NIS2 verstehen und handeln.

NIS2 ist die überarbeitete EU-Richtlinie zur Netz- und Informationssicherheit. In Deutschland wurde sie durch das NIS2-Umsetzungsgesetz (NIS2UmsuCG) in nationales Recht umgesetzt, das seit dem 6. Dezember 2025 ohne Übergangsfrist gilt. Das Gesetz erweitert den Anwendungsbereich erheblich und erhöht die Anforderungen an Cybersecurity-Maßnahmen, Meldepflichten und Governance.

NIS2 betrifft Unternehmen in 18 Sektoren, darunter Energie, Transport, Bankwesen, Gesundheit, Trinkwasser, digitale Infrastruktur, Verarbeitendes Gewerbe, Lebensmittel, Chemie und Post. Die Einstufung erfolgt in wesentliche und wichtige Einrichtungen.

Bei erheblichen Sicherheitsvorfällen gilt eine gestufte Meldepflicht: Innerhalb von 24 Stunden eine Erstmeldung, innerhalb von 72 Stunden ein detaillierter Zwischenbericht und innerhalb von einem Monat ein Abschlussbericht an das BSI. Sind dabei personenbezogene Daten betroffen, läuft parallel eine 72-Stunden-Meldepflicht gegenüber der zuständigen Datenschutzbehörde nach Art. 33 DSGVO. Zusätzlich muss die Cyberversicherung innerhalb der Policefrist benachrichtigt werden. Diese drei Meldewege müssen gleichzeitig bedient werden und erfordern einen abgestimmten Prozess im Voraus.

NIS2 führt eine persönliche Haftung von Geschäftsführern und Leitungsorganen ein. Diese können bei schuldhafter Verletzung von NIS2-Pflichten persönlich in Haftung genommen werden und sind verpflichtet, Cybersecurity-Schulungen zu absolvieren.

Für wesentliche Einrichtungen drohen Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Für wichtige Einrichtungen liegen die Obergrenzen bei 7 Millionen Euro oder 1,4 Prozent des Umsatzes.

Die Kosten hängen von der Unternehmensgröße, der Ausgangssituation und dem Umsetzungsumfang ab. Nach einem kostenlosen Erstgespräch erhalten Sie eine transparente Aufwandsschätzung.