NIS2 einfach erklärt: Was die Richtlinie verlangt
– und was das für Ihre Kommunikation bedeutet
NIS2 ist die EU-Richtlinie 2022/2555 zur Netzwerk- und Informationssicherheit. Sie verpflichtet Unternehmen und Einrichtungen aus 18 Sektoren zu Cybersicherheits-Maßnahmen, Meldepflichten und Business-Continuity-Vorsorge – in Deutschland umgesetzt durch das NIS2-Umsetzungsgesetz, das am 6. Dezember 2025 in Kraft getreten ist.
Zuletzt aktualisiert: 16.06.2026 · Quellen: EU-Richtlinie 2022/2555, BSI, NIS2UmsuCG
Was ist NIS2?
NIS2 („Network and Information Security 2“) ist die Nachfolgerin der ersten NIS-Richtlinie von 2016. Sie reagiert auf die deutlich gestiegene Bedrohungslage: mehr Sektoren, strengere Pflichten, persönliche Verantwortung der Geschäftsleitung und empfindliche Bußgelder. Während NIS1 in Deutschland nur wenige hundert KRITIS-Betreiber erfasste, fallen unter NIS2 rund 30.000 Unternehmen – vom Energieversorger bis zum mittelständischen Maschinenbauer.
Wer ist betroffen?
Betroffen sind Unternehmen aus 18 Sektoren, unterteilt in „besonders wichtige Einrichtungen“ und „wichtige Einrichtungen“. Als Faustregel gilt: ab 50 Mitarbeitenden oder 10 Mio. Euro Jahresumsatz in einem der Sektoren ist eine Betroffenheit wahrscheinlich – maßgeblich ist die Einstufung nach dem BSIG. Das BSI stellt eine offizielle Betroffenheitsprüfung bereit. → Mehr dazu: Bin ich von NIS2 betroffen? (/nis2/betroffenheit)
Seit wann gilt NIS2?
Das deutsche NIS2-Umsetzungsgesetz wurde am 13. November 2025 vom Bundestag beschlossen und trat am 6. Dezember 2025 in Kraft – ohne Übergangsfrist. Seit dem 6. Januar 2026 ist das BSI-Registrierungsportal geöffnet; die dreimonatige Registrierungsfrist für betroffene Einrichtungen endete am 6. März 2026. Verstöße gegen die Pflichten können mit Bußgeldern in Millionenhöhe geahndet werden – verbindliche Details dazu veröffentlicht das BSI. → Mehr dazu: NIS2-Fristen im Überblick (/nis2/fristen)
Was muss umgesetzt werden?
§ 30 BSIG verlangt Risikomanagement-Maßnahmen in zehn Bereichen – darunter Risikoanalyse, Incident Management, Lieferkettensicherheit, Verschlüsselung, Multi-Faktor-Authentifizierung sowie ausdrücklich: Aufrechterhaltung des Betriebs (Backup-Management, Wiederherstellung, Krisenmanagement) und gesicherte Notfallkommunikationssysteme. → Mehr dazu: Die NIS2-Anforderungen im Detail (/nis2/anforderungen)
Meldepflichten
Erhebliche Sicherheitsvorfälle müssen dem BSI gemeldet werden: Frühwarnung innerhalb von 24 Stunden, ausführliche Meldung nach 72 Stunden, Abschlussbericht nach einem Monat. Diese Fristen gelten auch dann, wenn Ihre IT- und Kommunikationsinfrastruktur gerade vom Vorfall betroffen ist – ein oft übersehener Punkt, der einen unabhängigen Kommunikationsweg faktisch voraussetzt.
NIS2 vs. KRITIS
KRITIS bezeichnet Betreiber kritischer Anlagen ab bestimmten Schwellenwerten (z. B. 500.000 versorgte Personen); NIS2 erweitert den Kreis massiv um „wichtige“ und „besonders wichtige“ Einrichtungen nach Unternehmensgröße. Vereinfacht: Jeder KRITIS-Betreiber fällt unter NIS2, aber längst nicht jede NIS2-Einrichtung ist KRITIS. → Mehr dazu: NIS2 vs. KRITIS (/nis2/nis2-vs-kritis)
Unser einziger Fokus ist Ihre Erreichbarkeit – auch wenn alles andere ausfällt. Wir schaffen den physikalisch unabhängigen Kommunikationsweg, der in kritischen Momenten zählt.
