NIS-2 – Richtlinie für Cyber-Risikomanagement einfach erklärt

Autor Christian Ehrmann · Stand 28.08.2026 · https://www.catenis.de/lexikon/nis-2

Bei Zitat URL und Abrufdatum angeben. Keine Rechtsberatung.

Was es ist

Die NIS-2-Richtlinie verpflichtet wesentliche und wichtige Einrichtungen zu Cyber-Risikomanagement, Meldewegen und Aufsicht über die Lieferkette. In Deutschland läuft das über das BSIG. Das gesetzliche Minimum ist ein dokumentierter Satz Maßnahmen, den die Geschäftsleitung tragen muss.

Die Richtlinie kommt aus Brüssel. Vollstreckbar wird sie hier über das BSI-Gesetz: wer erfasst ist, welche zehn Mindestmaßnahmen gelten, wie Vorfälle nach außen gehen. Im Betrieb heißt das selten „wir bauen ein Konzern-ISMS“. Es heißt: Risiken schriftlich bewerten, Leitlinie freigeben, Vorfälle führen, Lieferanten mit Zugang oder IKT-Leistung prüfen, den Stand so ablegen, dass ein Prüfer ihn später noch findet.

Pflichtig ist die Einrichtung, nicht die IT-Abteilung allein. Die Geschäftsleitung muss die Maßnahmen tragen, überwachen und sich selbst schulen. Eine Policy im Sharepoint ohne Datum und ohne Owner ist dafür ungeeignet. Catenis hält den dokumentierten Satz: Maßnahme, Status, Nachweis, Freigabe. Die rechtliche Einordnung, ob das Unternehmen wesentliche oder wichtige Einrichtung ist, trifft es mit seiner Beratung. Die Plattform entscheidet das nicht.

Kundenfragebögen erreichen denselben Mittelstand oft früher als die eigene Aufsicht. Wer unter der Schwelle bleibt, bekommt dieselben Fragen trotzdem, weil ein Kunde selbst verpflichtet ist. Der Cyber-Fragebogen bedient genau diese Anfrage. Das NIS-2-Modul bedient die eigene Pflicht, sobald sie da ist.

Geltungsbereich

Erfasst sind wesentliche und wichtige Einrichtungen nach Sektor, Größe und Funktion. Die Richtlinie listet Anhänge; das BSIG setzt sie in Anlagen und Schwellen um. Energie, Verkehr, Gesundheit, digitale Dienste und Teile der Fertigung stehen dort. Die genaue Zählung von Beschäftigten, Umsatz und Konzernzurechnung steht im Gesetz. Hier wird sie nicht nachgerechnet.

Wer nicht selbst erfasst ist, bleibt oft trotzdem Adressat: als IKT-Dienstleister, Cloud, MSP oder Softwarehaus eines Kunden, der die Lieferkette steuern muss. Dann zählt der Vertrag und der Fragebogen, nicht der eigene Aufsichtsstatus. DORA sitzt daneben für den Finanzsektor. Der CRA sitzt daneben für Produkte mit digitalen Elementen. Keines der drei ersetzt das andere.

Das gesetzliche Minimum bleibt ein dokumentierter Satz Maßnahmen. ISO 27001, ein SOC-2-Bericht oder ein Pen-Test können dieselbe Akte füllen. Sie ersetzen die Freigabe der Geschäftsleitung und die Vorfallakte nicht. Grün in Catenis heißt: dokumentiert. Es heißt nicht, die Aufsicht habe den Fall geschlossen.

Öffentliche Stellen und Betreiber kritischer Dienste treffen oft zusätzliche Fachaufsichten. Das ändert den Meldeweg, nicht die Pflicht, intern eine Akte zu haben. Wer drei Portale bedient und intern nichts führt, kann keinen der Wege wiederholen. Die Plattform bleibt die innere Spur.

Was zu tun ist

Zuerst die eigene Lage klären: Sektor, Größe, kritische Dienste. Das Ergebnis gehört in die Akte, auch wenn es „voraussichtlich nicht betroffen“ heißt. Ohne diese Notiz wird später geraten. Die Einordnung selbst bleibt Rechtsfrage; Catenis hält die Checkliste und den Stand der Maßnahmen.

Dann den Mindestkatalog abarbeiten: Risikoanalyse, Leitlinie, Vorfallprozess, Backup und Wiederherstellung, Lieferkette, Erwerb und Wartung, Wirksamkeitsprüfung, Schulung, Krypto, Zugriff und MFA, Schulung der Geschäftsleitung, Registrierung beim BSI. Jede Zeile braucht Owner, Datum und Nachweis oder eine begründete Ausnahme.

Die Lieferkette folgt dem eigenen Risiko, nicht einer Vollabfrage aller Kreditoren. Wer Zugang zu Systemen hat, wer IKT oder einen kritischen Dienst liefert, steht vorn. Der Cyber-Fragebogen und die Lieferketten-Ampel halten den Stand. Offene rote Punkte ohne Frist sind später nicht zu erklären.

In Catenis steuert das NIS-2-Modul Maßnahmen, Dokumente, Vorfallstatus und die GF-Inbox. Der Evidence-Pack zeigt, was vorliegt und was fehlt. Die Plattform ersetzt weder das BSI-Portal noch die Behördenmeldung noch die Rechtsberatung.

Was die Leitung am Montag öffnen kann, entscheidet über den Alltag: nächster Schritt, überfälliges Review, unfreigegebene Leitlinie. Ohne diese Ansicht bleibt NIS-2 ein Jahresprojekt. Mit ihr wird sie eine kurze Liste – unspektakulär, dafür prüfbar.

Typischer Fehler

Der häufigste Fehler ist, NIS-2 mit „die IT soll mal eine Richtlinie schreiben“ zu verwechseln. Ohne GF-Freigabe, ohne Vorfallübung und ohne priorisierte Lieferanten bleibt ein PDF. Der Prüfer fragt nach dem nächsten Schritt, nicht nach dem Dateinamen.

Der zweite: alle Lieferanten denselben langen Bogen schicken, „damit wir sicher sind“. Das erzeugt Excel, die niemand liest, und verdeckt die Partner mit Admin-Zugang oder Cloud-Last. Der dritte: die Meldekette erst im Ernstfall zu bauen. Ohne erkannte Vorfälle, ohne Eskalation und ohne geübten Innenprozess halten kurze Meldefristen selten.

Ein vierter Fehler: das Zertifikat als Schlussstrich. 27001 oder ein Pen-Test-Bericht können Zeilen füllen. Sie ersetzen weder die datierte GF-Freigabe noch den Vorfall mit Status noch die priorisierte Lieferantenliste. Wer nur das Siegel ablegt, hat die Akte nicht.

Grenze

Das Lexikon ordnet den Begriff ein. Es sagt nicht, ob ein bestimmtes Unternehmen wesentliche oder wichtige Einrichtung ist, welche Buße droht oder welcher Paragraph im Einzelfall greift. Das bleibt bei Rechtsberatung und, wo einschlägig, beim BSI.

Catenis dokumentiert Maßnahmen, Fragebögen und Vorfallstatus. BSI-Portal, Behördenmeldung und die Einordnung wesentliche oder wichtige Einrichtung bleiben extern. Eine Ampel ist Arbeitsansicht, kein Bescheid.