Wissen · NIS2

Das deutsche NIS2-Umsetzungsgesetz

Das NIS2-Umsetzungsgesetz — offiziell „NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz" (NIS2UmsuCG) — überführt die EU-Richtlinie NIS2 in deutsches Recht. Es ergänzt das BSI-Gesetz und verschärft Pflichten zur Cybersicherheit erheblich.

Anders als die bisherige KRITIS-Regulierung adressiert das Gesetz auch viele mittelständische Industrieunternehmen — insbesondere in den Sektoren Energie, Wasser, Lebensmittel, Verkehr, verarbeitendes Gewerbe und digitale Dienste.

Verstöße können mit Bußgeldern bis 10 Mio. € oder 2 % des weltweiten Konzernumsatzes geahndet werden. Geschäftsleitungen haften zudem persönlich.

Illustration zum deutschen NIS2-Umsetzungsgesetz

— Das regelt das NIS2-Umsetzungsgesetz —

Erweiterter Anwendungsbereich

Mindestmaßnahmen Cyber-Risikomanagement

Melde- & Registrierungspflichten

Bußgelder & Geschäftsleitungshaftung

Status der Umsetzung in Deutschland

Die EU-Frist für die nationale Umsetzung war der 17. Oktober 2024. Das deutsche Umsetzungsgesetz befindet sich im parlamentarischen Verfahren. Unternehmen sollten den Inkrafttretens-Stichtag nicht abwarten — die fachlichen Anforderungen sind heute bereits bekannt und in der Praxis umsetzbar.

Welche Pflichten kommen auf Unternehmen zu?

Registrierung beim BSI als wesentliche oder wichtige Einrichtung
Risikomanagement mit dokumentierten technischen und organisatorischen Maßnahmen
Meldepflicht: Frühwarnung binnen 24 h, qualifizierte Meldung binnen 72 h
Nachweis der Wirksamkeit der Maßnahmen gegenüber dem BSI
Schulung und Verantwortlichkeit der Geschäftsleitung

Bußgelder und Haftung

Wesentliche Einrichtungen müssen mit Bußgeldern von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes rechnen. Wichtige Einrichtungen mit bis zu 7 Mio. € oder 1,4 %. Geschäftsleitungen können zudem persönlich für Versäumnisse haftbar gemacht werden.

Was sollten OT-Betreiber jetzt tun?

Mit unseren Managed OT Security Services decken wir die technischen und organisatorischen Mindestanforderungen aus NIS2 in der OT ab — insbesondere Asset Management, Vulnerability Management und Angriffserkennung.