Die gefährlichsten NIS2-Irrtümer (und was die Richtlinie tatsächlich verlangt)

Die häufigsten NIS-2-Fehler entstehen aus falschen Annahmen: dass NIS2 nur Großunternehmen und kritische Infrastruktur betrifft, dass ein ISO-27001-Zertifikat schon NIS2-Compliance bedeutet, dass NIS2 Sache der IT-Abteilung ist, dass nach Ablauf der Umsetzungsfrist keine Dringlichkeit mehr besteht und dass NIS2 ein einmaliges Projekt ist. Jede dieser Annahmen hinterlässt Lücken, für deren Überwachung nach § 38 BSIG die Geschäftsleitung verantwortlich ist.

NIS2-Missverständnisse sind nicht nur ein Wissensproblem. Sie sind ein Risikoproblem. Wenn ein Unternehmen auf Basis falscher Annahmen handelt, sei es darüber, was NIS2 verlangt, für wen sie gilt oder wann die Durchsetzung beginnt, sind die Konsequenzen konkret: erhebliche Bußgelder, Verantwortung der Geschäftsleitung und ein Sicherheitsniveau, das schwächer ist, als das Management ahnt.

NIS2, die aktualisierte Netz- und Informationssicherheitsrichtlinie der EU, hatte eine Umsetzungsfrist bis Oktober 2024. Dennoch operieren viele europäische Unternehmen, insbesondere KMU und Mittelständler, auf Basis von Annahmen über die Richtlinie, die von veraltet bis schlicht falsch reichen. Dieser Artikel korrigiert die sieben häufigsten Irrtümer mit den Fakten und dem Kontext, den Sie benötigen, um zu verstehen, was Compliance tatsächlich bedeutet.

NIS2 gilt nur für Großunternehmen und kritische Infrastruktur

Dies ist der weitverbreitetste NIS2-Mythos, und er hat tausende Unternehmen unvorbereitet zurückgelassen.

Die ursprüngliche NIS-Richtlinie konzentrierte sich in erster Linie auf Betreiber wesentlicher Dienste in klassischen kritischen Sektoren: Energie, Wasser, Verkehr, Banken und Gesundheitswesen. In der Praxis handelte es sich um eine Regulierung für große, strategisch bedeutsame Einrichtungen. NIS2 ist eine grundlegende Erweiterung dieses Anwendungsbereichs.

Wie weit diese Erweiterung reicht, zeigt die deutsche Größenordnung: Das BSI rechnet mit rund 29.500 Einrichtungen, die in Deutschland unter seine Aufsicht fallen. Die Richtlinie erfasst 18 Sektoren, aufgeteilt in Anhang I (wesentliche Einrichtungen) und Anhang II (wichtige Einrichtungen). Zu den wesentlichen Sektoren zählen Energie, Verkehr, Banken, Gesundheit, Wasser, digitale Infrastruktur, öffentliche Verwaltung und Raumfahrt. Wichtige Sektoren umfassen Post- und Kurierdienste, Abfallwirtschaft, Chemikalien, Lebensmittelproduktion, Herstellung kritischer Produkte wie Medizinprodukte und Elektronik, digitale Anbieter sowie Forschungseinrichtungen. Diese Liste beschreibt einen sehr großen Teil der europäischen Unternehmenslandschaft.

Das deutsche BSIG bündelt die Sektoren anders als die Richtlinie: Anlage 1 und Anlage 2 enthalten jeweils sieben Sektoren, und die öffentliche Verwaltung steht nicht in den Anlagen, sondern in § 29 BSIG. Wer seine Betroffenheit prüft, sollte deshalb immer die Anlagen des BSIG heranziehen und nicht die Anhänge der Richtlinie.

Der Größenschwellenwert ist ebenfalls klar definiert und niedriger als viele annehmen. Wie im offiziellen Richtlinientext festgelegt, gilt NIS2 für Einrichtungen mit mindestens 50 Beschäftigten oder einem Jahresumsatz von mehr als 10 Millionen Euro, die in einem der erfassten Sektoren tätig sind. Diese Beschreibung trifft auf einen erheblichen Teil europäischer KMU zu, die ihre Compliance-Reise noch nicht begonnen haben. Falls Sie unsicher sind, ob Ihr Unternehmen betroffen ist, führt der Kertos NIS2-Checker Sie in wenigen Minuten durch die Prüfung.

ISO-27001-Zertifizierung bedeutet NIS2-Compliance

Eine ISO-27001-Zertifizierung ist zweifellos wertvoll. Sie belegt, dass ein Unternehmen ein strukturiertes Informationssicherheits-Managementsystem aufgebaut und einer unabhängigen Prüfung unterzogen hat. Wenn Ihr Unternehmen diese Zertifizierung besitzt, haben Sie bereits eine solide Grundlage für NIS2. Sich allein auf Basis von ISO 27001 als NIS2-konform zu bezeichnen, ist jedoch einer der folgenreichsten NIS2-Compliance-Fehler, den ein Unternehmen begehen kann.

Beide Rahmenwerke überschneiden sich sinnvoll, adressieren jedoch unterschiedliche Pflichten. Die Betrachtung von NIS2 durch die Linse von ISO 27001 offenbart drei wesentliche Lücken.

Erstens die Meldefristen bei Sicherheitsvorfällen. NIS2 verpflichtet wesentliche Einrichtungen, innerhalb von 24 Stunden nach Bekanntwerden eines erheblichen Vorfalls eine Frühwarnung an die zuständige nationale Behörde zu übermitteln, gefolgt von einer vollständigeren Meldung innerhalb von 72 Stunden und einem abschließenden Bericht innerhalb eines Monats. ISO 27001 kennt keine vergleichbaren verbindlichen regulatorischen Fristen. Der Standard verlangt ein gutes Incident-Management, setzt jedoch keine gesetzliche Uhr in Gang, an deren Versäumnis Sanktionen geknüpft sind.

Zweitens die Lieferkettensicherheit. NIS2 verpflichtet Unternehmen, die Sicherheitsschwachstellen ihrer direkten Lieferanten und gegebenenfalls Unterauftragnehmer zu bewerten und aktiv zu steuern. Das geht weit über eine standardisierte Lieferantenbefragung hinaus und erfordert ein formales, dokumentiertes Programm zur Lieferkettensicherheit. ISO 27001 adressiert Drittanbieterrisiken, aber NIS2 legt eine andere Strenge und Tiefe an.

Drittens, und vielleicht am konkretesten, die Verantwortung der Geschäftsleitung. NIS2 legt leitenden Führungskräften und Leitungsorganen ausdrücklich persönliche Verantwortung für die Aufsicht über die Cybersicherheit auf. ISO 27001 fordert das Engagement des Managements, knüpft daran aber keine rechtlichen Folgen für die handelnden Personen. Das ist eine NIS2-spezifische Pflicht, die keine Zertifizierung für sich allein erfüllen kann.

‍

‍

NIS2 ist ein Problem der IT-Abteilung

Diese Annahme ist verständlich. Cybersicherheit war traditionell eine technische Angelegenheit, verwaltet von IT-Teams und in reiferen Unternehmen von einer dedizierten Sicherheitsfunktion. NIS2 ändert dieses Modell ausdrücklich und mit rechtlichem Gewicht.

Artikel 20 der NIS2-Richtlinie verpflichtet die Leitungsorgane wesentlicher und wichtiger Einrichtungen, Maßnahmen zum Cybersicherheitsrisikomanagement zu genehmigen, deren Umsetzung zu überwachen und Cybersicherheitsschulungen zu absolvieren. Das deutsche Recht setzt das in § 38 BSIG um, und zwar knapper: Die Geschäftsleitung muss die Maßnahmen nach § 30 BSIG umsetzen und ihre Umsetzung überwachen. Von einer Billigung oder Genehmigung ist im BSIG nicht die Rede.

Das ist kein theoretisches Risiko, aber es wirkt anders, als oft berichtet wird. Die NIS2-Pflichten, die unmittelbar auf Geschäftsführer entfallen, sind in § 38 Abs. 2 BSIG als Innenhaftung ausgestaltet: Wer die Pflichten aus Absatz 1 schuldhaft verletzt, haftet der eigenen Einrichtung für den entstandenen Schaden nach den gesellschaftsrechtlichen Regeln der jeweiligen Rechtsform, also über § 43 GmbHG beziehungsweise § 93 AktG. Ein persönliches Bußgeld gegen einzelne Geschäftsführer sieht das BSIG dafür nicht vor. Harmlos ist die Regelung deswegen nicht: ein Schaden aus einem Sicherheitsvorfall, der bei ordnungsgemäßer Umsetzung vermeidbar gewesen wäre, wird damit zu einem Anspruch der Gesellschaft gegen ihre eigenen Geschäftsführer, den auch ein Insolvenzverwalter oder ein neuer Gesellschafter geltend machen kann. Hinzu kommt nach § 38 Abs. 3 BSIG die persönliche Pflicht der Geschäftsleitung, regelmäßig an Schulungen teilzunehmen.

Die praktische Konsequenz ist, dass NIS2-Compliance eine funktionsübergreifende Verantwortung erfordert. Sicherheitsteams übernehmen die technische Umsetzung. Rechts- und Compliance-Teams interpretieren die Pflichten. Die Geschäftsleitung setzt die Maßnahmen durch, überwacht ihre Umsetzung und trägt die Verantwortung für das Ergebnis. Unternehmen, die NIS2 als Ticket im IT-Backlog behandeln, verteilen sowohl Verantwortung als auch Risiko falsch.

Die Frist ist abgelaufen, also gibt es keine Dringlichkeit mehr

Die Umsetzungsfrist im Oktober 2024 verstrich, und für viele Unternehmen passierte danach unmittelbar nichts Dramatisches. Keine Bußgelder. Keine Prüfer. Es liegt nahe, daraus zu schließen, dass die Dringlichkeit übertrieben war oder dass das Zeitfenster zum Handeln bereits geschlossen ist.

Beide Schlussfolgerungen sind falsch, und die zweite ist die gefährlichere.

Zur Umsetzungssituation: Die meisten Mitgliedstaaten verpassten die Frist vom Oktober 2024, woraufhin die Europäische Kommission Vertragsverletzungsverfahren einleitete. Am 8. Juli 2026 hat sie Irland, Spanien, Frankreich und die Niederlande wegen der weiterhin ausstehenden Umsetzung vor dem Gerichtshof der Europäischen Union verklagt. In den meisten übrigen Mitgliedstaaten gelten die Pflichten bereits.

Deutschland gehört dazu. Das NIS2-Umsetzungsgesetz wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet und fasst das BSI-Gesetz neu; die Pflichten gelten seit dem 6. Dezember 2025, eine materielle Übergangsfrist enthält das Gesetz nicht. Für die zu diesem Zeitpunkt betroffenen Einrichtungen lief die Registrierungsfrist nach § 33 BSIG am 6. März 2026 ab. Das BSI hat Registrierungen danach im Rahmen einer Vollzugskulanz bis zum 31. Juli 2026 ohne weitere Folgen akzeptiert. Beide Termine sind verstrichen. Die Registrierungspflicht besteht unverändert fort, und wer sich heute registriert, holt eine bereits versäumte Pflicht nach.

Das BSI hat bereits Dutzende formeller Bescheide ausgestellt an Einrichtungen, die es versäumt haben, sich zu registrieren oder einen Ansprechpartner zu benennen. Dabei standen Unternehmen aus dem Energiesektor und der digitalen Infrastruktur im Fokus. Substanzielle Bußgelder wurden noch nicht verhängt, aber der Eskalationspfad ist klar definiert, und die Behörden haben signalisiert, dass sie ihn beschreiten werden.

Das Zeitfenster zum Handeln ist nicht geschlossen. Wer jedoch auf einen zwingenden Grund gewartet hat, hat jetzt einen: eine bereits abgelaufene Registrierungsfrist, eine aktive nationale Aufsichtsbehörde und die persönliche Pflichtenstellung der Geschäftsleitung. Weiteres Abwarten verringert die Compliance-Lücke nicht. Es erhöht die Exposition aller, die dafür verantwortlich sind.

NIS2-Compliance ist ein einmaliges Projekt, und Lieferkettensicherheit ist Sache anderer

Diese beiden Annahmen treten häufig gemeinsam auf, und zusammen stellen sie ein grundlegendes Missverständnis dessen dar, was NIS2 tatsächlich fordert.

NIS2 ist keine Zertifizierung, die man einmalig erreicht und dann ablegt. Es handelt sich um eine dauerhafte Verpflichtung. Die Richtlinie verlangt, dass Maßnahmen zum Risikomanagement laufend aufrechterhalten, überprüft und aktualisiert werden. Meldepflichten bei Vorfällen sind jederzeit aktiv. Bewertungen zur Lieferkettensicherheit müssen den aktuellen Stand Ihrer Lieferantenbeziehungen widerspiegeln, nicht eine einmalige Momentaufnahme aus einem längst abgeschlossenen Projekt. Registrierungen beim BSI müssen nach § 33 Abs. 5 BSIG bei Änderungen unverzüglich, spätestens binnen zwei Wochen, aktualisiert werden.

Der kontinuierliche Charakter der NIS2-Compliance ist ein wesentlicher Grund dafür, dass Compliance-Automatisierung für vorausschauende Sicherheitsteams immer zentraler wird. Nachweise manuell zu pflegen, den Status von Controls zu verfolgen und Lieferantenbewertungen in einem lebendigen, sich verändernden Unternehmen zu managen, ist eine enorme operative Belastung, besonders für Teams, die ohnehin schon ausgelastet sind. Plattformen wie Kertos automatisieren die Nachweiserhebung, überwachen den Control-Status über integrierte Systeme kontinuierlich und machen Lücken in Echtzeit sichtbar. Compliance wird so von einem periodischen Sprint zu einer dauerhaften Funktion, die keine unverhältnismäßig große Teamkapazität bindet.

Zur Lieferkette: Artikel 21 von NIS2 verpflichtet Einrichtungen ausdrücklich, "die Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Dienstleistern" zu adressieren. Das Wort "unmittelbar" begrenzt die Pflicht auf Ihre erste Lieferantenebene, und genau das übersehen viele Projekte, die monatelang Sub-Sub-Dienstleister erfassen. Zugleich reicht ein Lieferantenverzeichnis nicht aus, denn verlangt sind sicherheitsbezogene Aspekte der Beziehung, also eine Bewertung des jeweiligen Anbieters und vertragliche Regelungen, die zu dieser Bewertung passen. Diese Verantwortung lässt sich nicht vertraglich auslagern. Wenn ein Sicherheitsvorfall bei einem Lieferanten auf Ihre Umgebung übergreift und keine angemessene Sorgfaltsprüfung durchgeführt wurde, mindert ein Vertragspassus Ihre regulatorische Exposition nicht.

Häufig gestellte Fragen zu NIS2-Missverständnissen

Gilt NIS2 für unser Unternehmen, wenn wir weniger als 50 Mitarbeitende haben?
In der Regel nein. NIS2 gilt für Einrichtungen, die nach der EU-Empfehlung 2003/361/EG als mittlere oder große Unternehmen eingestuft werden, also mindestens 50 Beschäftigte oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils mehr als 10 Millionen Euro aufweisen, und die einer der in den Anlagen 1 und 2 des BSIG genannten Einrichtungsarten entsprechen. Einige Einrichtungsarten sind allerdings größenunabhängig erfasst, darunter Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, DNS-Diensteanbieter und Top-Level-Domain-Name-Registries. Kleinere Unternehmen können zudem indirekt betroffen sein: NIS2-pflichtige Einrichtungen müssen die Sicherheit ihrer Lieferkette bewerten, was Erwartungen auch an kleinere Lieferanten erzeugt. Den Kertos NIS2-Checker können Sie nutzen, um Ihren Status schnell zu prüfen.

Erfüllt eine ISO-27001-Zertifizierung die NIS2-Anforderungen?
Teilweise. ISO 27001 schafft eine starke Grundlage für NIS2, insbesondere in den Bereichen Risikomanagement und Sicherheitskontrollen. NIS2 ergänzt dies jedoch um verpflichtende Meldefristen bei Vorfällen nach § 32 BSIG, die Registrierung nach § 33 BSIG und die Pflichten der Geschäftsleitung nach § 38 BSIG, die ISO 27001 nicht adressiert. ISO-27001-zertifizierte Unternehmen sollten eine Gap-Analyse durchführen, um festzustellen, welche zusätzlichen Maßnahmen NIS2 erfordert.

Welche Bußgelder drohen bei NIS2-Nicht-Compliance?
Artikel 34 der Richtlinie nennt für wesentliche Einrichtungen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist, und für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent. In Deutschland ist die Mechanik eine andere. § 65 Abs. 5 BSIG setzt als Regelrahmen absolute Beträge an: bis zu 10 Millionen Euro bei besonders wichtigen und bis zu 7 Millionen Euro bei wichtigen Einrichtungen. Die prozentualen Obergrenzen aus § 65 Abs. 6 und 7 BSIG greifen erst bei einem Gesamtumsatz über 500 Millionen Euro und nur für bestimmte Verstoßgruppen. Ein Verstoß gegen die Registrierungspflicht ist gesondert geregelt und auf 500.000 Euro begrenzt. Ein persönliches Bußgeld gegen einzelne Geschäftsführer sieht das BSIG nicht vor.

Was verlangt NIS2 bei der Meldung von Sicherheitsvorfällen?
Nach § 32 BSIG eine frühe Erstmeldung unverzüglich, spätestens 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine Meldung mit erster Bewertung binnen 72 Stunden und eine Abschlussmeldung binnen eines Monats nach der 72-Stunden-Meldung. Dauert der Vorfall nach einem Monat noch an, tritt zunächst eine Fortschrittsmeldung an die Stelle der Abschlussmeldung. Das BSI kann zusätzlich Zwischenmeldungen anfordern. Es handelt sich um verbindliche regulatorische Pflichten mit Durchsetzungskonsequenzen, keine internen Zielvorgaben.

Haftet die Geschäftsführung bei NIS2 persönlich?
Ja, aber nicht in Form eines persönlichen Bußgelds. Nach § 38 Abs. 2 BSIG haften Geschäftsleitungen, die die Umsetzung und Überwachung der Maßnahmen nach § 30 BSIG schuldhaft versäumen, ihrer eigenen Einrichtung für den entstandenen Schaden nach den Regeln des Gesellschaftsrechts, also über § 43 GmbHG beziehungsweise § 93 AktG. Zusätzlich müssen Geschäftsleitungen nach § 38 Abs. 3 BSIG regelmäßig an Schulungen zur Informationssicherheit teilnehmen.

Wie unterstützt Kertos die NIS2-Compliance?
Kertos ist eine europäische Compliance-Plattform, die Unternehmen dabei hilft, kontinuierliche NIS2-Compliance zu erreichen und aufrechtzuerhalten. Die Plattform automatisiert die Nachweiserhebung, ordnet Ihre Sicherheitskontrollen den zehn Maßnahmen aus § 30 BSIG zu, verfolgt den Status Ihres Compliance-Programms in Echtzeit und unterstützt das Management der Lieferkettensicherheit. Für Unternehmen, die parallel ISO 27001 oder andere Frameworks anstreben, verwaltet Kertos mehrere Frameworks gleichzeitig und reduziert so Doppelarbeit und operativen Aufwand. Buchen Sie eine Demo, um die Plattform in der Praxis zu erleben.

NIS2-Missverständnisse sind keine kleine Unannehmlichkeit. Sie sind der Grund, warum Unternehmen unvorbereitet in Durchsetzungsgespräche geraten, mit Lücken, die Monate früher hätten geschlossen werden können. Die Richtlinie ist weitreichend, die Pflichten sind rechtlich verbindlich, und die Konsequenzen für die Geschäftsleitung sind so konkret, dass sie sich nicht stillschweigend delegieren lassen. NIS2 ist aber auch erreichbar. Unternehmen, die sie klar und ohne den Filter von Wunschdenken angehen, stellen regelmäßig fest, dass der Weg zur Compliance weit handhabbarer ist, als die Mythen vermuten ließen. Die Fakten klar zu kennen, ist der einzige sinnvolle Ausgangspunkt.

Neu bei NIS2? Den vollständigen Überblick gibt unser Leitfaden zur NIS2-Richtlinie.

‍