Die NIS2-Richtlinie einfach erklärt

NIS2-Richtlinie

NIS2 verpflichtet Unternehmen in wichtigen und kritischen Sektoren zu verbindlichen Sicherheitsstandards. In Deutschland und Österreich gelten die nationalen Gesetze bereits. Die Verantwortung liegt bei der Geschäftsleitung.
Erhebliche Sicherheitsvorfälle müssen innerhalb von 24 Stunden an die zuständige Behörde gemeldet werden.
Kurzüberblick – das sollten Sie über die NIS2-Richtlinie wissen
Die NIS2-Richtlinie bildet den EU-weiten Rahmen für ein hohes gemeinsames Cybersicherheitsniveau in wichtigen und kritischen Sektoren. Sie erweitert den Kreis der betroffenen Unternehmen deutlich und macht Cybersicherheit, Risikomanagement und Incident Response zur Managementaufgabe. Damit ist Cybersicherheit fest im Unternehmensalltag verankert: von technischen Maßnahmen über Prozesse und Schulungen bis zur Verantwortung der Leitung.
Wer
Mittlere und große Unternehmen aus 18 Sektoren, von Energie und Gesundheit über Produktion bis zu digitalen Diensten
Was
Risikomanagement, wirksame Sicherheitsmaßnahmen, eine abgesicherte Lieferkette, regelmäßige Schulungen und klare Meldewege
Meldung
Frühwarnung innerhalb von 24 Stunden, ausführliche Meldung nach 72 Stunden und Abschlussbericht innerhalb eines Monats
Support
Die Geschäftsleitung genehmigt und überwacht die Maßnahmen und bildet sich selbst regelmäßig weiter
Wo steht die Umsetzung? Ein Überblick.
In Kraft
Deutschland
NIS2-Umsetzungsgesetz (BSIG)
Gilt seit
6. Dezember 2025
Betroffen
rund 29.500 Einrichtungen
Registrierung
beim BSI
In Kraft
Österreich
NISG 2026
Gilt seit
1. Oktober 2026
Betroffen
rund 4.000 Einrichtungen
Registrierung
bis 31. Dezember 2026
Eigenes Recht
Schweiz
Informationssicherheitsgesetz (ISG)
NIS2
gilt nicht direkt
Betroffen
seit 1. April 2025 für kritische Infrastrukturen
Registrierung
für Zulieferer von EU-Kunden
* Stand: Oktober 2026.
Was heißt das konkret für Sie als Unternehmen?
NIS2 erfordert keine isolierten Einzelmaßnahmen, sondern einen ganzheitlichen Ansatz. In der Praxis bedeutet das häufig die Einführung oder gezielte Nachschärfung bestehender Strukturen. Ein entscheidender Punkt: Nachweisbarkeit.

Behörden erwarten nicht nur Maßnahmen, sondern deren Dokumentation, Wirksamkeit und regelmäßige Überprüfung. Kurz gesagt: Cybersicherheit ist Chef:innensache – nicht mehr ausschließlich ein Thema der IT-Abteilung.
Informationssicherheits-Management
Klare Richtlinien, Prozesse & Verantwortlichkeiten
Incident Response & Krisenmanagement
Technisch wie organisatorisch belastbare Abläufe für den Ernstfall
Zugriffskontrollen & Identitätsmanagement
Prinzipien wie Least Privilege, MFA und Rollenmodelle werden zentral
Lieferketten- & Drittparteienbewertung
Sicherheitsrisiken externer Partner müssen bewertet und dokumentiert werden
Der NIS2-Guide.
Kompakt für den DACH-Raum.
Zahlen, Fristen und Pflichten - der schnelle Überblick für Führungskräfte und IT-Verantwortliche in Deutschland, Österreich und der Schweiz.
check icon
Sind Sie betroffen?
check icon
Was muss bis wann umgesetzt werden?
check icon
Welche Konsequenzen drohen, wenn Sie nichts tun?
Häufig gestellte Fragen zu NIS2
Die wichtigsten Fragen rund um NIS2, verständlich und einfach erklärt.
Wer ist von der NIS2-Richtlinie betroffen?
chevron down icon
Betroffen sind wesentliche und wichtige Einrichtungen in der EU. Dazu zählen neben klassischer kritischer Infrastruktur auch viele digitale und technologiegetriebene Unternehmen – etwa IT-Dienstleister, Managed Service Provider, Software- und Cloud-Anbieter sowie Unternehmen, die Teil kritischer Lieferketten sind. Maßgeblich sind Branche, Unternehmensgröße und Art der Dienstleistung.
Ab wann gilt NIS2 verbindlich?
chevron down icon
In Deutschland seit 6. Dezember 2025, in Österreich seit 1. Oktober 2026. Die Schweiz setzt NIS2 nicht um, hat aber seit 1. April 2025 eine eigene Meldepflicht für kritische Infrastrukturen.
Welche Pflichten haben Unternehmen konkret?
chevron down icon
  • Risikomanagement und angemessene Sicherheitsmaßnahmen
  • Registrierung bei der zuständigen Behörde
  • Meldung erheblicher Sicherheitsvorfälle
  • Absicherung der Lieferkette
  • Schulung und Verantwortung der Geschäftsleitung
Welche Meldepflichten bestehen bei Sicherheitsvorfällen?
chevron down icon
Erhebliche Vorfälle werden in drei Stufen gemeldet: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden und Abschlussbericht nach einem Monat.
Reicht eine bestehende ISO-27001-Zertifizierung aus?
chevron down icon
Nein. ISO 27001 ist eine sehr gute Grundlage, deckt die NIS2-Anforderungen jedoch nicht vollständig ab. NIS2 stellt zusätzliche Anforderungen – etwa an Meldepflichten, Management-Verantwortung und Lieferkettensicherheit. Bestehende Standards müssen gezielt ergänzt und angepasst werden.
Müssen Unternehmen jetzt sofort handeln?
chevron down icon
Ja. Denn die nationale Umsetzung greift in Deutschland und Österreich seit 2026 vollständig. Wer jetzt Bestandsaufnahme und Meldeprozess angeht, ist bei Registrierung und erster Prüfung gut vorbereitet.
NIS2-Umsetzung
Was müssen Sie jetzt tun?
Der entscheidende Schritt ist nicht, alles neu zu machen. In der Praxis bewährt sich vielmehr ein strukturierter, mehrstufiger Ansatz:
check icon
Schritt 1
Ausgangslage & Reifegrad klären
Verschaffen Sie sich einen Überblick, welche Bereiche, Systeme und Dienstleister betroffen sein können und wie weit bestehende Maßnahmen bereits tragen.
NIS2-Readiness-Check: Wir prüfen Ihren Status Quo!
Schritt 2
Lücken identifizieren
Viele Unternehmen verfügen über einzelne Security-Bausteine, jedoch ohne durchgängiges Zusammenspiel. Ein strukturierter Gap-Check zeigt, wo NIS2-relevante Anforderungen fehlen oder nicht ausreichend dokumentiert sind.
Unterstützung anfragen
Unterstützung anfragen
Schritt 3
Maßnahmen priorisieren
NIS2 verlangt Angemessenheit, nicht Overengineering. Ziel ist ein risikobasierter, pragmatischer Maßnahmenplan, der nachvollziehbar dokumentiert und operativ umsetzbar ist.
Schritt 4
Verantwortlichkeiten & Nachweise etablieren
Klare Rollen, Entscheidungswege und belastbare Dokumentation sind zentral, insbesondere mit Blick auf Management-Verantwortung, Audits und Vorfälle.
Kontaktieren Sie uns

Ihr Projekt verdient den besten Partner.

Teilen Sie Ihr Anliegen mit uns – wir melden uns umgehend und starten mit einem unverbindlichen Erstgespräch. Persönlich und auf den Punkt gebracht.
contact@brightflare.io
+43 316 438000
8020 Graz, Österreich