NIS-2: Was Unternehmen über die Richtlinie wissen müssen

Was ist die NIS-2 Richtlinie?

NIS steht für Network and Information Security. Die NIS-2-Richtlinie ist der europäische Rechtsrahmen für Cybersicherheit und legt verbindliche Mindestanforderungen an die IT-Sicherheit fest, insbesondere für Betreiber kritischer Infrastrukturen und digitale Dienstleister. Sie verpflichtet die Mitgliedstaaten, ein entsprechendes Aufsichts- und Meldeverfahren einzurichten.

Betroffene Organisationen müssen geeignete Sicherheitsmaßnahmen ergreifen und Sicherheitsvorfälle unverzüglich melden. Darüber hinaus sieht NIS-2 eine verschärfte Aufsicht und Durchsetzung vor: Die Mitgliedstaaten benennen zuständige Behörden, richten nationale Durchsetzungsmechanismen ein und führen regelmäßige Kontrollen durch, um die Einhaltung der Vorgaben zu gewährleisten.

Das NIS-2-Umsetzungsgesetz in Deutschland

Die NIS-2-Richtlinie selbst entfaltet keine unmittelbare Wirkung in den Mitgliedstaaten. Sie muss von jedem EU-Land in nationales Recht überführt werden. In Deutschland geschieht das über das NIS-2-Umsetzungsgesetz, das am 6. Dezember 2025 in Kraft getreten ist, ohne Übergangsfrist für die technischen und organisatorischen Maßnahmen. 

Seit dem 6. Januar 2026 können sich betroffene Unternehmen über das Registrierungsportal des BSI anmelden. Die gesetzliche Registrierungsfrist ist mittlerweile abgelaufen, die Registrierungspflicht besteht aber unabhängig davon fort. Wer sich noch nicht registriert oder seine Cybersecurity-Strategie noch nicht an die neuen Anforderungen angepasst hat, sollte dies zeitnah nachholen, da Aufsicht und Sanktionsmöglichkeiten bereits greifen. Welche konkreten Schritte zur Verabschiedung des Gesetzes geführt haben, lesen Sie in unserem Artikel zum NIS-2-Umsetzungsgesetz.

Welche Unternehmen und Sektoren sind von NIS-2 betroffen?

Die NIS-2-Richtlinie gilt für Unternehmen aus zwei Kategorien: wesentliche (essential) und wichtige (important) Einrichtungen. Wesentliche Organisationen sind solche, deren Ausfall erhebliche Auswirkungen auf das öffentliche Leben oder die Wirtschaft hätte, etwa in der Energie-, Wasser-, Transport-, Finanz- oder Gesundheitsversorgung. Wichtige Einrichtungen umfassen Unternehmen, die zwar keine kritischen Infrastrukturen betreiben, aber dennoch von zentraler Bedeutung sind, zum Beispiel Post- und Kurierdienste, digitale Anbieter oder Teile der Industrie und Lebensmittelversorgung.

Ob ein Unternehmen unter die NIS-2-Richtlinie fällt, hängt neben dem Sektor auch von der Unternehmensgröße ab. Mittlere und große Unternehmen aus den betroffenen Sektoren fallen in der Regel in den Anwendungsbereich, während sich für kleine Unternehmen und Kleinstunternehmen häufig Ausnahmen ergeben, sofern sie nicht aus anderen Gründen als besonders kritisch eingestuft werden. Da die genaue Einordnung im Einzelfall komplex sein kann, lohnt sich eine gezielte Prüfung der eigenen Betroffenheit, bevor weitere Umsetzungsschritte geplant werden.

Angreifer kompromittieren Systeme häufig über Phishing-E-Mails, manipulierte Dateianhänge oder unsichere Downloads. Ransomware ist dabei laut der Bitkom Wirtschaftsschutz-Studie 2025 die häufigste Bedrohung: 34 % der Unternehmen waren in den vergangenen zwölf Monaten davon betroffen, 15 % der betroffenen Unternehmen haben bereits Lösegeld gezahlt.

Das Tückische dabei ist, dass diese Gefahren in der Regel nicht durch böswillige Hacker entstehen, sondern schlichtweg, weil der Entwickler am anderen Ende seinen eigenen Code und dessen weitreichende Datenströme nicht im Detail verstanden hat. Ohne professionelles Mobile Security und automatisierte App-Prüfungen verlieren IT-Abteilungen die Kontrolle darüber, was auf den Endgeräten tatsächlich passiert. 

Die erste kritische Einschätzung zeigt daher klar: Das Problem ist nicht Vibe Coding an sich, sondern die völlig unzureichende Code-Prüfung bei der Veröffentlichung. Um sich in dieser neuen App-Ära abzusichern, brauchen Unternehmen zwingend verlässliche, tiefgehende Prozesse, um jede eingesetzte App vorab konsequent auf Sicherheitsrisiken und Datenschutzkonformität zu bewerten. 

Welche Pflichten ergeben sich aus NIS-2?

Für betroffene Unternehmen ergeben sich aus der NIS-2-Richtlinie und dem deutschen Umsetzungsgesetz mehrere zentrale Pflichten:

• Ein strukturiertes Risikomanagement mit technischen und organisatorischen Maßnahmen zur Absicherung von Netz- und Informationssystemen.
• Die Meldung erheblicher Sicherheitsvorfälle innerhalb von 24 Stunden an die zuständigen Behörden, mit weiteren, gestaffelten Folgemeldungen.
• Eine persönliche Verantwortung der Geschäftsleitung für die Umsetzung der Sicherheitsmaßnahmen, einschließlich regelmäßiger Schulungen zu Cybersicherheitsthemen.
• Die Absicherung der Lieferkette, da Unternehmen die Sicherheit ihrer Zulieferer und Dienstleister im eigenen Risikomanagement berücksichtigen müssen.

Wie Sie diese Pflichten in der Praxis strukturiert umsetzen, zeigt unser Whitepaper zur NIS-2-Umsetzung.

Was passiert bei Verstößen gegen NIS-2?

Bei Verstößen gegen die Vorgaben der NIS-2-Richtlinie drohen empfindliche Bußgelder. Wesentliche Einrichtungen riskieren bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Zusätzlich zu den finanziellen Sanktionen können Aufsichtsbehörden weitere Maßnahmen anordnen, etwa Prüfungen, Anweisungen zur Nachbesserung oder in schweren Fällen die vorübergehende Untersagung bestimmter Geschäftstätigkeiten für Verantwortliche. Die Geschäftsleitung haftet dabei persönlich für die Umsetzung der Sicherheitsmaßnahmen. Neben dem finanziellen Risiko sollten Unternehmen auch den mit einem Sicherheitsvorfall verbundenen Vertrauens- und Reputationsverlust bei der Priorisierung ihrer Umsetzung berücksichtigen.

Die Lücke bei mobilen Endgeräten

Die NIS-2-Richtlinie verpflichtet Unternehmen zu einem umfassenden Risikomanagement, konkretisiert dabei aber nicht im Detail, wie einzelne installierte Apps auf mobilen Endgeräten laufend geprüft werden sollen. In der Praxis bedeutet das:

• Mitarbeiter*innen installieren neue Apps auf Dienstgeräten, oft ohne IT-Freigabe.
• Viele Apps übertragen Daten an Dritte, ohne dass dies transparent ist.
• Sicherheitslücken in Apps werden häufig zu spät bekannt.

Unternehmen, die ihr Risikomanagement formal an NIS-2 ausgerichtet haben, können dennoch ein erhebliches Sicherheitsrisiko durch unkontrollierte App-Nutzung auf mobilen Endgeräten haben.

Warum eine NIS-2-Beratung für mobile Sicherheit sinnvoll ist

Die Einordnung der eigenen Betroffenheit, die Umsetzung der technischen Anforderungen und die Vorbereitung auf Meldepflichten stellen viele Unternehmen vor praktische Herausforderungen. Eine gezielte NIS-2-Beratung hilft dabei, den eigenen Handlungsbedarf einzuordnen, Schwachstellen bei mobilen Endgeräten zu identifizieren und geeignete Maßnahmen priorisiert umzusetzen.

Appvisory analysiert kontinuierlich und automatisiert alle mobilen Anwendungen auf Unternehmensgeräten und bewertet sie auf:

• Datenschutzkonformität (DSGVO): Appvisory prüft, ob Apps europäische Datenschutzstandards einhalten und Daten unerlaubt übertragen.
• Sicherheitslücken: Bekannte Schwachstellen und unsichere Berechtigungen werden identifiziert.
• Schädliche Verhaltensweisen: Appvisory erkennt, wenn Apps im Hintergrund auf sensible Unternehmensdaten zugreifen oder diese nach außen übertragen.

Damit schließt eine NIS-2-Beratung durch Appvisory die Lücke, die das Risikomanagement nach NIS-2 bei der laufenden Prüfung mobiler Anwendungen offenlässt.

Häufig gestellte Fragen zu NIS-2

Was bedeutet NIS-2 einfach erklärt?

NIS-2 ist eine EU-Richtlinie, die Mindestanforderungen an die Cybersicherheit für Unternehmen aus bestimmten Sektoren festlegt und diese zu Risikomanagement, Sicherheitsmaßnahmen und der Meldung von Sicherheitsvorfällen verpflichtet.

Was ist der Unterschied zwischen der NIS-2-Richtlinie und dem NIS-2-Umsetzungsgesetz?

Die NIS-2-Richtlinie ist EU-Recht und muss von jedem Mitgliedstaat in nationales Recht übertragen werden. Das NIS-2-Umsetzungsgesetz ist die deutsche Fassung dieser Übertragung und regelt die konkrete Anwendung in Deutschland.

Ab welcher Unternehmensgröße gilt NIS-2?

Maßgeblich sind in erster Linie der Sektor und die Einstufung als wesentliche oder wichtige Einrichtung. Innerhalb der betroffenen Sektoren orientiert sich die Anwendbarkeit meist an Mitarbeiterzahl und Umsatz beziehungsweise Bilanzsumme, wobei kleine Unternehmen und Kleinstunternehmen häufig ausgenommen sind.

NIS-2 umsetzen: Jetzt NIS-2-Beratung anfragen

Nehmen Sie Kontakt mit Appvisory auf und erfahren Sie, wie Sie Ihre NIS-2-Umsetzung um automatisiertes App Risk Management für mobile Endgeräte erweitern können.

Jetzt Erstgespräch vereinbaren!