Cyberangriffe nehmen stetig zu. 81 Prozent der deutschen Unternehmen waren laut einer aktuellen Bitkom-Umfrage in den vergangenen 12 Monaten betroffen. Nun reagiert auch die EU mit verschärften Regeln: Die NIS2-Richtlinie verpflichtet bald rund 29.000 deutsche Unternehmen zu umfassenden Cybersicherheitsmaßnahmen – bei Nichteinhaltung drohen Strafen bis hin zur persönlichen Haftung von Geschäftsführern. Wer ist betroffen und was ist jetzt zu tun?

Hinweis: Dieser Beitrag basiert auf dem aktuellen Stand der Informationen zur NIS2-Richtlinie (Stand: 24. März 2025). Da die nationale Umsetzung in Deutschland noch aussteht, können sich Details noch ändern.

Was ist die NIS2-Richtlinie?

Die NIS2-Richtlinie (offiziell: Richtlinie (EU) 2022/2555) ist die Weiterentwicklung der ersten europäischen Cybersicherheitsrichtlinie von 2016. Sie wurde Ende 2022 veröffentlicht und trat Anfang 2023 in Kraft. Ziel ist es, ein einheitlich hohes Cybersicherheitsniveau in der gesamten EU zu schaffen, indem:

• Schwachstellen in der digitalen Infrastruktur geschlossen werden
• Unterschiedliche Standards zwischen den EU-Ländern vereinheitlicht werden
• Ein gemeinsames Vorgehen gegen Cyberbedrohungen entwickelt wird

In Deutschland ist mit einer Umsetzung frühestens im zweiten Quartal 2025 zu rechnen – später als ursprünglich vorgesehen, hauptsächlich wegen Verzögerungen im Gesetzgebungsprozess. Sobald das Gesetz in Kraft tritt, müssen die Maßnahmen unverzüglich umgesetzt werden. Übergangsfristen sind nicht vorgesehen.

Welche Unternehmen sind betroffen?

NIS2-Richtlinie betrifft Unternehmen in 18 kritischen Sektoren, darunter u.a. Energie, Verkehr, Finanzwesen, Gesundheit, digitale Infrastruktur und öffentliche Verwaltung. Unternehmen sind nur dann betroffen, wenn sie in einem der 18 explizit genannten kritischen Sektoren tätig sind und gleichzeitig die nachfolgenden Kriterien erfüllen:

• Mittelständische Unternehmen („wichtige Einrichtungen“): 50–249 Mitarbeiter oder ein Umsatz von 10–50 Millionen Euro, mit einer Bilanz von weniger als 43 Millionen Euro.
• Große Unternehmen („wesentliche Einrichtungen“): ≥250 Mitarbeiter oder ein Umsatz von ≥50 Millionen Euro.

Die Einstufung in eine dieser Kategorien entscheidet über die konkreten Anforderungen und Sanktionen bei Nichteinhaltung.

Welche Anforderungen stellt die NIS2-Richtlinie?

Unternehmen müssen nun umfassendere Cybersicherheitsmaßnahmen implementieren, darunter:

• Cybersicherheitsrisikomanagement: Systematische Identifikation und Minderung von Risiken.
• Lieferketten-Sicherheit: Sicherheitsstandards müssen auch bei Partnern und Zulieferern gewährleistet sein.
• Geschäftskontinuitätsplanung: Erstellung von Plänen, um kritische Geschäftsprozesse im Krisenfall aufrechtzuerhalten.
• Verschlüsselung und Zugangsschutz: Technische Sicherung sensibler Daten und Systeme.
• Vorfallmeldungen: Schnellstmögliche Meldung von Sicherheitsvorfällen an zuständige Behörden.

Welche Sanktionen drohen bei Verstößen?

Die möglichen Strafen bei Nichteinhaltung der NIS2-Vorgaben sind hoch:

• Für wichtige Einrichtungen: Bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes
• Für wesentliche Einrichtungen: Bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes

Achtung: Persönliche Haftung der Geschäftsführung

Die NIS2-Richtlinie sieht strengere Haftungsregeln für die Geschäftsleitung vor. Geschäftsführer und Vorstände können künftig direkt zur Verantwortung gezogen werden, wenn sie ihre Aufsichtspflichten im Bereich Cybersicherheit vernachlässigen. Es ist daher ratsam, die neue Richtlinie zum Anlass zu nehmen, die IT-Sicherheitsstrukturen im eigenen Unternehmen noch einmal grundlegend zu überprüfen.

Unterstützung vom BSI

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bietet Hilfestellungen für betroffene Unternehmen:

• Eine Betroffenheitsprüfung, mit der Sie einfach feststellen können, ob Ihr Unternehmen unter die Richtlinie fällt
• Einen Entscheidungsbaum zur Einstufung Ihres Unternehmens
• Häufig gestellte Fragen mit verständlichen Antworten
• Konkrete Handlungsempfehlungen zur Vorbereitung
• Online-Webinar am 06.05.2025 um 10:00 Uhr

Diese Tools sind nicht rechtlich bindend, basieren jedoch auf der EU-Richtlinie und bieten einen ersten Überblick.

Registrierung beim BSI

Sobald das deutsche „NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz“ (kurz: NIS2UmsuCG) in Kraft tritt, müssen sich betroffene Unternehmen, die als „wesentlich“ oder „wichtig“ eingestuft werden, innerhalb von drei Monaten beim BSI melden. Dabei müssen sie Daten wie Firmenname, Sektor und Kontaktdaten sowie eine Selbsteinschätzung ihrer Betroffenheit angeben.

Ausblick

Cybersicherheit wird auch für mittelständische Unternehmen immer wichtiger. Auch hier ist die Zahl der Cyberangriffe stetig gestiegen. Es ist daher ratsam, das Thema auf die Agenda zu setzen, sich beraten zu lassen und entsprechende Kompetenzen aufzubauen. Betroffene Unternehmen sollten die Zeit bis zum Inkrafttreten nutzen, um ihre IT-Sicherheitsmaßnahmen zu überprüfen und anzupassen, denn das Thema Cybersicherheit wird durch die Digitalisierung und den Einsatz von KI auch in Zukunft nicht an Bedeutung verlieren.