Die NIS-2-Richtlinie (Network and Information Security Directive 2) ist seit dem 6. Dezember 2025 in Deutschland in Kraft getreten und bringt einen grundlegenden Wandel in der europäischen Cybersicherheitsregulierung. Ziel ist die Verbesserung des Cyber-Schutzniveaus in Europa und Bekämpfung der steigenden Bedrohungslage. Als neue IT-Sicherheitsrichtlinie betrifft sie knapp 29.000 Unternehmen in Deutschland und nimmt einen großen Teil des Mittelstands verbindlich in die Verantwortung: Cybersicherheit ist nicht länger nur ein IT-Thema, sondern eine unternehmerische Pflicht mit direkter Haftung für die Geschäftsleitung. Sie verpflichtet Unternehmen und Organisationen in kritischen Sektoren zu strengeren Sicherheitsmaßnahmen, Meldepflichten bei Sicherheitsvorfällen und nimmt die Geschäftsführung stärker in die Haftung. 

Welche Anforderungen stellt die NIS-2 Richtlinie an Unternehmen?
NIS-2 schreibt kein einzelnes Tool vor, sondern einen systematischen, risikobasierten Ansatz zur IT- und Informationssicherheit. Unternehmen müssen unter anderem:

• Risiken für ihre IT-Systeme regelmäßig bewerten
• angemessene technische und organisatorische Sicherheitsmaßnahmen umsetzen
• Sicherheitsvorfälle erkennen, bewerten und fristgerecht melden
• Maßnahmen, Prozesse und Entscheidungen nachvollziehbar dokumentieren

Ziel ist eine nachweisbare, gelebte Sicherheitsorganisation – nicht ein rein formales Regelwerk.

Wann tritt NIS-2 in Deutschland in Kraft und was ist zu tun? Das Gesetz ist am 06. Dezember 2025 in Kraft getreten. Unternehmen, die von NIS-2 betroffen sind, mussten sich bis zum 06.03.2026 im BSI-Portal registrieren. 

Betroffene Unternehmen, die die Anmeldung verpasst haben, müssen diese umgehend nachholen, um mögliche Bußgelder zu vermeiden. Der Prozess erfolgt in zwei Schritten: 

ELSTER-Organisationszertifikat beantragen und die Registrierung im neuen BSI-Portal. Wir geben eine ausführliche Registrierungsanleitung zur Vorgehensweise. 

Wichtiger Hinweis: Plane etwa zwei Wochen für den Postweg ein. Der postalische Aktivierungsbrief ist neben der E-Mail zwingend notwendig, um das Zertifikat freizuschalten.

Einführung und vollständige Dokumentation angemessener Sicherheits- und Risikomanagementmaßnahmen: 

Unternehmen sind nach NIS-2 verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen zu ergreifen und zu dokumentieren. Die Bemessung der Verhältnismäßigkeit richtet sich nach dem Ausmaß der Risikoexposition, Größe der Einrichtung, Kosten, Eintrittswahrscheinlichkeit, Schwere und Folgen von Sicherheitsvorfällen. Die Maßnahmen sollen Störungen der Verfügbarkeit, Integrität und Vertraulichkeit vermeiden und Auswirkungen von Sicherheitsvorfällen möglichst geringhalten. Das Risikomanagement muss alle informationstechnischen Systeme, Komponenten und Prozesse, die Unternehmen für die Erbringung ihrer Dienste nutzen, adressieren. Maßnahmen sollen den Stand der Technik einhalten, einschlägige europäischen und internationale Normen berücksichtigen und müssen auf einem gefahrenübergreifenden Ansatz beruhen. Die Risikomanagementmaßnahmen umfassen mindestens folgende zehn Maßnahmen (vgl. § 30 Absatz 2 BSIG):

Welche IT-Sicherheitslösungen und Cyber Security Services helfen bei der Einhaltung von NIS-2 in deutschen Unternehmen?

NIS-2 ist kein Tool-Projekt, sondern ein Management- und Sicherheitsframework. Die NIS-2-Richtlinie verlangt somit kein einzelnes Tool, sondern ein ganzheitliches Sicherheitsniveau aus Technik, Prozessen und Governance. Für deutsche Unternehmen bedeutet das: Man braucht kombinierte IT-Sicherheitslösungen und Cyber Security Services, die die regulatorischen Pflichtbereiche abdecken.

Wir liefern Lösungen und Services, die konkret bei der Erreichung von NIS-2-Compliance helfen.