Ihr NIS2-Dokumentationsdossier
in 5 Tagen

Multifaktor-Authentifizierung (MFA)

„Für welche Dienste schreiben Sie MFA vor? E-Mail, VPN, RDP, Netzwerk-/Cloud-Administration, privilegierte Konten.“

E-Mail-Sicherheit

„Welche Kontrollen setzen Sie gegen E-Mail-Spoofing ein (SPF, DKIM, DMARC)? Haben Sie veraltete Protokolle (IMAP, POP3, ungesichertes SMTP) deaktiviert?“

Notfallplan für Sicherheitsvorfälle

„Wie sieht Ihr Plan zur Reaktion auf Sicherheitsvorfälle aus, und innerhalb welcher Frist würden Sie uns über einen Cybersicherheitsvorfall informieren?“

Unterauftragsvergabe und Lieferkette

„Setzen Sie Unterauftragnehmer der vierten Stufe ein? Akzeptieren Sie vertragliche Klauseln, die NIS2-Konformität vorschreiben (Kontrollen, Meldung von Sicherheitsverletzungen, Prüfungs- recht)?“

Datensicherung und Kontinuität

„Werden Datensicherungen durchgeführt? Werden Integrität und Wiederherstellungsverfahren mindestens einmal jährlich getestet?“

Governance der Informationssicherheit

„Stützt sich Ihre Informationssicherheitsrichtlinie auf einen anerkannten Standard (NIST, ISO 27001)?“

Wer ist betroffen?

Die Richtlinie richtet sich an „mittlere“ oder „große“ Unternehmen (im Sinne des Unionsrechts), die in einer Liste als kritisch eingestufter Sektoren tätig sind: einerseits Energie, Verkehr, Gesundheit, Banken, Wasser, digitale Infrastruktur und öffentliche Verwaltung; andererseits Post, Abfall, Chemie, Lebensmittel, Herstellung und Forschung. Ein Staat kann auch kleinere Strukturen einbeziehen, wenn sie eine Schlüsselrolle spielen.

Was NIS2 Ihnen wirklich vorschreibt

Einfach gesagt: „verhältnismäßige“ Sicherheitsmaßnahmen einführen, die eigenen Risiken kennen, Daten schützen, einen Angriff erkennen, darauf reagieren und danach wieder hochfahren. Hinzu kommen die physische Sicherheit der Räumlichkeiten, die Kontrolle von Zugriffen und Berechtigungen sowie die Prüfung der Sicherheit der eigenen Dienstleister und Lieferanten.

Im Ernstfall gelten präzise Fristen

Tritt ein „erheblicher“ Vorfall ein, muss die Behörde in drei Schritten informiert werden: eine Frühwarnung innerhalb von 24 Stunden, eine ausführlichere Meldung innerhalb von 72 Stunden, danach ein Abschlussbericht innerhalb eines Monats. Betroffene Kunden müssen zudem unverzüglich über die Maßnahmen informiert werden, die sie ihrerseits ergreifen können.

Die Sanktionen, ohne Dramatisierung

Die Obergrenze der Geldbußen legt die Richtlinie fest: bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (der höhere Betrag) für „besonders wichtige“ Einrichtungen; bis zu 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes für „wichtige“ Einrichtungen. Das sind gesetzliche Obergrenzen, keine automatische Rechnung, und die Geldbuße kommt erst nach einer Stufenfolge von Abhilfemaßnahmen - Einzelheiten weiter unten.

Die wichtigsten Termine

Die Richtlinie ist seit dem 16. Januar 2023 in Kraft. Jeder Mitgliedstaat musste seine Pflichten spätestens am 17. Oktober 2024 in nationales Recht umgesetzt haben, mit tatsächlicher Anwendung seit dem 18. Oktober 2024, dem Tag, an dem der frühere Text NIS1 aufgehoben wurde.

In Frankreich: wer das Dossier steuert

Die ANSSI ist die benannte Behörde zur Begleitung der NIS2-Compliance. Sie hat einen „Référentiel Cyber France“ (ReCyF, verfügbar seit dem 17. März 2026) veröffentlicht und bietet eine Plattform „MonEspaceNIS2“ sowie einen „ClubSSI“ an, um Unternehmen bei der Orientierung zu helfen.

Was in Nachbarländern schon geschieht

In Deutschland weist das BSI darauf hin, dass die gesetzliche Registrierungsfrist für die betroffenen Unternehmen bereits überschritten ist: Wer es noch nicht getan hat, muss es unverzüglich nachholen. Ein konkretes Signal, dass die europäische Bewegung längst läuft, weit über die Texte hinaus.

Eine Vereinfachung wird geprüft

Die Europäische Kommission hat 2026 einen Vorschlag („Omnibus-Paket“) vorgelegt, um die NIS2-Compliance zu erleichtern, insbesondere für die kleinsten Strukturen: etwa 28.700 Unternehmen wären von dieser Erleichterung betroffen, darunter 6.200 Kleinst- und Kleinunternehmen.

Eine Privatklinik oder ein medizinisches Labor

Fällt in den Sektor „Gesundheitswesen“ von Anhang I, sobald es sich um eine Gesundheitseinrichtung im Sinne des Unionsrechts handelt und die mittlere Größenschwelle überschritten wird.

Ein Automobilzulieferer oder ein Maschinenbauer

Gehört oberhalb der Größenschwelle zum Sektor „Verarbeitendes Gewerbe“ von Anhang II (Fahrzeuge, elektrische Ausrüstungen, Maschinen, Elektronik).

Ein Cloud-Anbieter oder ein Managed-Service-Unternehmen (MSP/MSSP)

Gehört zur „Digitalen Infrastruktur“ oder zur „Verwaltung von IKT-Diensten“ von Anhang I: ab mittlerer Größe betroffen (wichtige Einrichtung), besonders wichtige Einrichtung, wenn sie groß ist. Einzige größenunabhängige Ausnahme: wenn sie zugleich qualifizierter Vertrauensdiensteanbieter, Namensregister für Domänennamen oder DNS-Diensteanbieter ist.

Eine Gebietskörperschaft oder eine regionale öffentliche Einrichtung

Fällt in den Sektor „Öffentliche Verwaltung“ von Anhang I, wenn der Mitgliedstaat sie benennt, insbesondere wenn der Ausfall ihrer Dienste erhebliche Auswirkungen auf kritische gesellschaftliche oder wirtschaftliche Tätigkeiten hätte.

Ein Lebensmittelverarbeiter oder ein Großhändler

Fällt unter „Produktion, Verarbeitung und Vertrieb von Lebensmitteln“ in Anhang II, sofern er Großhandel oder eine industrielle Produktion/ Verarbeitung betreibt.

Ein Unternehmen „außerhalb der 18 Sektoren“, aber Lieferant einer betroffenen Einrichtung

Liegt nicht direkt im Anwendungsbereich von NIS2, kann aber vertraglich dorthin gedrängt werden: siehe den Abschnitt „Lieferketteneffekt“ weiter oben auf dieser Seite.

F. Was ist die NIS2-Richtlinie, in einem Satz?

Es ist der europäische Text, der seit dem 18. Oktober 2024 das frühere Cybersicherheitsgesetz von 2016 ersetzt: Die Europäische Kommission beschreibt ihn als einen Text, der „das gemeinsame Ambitionsniveau der EU in der Cybersicherheit anhebt, durch einen breiteren Anwendungsbereich, klarere Regeln und verstärkte Kontrollinstrumente“.

F. Ich bin ein KMU: Betreffen mich die Größenschwellen wirklich?

Der Text zielt zunächst auf „mittlere“ oder „große“ Unternehmen im europäischen Sinne, ein präzises rechtliches Kriterium, das auf die Empfehlung 2003/361/EG verweist (in der Praxis: ab 50 Beschäftigten oder ab mehr als 10 Mio. EUR Umsatz und Bilanzsumme zugleich), tätig in einem der 18 aufgeführten Sektoren. Darunter unterliegen Sie grundsätzlich nicht direkt der Regelung, außer wenn Ihr Staat kleinere, als wesentlich eingestufte Strukturen einbezieht oder wenn Sie eine Einrichtung beliefern, die es ist (Lieferketteneffekt, siehe weiter oben auf dieser Seite).

F. Kann ich als Geschäftsleiter persönlich haftbar gemacht werden?

Ja, und das ist der am wenigsten bekannte Punkt des Textes: Die offizielle rechtliche Zusammenfassung der Richtlinie stellt klar, dass das Leitungsorgan die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen muss und bei Verstößen haftbar gemacht werden kann. Cybersicherheit ist also nicht nur ein IT-Thema: Es ist eine Governance-Frage, die bis zur Geschäftsleitung reicht.

F. Wie erfahre ich konkret, ob mein Unternehmen sich registrieren muss?

Jeder Mitgliedstaat muss eine amtliche Liste der besonders wichtigen und wichtigen Einrichtungen führen, die alle zwei Jahre überprüft wird (erste europäische Frist: 17. April 2025). In Frankreich stellt die ANSSI ein kostenloses Online-Selbstbewertungstool bereit, „MonEspaceNIS2“, das die Frage „Bin ich betroffen?“ direkt beantwortet.

F. Ist Frankreich im Verzug? Was ändert sich dadurch heute für mich?

Ja: Das französische Umsetzungsgesetz ist weiterhin nicht veröffentlicht, weit nach der europäischen Frist. Im Juli 2026 hat die Europäische Kommission Frankreich zudem vor den Gerichtshof der EU gebracht, weil es seine Umsetzungsmaßnahmen nicht mitgeteilt hat (siehe den detaillierten Zeitplan weiter oben). Konkret: Eine „französische NIS2-Sanktion“ ist noch nicht möglich, solange das Dekret nicht erschienen ist, aber am Tag seines Erscheinens haben die bereits vorbereiteten Unternehmen nichts nachzuholen.

F. Was ändert sich wirklich gegenüber dem früheren NIS1-Gesetz?

NIS1 (2016) beschränkte sich auf Energie, Verkehr, Gesundheit, Finanzen, Wasser und digitale Infrastruktur. NIS2 erweitert diesen Anwendungsbereich stark: Hinzu kommen nun öffentliche elektronische Kommunikation, soziale Netzwerke und digitale Plattformen, Abfallbewirtschaftung, die Herstellung kritischer Produkte, Postdienste und die öffentliche Verwaltung. Viele bislang nicht erfasste Unternehmen fallen nun in den Anwendungsbereich.

F. Ist eine Erleichterung für kleine Strukturen vorgesehen?

Ja, sie wird geprüft: Die Europäische Kommission hat 2026 ein Vereinfachungspaket vorgelegt, um den Verwaltungsaufwand durch NIS2 zu senken, insbesondere für die kleinsten Einrichtungen. Etwa 28.700 Unternehmen wären von dieser Erleichterung betroffen, darunter 6.200 Kleinst- und Kleinunternehmen. Der Text ist noch nicht endgültig angenommen: im Auge behalten, ohne mit der Vorbereitung zu warten.

Maximale Verwaltungsgeldbuße: mindestens 10.000.000 EUR ODER mindestens 2 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres. Es gilt der höhere der beiden Beträge.

Maximale Verwaltungsgeldbuße: mindestens 7.000.000 EUR ODER mindestens 1,4 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres. Dieselbe Logik, es gilt der höhere Betrag.

Wer sanktioniert?

Jeder Mitgliedstaat benennt eine oder mehrere „zuständige Behörden“, die mit der Aufsicht und der Durchsetzung der Richtlinie betraut sind. In Frankreich fällt diese Rolle der ANSSI zu.

Das letzte Mittel, nur für besonders wichtige Einrichtungen

Bleiben die vorherigen Maßnahmen ohne Wirkung, kann die Behörde bei einem Gericht die vorübergehende Aussetzung einer Zertifizierung oder einer Genehmigung beantragen, ja sogar die vorübergehende Untersagung der Tätigkeit einer Führungsperson (Geschäftsführer oder gesetzlicher Vertreter), bis die Konformität hergestellt ist. Diese äußerste Eskalation betrifft NUR besonders wichtige Einrichtungen, nicht wichtige Einrichtungen.

Der Betrag ist nicht automatisch

Das Gesetz verlangt, im Einzelfall zu berücksichtigen: Schwere und Dauer des Verstoßes, Wiederholung, verursachten Schaden, Vorsatz oder Fahrlässigkeit, zur Schadensbegrenzung ergriffene Maßnahmen, Einhaltung von Verhaltenskodizes oder Zertifizierungen, Grad der Zusammenarbeit mit der Behörde. Zwei Unternehmen in derselben Situation erhalten nicht automatisch dieselbe Geldbuße.

Die Leitungsebene, persönlich verantwortlich

Der Text sieht ausdrücklich vor, dass die natürlichen Personen, die die Einrichtung leiten (Geschäftsführer, gesetzlicher Vertreter), bei Verstößen gegen ihre Pflichten zur Herstellung der Konformität haftbar gemacht werden können, für besonders wichtige wie für wichtige Einrichtungen.

Und wenn es zugleich ein Datenleck ist?

Stellt der Vorfall zugleich eine Verletzung des Schutzes personenbezogener Daten dar, muss die NIS2-Behörde unverzüglich die zuständige DSGVO-Behörde (in Frankreich die CNIL) informieren. Die beiden Regime stimmen sich ab: Es ist keine automatische Kumulierung von Sanktionen, sondern ein gegenseitiger Informationsaustausch zwischen den Behörden.

Beispiele mit Zahlen? Ehrlich gesagt noch nicht

Zum Zeitpunkt dieses Monitorings wurde in keiner offiziellen Quelle eine veröffentlichte NIS2-Sanktionsentscheidung gefunden. Das System hängt vom Umsetzungsgesetz jedes Mitgliedstaats ab, das noch fertiggestellt wird. Ein Zeichen, dass die Bewegung begonnen hat: In Deutschland weist das BSI darauf hin, dass die gesetzliche Registrierungsfrist für die betroffenen Einrichtungen bereits überschritten ist.