NIS2 schafft auf europäischer Ebene einen einheitlichen Cybersicherheitsrahmen. Das stellt KRITIS-Betreiber vor konkrete Herausforderungen: Was passiert, wenn das Monitoring anschlägt? Wann läuft die Meldefrist – und wer trägt die Verantwortung?

Management Summary

NIS2 verändert Cybersicherheit von einer technischen Disziplin zu einer Management- und Governance-Aufgabe. Vorstand und Geschäftsführung tragen unmittelbare Verantwortung für Resilienz, Meldeprozesse und Risikomanagement.[eur-lex.europa.eu]
Der eigentliche Praxistest beginnt nicht im Audit, sondern in der ersten Stunde eines Sicherheitsvorfalls. Organisationen müssen technische Analyse, Krisenkommunikation, rechtliche Bewertung und Dokumentation parallel durchführen.
Die entscheidende Herausforderung liegt in der Frage der »Kenntnisnahme«. Bereits ein begründeter Verdacht kann Handlungs- und Dokumentationspflichten auslösen. Die Uhr beginnt nicht mit dem Angriff, sondern mit dessen Erkennen. [nis-2-directive.com]
Digitale Souveränität wird zum strategischen Beschaffungskriterium. Datenlokation, europäischer Rechtsraum, Lieferkettentransparenz und Sicherheitszertifizierungen gewinnen im Rahmen von NIS2 deutlich an Bedeutung.
Unternehmen benötigen belastbare Incident-Response- und GRC-Prozesse. Wer heute strukturierte Meldewege, Notfallkommunikation und revisionssichere Dokumentation etabliert, reduziert regulatorische Risiken und erhöht seine Krisenfestigkeit. [bsi.bund.de]

Europa hat entschieden: Digitale Resilienz ist keine Frage des guten Willens mehr, sondern des Rechts. Mit der NIS2-Richtlinie (EU) 2022/2555 schafft die EU erstmals einen einheitlichen Cybersicherheitsrahmen für 18 Sektoren – von der Energieversorgung über das Gesundheitswesen bis zur digitalen Infrastruktur. Für Betreiber kritischer Infrastrukturen bedeutet das: Wer sich jetzt erst mit NIS2 beschäftigt, hat einen erheblichen Aufholbedarf.

Der Unterschied zur Vorgängerrichtlinie NIS1 ist fundamental: Damals galten fragmentierte nationale Umsetzungen mit unterschiedlichen Schutzniveaus und kaum durchsetzbaren Sanktionen. NIS2 soll dieses Flickwerk beenden. Die Richtlinie setzt EU-weit vergleichbare Anforderungen, eine einheitliche Aufsichtslogik und gemeinsame Bußgeldrahmen, die national konkretisiert werden. In Deutschland drohen Strafen in Höhen von bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen.

NIS2 als europäische Souveränitätsstrategie.

Diese Vereinheitlichung folgt einer politischen Logik: Europa will seine kritischen Systeme nach eigenen Regeln schützen. Die Sicherheit kritischer Infrastruktur soll künftig nicht mehr davon abhängen, wo Server stehen, welchem Rechtsraum Anbieter unterliegen und wessen Standards de facto gelten. Das -CyCLONe-Netzwerk (Cyber Crisis Liaison Organisation -Network) verankert diese Logik institutionell: Es verknüpft nationale Krisenmanagement-Strukturen auf EU-Ebene und schlägt die Brücke zwischen technischer Koordination und politischer Entscheidungsebene. Wer in einer Krise meldepflichtig ist, speist Informationen in ein gemeinsames europäisches Lagebild ein.

Für KRITIS-Betreiber und die öffentliche Hand verschärft sich damit eine strategische Grundfrage: Wem vertrauen sie ihre Resilienz an? Anbieter, Plattformen, Cloud-Infrastrukturen – das ist unter NIS2 keine rein technische Entscheidung mehr. Es ist eine Governance-Entscheidung. Datenlokation, Zertifizierungen nach ISO/IEC 27001 oder BSI IT-Grundschutz und die Anbindung an die europäische Rechtsordnung werden zu Pflichtkriterien, in der Beschaffung ebenso wie im Audit.

Praxisszenario: Das Monitoring schlägt an.

Wie sich dieser Rahmen im Ernstfall anfühlt, zeigt ein typisches Szenario aus dem Betrieb kritischer Infrastrukturen: Das Monitoring meldet Unregelmäßigkeiten, erste Systeme reagieren verzögert, aus dem Fachbereich kommt der Hinweis auf ungewöhnliche Zugriffe. Der CISO hat einen konkreten Verdacht, aber noch keine gesicherte Kenntnis. Läuft die Meldefrist bereits? Diese Frage ist der schärfste operative Prüfstein von NIS2 – und in vielen Organisationen noch ungelöst.

Verdacht oder Kenntnis: Die juristische Sollbruchstelle.

NIS2 verpflichtet betroffene Organisationen zu einem dreistufigen Meldeverfahren: Frühwarnung binnen 24 Stunden nach Kenntnisnahme, Vorfallmeldung mit Schweregradeinschätzung binnen 72 Stunden, Abschlussbericht innerhalb eines Monats. Alle Fristen laufen ab Kenntnisnahme, nicht ab dem Zeitpunkt des Vorfalls.

Die Richtlinie definiert »Kenntnis« dabei nicht präzise. In der Praxis orientieren sich viele Organisationen an der Regel: Ein begründeter Verdacht mit hinreichend konkreten Anhaltspunkten sollte bereits eine sorgfältige Dokumentation auslösen. Das Haftungsrisiko wächst nicht mit der Kenntnis. Es wächst mit der unterlassenen Reaktion auf einen begründeten Verdacht.

Im Szenario: Vier Stränge, die gleichzeitig laufen müssen.

Auf dieser Grundlage müssen technische Analyse, rechtliche Einordnung, Krisenstabkommunikation und revisionssichere Dokumentation gleichzeitig starten statt nacheinander. Wer erst die Technik klärt und dann rechtlich bewertet, verliert Stunden. Laut BCI Emergency & Crisis Communications Report 2025 nutzen bereits 60,3 Prozent der Organisationen spezialisierte Krisenmanagement-Tools [1]. Knapp 40 Prozent arbeiten im Ernstfall noch ohne systematische Unterstützung. Damit bleibt ein erheblicher Anteil der Organisationen ohne systematische Unterstützung – mit entsprechenden Risiken für Compliance und operative Handlungsfähigkeit im Ernstfall.

NIS2 stellt zudem klar: Compliance ist Chefsache. Vorstände und Geschäftsführer haften persönlich für Verstöße, bis hin zu einem vorübergehenden Tätigkeitsverbot. Excel-Listen und Messenger-Dienste erfüllen die geforderte Revisionssicherheit nicht. Moderne GRC- und Incident-Management-Plattformen protokollieren jeden Schritt mit Zeitstempel, stellen vordefinierte Checklisten bereit und füllen Meldungen an das BSI automatisch vor.

Wem vertraue ich meine Resilienz an?

Das Szenario macht sichtbar, was der europäische Rahmen strategisch verlangt. Wer im Ernstfall handlungsfähig bleiben will, braucht Technologie, die auch dann funktioniert, wenn die eigene IT kompromittiert ist. SaaS-basierte Plattformen mit europäischer Datenhaltung liefern Out-of-Band-Kommunikation, die unabhängig von der eigenen Infrastruktur läuft.

Europäische Cloud-Infrastrukturen reduzieren Abhängigkeiten, schaffen Rechtssicherheit, stärken das Vertrauen in kritische Systeme und ermöglichen so digitale Souveränität. Das ist mehr als ein Marketingargument: Im Kontext von NIS2 werden Datenlokation, Rechtsraum und Lieferkettentransparenz zu zentralen Compliance-Aspekten.

Resilienz ist keine Einmalinvestition.

NIS2 ist kein Projekt, das man abschließt. Organisationen, die jetzt die Grundlagen legen – Business Impact Analyse, funktionierendes Risikomanagement, klare Eskalationspfade, auditfähige Dokumentation und informierte Leitungsebene – schaffen die Voraussetzung dafür, dass ihre Resilienz mit jeder Krise wächst: durch strukturierte Vorbereitung, souveränes Handeln im Ernstfall und konsequentes Lernen danach.

Europa hat die Regeln gesetzt. Die Frage ist nicht mehr ob, sondern wie konsequent Organisationen ihre Widerstandskraft jetzt ausbauen.

Michael Franke ist Head of GRC & Product Consulting bei der F24 AG und Experte in den Bereichen Governance, Risk & Compliance (GRC), Informationssicherheit, Business Continuity Management sowie Audit. Sein Fokus liegt darauf, regulatorische Anforderungen, Best Practices und technologische Innovationen miteinander zu verbinden, um Unternehmen bei einem nachhaltigen und zukunftssicheren GRC-Management zu unterstützen.

[1] https://f24.com/en/bci-pr-ecc-report-2025

Illustration: © Leowolfert | Dreamstime.com

Tipps für CIOs, CISOs und Geschäftsführer

Definieren Sie den Zeitpunkt der »Kenntnisnahme« verbindlich, damit Meldefristen im Ernstfall nicht diskutiert werden müssen.
Etablieren Sie einen NIS2-Krisenstab, der IT, Recht, Compliance, Kommunikation und Management vereint.
Führen Sie regelmäßige Incident-Response-Übungen durch, einschließlich Meldeprozessen an Behörden.
Dokumentieren Sie alle Entscheidungen revisionssicher und vermeiden Sie Insellösungen mit E-Mail, Messenger oder Excel.
Prüfen Sie Cloud- und Dienstleisterverträge hinsichtlich Datenstandort, Rechtsraum und Compliance-Nachweisen.
Erstellen Sie eine Business Impact Analysis (BIA) als Grundlage für Prioritäten im Notfall.
Definieren Sie Out-of-Band-Kommunikationswege, falls die eigene IT-Infrastruktur betroffen ist.
Berichten Sie regelmäßig an die Geschäftsführung, da NIS2 eine aktive Einbindung der Leitungsebene fordert.

FAQ: NIS2 in der Praxis

1. Was ist das Hauptziel von NIS2?

NIS2 soll ein einheitliches Cybersicherheitsniveau innerhalb der EU schaffen und die Widerstandsfähigkeit kritischer und wichtiger Einrichtungen erhöhen. [1]

2. Welche Unternehmen sind betroffen?

Die Richtlinie erfasst Einrichtungen aus 18 Sektoren, darunter Energie, Gesundheit, Verkehr, digitale Infrastruktur und öffentliche Verwaltung. [1]

3. Was ist der größte Unterschied zu NIS1?

NIS2 erweitert den Kreis der betroffenen Organisationen erheblich und verschärft Anforderungen, Aufsicht und Sanktionsmöglichkeiten. [1]

4. Wann muss ein Sicherheitsvorfall gemeldet werden?

Eine Frühwarnung muss innerhalb von 24 Stunden nach Kenntnis eines erheblichen Vorfalls erfolgen. Eine ausführlichere Meldung folgt innerhalb von 72 Stunden. [2][3]

5. Wann beginnt die Meldefrist?

Die Frist startet mit der Kenntnisnahme beziehungsweise dem begründeten Erkennen eines erheblichen Vorfalls, nicht mit dem eigentlichen Angriff. [2][3]

6. Wer haftet bei Verstößen gegen NIS2?

Geschäftsführung und Vorstände tragen Verantwortung für die Umsetzung der Anforderungen. [1]

7. Welche Rolle spielt digitale Souveränität?

Unternehmen müssen die Abhängigkeit von Anbietern, Rechtsräumen und Lieferketten stärker bewerten. Datenhaltung und Compliance werden strategische Faktoren. [NIS2 im Pr…manage it]

8. Welche Sicherheitsmaßnahmen fordert NIS2?

Gefordert werden unter anderem Risikomanagement, Incident Handling, Business Continuity Management, Lieferketten-Sicherheit und Zugriffskontrollen. [1]

9. Reicht ein jährliches Audit aus?

Nein. NIS2 verlangt einen kontinuierlichen Risikomanagement- und Verbesserungsprozess. Resilienz muss im laufenden Betrieb nachgewiesen werden. [NIS2 im Pr…manage it], [enisa.europa.eu]

10. Was sollten Unternehmen sofort tun?

Betroffenheit prüfen, Verantwortlichkeiten festlegen, Meldeprozesse dokumentieren, Krisenübungen durchführen und vorhandene Sicherheitsmaßnahmen gegen NIS2-Anforderungen abgleichen. [4]

Quellen

[1] EU NIS2-Richtlinie (EU) 2022/2555
EUR-Lex: Directive (EU) 2022/2555

[2] ENISA: Incident Reporting unter NIS2
ENISA Threats and Incidents

[3] BSI: NIS-2-Meldepflicht
BSI NIS-2-Meldepflicht

[4] Artikel: NIS2 im Praxistest: Europas digitale Souveränität wird am Ernstfall gemessen – nicht im Audit
manage it / ap Verlag

Management Summary, Tipps, FAQ wurden mit Hilfe von KI erstellt

956 Artikel zu »NIS2«