NIS2 in der Praxis: Was Betreiber kritischer Infrastruktur jetzt umsetzen müssen
Die EU-Frist zur Umsetzung der NIS2-Richtlinie endete im Oktober 2024. In deutsches Recht überführt wurde sie später: das neue BSI-Gesetz wurde am 2. Dezember 2025 ausgefertigt. Für Tausende Unternehmen bedeutet das konkrete Meldepflichten, technische Mindestanforderungen und empfindliche Bußgelder bei Nichterfüllung. Wir fassen zusammen, was wirklich zählt.
Wer ist betroffen?
NIS2 erweitert den Geltungsbereich erheblich gegenüber der Vorgängerrichtlinie. Betroffen sind Unternehmen aus 18 Sektoren – darunter:
- Energie (Strom, Gas, Öl, Wasserstoff)
- Verkehr (Luft, Schiene, Straße, See)
- Gesundheitswesen (Krankenhäuser, Labore, Pharma)
- Digitale Infrastruktur (Cloud, Rechenzentren, CDN)
- Produktion (Chemie, Lebensmittel, Maschinen)
Ab 50 Mitarbeitern oder 10 Mio. EUR Jahresumsatz gelten die Regeln als „wichtige Einrichtung„, ab 250 Mitarbeitern oder 50 Mio. EUR als „wesentliche Einrichtung“ mit verschärften Anforderungen.
Die 10 Mindestmaßnahmen nach Art. 21 NIS2
- Risikoanalyse und Sicherheitskonzepte
- Incident Handling und Meldeverfahren
- Business Continuity und Krisenmanagement
- Supply-Chain-Sicherheit
- Kryptographie und Verschlüsselung ← besonders relevant
- Zugangskontrolle und Multi-Faktor-Authentifizierung
- Patch-Management und Schwachstellenbehandlung
- Netzwerksicherheit und Segmentierung
- Sicherheitsbewusstsein und Schulungen
- Sichere Entwicklungspraktiken
Wo die meisten Unternehmen Nachholbedarf haben
Unsere Audits zeigen: Besonders Punkt 5 (Kryptographie) und Punkt 7 (Patch-Management in Legacy-Systemen) sind oft unzureichend. Wer noch RSA-2048 oder SHA-1 in produktiven Systemen einsetzt, hat dringenden Handlungsbedarf.
Schnellcheck
Antworten Sie auf drei Fragen:
- Nutzen Sie noch Verschlüsselungsalgorithmen, die vor 2015 standardisiert wurden?
- Gibt es Systeme in Ihrer Infrastruktur, die seit über 3 Jahren kein Security-Update erhalten haben?
- Können Sie im Ernstfall einen Sicherheitsvorfall innerhalb von 24 Stunden melden?
Wer auch nur eine Frage mit „Ja„ beantwortet, sollte jetzt handeln.
Beratung & Audit: Nachweise statt Absichtserklärungen | NIS2-Readiness prüfen | Vollständiger Sicherheitscheck | Beratungsgespräch
Rechtsstand: 24.08.2026 · zuletzt fachlich geprüft am 24.08.2026
Quellen: BSIG 2025 (Gesetze im Internet) · Richtlinie (EU) 2022/2555 · BSI
Regulatorische Aussagen altern. Wer diesen Beitrag nach dem oben genannten Datum liest, prüft die Rechtslage bitte an der Primärquelle nach.