Am 13. November 2025 hat der Deutsche Bundestag das NIS2-Umsetzungsgesetz beschlossen. Die neuen Regeln greifen tief in die IT-Sicherheit deutscher Unternehmen ein.
Was ist die NIS-2-Richtlinie?
Die NIS-2-Richtlinie (Network and Information Security Directive 2) stellt eine Weiterentwicklung der ersten NIS-Richtlinie aus 2016 dar und regelt umfassend die Cybersicherheitsanforderungen an Organisationen innerhalb der EU und Sanktionen bei Verstößen.
Ziel ist es, wichtige Einrichtungen in den EU-Mitgliedstaaten vor Cyberangriffen zu schützen und ein europaweit einheitliches Schutzniveau zu schaffen.
Ab wann gilt NIS-2?
Bevor die neuen Regeln in Kraft treten, muss noch der Bundesrat zustimmen und das Gesetz im Bundesgesetzblatt verkündet werden. Das Inkrafttreten wird im Gesetz festgelegt; voraussichtlich tritt es Ende 2025 oder Anfang 2026 in Kraft.
Ab diesem Zeitpunkt sind die NIS-2-Vorgaben für betroffene deutsche Unternehmen verbindlich – Übergangsfristen sind nach aktuellem Stand nicht vorgesehen. Unternehmen sollten die Zeit bis dahin nutzen, um sich auf die neuen Pflichten vorzubereiten.
Wen betrifft NIS-2?
Um unter die NIS2-Richtlinie zu fallen, müssen EU-Unternehmen die Size-Cap-Kriterien erfüllen und in einem der in Anhang 1 oder Anhang 2 aufgeführten kritischen Sektoren tätig sein.
Mittlere Unternehmen haben 50 bis 249 Beschäftigte und entweder einen Jahresumsatz von 10-50 Millionen Euro oder eine Jahresbilanzsumme von 10-43 Millionen Euro.
Große Unternehmen haben mindestens 250 Beschäftigte und einen Jahresumsatz von mindestens 50 Millionen Euro oder eine Jahresbilanzsumme von mindestens 43 Millionen Euro.
Die NIS-2-Richtlinie umfasst deutlich mehr Sektoren als die vorherige NIS-Richtlinie. Diese Sektoren werden in wesentliche und wichtige Einrichtungen eingeteilt.
Insgesamt fallen rund 29.500 deutsche Unternehmen unter die neuen Regeln. Das sind deutlich mehr als bisher.
Was müssen die Unternehmen tun?
Betroffene Einrichtungen müssen wirksame Maßnahmen für Informationssicherheit, Risikomanagement und Business Continuity umsetzen. Dazu gehören u.a.
- Einführung technischer und organisatorischer Maßnahmen nach Stand der Technik (z.B. Verschlüsselung, Multi-Faktor-Authentifizierung, Notfallmanagement)
- Verpflichtende Aufrechterhaltung und Wiederherstellung des Betriebs im Ernstfall (Back-up-, Krisen- und Lieferkettenmanagement)
- Umfassende Melde- und Informationspflichten bei relevanten Sicherheitsvorfällen
- Stärkere Pflichten für die Geschäftsführung, darunter Überwachungs-, Billigungs- und Schulungspflichten
Straffung und Verschärfung der Sicherheits- und Meldeanforderungen
Die NIS-2 enthält präzisere Bestimmungen über das Verfahren zur Meldung von Vorfällen, den Inhalt der Berichte und die Fristen.
Organisationen müssen einen bedeutenden Sicherheitsvorfall innerhalb von 24 Stunden, nachdem sie ihn entdeckt haben, an das Bundesamt für Sicherheit in der Informationstechnik (BSI) melden.
Mögliche Konsequenzen bei Verstößen gegen die NIS-2-Richtlinie
Die NIS-2-Richtlinie sieht klare Konsequenzen für Verstöße vor.
Bei den Bußgeldern wird in der NIS-2-Richtlinie zwischen wesentlichen und wichtigen Einrichtungen unterschieden.
Wesentliche Einrichtungen
- Geldbußen bis zu 10 Mio. EUR oder 2 % des gesamten weltweiten Jahresumsatzes
Wichtige Unternehmen
- Geldbußen bis zu 7 Mio. EUR oder 1,4% des gesamten Jahresumsatzes weltweit
Um den Druck auf die IT-Abteilungen zu verringern und die Wahrnehmung der Verantwortlichkeiten für Cybersicherheit zu verändern, führt die NIS-2-Richtlinie eine neue Haftungsregelung für Leitungsorgane ein. Vorstände und Geschäftsführung können persönlich haftbar gemacht werden, wenn die Anforderungen der Richtlinie nicht eingehalten werden und es zu einem Cyberangriff kommt.
Wie Damovo Sie bei der NIS-2 Umsetzung unterstützen kann
NIS-2 Gap Analyse
Mit der NIS-2 Gap Analyse liefern wir Ihnen eine umfassende Bewertung Ihres aktuellen Cybersecurity-Stands im Vergleich zu den konkreten Vorgaben der NIS-2-Richtlinie. Wir prüfen Ihre Sicherheitsrichtlinien, technischen Kontrollen und Prozesse. Anschließend zeigen wir Ihnen die Lücken und Abweichungen zwischen Ihrem aktuellen Status und den NIS2-Pflichten auf.
Die Analyse deckt alle wichtigen Bereiche ab, darunter Risikomanagement, Incident Response, Zugriffskontrollen, Verschlüsselungsstandards, Notfall- und Wiederanlaufplanung sowie Sicherheitsbewertungen externer Dienstleister.
Die Durchführung beinhaltet Interviews mit relevanten Stakeholdern, Dokumentenprüfung und technische Bewertung. Am Ende erhalten Sie einen detaillierten Überblick über alle identifizierten Lücken, sortiert nach Schweregrad und Auswirkung. Dazu gehören auch konkrete Empfehlungen und Maßnahmen, um die Lücken strukturiert schließen zu können.
NIS-2 Risk Assessment
Beim NIS-2 Risk Assessment führen wir eine gründliche, Asset-basierte Bewertung möglicher Cyberbedrohungen und Schwachstellen durch, die die NIS-2-Konformität Ihres Unternehmens gefährden können. Wir bilden geschäftskritischen Assets ab, identifizieren relevante Bedrohungen und Schwachstellen und berechnen das Risikopotenzial anhand der Anforderungen der NIS-2-Richtlinie. Die Analyse betrachtet alle organisatorischen Bereiche wie Informationssysteme, Datenflüsse, Infrastrukturabhängigkeiten, externe Partner und menschliche Faktoren.
So entsteht ein klares Bild Ihres Risikoumfelds. Auf dieser Grundlage legen wir fest, welche Risiken sofort adressiert werden müssen, welche sich durch passende Kontrollen mindern lassen und welche innerhalb Ihrer Risikotoleranz akzeptiert werden können.
Das Ergebnis ist ein priorisiertes Risk Register als Grundlage für Ressourcenplanung und Umsetzung. So richten Sie Ihre Cybersecurity-Investitionen auf die Risiken mit dem höchsten Einfluss aus und erfüllen gleichzeitig Ihre NIS-2-Pflichten.
NIS-2 Roadmap für die Implementierung
Die NIS-2 Roadmap für die Implementierung setzt die Compliance-Anforderungen in einen realistischen, phasenweisen Umsetzungsplan um, der sich an Größe, Struktur und Risikoprofil Ihrer Organisation orientiert.
Auf Basis der Gap-Analyse und der Risikoanalyse entwickeln wir mit Ihnen eine klare Strategie. Sie enthält Meilensteine, Ressourcenbedarf, Abhängigkeiten und Zeitpläne.
Der Plan kombiniert technische Maßnahmen wie Authentifizierung, Verschlüsselung, Monitoring und Incident-Erkennung mit organisatorischen Maßnahmen wie Governance-Strukturen, Richtlinienentwicklung, Schulungen und Awareness-Programmen.
Jede Phase enthält klare Ziele, Erfolgskriterien, Verantwortlichkeiten und messbare Ergebnisse. So kann Ihr Team den Umsetzungsprozess Schritt für Schritt durchführen, ohne den laufenden Betrieb zu gefährden.
Der Plan bleibt flexibel und wird regelmäßig überprüft und angepasst, damit er zu behördlichen Vorgaben, neuen Bedrohungen und möglichen Änderungen der NIS2-Anforderungen oder Ihres geschäftlichen Umfelds passt.
Kontinuierliche NIS-2 vCISO Services
Mit dem vCISO-Service bietet Damovo Ihnen Cybersecurity-Kompetenz und operative Expertise auf Führungsebene durch erfahrene Chief Information Security Officers, die remote mit Ihrer Organisation arbeiten.
Dieses Modell der kontinuierlichen Zusammenarbeit stellt sicher, dass Sie dauerhaft NIS-2-konform bleiben und stärkt gleichzeitig Ihre langfristige Cybersecurity-Reife.
Der vCISO fungiert als beratende Instanz für Vorstand und Geschäftsführung, steuert das Risikomanagement, genehmigt Richtlinien und Strategien und sorgt dafür, dass Sie Ihre regulatorischen Pflichten dauerhaft erfüllen.
Zu den Dienstleistungen gehören die proaktive Überwachung Ihres Compliance-Status, Koordination von Incident-Response-Aktivitäten, Steuerung von Risiken externer Partner, Kommunikation mit Aufsichtsbehörden sowie regelmäßige Berichte an den Vorstand in verständlicher Business-Sprache.
Der vCISO sorgt dafür, dass Sie zwischen den Audits konform bleiben, schnell auf neue Bedrohungen reagieren und sich sicher an regulatorische Änderungen anpassen. So wird NIS2 zu einer Grundlage für operative Stabilität und Vertrauen bei Ihren Stakeholdern.
Fazit
Die Umsetzung der NIS-2-Richtlinie ist kein reines Compliance-Thema, sondern essenziell für die Cyber-Resilienz Ihres Unternehmens.
Die Bedrohungslage durch Hacker, staatliche APT-Gruppen oder Ransomware-Angriffe ist so hoch wie nie zuvor. Entsprechend versteht der Gesetzgeber die neuen Regeln als notwendige „klare Antwort“, um Sicherheit durch Stabilität und Stärke zu schaffen.
IT-Verantwortliche sollten dies als Chance sehen, längst fällige Security-Maßnahmen intern durchzusetzen. Wer frühzeitig anfängt, die Anforderungen zu erfüllen, minimiert nicht nur das Risiko von Sanktionen, sondern schützt vor allem das eigene Unternehmen besser vor Schadensfällen.