Was ist NIS2, in normalen Worten

Der volle Name lautet Richtlinie (EU) 2022/2555. Beschlossen am 14. Dezember 2022, veröffentlicht im Amtsblatt am 27. Dezember 2022.

„NIS" steht für Netz- und Informationssicherheit. Die „2" steht für die zweite Fassung. NIS2 löst die Vorgängerrichtlinie (EU) 2016/1148 ab.

Eine Richtlinie gilt nicht direkt für Ihren Betrieb. Sie verpflichtet die Mitgliedstaaten, eigene Gesetze zu machen. Nach Art. 41 Abs. 1 der Richtlinie hätte das bis zum 17. Oktober 2024 passieren müssen, angewendet ab dem 18. Oktober 2024.

Deutschland war später dran. Das NIS2-Umsetzungsgesetz wurde am 5. Dezember 2025 verkündet und ist seit dem 6. Dezember 2025 in Kraft (Art. 30 NIS2UmsuCG). Das sind rund vierzehn Monate nach der EU-Frist.

Das Umsetzungsgesetz hat das BSI-Gesetz neu gefasst. Wenn Sie also wissen wollen, was für Sie gilt, lesen Sie nicht die Richtlinie. Sie lesen das BSIG. Das ist der Text, an dem das BSI misst.

Vier Paragrafen tragen die ganze Sache:

• Wer betroffen ist: § 28 BSIG, dazu die Anlagen 1 und 2.
• Was zu tun ist: § 30 BSIG, zehn Maßnahmen.
• Was zu melden ist und wann: § 32 BSIG, 24 Stunden, 72 Stunden, ein Monat.
• Wer die Verantwortung trägt: § 38 BSIG, die Geschäftsleitung.

Dazu kommen die Registrierung (§ 33 BSIG), die Aufsicht (§§ 59 bis 62 BSIG) und die Bußgelder (§ 65 BSIG). Das war es im Groben.

Wenn Sie beides lesen, die Richtlinie und das deutsche Gesetz, stolpern Sie über zwei Wörter.

Die Richtlinie kennt wesentliche und wichtige Einrichtungen. Das BSIG kennt besonders wichtige und wichtige Einrichtungen.

Das BSI stellt das selbst klar: „essential entities → besonders wichtige Einrichtungen (in der deutschen Version der NIS-2-Richtlinie wird hierfür die Bezeichnung ‚wesentliche Einrichtungen' verwandt)".

Also: wesentlich in der Richtlinie heißt besonders wichtig im deutschen Gesetz. Dieselbe Sache, zwei Namen. Wenn in einem Kundenfragebogen von „wesentlichen Einrichtungen" die Rede ist, zitiert Ihr Kunde aus der Richtlinie.

Betroffen ist nur, wer zweierlei erfüllt: Seine Tätigkeit muss einer Einrichtungsart aus Anlage 1 oder 2 BSIG zuzuordnen sein, und er muss eine Größenschwelle erreichen.

Die untere Schwelle liegt bei 50 Beschäftigten, oder bei einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Millionen Euro (§ 28 Abs. 2 Nr. 3 BSIG). Beide Geldwerte müssen darüber liegen, einer allein reicht nicht.

Nach Angaben des BSI sind bundesweit rund 29.500 Unternehmen und Einrichtungen betroffen. Ein Betrieb mit weniger als fünfzig Leuten ist es in aller Regel nicht.

NIS2 ist kein Standard, den man erfüllt. Es ist ein Gesetz, das für bestimmte Betriebe gilt und für andere nicht.

Daraus folgt eine praktische Sache: Es gibt kein NIS2-Zertifikat. Das BSI sagt das wörtlich: „Ein allgemeines Zertifikat zum Nachweis der Anforderungen gibt es nicht."

Und zu ISO 27001, nach der oft gefragt wird:

„Eine Unternehmenszertifizierung alleine ist nicht ausreichend, um sämtliche Anforderungen des BSIG zu erfüllen, kann aber ein Baustein für die Umsetzung der Risikomanagementmaßnahmen nach § 30 BSIG sein."

Wenn Ihnen also jemand „NIS2-Konformität" verkaufen will, fragen Sie nach, was genau er damit meint. Als Produkt gibt es sie nicht.

Noch eine Zahl für dieselbe Schublade: Für die Beratung zu NIS2 braucht ein Anbieter keine Zulassung. Das BSI schreibt dazu, für die Beratung von Unternehmen bestehe nach der Richtlinie keine verpflichtende Vorgabe für eine Zertifizierung. Anders ist das nur bei den Prüfungen nach § 39 BSIG, und die betreffen Betreiber kritischer Anlagen.

Erstens: Sehen Sie einmal nach, ob Ihre Tätigkeit in Anlage 1 oder 2 des BSIG vorkommt. Beide Anlagen sind kurz und stehen frei im Netz. Achten Sie dabei auf die Einrichtungsart, nicht auf den Sektornamen.

Zweitens: Klicken Sie die Betroffenheitsprüfung des BSI durch, unter betroffenheitspruefung-nis-2.bsi.de. Kostenlos, anonym, ein paar Minuten.

Drittens: Merken Sie sich die Begriffsverwirrung. Wesentlich heißt in Deutschland besonders wichtig.

Viertens: Reagieren Sie nicht auf Werbung, die aus NIS2 eine Pflicht für jeden macht. Die Pflicht hängt an § 28 BSIG, nicht an der Dringlichkeit einer Mail.

Dann haben Sie aus NIS2 keine Pflichten. Null. Das sagt auch das BSI auf der Ergebnisseite seiner eigenen Prüfung: „Daher ergeben sich hieraus keine Pflichten für Ihre Einrichtung."

Im selben Atemzug empfiehlt das BSI, sich trotzdem um die eigene Sicherheit zu kümmern, und nennt dafür den CyberRisikoCheck nach DIN SPEC 27076. Das ist eine Empfehlung, keine Vorschrift, und der Unterschied ist uns wichtig.

Was Sie stattdessen wahrscheinlich erwischt, ist der Fragebogen Ihres größten Kunden. Der kommt nicht aus dem Gesetz, der kommt aus seinem Vertrag mit Ihnen. Ähnlich prüft eine Cyberversicherung, ob Ihre IT hält, was die Police voraussetzt.