NIS2-Compliance: ein praxisorientierter Leitfaden

Nach Paul Gillet · Aktualisiert 2026-10-17

NIS2 ist das wichtigste Cybersicherheitsgesetz der EU: Richtlinie (EU) 2022/2555. Als Richtlinie wird sie über das nationale Recht der einzelnen Mitgliedstaaten umgesetzt, das bis zum 17. Oktober 2024 in Kraft treten musste. Die Kernpflichten sind überall gleich, doch Registrierung, Aufsicht, Sanktionen und einige Einzelheiten unterscheiden sich von Land zu Land. Prüfen Sie daher stets das nationale Recht des Landes, in dem Sie tätig sind.

Fallen Sie in den Anwendungsbereich?

NIS2 erfasst Einrichtungen in 18 Sektoren. Anhang I nennt Sektoren mit hoher Kritikalität: Energie, Verkehr, Bankwesen, Infrastrukturen des Finanzmarkts, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienstleistungsmanagement (B2B), öffentliche Verwaltung und Weltraum. Anhang II nennt weitere kritische Sektoren: Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, Herstellung (einschließlich Medizinprodukte, Elektronik, Maschinenbau und Fahrzeuge), digitale Anbieter und Forschung.

In der Regel fällt eine Einrichtung in den Anwendungsbereich, wenn sie in einem dieser Sektoren in der EU tätig ist und mindestens mittelgroß ist (50 oder mehr Beschäftigte oder ein Jahresumsatz bzw. eine Jahresbilanzsumme über 10 Mio. €). Einige fallen unabhängig von ihrer Größe darunter, etwa DNS-Diensteanbieter, Registrierungsstellen für Top-Level-Domains, Vertrauensdiensteanbieter und Anbieter öffentlicher elektronischer Kommunikationsnetze. Einrichtungen werden als wesentlich oder wichtig eingestuft; beide müssen dieselben Maßnahmen erfüllen, doch Aufsicht und Bußgeldobergrenzen unterscheiden sich.

Was NIS2 verlangt

• Governance (Artikel 20): Die Leitungsorgane müssen die Risikomanagementmaßnahmen genehmigen, deren Umsetzung überwachen und an Schulungen zur Cybersicherheit teilnehmen. Sie können für Versäumnisse haftbar gemacht werden.
• Risikomanagementmaßnahmen (Artikel 21): ein gefahrenübergreifender Ansatz, der folgende Bereiche umfasst: (a) Risikoanalyse und Sicherheitsrichtlinien; (b) Bewältigung von Sicherheitsvorfällen; (c) Aufrechterhaltung des Betriebs, Backups, Notfallwiederherstellung und Krisenmanagement; (d) Sicherheit der Lieferkette; (e) Sicherheit bei Beschaffung, Entwicklung und Wartung, einschließlich Umgang mit Schwachstellen und deren Offenlegung; (f) Bewertung der Wirksamkeit dieser Maßnahmen; (g) grundlegende Cyberhygiene und Schulungen; (h) Kryptografie und Verschlüsselung; (i) Sicherheit im Personalwesen, Zugriffskontrolle und Asset-Management; sowie (j) Multi-Faktor- oder kontinuierliche Authentifizierung und gesicherte Kommunikation.
• Meldung von Sicherheitsvorfällen (Artikel 23): Bei einem erheblichen Sicherheitsvorfall ist eine Frühwarnung an das CSIRT oder die zuständige Behörde innerhalb von 24 Stunden nach Kenntniserlangung erforderlich, eine Meldung des Vorfalls innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats.
• Registrierung: Die meisten Einrichtungen müssen sich bei ihrer nationalen Behörde registrieren.

Die Durchführungsverordnung

Für bestimmte digitale Anbieter hat die Kommission die Maßnahmen nach Artikel 21 in der Durchführungsverordnung (EU) 2024/2690 konkretisiert: DNS-Diensteanbieter, TLD-Registries, Cloud-Computing- und Rechenzentrumsdienste, Content-Delivery-Netze, Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste, Online-Marktplätze, Suchmaschinen, Plattformen sozialer Netzwerke sowie Vertrauensdiensteanbieter. Ihr Anhang ist weit konkreter als Artikel 21 selbst. Die NIS2-Anforderungen von ControlMapping sind die Punkte dieses Anhangs, mit den Titeln der ENISA sowie der offiziellen Zuordnung der ENISA zu ISO 27001 und NIST CSF 2.0. Andere Einrichtungen richten sich nach ihrem nationalen Recht, doch der Anhang und die Umsetzungsleitlinien der ENISA sind für alle eine verlässliche Referenz.

Die Schritte

1. Anwendungsbereich und Einstufung nach dem nationalen Recht jedes Landes klären, in dem Sie tätig sind, und dort registrieren, wo dies vorgeschrieben ist.
2. Die Leitungsorgane briefen: Sie müssen die Maßnahmen genehmigen und Schulungen absolvieren; beginnen Sie daher dort.
3. Eine Lückenanalyse gegen Artikel 21 durchführen oder, falls die Durchführungsverordnung für Sie gilt, gegen deren Anhang. Wenn Sie ISO 27001 besitzen, beginnen Sie mit dem Vergleich ISO 27001 → NIS2.
4. Die fehlenden Maßnahmen umsetzen; dabei erfordern die Sicherheit der Lieferkette und der Umgang mit Schwachstellen meist den größten neuen Aufwand.
5. Das Meldeverfahren aufbauen: Festlegen, wer beurteilt, ob ein Vorfall erheblich ist, und das Einhalten der 24- und 72-Stunden-Fristen üben, auch außerhalb der Geschäftszeiten.
6. Nachweise der Wirksamkeit sammeln (Artikel 21 Absatz 2 Buchstabe f): Audits, Tests und Kennzahlen, die belegen, dass die Maßnahmen funktionieren.

Macht ISO 27001 Sie NIS2-konform?

Nicht allein, aber es bringt Sie schon weit voran. Die Zuordnung der ENISA verknüpft jeden Punkt der Durchführungsverordnung mit Klauseln der ISO 27001 oder Maßnahmen aus Anhang A, sodass eine nach ISO zertifizierte Organisation den größten Teil der technischen und organisatorischen Maßnahmen bereits abdeckt. Was ISO nicht abdeckt: die Meldefristen, die Schulung und Haftung der Geschäftsleitung, die Registrierung und die spezifischen technischen Anforderungen, die einige Punkte des Anhangs detaillierter festlegen als Anhang A. Ob Sie konform sind, entscheidet Ihre nationale Behörde, nicht Ihre Zertifizierungsstelle.

Aufsicht und Sanktionen

Nationale Behörden beaufsichtigen wesentliche Einrichtungen proaktiv (Audits, Inspektionen, Sicherheitsscans) und wichtige Einrichtungen nachträglich, in der Regel nach einem Vorfall oder einer Beschwerde. Die maximalen Bußgelder betragen für wesentliche Einrichtungen mindestens 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen 7 Mio. € oder 1,4 %, je nachdem, welcher Betrag höher ist.

So hilft diese Website

Jede NIS2-Anforderung auf dieser Seite ist über die Zuordnung der ENISA mit ISO 27001 und NIST CSF 2.0 verknüpft und über diese mit den weiteren Frameworks. Die Tabelle unten zeigt, wie viel von NIS2 jedes Framework, das Sie bereits haben, abdeckt.

Bereits ein anderes Framework im Einsatz?

Wie viele NIS2-Anforderungen jedes Framework, das Sie möglicherweise bereits erfüllen, abdeckt. Öffnen Sie einen Lückenbericht für die Liste Anforderung für Anforderung.

Crosswalk eine veröffentlichte Crosswalk (NIST, ENISA, CIS, PCI SSC) stellt die Verbindung her · Redaktionell Einschätzung von ControlMapping, wo kein Crosswalk existiert; die Begründung wird angezeigt · Lose verwandt teilt nur ein CSF-2.0-Ergebnis: einer Prüfung wert, aber keine Zuordnung · Keine Zuordnung in unseren Daten In unseren Daten nichts zugeordnet; oft neue Arbeit, aber prüfen Sie die Hinweise zur Abdeckung. Die Zählungen stammen aus denselben Daten wie Lückenanalyse. Eine Zuordnung bedeutet verwandte Anforderungen, nicht den Nachweis, dass eine die andere erfüllt.

Fragen

Ab wann galt NIS2?

Die Mitgliedstaaten mussten ihre nationalen NIS2-Gesetze ab dem 18. Oktober 2024 anwenden. Mehrere waren verspätet; prüfen Sie daher den Stand in dem Land, in dem Sie tätig sind.

Wie lauten die Meldefristen für Sicherheitsvorfälle nach NIS2?

Eine Frühwarnung innerhalb von 24 Stunden nach Kenntniserlangung eines erheblichen Sicherheitsvorfalls, eine Meldung des Vorfalls innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats.

Gilt NIS2 auch für Unternehmen außerhalb der EU?

Ja, das kann der Fall sein. Einige digitale Anbieter, die Dienste in der EU anbieten, ohne dort niedergelassen zu sein, müssen einen Vertreter in einem Mitgliedstaat benennen.

Keine Rechts- oder Compliance-Beratung. Prüfen Sie vor einer Verwendung den amtlichen Wortlaut und sprechen Sie mit Ihrem Auditor, Prüfer oder Ihrer Aufsichtsbehörde.