NIS2: Der EU-Rechtsrahmen für Cybersicherheit

NIS2 erfasst 18 Sektoren: elf Sektoren mit hoher Kritikalität in Anhang I (u. a. Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trink- und Abwasser, digitale Infrastruktur, IKT-Dienstemanagement im B2B, öffentliche Verwaltung, Weltraum) und sieben sonstige kritische Sektoren in Anhang II (u. a. Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste, Forschung). Nach der Size-Cap-Regel fallen Unternehmen dieser Sektoren grundsätzlich ab mittlerer Größe in den Anwendungsbereich – ab 50 Beschäftigten oder mehr als 10 Mio. Euro Jahresumsatz und Jahresbilanzsumme, berechnet nach der Empfehlung 2003/361/EG. Große Unternehmen der Anhang-I-Sektoren (ab 250 Beschäftigten oder über 50 Mio. Euro Umsatz und über 43 Mio. Euro Bilanzsumme) gelten in der Regel als wesentliche Einrichtungen, die übrigen als wichtige. Bestimmte Anbieter, etwa qualifizierte Vertrauensdiensteanbieter, sind unabhängig von ihrer Größe erfasst.

Art. 20 verankert Cybersicherheit als Leitungsaufgabe: Die Leitungsorgane müssen die Risikomanagementmaßnahmen nach Art. 21 billigen, ihre Umsetzung überwachen und können für Verstöße verantwortlich gemacht werden. Art. 20 Abs. 2 verpflichtet die Mitglieder der Leitungsorgane, an Schulungen teilzunehmen, um Risiken erkennen und Risikomanagementpraktiken sowie deren Auswirkungen auf die erbrachten Dienste beurteilen zu können; vergleichbare Schulungen für die Beschäftigten sollen regelmäßig angeboten werden. Die deutsche Umsetzung in § 38 BSIG formuliert schärfer: Geschäftsleitungen müssen die Maßnahmen selbst umsetzen und deren Umsetzung überwachen, sie haften nach den gesellschaftsrechtlichen Regeln für schuldhaft verursachte Schäden, und die Schulungsteilnahme ist ausdrücklich als regelmäßige Pflicht ausgestaltet (§ 38 Abs. 3 BSIG).

Alle Einrichtungen müssen geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen nach einem gefahrenübergreifenden Ansatz treffen. Art. 21 Abs. 2 nennt dafür zehn Mindestbereiche: Risikoanalyse- und Sicherheitskonzepte, Bewältigung von Sicherheitsvorfällen, Business Continuity mit Backup-, Wiederherstellungs- und Krisenmanagement, Sicherheit der Lieferkette einschließlich der Beziehungen zu direkten Anbietern (Buchstabe d), Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen inklusive Schwachstellenmanagement, Konzepte zur Bewertung der Wirksamkeit der Maßnahmen, Cyberhygiene und Cybersicherheitsschulungen, Kryptografie und Verschlüsselung, Personalsicherheit mit Zugriffskontrolle und Asset-Management sowie Multi-Faktor-Authentifizierung und gesicherte (Notfall-)Kommunikation. § 30 Abs. 2 BSIG übernimmt diesen Katalog nahezu wortgleich in das deutsche Recht.

Erhebliche Sicherheitsvorfälle sind gestuft zu melden: eine Frühwarnung unverzüglich, spätestens 24 Stunden nach Kenntniserlangung; eine Meldung mit erster Bewertung von Schweregrad, Auswirkungen und Kompromittierungsindikatoren spätestens nach 72 Stunden; auf Ersuchen ein Zwischenbericht über Statusaktualisierungen; und spätestens einen Monat nach der Meldung ein Abschlussbericht mit Ursachen, Bedrohungsart und Abhilfemaßnahmen. Dauert der Vorfall noch an, tritt zunächst eine Fortschrittsmeldung an die Stelle des Abschlussberichts. In Deutschland nimmt das BSI die Meldungen entgegen (§ 32 BSIG); Betreiber kritischer Anlagen müssen zusätzlich Angaben zur betroffenen Anlage und zu deren Ausfallwirkungen übermitteln.

Der Bundestag hat das NIS2UmsuCG am 13. November 2025 beschlossen; es ist seit dem 6. Dezember 2025 in Kraft – gut ein Jahr nach Ablauf der EU-Umsetzungsfrist im Oktober 2024. Kernstück ist das novellierte BSIG: Es unterscheidet besonders wichtige Einrichtungen, wichtige Einrichtungen und Betreiber kritischer Anlagen (§ 28 BSIG); der Gesetzgeber geht von rund 30.000 betroffenen Einrichtungen aus. Betroffene müssen sich innerhalb von drei Monaten selbst beim BSI registrieren (§ 33 BSIG) – für Einrichtungen, die bereits bei Inkrafttreten in den Anwendungsbereich fielen, lief die gesetzliche Frist am 6. März 2026 ab, eine vom BSI kommunizierte Nachfrist endet am 31. Juli 2026. Zur Selbsteinschätzung stellt das BSI eine unverbindliche Online-Betroffenheitsprüfung bereit; eine behördliche Benachrichtigung ist nicht vorgesehen, die Betroffenheit ist eigenverantwortlich zu prüfen.

Für wesentliche Einrichtungen sieht NIS2 Geldbußen von bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes vor, für wichtige Einrichtungen bis zu 7 Mio. Euro oder 1,4 % – maßgeblich ist jeweils der höhere Betrag. Das deutsche BSIG übernimmt diese Bußgeldrahmen (§ 65 BSIG). Daneben verfügt das BSI über aufsichtliche Befugnisse von Auskunftsverlangen bis zu Prüfungen, wobei die Aufsicht über besonders wichtige Einrichtungen weiter reicht als über wichtige. Hinzu kommt die persönliche Verantwortlichkeit der Geschäftsleitungen nach § 38 BSIG, die sich ihrer Umsetzungs- und Überwachungspflicht nicht durch Delegation entziehen können.