Kurzdefinition: Die NIS-2-Richtlinie (Richtlinie (EU) 2022/2555) ist der europäische Rahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union. Als Richtlinie gilt sie nicht unmittelbar, sondern wird in nationales Recht umgesetzt — in Deutschland durch das BSIG, das die konkreten Pflichten enthält. [N-BSIG-30]
Der Normwortlaut
Da die NIS-2-Richtlinie als Richtlinie der Umsetzung bedarf, ist für Unternehmen in Deutschland der Wortlaut des BSIG maßgeblich. § 30 Abs. 1 BSIG verlangt „geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen“ — die deutsche Umsetzung der Risikomanagementpflicht aus der Richtlinie. [N-BSIG-30]
Was ist die NIS-2-Richtlinie?
Der EU-Rahmen für Cybersicherheit. Sie weitet den Kreis der erfassten Einrichtungen aus, verschärft Risikomanagement- und Meldepflichten und nimmt die Leitungsebene in die Verantwortung. [N-BSIG-30]
Gilt die Richtlinie direkt?
Nein. Als Richtlinie bindet sie die Mitgliedstaaten zur Umsetzung; unmittelbar anwendbar für Unternehmen ist das nationale Umsetzungsrecht, in Deutschland das BSIG. [N-BSIG-30]
Was ändert NIS-2 gegenüber NIS-1?
Mehr Sektoren, strengere Pflichten. Der Anwendungsbereich wächst, die Governance- und Meldepflichten werden verschärft und die Aufsicht wird gestärkt. [N-BSIG-30]
Wen betrifft NIS-2 in Deutschland?
Besonders wichtige und wichtige Einrichtungen nach dem BSIG. Die konkrete Einordnung folgt aus § 28 BSIG und den Anlagen. [N-BSIG-30]
Warum ist der Umsetzungsstand wichtig?
Weil Fristen und Details im nationalen Gesetz stehen. Für die Praxis ist das BSIG maßgeblich; die Richtlinie liefert den Rahmen und die Auslegungshilfe. [N-BSIG-30]
Häufige Fehlannahmen
- „Die NIS-2-Richtlinie gilt direkt für Unternehmen.“ Nein. Maßgeblich ist das BSIG als Umsetzung. [N-BSIG-30]
- „NIS-2 betrifft nur kritische Infrastrukturen.“ Nein. Der Kreis ist deutlich weiter. [N-BSIG-30]
- „NIS-1 und NIS-2 sind gleich.“ Nein. NIS-2 verschärft und erweitert erheblich. [N-BSIG-30]
- „Die Geschäftsleitung ist nicht betroffen.“ Doch. NIS-2 nimmt die Leitungsebene ausdrücklich in die Pflicht. [N-BSIG-30]
- „Ohne Umsetzung gibt es keine Pflichten.“ In Deutschland gilt das BSIG bereits. [N-BSIG-30]
Was die Geschäftsleitung tun sollte
- Rahmen kennen. NIS-2 als europäischen Rahmen verstehen.
- BSIG anwenden. Die konkreten Pflichten aus dem BSIG umsetzen.
- Einordnen. Betroffenheit nach § 28 BSIG bestimmen.
- Governance sichern. Leitungspflichten ernst nehmen.
Für die Geschäftsleitung
Die NIS-2-Richtlinie setzt den europäischen Rahmen — die konkreten Pflichten stehen für deutsche Unternehmen im BSIG. Wer NIS-2 verstehen will, prüft seine Betroffenheit und Pflichten am BSIG.
Quellen
- [N-BSIG-30] § 30 BSIG (Risikomanagementmaßnahmen) als deutsche Umsetzung der NIS-2-Richtlinie (RL (EU) 2022/2555). Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__30.html
