NIS-2 Glossar

NIS-2

NIS-2, NIS2 oder auch NIS-2-Richtlinie (auch NIS2-Richtlinie) ist die aktualisierte EU-Richtlinie zur Netz- und Informationssicherheit. Sie verpflichtet Unternehmen und Organisationen, angemessene Sicherheitsmaßnahmen umzusetzen, um Cyberangriffe zu verhindern und IT-Ausfälle zu minimieren. Betroffen sind insbesondere kritische Infrastrukturen, digitale Dienstleister und Organisationen von öffentlichem Interesse.

NIS-2 Anforderungen

Die NIS-2 Anforderungen umfassen technische, organisatorische und rechtliche Maßnahmen, die Unternehmen implementieren müssen. Dazu zählen Sicherheitsrichtlinien, Notfallpläne, Risikoanalysen und die Benennung eines IT-Sicherheitsbeauftragten:

• Einführung eines Informationssicherheitsmanagementsystems (ISMS)
• Risikoanalyse und Risikobehandlung (Maßnahmenmanagement)
• Sicherheitsvorfälle melden und bewältigen (Incident Management)
• Aufrechterhaltung des Betriebs (BCM und Krisenmanagement)
• Dienstleistersteuerung – Sicherheit der Lieferkette (TPRM)
• Lifecycle-Management – Nachweisführung und regelmäßige Audits
• Awareness: Schulungen und Sensibilisierungsmaßnahmen
• Verpflichtung der Unternehmensleitung zur Überwachung der Umsetzung

NIS-2 Audit / Reporting

Audit und Reporting sind zentrale Elemente der NIS-2-Richtlinie. Unternehmen müssen interne Prüfungen durchführen, Sicherheitsvorfälle dokumentieren und regelmäßig Berichte an die Behörden liefern. Dies erhöht Transparenz und Risikokontrolle.

NIS-2 Betroffenheit

Nicht jedes Unternehmen ist gleichermaßen von NIS-2 betroffen. Betroffen sind insbesondere Betreiber kritischer Infrastrukturen, Anbieter digitaler Dienste sowie Unternehmen von öffentlichem Interesse. Ob Ihre Organisation unter die NIS-2-Richtlinie fällt, erfahren Sie zum Beispiel in der Betroffenheitsprüfung des BSI.

NIS-2 Bußgelder

Bei Verstößen gegen das NIS2UmsuG müssen „wesentliche Einrichtungen“ mit 10 Mio. EUR oder 2% des weltweiten Umsatzes, je nachdem, welcher Betrag höher ist rechnen. „Wichtige Einrichtungen“ können mit entweder 7 Mio. EUR oder 1,4% des weltweiten Umsatzes, je nachdem, welcher Betrag höher ist, belangt werden.

NIS-2 Compliance

NIS-2-Compliance bedeutet, dass Unternehmen alle Anforderungen der NIS-2-Richtlinie erfüllen. Dazu zählen Risikomanagement, interne Audits, Incident-Reporting und die regelmäßige Überprüfung der Sicherheitsmaßnahmen. HiScout unterstützt Unternehmen bei der lückenlosen Dokumentation und Umsetzung der Compliance-Pflichten.

NIS-2 Fristen

Das NIS-2 Umsetzungsgesetz (NIS2UmsuG) trat im Dezember 2025 in Kraft, das BSI-Meldeportal wurde am 6. Januar 2026 freigeschaltet, und die Registrierung für betroffene Organisationen beim BSI muss bis spätestens 6. März 2026 erfolgen; für kritische Einrichtungen (Besonders Wichtige) gilt eine sofortige Meldepflicht für Vorfälle (innerhalb 24h/72h/30d) nach den neuen, kürzeren Fristen.

NIS-2 GAP-Analyse

Die Gap-Analyse hilft, Lücken zwischen aktuellen Sicherheitsmaßnahmen und NIS-2-Anforderungen zu identifizieren. HiScout bietet die Möglichkeit, diese Analyse effizient durchzuführen und Maßnahmen gezielt umzusetzen.

NIS-2 kritische Infrastruktur

Kritische Infrastruktur umfasst Bereiche wie Energie, Wasser, Transport, Gesundheit und Finanzwesen. Unternehmen in diesen Sektoren müssen besonders strenge NIS-2-Vorgaben einhalten, um die Versorgungssicherheit und digitale Stabilität zu gewährleisten.

NIS-2 Meldepflichten

Die Registrierung für betroffene Organisationen beim BSI muss bis spätestens 6. März 2026 erfolgen.

Bei einem Sicherheitsvorfall gelten folgende Meldefristen:

1. Frühzeitige Warnung: innerhalb von 24 Stunden nach Bekanntwerden des Vorfalls
2. Ausführliche Berichterstattung: Innerhalb von 72 Stunden nach Bekanntwerden des Vorfalls muss dem BSI ein detaillierter Bericht mit Ersteinschätzung inklusive Schweregrad, Folgen und ggf. Anzeichen für eine Kompromittierung vorgelegt werden.
3. Fortschritts- bzw. Abschlussbericht: Einen Monat nach der Erstmeldung muss ein Fortschritts- bzw. Abschlussbericht vorgelegt werden, welcher den Vorfall umfassend darstellt inkl. Der Ursachen, der ergriffenen Gegenmaßnahmen und ggf. grenzüberschreitenden Effekten.

NIS-2 Pflichten

NIS-2 Pflichten beziehen sich auf die Aufgaben, die Unternehmen erfüllen müssen, um die Richtlinie einzuhalten. Dazu gehören: Sicherheitsmaßnahmen, Risikoanalysen, Reporting von Cybervorfällen und die Einhaltung gesetzlicher Fristen.

NIS-2-Richtlinie

Die NIS-2-Richtlinie beschreibt die Pflichten und Anforderungen, die EU-Mitgliedstaaten in nationales Recht umsetzen müssen. Ziel ist die Verbesserung der Cyber-Resilienz durch verpflichtende Sicherheitsmaßnahmen, Risikoanalysen und Reportingpflichten. Die Umsetzung in deutsches Recht regelt das NIS-2 Umsetzungsgesetz (NIS2UmsuG).

NIS-2 Umsetzung

Unter NIS-2 Umsetzung versteht man die konkrete Implementierung der Richtlinie im Unternehmen. Dazu gehören Risikoanalysen, technische und organisatorische Sicherheitsmaßnahmen, Schulungen für Mitarbeiter sowie die Dokumentation und das Reporting von Sicherheitsvorfällen.

NIS-2 Umsetzungsgesetz

Das NIS-2 Umsetzungsgesetz (NIS2UmsuG) setzt die EU-Richtlinie in deutsches Recht um. Es legt nationale Pflichten, Fristen und Sanktionen fest. Unternehmen müssen die Vorschriften rechtzeitig in ihre Prozesse einbinden.

BSIG

Das Bundesamt für Sicherheit in der Informationstechnik-Gesetz (BSIG) regelt nationale IT-Sicherheitsanforderungen. NIS-2 ergänzt und erweitert diese Vorgaben für Unternehmen in Deutschland.

Cyber-Resilienz

Cyber-Resilienz bezeichnet die Fähigkeit eines Unternehmens, Cyberangriffe zu antizipieren, zu erkennen, darauf zu reagieren und Schäden zu minimieren. Die NIS-2-Richtlinie zielt darauf ab, Unternehmen widerstandsfähiger gegenüber Cybervorfällen zu machen.

Unterschied NIS-2 und DORA

DORA (Digital Operations Resilience Act) ist ebenfalls eine EU-Verordnung, die sich mit Cybersicherheit befasst. Der Fokus dieser Verordnung liegt ausschließlich auf dem Finanzsektor. Die Überführung in nationales Recht erfolgt in Deutschland durch das Finanzmarktdigitalisierungsgesetz (FinmadiG).

Weitere Begriffe

IT-Sicherheitsbeauftragter: Verantwortlich für Umsetzung und Monitoring von IT-Sicherheitsmaßnahmen.

Sektorale Anforderungen: Spezifische Vorgaben für kritische Branchen (Energie, Wasser, Transport, Gesundheit).

Sicherheitsvorfall: Ereignis, das die Vertraulichkeit, Integrität oder Verfügbarkeit von IT-Systemen gefährdet.

Dokumentation: Lückenlose Aufzeichnung von Maßnahmen, Vorfällen und Compliance-Nachweisen.