Implikationen für Unternehmen und Institutionen
Ihr Experte für Fragen
André Glenzer
Partner, Cyber Security, Data & Tech Risk bei PwC Deutschland
Tel.: +49 160 94470376
E-Mail
Die NIS-2-Richtlinie („Network and Information Systems Directive“, Richtlinie (EU) 2022/2555) ist der aktualisierte europäische Rechtsrahmen für Cyber- und Informationssicherheit. Sie wurde am 27. Dezember 2022 im EU-Amtsblatt veröffentlicht und ist am 16. Januar 2023 in Kraft getreten. Ziel der Richtlinie ist es, das Cybersicherheitsniveau in den EU-Mitgliedstaaten zu harmonisieren, die Widerstandsfähigkeit von Unternehmen und Institutionen zu stärken und den Umgang mit Cyberrisiken verbindlicher zu regeln.
Welche konkreten Cybersicherheitsmaßnahmen fordert NIS-2: Die NIS-2-Richtlinie erweitert die Cyber-Sicherheitsanforderungen und die Sanktionen, um das Sicherheitsniveau in den Mitgliedstaaten zu harmonisieren und zu verbessern und enthält strengere Anforderungen für verschiedene Sektoren. Unternehmen und Organisationen müssen sich unter anderem mit den Themen Cyber-Risikomanagement, Kontrolle und Überwachung sowie Umgang mit Zwischenfällen und Geschäftskontinuität befassen. Darüber hinaus erweitert die Richtlinie die Zahl der Organisationen, die in den Anwendungsbereich fallen. Für die Geschäftsleitung der betroffenen Organisationen werden strengere Haftungsregeln gelten.
NIS-2 Umsetzungsgesetz: In Deutschland wurde das NIS-2 Umsetzungsgesetz („Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung” - BSIG) am 13.11.2025 im Bundestag beschlossen. Das Gesetz ist seit dem 6. Dezember 2025 in Kraft.
Für Geschäftsleitungen besonders relevant: Das Gesetz sieht eine verpflichtende Schulung der Unternehmensführung (§ 38 Abs. 3 BSIG) vor. Ziel ist, das Verständnis für Cyberrisiken und das Risikomanagement auf Vorstandsebene zu stärken. Umfang und Inhalte richten sich nach der individuellen Risikoexposition des Unternehmens.
„In Deutschland wirkte die KRITIS-Gesetzgebung bislang insbesondere auf Institutionen als Betreiber kritischer Infrastrukturen. Mit NIS-2 wird Cybersicherheit und -Resilienz nun auch für die breite Masse der Unternehmen in Europa und damit auch in Deutschland zum Top Thema.“
Unsere monatliche Webcast-Reihe „NIS-2 wirksam umsetzen – von der gesetzlichen Pflicht zur praktischen Einordnung“ bietet Ihnen eine strukturierte, praxisnahe Orientierung entlang des gesamten NIS-2-Lebenszyklus – von sofortigen Handlungsanforderungen wie Registrierungs- und Meldepflichten über belastbare Cyber-Security-Prozesse bis hin zur Einordnung in bestehende Compliance- und Steuerungsstrukturen.
Die NIS-2-Registrierung ist im Kasten. Doch wie überführt man die Theorie jetzt in die Praxis, ohne sich im Dschungel der Maßnahmen zu verlieren? Unser Whitepaper liefert die konkrete Antwort. Mit unserem praxiserprobten Reifegradmodell erhalten Sie eine klare Schritt-für-Schritt-Anleitung zur Priorisierung.
Gemeinsam beurteilen wir, ob Sie von der NIS-2-Richtlinie betroffen sind und setzen die Grundlage für Ihre NIS-2-Readiness.
NIS-2 Gap Assessment – von der Einordnung bis zum belastbaren Management-Report
Wir helfen Ihnen, die NIS-2-Anforderungen für all Ihre EU-Entities zu klären und Maßnahmen effizient und harmonisiert vorzubereiten.
Wir begleiten Sie bei der Implementierung strategischer, organisatorischer, prozessualer und technischer Maßnahmen – orientiert an den gängigen ISO Standards, dem NIST CSF 2.0 Framework oder dem BSI IT-Grundschutz.
Wir unterstützen Sie mit einem Risk Exposure Assessment (REA) und entwickeln ein zielgerichtetes Schulungskonzept.
Ihr externer ISB: Effiziente NIS-2-Compliance, ganzheitliche Sicherheitssteuerung und organisatorische Entlastung.
Wir unterstützen Sie mit technischen Maßnahmen wie Härtung, Detection/Response, Vulnerability Management und Tests.
NIS-2-Konformität belastbar nachweisen
Die Führungskräfte in Ihrem Unternehmen müssen gemäß § 38 BSIG-E mit den Anforderungen der Richtlinie und den Maßnahmen zum Risikomanagement vertraut sein. Sie sind direkt dafür verantwortlich, dass Cyberrisiken erkannt und angegangen werden und dass die Anforderungen erfüllt werden.
Damit eine Schulung der Geschäftsführung überhaupt BSI‑konform durchgeführt werden kann, muss der Schulungsinhalt auf einer vorab durchgeführten, unternehmensspezifischen Risikoanalyse basieren. Unser Risk Exposure Assessment (REA) schafft hierfür die notwendige Grundlage und erfüllt die entsprechenden BSI‑Vorgaben (siehe unter anderem BSI‑Standard 200‑3 Risikoanalyse sowie Informationen zur NIS2‑Umsetzung).
Verschaffen Sie sich Orientierung zu Ihrer individuellen Risikoexposition mit unserem Fragebogen zum Risk Exposure Assessment (REA).
Mit der Einführung der NIS-2-Richtlinie stehen Unternehmen vor der Herausforderung, erhebliche Sicherheitsvorfälle innerhalb von 24 Stunden zu melden. Diese Anforderung hat weitreichende Auswirkungen auf die Geschäftsabläufe und verlangt schnelle, präzise Entscheidungen.
Der NIS-2 Incident Severity Indicator ist ein KI-Tool, das genau dafür entwickelt wurde. In einem Umfeld, in dem bei Nichteinhaltung hohe Geldstrafen drohen und der enge Zeitrahmen keine Verzögerungen zulässt, liefert die KI die notwendige Sicherheit und Geschwindigkeit. Sie unterstützt Teams dabei, Vorfälle zügig und reproduzierbar zu bewerten, Meldepflichten eindeutig zu klären und Entscheidungen belastbar zu dokumentieren.
Die integrierte, KI-basierte Entscheidungsunterstützung mit detaillierter, prüffähiger Dokumentation schafft Transparenz und Nachvollziehbarkeit. Gleichzeitig sorgen strukturierte Workflows dafür, dass der Aufwand für die Berichterstellung deutlich sinkt und Meldungen schnell, konsistent und ressourcenschonend erstellt werden.
Setzen Sie auf den NIS-2 Incident Severity Indicator, um Ihr Incident-Management zu beschleunigen, die Einhaltung der 24-Stunden-Meldepflicht effektiv zu unterstützen und Ihre Cybersicherheitslage nachhaltig zu stärken.
Die Cybersicherheitsanforderungen des BSI-Gesetzes machen nicht am Werkstor halt. Wenn Ihr Unternehmen unter NIS-2 fällt, sind Sie zur Absicherung Ihrer Lieferkette gesetzlich verpflichtet. Wer diese Pflicht verletzt, riskiert empfindliche Bußgelder – und die persönliche Haftung der Geschäftsleitung. Die eigentliche Schwierigkeit liegt aber in der vertraglichen Umsetzung. Und die trifft beide Seiten der Lieferkette.
Sind Sie NIS-2-verpflichtet? Dann reichen allgemeine IT-Sicherheitsklauseln oder punktuelle Verweise auf ISO 27001 nicht aus. Sie benötigen ein Vertragswerk, das Risikomanagement, Vorfallbewältigung, Schwachstellenmanagement und Business Continuity systematisch in Ihre Lieferkette verlängert – im Einklang mit § 30 BSIG und den Empfehlungen des BSI.
Sind Sie Lieferant kritischer Kunden? Dann kennen Sie die umgekehrte Herausforderung. Sie sehen sich mit einer wachsenden Zahl individueller Sicherheitsanhänge konfrontiert, die inhaltlich uneinheitlich, oft unverhältnismäßig streng und in ihrer Vielzahl kaum konsistent umsetzbar sind. Ohne eine strukturierte eigene Position gerät die Verhandlung in eine Defensive, in der jede Kundenbeziehung neu ausgehandelt werden muss.
Genau hier setzt unser Strukturmuster für einen vertraglichen Sicherheitsanhang nach BSIG / NIS-2 an. Es setzt die Anforderungen des § 30 BSIG systematisch um, integriert zudem die einschlägigen BSI-Empfehlungen zu Cyber Supply Chain Risk Management, IT-Grundschutz und UP KRITIS und ist konsequent auf einen fairen Interessenausgleich ausgelegt.
Sie erhalten damit ein Vertragswerk, das den regulatorischen Rahmen abbildet, in Verhandlungen tragfähig bleibt und beiden Seiten eine belastbare Grundlage gibt – ob als Basis für Ihre eigenen Lieferantenbeziehungen unter NIS-2 oder als einheitlicher Referenzrahmen gegenüber Ihren Kunden.
In der Deutschen Umsetzung wird zwischen „Besonders wichtige Einrichtung“ und „Wichtige Einrichtung“ unterschieden. Der Hauptunterschied zwischen besteht darin, dass für „Wichtige Einrichtungen“ geringere Geldstrafen vorgesehen sind und sie einer reaktiven Aufsicht durch die Behörden unterliegen, im Gegensatz zur proaktiven Aufsicht, die der „Besonders wichtigen Einrichtung“ vorbehalten ist.
In der EU soll es keine unterschiedlichen Mindestschwellenwerte mehr geben, sondern Betroffenheit nach „uniformen Kriterien“ ermittelt werden. Unter die Regulierung sollen mittlere und große Unternehmen fallen:
Dadurch wird der Anwendungsbereich in Deutschland enorm ausgeweitet.
Für besonders wichtige Einrichtungen können Sanktionen von bis zu zehn Millionen Euro oder zwei Prozent des Jahresumsatzes verhängt werden, wobei der höhere Betrag maßgeblich ist. Bei wichtigen Einrichtungen belaufen sich die Bußgelder auf bis zu sieben Millionen Euro oder 1,4 Prozent des Jahresumsatzes, wobei auch hier der höhere Betrag entscheidend ist.
Die betroffenen Unternehmen und Organisationen müssen angemessene Maßnahmen in Bereichen wie Cyber-Risikomanagement, Sicherheit in der Lieferkette, Business Continuity Management, Verschlüsselung, Zutrittsbeschränkungen sowie Berichterstattung an die Behörde und Abhilfemaßnahmen ergreifen.
Wichtiger Hinweis: Gem. des Entwurfs des Bundesinnenministeriums werden die Leitungsorgane von Unternehmen für die Einhaltung der Risikomanagementmaßnahmen mit Ihrem Privatvermögen haften. Die Obergrenze für diese Bußgelder entspricht 2 % des globalen Jahresumsatzes des Unternehmens.
Fest steht: Der Anwendungsbereich geht weit über die bekannten kritischen Infrastrukturen hinaus. Im Energiesektor beispielsweise war der Anwendungsbereich der NIS immer auf Unternehmen beschränkt, die Energie im Strom- und Gassektor erzeugen, liefern oder regulieren. Im Rahmen von NIS-2 erwarten wir, dass auch die Lieferkette, z. B. die Hersteller von Windturbinen und die Betreiber von Ladestationen für Elektrofahrzeuge, von den Anforderungen erfasst werden.
Lieferung, Verteilung, Übertragung und Verkauf von Strom, Gas, Öl, Heizung/Kühlung, Wasserstoff, Betreiber von Ladestationen für Elektrofahrzeuge
Einschließlich Reedereien und Hafenanlagen
Kredit, Handel, Markt und Infrastruktur; Neu: laut Referentenentwurf des NIS-2UmsuCG auch Versicherungswesen
Gesundheitsdienstleister, Forschungslabors, Pharmazeutika, Herstellung medizinischer Geräte
Trinkwasserversorger und Abwasserentsorger
Bereitstellung von DNS und TLD-Registern
Welche Auswirkungen hat die NIS-2 für die öffentliche Verwaltung? Für wen gilt die NIS-2 in der Bundesverwaltung? Wir beleuchten Anforderungen der NIS-2 an das Informationssicherheitsmanagement sowie die Pflichten und Sanktionsrisiken.
Betreiber bodengeschützter Infrastrukturen
Abfallsammlung, -transport, -behandlung und -entsorgung
Cyber-Vorfälle in der Abfallentsorgung und -verwertung können das öffentliche Leben stark beeinträchtigen. Ab Januar 2024 gilt der Sektor daher als Kritische Infrastruktur und muss besonders geschützt werden. Unternehmen fallen zudem in den Anwendungsbereich von NIS-2 ab Oktober 2024, selbst wenn sie die KRITIS Schwellenwerte nicht überschreiten.
Produktion, Herstellung und Handel
Produktion, Verarbeitung und Vertrieb
Medizin-/Diagnosegeräte, Computer, Elektronik, Optik, Maschinen, Kraftfahrzeuge, Anhänger, Sattelanhänger, sonstige Transportmittel
Online-Marktplätze, Suchmaschinen, soziale Plattformen
Produktion und Vertrieb
PwC hat länderübergreifend ein umfassendes NIS-2 Kompetenz-Netzwerk aufgebaut. Dieses besteht aus Expert:innen aus den Bereichen Cyber Security, Risikomanagement, Incident Response, Governance, Compliance und Recht. Über 150 Spezialist:innen in der EMEA-Region unterstützen Unternehmen bei der Umsetzung der NIS-2-Richtlinie. Wir helfen ihnen, die Betroffenheit der NIS-2-Richtlinie für ihre Organisation zu ermitteln, ihre Fähigkeiten zur Erfüllung der Anforderungen zu bewerten oder Lücken zu identifizieren und sie dabei zu unterstützen, die regulatorischen Vorgaben auf lokaler und EU-Ebene angemessen und kosteneffizient zu erfüllen.
Lesen Sie in diesem Whitepaper, wie mittelständische Unternehmen jetzt ihre Cyberabwehr aufbauen müssen, um die Anforderungen der NIS-2 zu erfüllen und für die aktuellen Bedrohungslage gewappnet zu sein. Dabei zeigen wir auf, wie Cyberkriminelle, einschließlich staatlicher Akteure, gezielt KMU angreifen und geben praxisnahe Empfehlungen, wie Ihr Unternehmen seine Widerstandsfähigkeit gegen Cyberangriffe stärken kann.
„NIS-2 wird ein echter ,Game Changer‘ und die Cyber-Regulatorik in Europa nachhaltig verändern.“
André Glenzer, Partner bei PwC DeutschlandFinden Sie mit Hilfe unserer kurzen Betroffenheitsanalyse heraus, ob auch Ihr Unternehmen in die NIS-2-Richtlinie fällt.
Das NIS‑2‑Umsetzungsgesetz macht Cybersicherheit zur Führungsaufgabe – mit klaren Schulungspflichten. Alle drei Jahre sind mindestens vier Stunden Weiterbildung zu Risikoanalyse und Governance vorgeschrieben. Entdecken Sie unser individuell zugeschnittenes und flexibles Schulungsformat für die gesetzeskonforme Umsetzung.
