meldung von Vorfällen für betroffene Organisationen in der gesamten EU. Die wichtigsten Pflichten:
Geeignete technische, operative und organisatorische Maßnahmen ergreifen, verhältnismäßig zu den bestehenden Risiken. Dazu gehören Risikoanalyse, Behandlung von Vorfällen, Betriebskontinuität, Verschlüsselung, Zugangskontrolle und mehr.
Ihr CSIRT oder die zuständige Behörde über einen erheblichen Sicherheitsvorfall innerhalb strenger Fristen benachrichtigen. Eine Frühwarnung innerhalb von 24 Stunden, eine vollständige Meldung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats senden.
Die Leitungsorgane müssen die Risikomanagementmaßnahmen genehmigen, ihre Umsetzung überwachen und an Schulungen teilnehmen — und können bei Verstößen haftbar gemacht werden.
Cybersicherheitsrisiken in Ihrer Lieferkette und in den Lieferantenbeziehungen bewerten und angehen, einschließlich der Sicherheitspraktiken Ihrer direkten IKT-Anbieter.
Verwandeln Sie die Richtlinie in ein nachverfolgtes, mit Nachweisen belegtes Programm — ohne Tabellenkalkulationen.
Verfolgen Sie jede grundlegende Risikomanagementmaßnahme im Abgleich mit Ihrem aktuellen Stand — mit Nachweisen und klarer Lückentransparenz.
Erfassen Sie erhebliche Sicherheitsvorfälle und lassen Sie die Fristen von 24 h / 72 h / einem Monat automatisch berechnen. Vorausgefüllte Behördenmeldungen gehen an Ihren CSIRT-Kontakt.
Legen Sie die Stufe Ihrer Einrichtung fest, damit die richtigen Erinnerungen, die Meldungsweiterleitung und die Pflichten für Ihre Organisation gelten.
Nutzen Sie NIS2-Kontrollen über DSGVO, DORA und die EU-KI-Verordnung hinweg mit der Framework-Mapping-Engine — einmal nachweisen, mehrfach erfüllen.
NIS2 gilt für mittlere und große Einrichtungen (grob: über 50 Beschäftigte oder mehr als 10 Mio. € Umsatz). Sie fallen darunter, wenn sie in den Sektoren mit hoher Kritikalität des Anhangs I oder den sonstigen kritischen Sektoren des Anhangs II tätig sind. Bestimmte Einrichtungstypen fallen unabhängig von ihrer Größe darunter: etwa DNS-Diensteanbieter, TLD-Namenregister und qualifizierte Vertrauensdiensteanbieter.
Die Mitgliedstaaten mussten die Richtlinie (EU) 2022/2555 bis zum 17. Oktober 2024 in nationales Recht umsetzen und damit die ursprüngliche NIS-Richtlinie ersetzen. Die Pflichten gelten über die Umsetzungsgesetze des jeweiligen Landes.
Wesentliche Einrichtungen sind vor allem große Unternehmen in den Sektoren des Anhangs I, die die Schwellenwerte für mittlere Unternehmen überschreiten. Einige sind unabhängig von ihrer Größe wesentlich: qualifizierte Vertrauensdiensteanbieter, Domänennamenregister der Domäne oberster Stufe und DNS-Diensteanbieter. Ebenfalls wesentlich sind Anbieter öffentlicher elektronischer Kommunikationsnetze und -dienste, die als mittlere Unternehmen gelten, Einrichtungen der öffentlichen Verwaltung der Zentralregierung und kritische Einrichtungen. Das gilt auch für jede Einrichtung, die ein Mitgliedstaat als wesentlich einstuft. Alle anderen erfassten Einrichtungen aus Anhang I oder II sind wichtige Einrichtungen. Ein mittleres Unternehmen in einem Sektor des Anhangs I ist daher in der Regel eine wichtige, keine wesentliche Einrichtung. Wesentliche Einrichtungen unterliegen einer proaktiven Aufsicht; wichtige Einrichtungen werden reaktiv beaufsichtigt. Beide müssen die Risikomanagement- und Meldepflichten erfüllen; die Höchststrafen unterscheiden sich.
Melden Sie einen erheblichen Sicherheitsvorfall dem nationalen CSIRT oder der zuständigen Behörde in drei Stufen. Senden Sie eine Frühwarnung innerhalb von 24 Stunden, eine vollständige Meldung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats.
Jeder Mitgliedstaat legt die höchste Geldbuße fest. Für wesentliche Einrichtungen muss sie mindestens 10 Millionen € oder 2% des gesamten weltweiten Jahresumsatzes betragen, je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen: mindestens 7 Millionen € oder 1,4%. Auch die Leitungsorgane können persönlich zur Verantwortung gezogen werden.
Machen Sie die kostenlose Selbsteinschätzung, um Ihren NIS2-Anwendungsbereich und Ihre Pflichten in wenigen Minuten einzuschätzen — ohne Konto.