NIS2 Richtlinie

Welche Unterschiede zu bestehenden nationalen Gesetzen gibt es?

“Im Unterschied zur Vorgängerregelung (NISG 2018), die noch bis August anwendbar ist, wurde der Anwendungsbereich des NIGS 2026 wesentlich erweitert. Es sind etliche neue Sektoren von den gesetzlichen Vorgaben betroffen (z.B. Abwasser, Post- und Kurierdienste, Lebensmittelproduktion etc.). Außerdem können Einrichtungen von der Behörde unter bestimmten Voraussetzungen auf Grund ihrer Bedeutung nunmehr auch unabhängig von ihrer Größe als wesentliche oder wichtige Einrichtung eingestuft werden.”

Welche Arten von Unternehmen sind nach NIS2 besonders verpflichtet?

"Das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) wurde am 23.12.2025 im Bundesgesetzblatt kundgemacht und tritt im Wesentlichen am 01.09.2026 in Kraft. Es gilt unmittelbar für wesentliche und wichtige Einrichtungen in den folgenden Sektoren: Energie; Verkehr; Bankwesen; Finanzmarktinfrastruktur; Gesundheitswesen; Trinkwasser; Abwasser Digitale Infrastruktur; Verwaltung von IKT-Diensten (B2B); Öffentliche Verwaltung; Weltraum; Post- und Kurierdienste; Abfallbewirtschaftung; Produktion; Herstellung und Handel mit chemischen Stoffen; Produktion Verarbeitung und Vertrieb von Lebensmitteln; Verarbeitendes Gewerbe und Herstellung von Waren; Anbieter digitaler Dienste; Forschung.

Das NISG 2026 zielt dabei grundsätzlich nur auf mittlere und große Unternehmen, d.h. Unternehmen, die zumindest 50 Mitarbeiter*innen beschäftigen oder die einen Jahresumsatz von über zehn Millionen Euro erzielen und deren Jahresbilanzsumme sich auf über zehn Millionen Euro beläuft. Bei der Festlegung der Risikomanagementmaßnahmen haben die betroffenen Unternehmen allerdings auch auf die Sicherheit ihrer Lieferketten zu achten, d.h. sicherheitsbezogene Aspekte der Beziehungen zu eigenen Dienstleistern zu evaluieren (z.B. Hostprovider, Softwarehersteller etc.). Dadurch können indirekt auch kleine Unternehmen von den Vorgaben des NISG 2026 betroffen sein."

Welche rechtlichen Konsequenzen gibt es bei Nichteinhaltung?

“Bei Verstößen gegen die gesetzlichen Bestimmungen drohen wesentlichen Einrichtungen Geldstrafen bis zu € 10 Mio. oder 2 % des gesamten weltweiten Jahresumsatzes, wichtigen Einrichtungen Geldstrafen bis zu € 7 Mio. oder 1,4 % des gesamten weltweiten Jahresumsatzes. Die besagten Geldstrafen richten sich zwar nicht gegen die jeweiligen Leitungsorgane der Einrichtungen. Allerdings sind bei Verletzung der gesetzlichen Vorgaben auch Schadenersatzansprüche denkbar, wenn dadurch Kunden geschädigt werden oder die Einrichtung selbst zu Schaden kommt.”

Welche Maßnahmen sollten Unternehmen ergreifen, um compliance-gerecht zu handeln?

"Die vom Gesetz betroffenen wesentlichen und wichtigen Einrichtungen haben geeignete und verhältnismäßige Risikomanagementmaßnahmen in technischer, operativer und organisatorischer Hinsicht umzusetzen, um die Risiken für die Sicherheit der Netz- und Informationssysteme, die sie für ihren Betrieb oder für die Erbringung ihrer Dienste nutzen, zu reduzieren und die Auswirkungen von Cybersicherheitsvorfällen auf die Nutzer*innen ihrer Dienste und auf andere Dienste zu verhindern oder möglichst gering zu halten.

Ein Beispiel für eine Risikomanagementmaßnahme in organisatorischer Hinsicht wäre etwa eine von der jeweiligen Einrichtung intern verabschiedete Richtlinie zur Netzwerksicherheit, die diesbezügliche Prozesse und Vorgaben definiert. Die konkreten Maßnahmen haben den jeweiligen Stand der Technik im Bereich Cybersicherheit zu beachten, sind aber immer abhängig von den Umständen des Einzelfalls. Aus der Umsetzung von Risikomanagementmaßnahmen sollen den betroffenen Einrichtungen jedenfalls keine unverhältnismäßigen finanzielle und administrativen Belastungen erwachsen. Die Kosten der Umsetzung sollen daher in einem angemessenen Verhältnis zu den bestehenden Risiken für das jeweils betroffene Netz- und Informationssystem stehen."

Gibt es spezifische Schulungen oder Zertifikate, die Mitarbeiter*innen im Rahmen der NIS2-Richtlinie benötigen?

“Die vom Gesetz betroffenen Unternehmen haben der Cybersicherheitsbehörde innerhalb von zwei Jahren ab Aufforderung die technische, operative und organisatorische Umsetzung der Risikomanagementmaßnamen nachzuweisen, wobei dieser Nachweis durch einschlägige gültige Zertifikate möglich ist. Unabhängig davon kann die neu geschaffene Cybersicherheitsbehörde wesentliche und wichtige Einrichtungen dazu verpflichten, spezifische IKT-Produkte, -Dienste und -Prozesse zu verwenden, die im Rahmen europäischer Schemata für die Cybersicherheitszertifizierung zertifiziert sind.”