Ihre Fragen – unsere Antworten

NIS2 (Network and Information Security) ist die EU-Richtlinie 2022/2555 zur Netzwerk- und Informationssicherheit und verpflichtet Unternehmen aus 18 Sektoren zu Cybersicherheits-Maßnahmen, Meldepflichten und Notfallvorsorge. In Deutschland gilt sie über das NIS2-Umsetzungsgesetz, das am 6. Dezember 2025 in Kraft getreten ist.Kern der Richtlinie ist ein Risikomanagement nach dem Stand der Technik: von der Risikoanalyse über Verschlüsselung und Multi-Faktor-Authentifizierung bis zur Aufrechterhaltung des Betriebs im Krisenfall – inklusive gesicherter Notfallkommunikationssysteme.

Die NIS2-Richtlinie verlangt von betroffenen Einrichtungen drei Dinge: 1) Registrierung bei der zuständigen Behörde (in Deutschland das BSI), 2) Umsetzung von Risikomanagement-Maßnahmen in zehn definierten Bereichen und 3) Meldung erheblicher Sicherheitsvorfälle innerhalb strenger Fristen (24 Stunden Frühwarnung, 72 Stunden Folgemeldung, ein Monat Abschlussbericht).Zu den Pflichtmaßnahmen gehört ausdrücklich Business Continuity: Backup-Management, Wiederherstellung nach einem Notfall, Krisenmanagement und der Einsatz gesicherter Notfallkommunikationssysteme (Art. 21 Abs. 2 lit. c und j).

KRITIS bezeichnet Betreiber kritischer Anlagen, die definierte Schwellenwerte überschreiten (z. B. Versorgung von 500.000 Personen); NIS2 erfasst zusätzlich einen viel größeren Kreis von Unternehmen allein aufgrund von Sektor und Unternehmensgröße. Vereinfacht: Jeder KRITIS-Betreiber fällt unter NIS2, aber die meisten NIS2-Einrichtungen sind keine KRITIS-Betreiber.Für KRITIS-Betreiber gelten weiterhin zusätzliche Pflichten (etwa Systeme zur Angriffserkennung). Für beide Gruppen gilt jedoch dieselbe Logik: Der Betrieb muss auch im Krisenfall aufrechterhalten werden – wofür ein von terrestrischen Netzen unabhängiger Kommunikationsweg der robusteste Baustein ist.

NIS2 ist ein Gesetz, ISO 27001 eine freiwillige Norm: Eine ISO-27001-Zertifizierung hilft beim Nachweis vieler NIS2-Pflichten, ersetzt sie aber nicht. DORA ist das Spezialgesetz für den Finanzsektor und geht NIS2 dort als lex specialis vor. Die DSGVO schützt personenbezogene Daten, NIS2 die Verfügbarkeit und Sicherheit von Systemen – beide gelten parallel. Der Cyber Resilience Act wiederum betrifft die Sicherheit von Produkten mit digitalen Elementen, nicht den Betrieb von Einrichtungen.