NIS2-Richtlinie: Was Unternehmen jetzt wissen müssen
Mehr Unternehmen, mehr Pflichten, persönliche Haftung der Geschäftsleitung. Dieser Leitfaden erklärt NIS2 verständlich – und welche Rolle Awareness-Training dabei spielt.
- Was
- EU-Richtlinie 2022/2555 zur Cybersicherheit
- Ziel
- Höheres, einheitliches Sicherheitsniveau in der EU
- Betroffen
- ~30.000 Einrichtungen allein in Deutschland
- Haftung
- Geschäftsleitung persönlich (Art. 20)
Wer ist von NIS2 betroffen?
NIS2 unterscheidet zwischen „besonders wichtigen“ und „wichtigen“ Einrichtungen in 18 Sektoren. Maßgeblich sind Branche und Unternehmensgröße:
- Besonders wichtige Einrichtungen: große Unternehmen (ab 250 Mitarbeitenden oder > 50 Mio. € Umsatz) in kritischen Sektoren wie Energie, Verkehr, Gesundheit, Finanzwesen und digitale Infrastruktur.
- Wichtige Einrichtungen: mittlere Unternehmen (ab 50 Mitarbeitenden oder > 10 Mio. € Umsatz) in weiteren Sektoren wie Post, Abfall, Chemie, Lebensmittel und verarbeitendes Gewerbe.
- Unabhängig von der Größe: bestimmte kritische Dienste wie qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Dienste.
Welche Pflichten bringt NIS2 mit sich?
- Risikomanagement-Maßnahmen umsetzen (Art. 21) – inklusive Schulung und Cyberhygiene
- Security Awareness Training für Mitarbeitende nachweisen (Art. 21 Abs. 2 lit. g)
- Sicherheitsvorfälle melden – Frühwarnung binnen 24 Stunden (Art. 23)
- Verantwortung in der Geschäftsleitung verankern (Art. 20)
- Maßnahmen dokumentieren und gegenüber Behörden nachweisen können
NIS2 und Security Awareness: der Faktor Mensch
Art. 21 Abs. 2 lit. g nennt Schulungen und grundlegende Cyberhygiene als Mindestmaßnahme. Da der Mensch bei 68 % aller Sicherheitsverletzungen beteiligt ist (Verizon DBIR 2024), ist Awareness kein „Nice-to-have“, sondern ein prüfbarer Pflichtbaustein. So unterstützt SECMIND Ihre NIS2-Vorbereitung:
- Regelmäßige Phishing-Simulationen erfüllen die geforderte fortlaufende Cyberhygiene
- Schulungsnachweis auf Knopfdruck – wer wurde wann getestet und geschult
- Audit-fähige PDF-Reports mit Klickrate, Risiko-Score und Zeitverlauf
- Anonymisierte Auswertung auf Abteilungsebene, DSGVO-konform
- AV-Vertrag und Hosting ausschließlich in Deutschland
Häufige Fragen zu NIS2
Was ist die NIS2-Richtlinie?
NIS2 (EU-Richtlinie 2022/2555) ist die überarbeitete EU-Richtlinie zur Netz- und Informationssicherheit. Sie verpflichtet deutlich mehr Unternehmen als zuvor, angemessene Cybersicherheitsmaßnahmen umzusetzen, Vorfälle zu melden und die Verantwortung in der Geschäftsleitung zu verankern.
Wer ist von NIS2 betroffen?
Betroffen sind „besonders wichtige“ und „wichtige“ Einrichtungen in 18 Sektoren. Als Faustregel gelten mittlere Unternehmen ab 50 Mitarbeitenden oder 10 Mio. € Umsatz sowie große Unternehmen ab 250 Mitarbeitenden oder 50 Mio. € Umsatz in den betroffenen Branchen. In Deutschland sind schätzungsweise rund 30.000 Einrichtungen erfasst.
Seit wann gilt NIS2 in Deutschland?
Die EU-Frist zur Umsetzung in nationales Recht lief am 17. Oktober 2024 ab. Deutschland setzt die Richtlinie über das NIS-2-Umsetzungsgesetz (NIS2UmsuCG) in nationales Recht um; der Gesetzgebungsprozess ist noch nicht abgeschlossen. Unternehmen sollten die Pflichten dennoch bereits jetzt vorbereiten.
Welche Rolle spielt Security Awareness Training bei NIS2?
Art. 21 Abs. 2 der Richtlinie nennt Schulungen und grundlegende Cyberhygiene ausdrücklich als Mindestmaßnahme. Regelmäßige Phishing-Simulationen und Awareness-Trainings sind damit ein konkreter, nachweisbarer Baustein zur NIS2-Konformität.
Welche Strafen drohen bei Verstößen gegen NIS2?
Die Richtlinie sieht empfindliche Bußgelder vor – für besonders wichtige Einrichtungen bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes. Zusätzlich kann die Geschäftsleitung persönlich in die Verantwortung genommen werden.
NIS2-Awareness nachweisbar umsetzen
Starten Sie Ihre kostenlose 7-Tage-Demo – ohne Kreditkarte, in wenigen Minuten eingerichtet.
Jetzt kostenlos testen