NIS-2 Anforderungen in der Informationssicherheit – was seit Dezember 2025 für Unternehmen gilt

Mit der Einführung der NIS 2 müssen Unternehmen neue Cybersicherheitsstandards einhalten. Wer jetzt nicht handelt, gefährdet die eigene Sicherheit und Wettbewerbsfähigkeit und erfüllt auch nicht die gesetzlichen Anforderungen. Nutzen Sie die Gelegenheit, um Ihre Systeme zu stärken und Vertrauen bei Kunden und Partnern zu sichern. In unserem Artikel erläutern wir detailliert die neuen Anforderungen, den erweiterten Anwendungsbereich und wer von den neuen NIS 2 Anforderungen betroffen ist.

Inhaltsverzeichnis:

• Seit Dezember 2025 gelten die Anforderungen der NIS-2-Richtlinie in der IT-Sicherheit
• Neue Anforderungen für betroffene Unternehmen aus der Automobilbranche
• Besonders wichtige Anforderungen, die neu gegenüber der ISO 27001 sind
• Die NIS 2 Anforderungen bringen eine neue Verantwortung für das Management und spezifische Maßnahmen pro Branche

Seit Dezember 2025 gelten die Anforderungen der NIS-2-Richtlinie in Deutschland

Die NIS-2-Richtlinie wurde 2022 vom Europäischen Parlament verabschiedet; in Deutschland ist sie seit dem 6. Dezember 2025 mit dem NIS-2-Umsetzungsgesetz (NIS2UmsuCG) in Kraft. Zuständige Aufsichtsbehörde ist das Bundesamt für Sicherheit in der Informationstechnik (BSI): Es nimmt Registrierungen und Meldungen entgegen und überwacht die Einhaltung der Pflichten nach dem neuen BSI-Gesetz (BSIG).

Betroffene Unternehmen müssen eine Reihe von Maßnahmen ergreifen, um die Anforderungen der Richtlinie zu erfüllen. Diese Anforderungen betreffen mit NIS-2 eine breitere Palette von Branchen und stellen erweiterte Verpflichtungen im Bereich der Cybersicherheit dar.

Wer ist betroffen?

• Besonders wichtige Einrichtungen: ab 250 Beschäftigten oder mit mehr als 50 Mio. € Jahresumsatz und mehr als 43 Mio. € Bilanzsumme.
• Wichtige Einrichtungen: ab 50 Beschäftigten oder mit mehr als 10 Mio. € Jahresumsatz und Bilanzsumme.

Beides gilt jeweils für Unternehmen in den Sektoren der Anlagen 1 und 2 BSIG. Ob Ihr Unternehmen betroffen ist, prüfen Sie mit unserer NIS-2 Checkliste.

Umsetzung in nationales Recht seit Dezember 2025

• Umsetzungsfrist: Die EU-Frist zur Umsetzung lief am 17. Oktober 2024 ab. Deutschland hat die Richtlinie mit dem NIS-2-Umsetzungsgesetz (NIS2UmsuCG) zum 6. Dezember 2025 in nationales Recht überführt. Seitdem müssen betroffene Unternehmen den verschärften Cybersicherheitsanforderungen entsprechen – es gibt keine Schonfrist!
• Gültigkeit der neuen Vorschriften: Seit dem 6. Dezember 2025 gelten die Sicherheitsanforderungen in Deutschland verbindlich für Unternehmen, die in den Anwendungsbereich der NIS-2 fallen – darunter auch Unternehmen, die bisher nicht von der ursprünglichen NIS-Richtlinie betroffen waren. Betroffen sind rund 29.500 Unternehmen und Einrichtungen. Sie müssen sich innerhalb von drei Monaten, nachdem sie unter NIS-2 fallen, beim BSI registrieren (§ 33 BSIG; für die meisten also bis 6. März 2026). Das BSI hatte eine Nachfrist bis 31. Juli 2026 eingeräumt; wer noch nicht registriert ist, sollte das sofort nachholen – Verstöße können mit bis zu 500.000 € geahndet werden (§ 65 BSIG).

1) Neue Anforderungen für betroffene Unternehmen aus der Automobilbranche:

Erweiterte Meldepflichten von Sicherheitsvorfällen in der NIS-2-Richtlinie:

Unternehmen in der Automobilbranche müssen sicherstellen, dass sie Cybervorfälle schnell und effektiv an das BSI melden, um die Wirksamkeit ihrer Sicherheitsstrategien zu gewährleisten.

Das BSI nimmt diese Meldungen entgegen, bewertet sie und koordiniert gegebenenfalls die Reaktion auf den Sicherheitsvorfall. Es stellt sicher, dass Vorfälle schnell und effektiv behandelt werden, um größere Schäden zu verhindern.

Die NIS-2-Richtlinie schreibt vor, dass Vorfälle innerhalb von 24 Stunden nach Kenntnisnahme an die zuständigen Behörden gemeldet werden müssen. Dies umfasst nicht nur die Meldung von Sicherheitsvorfällen, sondern auch eine erste Bewertung der Situation. 

Innerhalb von 72 Stunden folgt die eigentliche Meldung mit einer ersten Bewertung (Schweregrad, Auswirkungen, ggf. Kompromittierungsindikatoren). Spätestens einen Monat danach ist ein Abschlussbericht mit Ursache, ergriffenen Abhilfemaßnahmen und ggf. grenzüberschreitenden Auswirkungen fällig. Diese strenge Frist stellt sicher, dass Bedrohungen frühzeitig erkannt und bekämpft werden können, um größere Schäden zu vermeiden.

Strengere Anforderungen an Informationssicherheit in der Automobilbranche

Die NIS-2-Richtlinie erweitert den Sicherheitsfokus auf alle IT- und OT-Systeme (Operational Technology), die im Automobilbereich eingesetzt werden. 

Das bedeutet, dass nicht nur klassische IT-Systeme wie Server, Netzwerke und Endgeräte geschützt werden müssen, sondern auch Produktionssysteme. NIS-2 erfasst alle IT- und OT-Systeme, die das Unternehmen für die Erbringung seiner Dienste nutzt – also auch Produktions- und Steuerungssysteme. Die Cybersicherheit der Fahrzeuge selbst regeln dagegen die UN-Regelungen R155/R156. Sie müssen dafür Sorge tragen, dass alle Systeme auf Schwachstellen geprüft und regelmäßige Sicherheitsupdates durchgeführt werden.

Lieferkettenmanagement bei kritischer Infrastruktur:

Ein zentrales Element der NIS-2-Richtlinie ist die Absicherung der gesamten Lieferkette. Unternehmen in der Automobilbranche arbeiten mit zahlreichen Zulieferern und Dienstleistern zusammen, die Zugang zu sensiblen Daten oder kritischer Infrastruktur haben könnten. 

Die Richtlinie verlangt, dass Unternehmen die Sicherheit ihrer Lieferkette aktiv überwachen und sicherstellen, dass alle beteiligten Partner entsprechende Sicherheitsmaßnahmen implementieren. Dies kann durch Verträge, Audits und regelmäßige Sicherheitsbewertungen zur Verbesserung der Cyberhygiene erfolgen. Ein Schwachpunkt bei einem Zulieferer kann potenziell die gesamte Lieferkette gefährden, weshalb dieses Thema von besonderer Bedeutung ist.

Risikomanagement nach § 30 BSIG - NIS-2 erfordert ständige Überwachung in der Automobilbranche

Als Unternehmen sind Sie verpflichtet, geeignete, verhältnismäßige und wirksame Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen und zu dokumentieren – abgestimmt auf die Bedrohungen im Automobilsektor. 

Risiken in der Lieferkette müssen ständig überwacht und gemanagt werden, um Sicherheitsvorfälle zu vermeiden. Dies bedeutet, dass Risiken für alle IT- und OT-Systeme, die für den Betrieb und die Produktion unerlässlich sind, regelmäßig identifiziert, bewertet und gemindert werden müssen.

Dieses Risikomanagement muss dynamisch sein und sich an die sich ständig ändernden Bedrohungslandschaften anpassen. Unternehmen sind angehalten, Prozesse zu entwickeln, um auf neue Risiken schnell reagieren zu können. Ihre Systeme müssen robust genug sein, um Cyberangriffe abzuwehren.

Klare Verantwortung: Die Geschäftsleitung haftet, eine Fachrolle steuert die Umsetzung

Die Verantwortung für die Umsetzung und Überwachung der Maßnahmen liegt gesetzlich bei der Geschäftsleitung (§ 38 BSIG); sie kann diese nicht delegieren. In der Praxis benennt sie eine operative Rolle – etwa einen Chief Information Security Officer (CISO) oder Informationssicherheitsbeauftragten (ISB) –, die die Umsetzung steuert und dem BSI als erreichbarer Kontakt dient. Des Weiteren können ihr erfahrene Berater zur Seite stehen.

Sie überwacht auch die Einhaltung der neuen Anforderungen und ist Ansprechpartner für die zuständigen Behörden. Diese Person trägt eine erhebliche Verantwortung, da Verstöße gegen die Direktive zu erheblichen Strafen führen können.

Sanktionen bei Nichteinhaltung von Anforderungen der NIS-2:

Die NIS-2-Richtlinie führt strengere Sanktionen ein, um die Einhaltung der Sicherheitsvorschriften zu gewährleisten. Bei Verstößen gegen die Risikomanagement-, Melde- oder Nachweispflichten drohen besonders wichtigen Einrichtungen Bußgelder bis 10 Mio. € bzw. bis 2 % des weltweiten Jahresumsatzes, wichtigen Einrichtungen bis 7 Mio. € bzw. bis 1,4 % (die Prozentgrenze gilt ab 500 Mio. € Umsatz, § 65 BSIG). Die meisten Automobilzulieferer sind wichtige Einrichtungen. 

Diese hohen Strafen sollen Firmen motivieren, die Anforderungen ernst zu nehmen und proaktiv Maßnahmen ergreifen, um ihre Systeme zu schützen. Darüber hinaus können Verstöße gegen Sicherheitsstandards zu Reputationsschäden führen, die langfristig schwerwiegende Auswirkungen auf das Geschäft haben könnten, insbesondere in einem stark regulierten Sektor.

2) Besonders wichtige Anforderungen, die neu gegenüber der ISO 27001 sind

Was NIS-2 gegenüber ISO 27001 tatsächlich neu verlangt:

Bedrohungsanalysen (Threat Intelligence) fordert bereits ISO/IEC 27001:2022 (Annex A 5.7). Echte Unterschiede zu ISO 27001 sind: gesetzliche Meldepflichten (24 h/72 h/1 Monat), Registrierungspflicht beim BSI, persönliche Pflichten und Schulungspflicht der Geschäftsleitung (§ 38 BSIG), kein frei wählbarer Geltungsbereich und behördliche Aufsicht mit Bußgeldern.

Pflichten gegenüber dem BSI und freiwilliger Informationsaustausch

Verpflichtend sind die Registrierung, Vorfallmeldungen an das BSI und die Mitwirkung bei Aufsichtsmaßnahmen. Der Austausch von Bedrohungsinformationen mit anderen Unternehmen (z. B. über die Allianz für Cyber-Sicherheit oder UP KRITIS) ist dagegen freiwillig.

Schutz kritischer Dienste und Systeme:

Die NIS2 Richtlinie verlangt, dass Unternehmen kritische Dienste und Systeme und wichtige Einrichtungen, die von nationalem Interesse sind, besonders schützen. Im Automobilsektor könnten dies beispielsweise Systeme sein, die für die Produktion von sicherheitsrelevanten Komponenten oder für den Betrieb von autonomen Fahrzeugen erforderlich sind und die durch Stärkungsmaßnahmen wie Multi-Faktor-Authentifizierung geschützt werden sollten. 

Diese Systeme müssen besonders gesichert und überwacht werden, damit ihre Integrität und Verfügbarkeit nicht durch Cyberangriffe gefährdet wird. Dies erfordert oft zusätzliche Sicherheitsmaßnahmen, die über die Grundanforderungen von ISO 27001 hinausgehen.

Verpflichtende Awareness-Schulungen für Mitarbeitende und Geschäftsleitung

Die NIS-2-Richtlinie betont die Bedeutung von regelmäßigen und spezifischen Schulungen für alle Mitarbeiter. NIS-2 verlangt grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich Cybersicherheit (§ 30 Abs. 2 Nr. 7 BSIG) und verpflichtet zusätzlich die Geschäftsleitung zu regelmäßigen Schulungen (§ 38 Abs. 3 BSIG). Branchenbezogene Inhalte sind sinnvoll, aber keine gesetzliche Vorgabe. 

Mitarbeiter müssen nicht nur über grundlegende Sicherheitsprinzipien informiert werden, sondern auch über aktuelle Bedrohungen und die richtigen Reaktionsmechanismen bei Vorfällen. Diese Schulungen müssen regelmäßig aktualisiert werden, um den neuesten Entwicklungen in der Cybersicherheitslandschaft Rechnung zu tragen.

Dokumentations- und Nachweispflichten gegenüber dem BSI

Neben der Meldung erheblicher Vorfälle müssen Sie die Umsetzung Ihrer Maßnahmen dokumentieren und dem BSI auf Anforderung nachweisen. Betreiber kritischer Anlagen müssen die Nachweise zusätzlich alle drei Jahre unaufgefordert erbringen (§ 39 BSIG).

Erweiterte Sorgfaltspflicht durch Überprüfung der Cybersicherheitsmaßnahmen bei Lieferanten

Die NIS-2 Richtlinie führt eine erweiterte Sorgfaltspflicht ein, die über die Anforderungen von ISO 27001 hinausgeht. Unternehmen sind verpflichtet, nicht nur ihre eigenen Systeme, sondern auch die ihrer Lieferanten und Dienstleister auf Sicherheitsrisiken zu überprüfen. 

Dies erfordert eine enge Zusammenarbeit mit allen Beteiligten in der Lieferkette und die Implementierung von Sicherheitsstandards auf allen Ebenen. Unternehmen sind aufgefordert, Sorge zu tragen, dass ihre Partner ähnliche Sicherheitsmaßnahmen umsetzen und dass diese Maßnahmen regelmäßig überprüft werden. Unsere Berater für ISO 27001 helfen Ihnen gerne weiter.

Diese detaillierten Anforderungen verdeutlichen, wie NIS-2 die Cybersicherheitslandschaft für Unternehmen, insbesondere im Automobilsektor, verändert und verstärkt. Eine gründliche Umsetzung dieser Richtlinie ist entscheidend, um den steigenden Bedrohungen in der vernetzten Welt wirksam begegnen zu können. Wie Sie diese Pflichten in ein funktionierendes Programm übersetzen, zeigt NIS-2 umsetzen – Schritt für Schritt.

Die NIS 2 Anforderungen bringen eine neue Verantwortung für das Management und spezifische Maßnahmen pro Branche

1. Erweiterter Anwendungsbereich und Sektorenspezifische Anforderungen

• Erweiterung auf neue Sektoren: Die NIS-2 Richtlinie erweitert den Anwendungsbereich auf mehr Branchen als zuvor. Neu betroffen sind beispielsweise Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, das verarbeitende Gewerbe (u. a. Hersteller von Medizinprodukten, Maschinen und Kraftfahrzeugen), Anbieter digitaler Dienste, Forschung und das Weltraum-Segment. 
• Sektorenspezifische Anforderungen: Jede Branche hat ihre spezifischen Herausforderungen in der Cybersicherheit. Unternehmen haben branchenspezifische Sicherheitsmaßnahmen zu entwickeln, die auf ihre individuellen Risiken und Bedrohungen zugeschnitten sind.

2. Verantwortlichkeit auf Managementebene

• Haftung und Verantwortung des Managements: Das obere Management trägt die komplette Verantwortung für die Einhaltung der Cybersicherheitsvorschriften. Führungskräfte müssen sicherstellen, dass alle Anforderungen der NIS-2 Richtlinie im Unternehmen umgesetzt werden. Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen (§ 38 BSIG). Verletzt sie diese Pflichten schuldhaft, haftet sie der Einrichtung für den entstandenen Schaden.
• Einführung von Governance-Strukturen: Mit der Einführung von klaren Governance-Strukturen legen Unternehmen die Verantwortlichkeiten für Cybersicherheit fest. Dies beinhaltet die Einrichtung von Cybersicherheitsausschüssen und die Benennung von Verantwortlichen für die Implementierung und Überwachung der Sicherheitsmaßnahmen.

3. Maßnahmen zur Erhöhung der Widerstandsfähigkeit

• Resilienzstrategien: Unternehmen sind aufgefordert, Resilienzstrategien zu entwickeln, die über den Schutz der IT-Systeme hinausgehen. Diese Strategien sind so auszulegen, dass das Unternehmen auch nach einem Cyberangriff handlungsfähig bleibt und schnell wieder den Normalbetrieb aufnehmen kann.
• Business Continuity Management (BCM): Unternehmen und Organisationen müssen Pläne entwickeln, die dafür sorgen, dass kritische Geschäftsprozesse nicht nur bei IT-Ausfällen, sondern allen Ausfällen (elektrische, oder andere Ausnahmesituationen) fortgeführt werden können.

4. Technische und organisatorische Maßnahmen

• Verschlüsselung von Daten: Starke Verschlüsselungstechnologien zum Schutz sensibler Daten sowohl im Ruhezustand (Data at Rest) als auch während der Übertragung (Data in Transit) sollen zum Einsatz kommen. Alle kritischen Daten, die in ihren Systemen gespeichert oder übertragen werden, sind durch geeignete Verschlüsselungsmethoden zu sichern. Das reduziert das Risiko von Datenverlusten oder -diebstählen bei Cyberangriffen erheblich.
• Technische Schutzmaßnahmen: § 30 Abs. 2 BSIG legt Mindestmaßnahmen fest; Systeme zur Angriffserkennung sind nur für Betreiber kritischer Anlagen ausdrücklich vorgeschrieben. Zu den Mindestmaßnahmen gehören:
  • Risikoanalyse und Sicherheitsrichtlinien
  • Bewältigung von Sicherheitsvorfällen
  • Business Continuity, Backup-Management und Krisenmanagement
  • Sicherheit der Lieferkette
  • Sicherheit bei Beschaffung und Entwicklung inkl. Schwachstellenmanagement
  • Bewertung der Wirksamkeit der Maßnahmen
  • Schulungen und Cyberhygiene
  • Kryptografie und Verschlüsselung
  • Personalsicherheit, Zugriffskontrolle und Asset-Management
  • Multi-Faktor-Authentifizierung und gesicherte Kommunikation
• Organisatorische Maßnahmen: Organisatorische Strukturen sind auf schnelle Reaktion und effektive Bewältigung von Sicherheitsvorfällen auszurichten. Dies schließt die Einrichtung von Incident-Response-Teams und die regelmäßige Durchführung von Notfallübungen ein.

5. Internationale Zusammenarbeit und Informationsaustausch

• Zusammenarbeit auf EU-Ebene: Die Zusammenarbeit zwischen den EU-Staaten (CSIRT-Netzwerk, Kooperationsgruppe) betrifft die Behörden; für Unternehmen relevant ist vor allem, dass grenzüberschreitende Auswirkungen eines Vorfalls in der Meldung anzugeben sind.

6. Erweiterte Dokumentations- und Nachweispflichten

• Erweiterte Nachweispflichten: Betroffene Unternehmen müssen umfassende Dokumentationen führen, die die Einhaltung der NIS-2 Anforderungen belegen. Diese Dokumentationen müssen regelmäßig aktualisiert und bei Bedarf den zuständigen Behörden vorgelegt werden.

7. Sicherheitsanforderungen für Cloud-Dienste und Drittanbieter

• Cloud-Sicherheit: Es gibt klare Anforderungen an die Sicherheit von Cloud-Diensten. Genutzte Cloud-Lösungen müssen den höchsten Sicherheitsstandards entsprechen und regelmäßig auf Schwachstellen überprüft werden.
• Verpflichtungen von Drittanbietern: Die Sicherheit der gesamten Lieferkette ist entscheidend. Überprüfen Sie regelmäßig, ob auch Ihre Drittanbieter die strengen Sicherheitsmaßnahmen implementiert haben.

8. Neue Anforderungen an Berichts- und Kommunikationskanäle

• Verfahren für die Meldung von Sicherheitsvorfällen: Betroffene Unternehmen und Organisationen müssen klare und effektive Verfahren zur Meldung von Sicherheitsvorfällen etablieren. Diese Verfahren sind so zu organisieren, dass Sicherheitsvorfälle schnell und vollständig gemeldet werden, um zeitnahe Reaktionen zu ermöglichen.
• Nachweise auf Anforderung: Auf Anforderung des BSI müssen Sie die Umsetzung Ihrer Maßnahmen nachweisen können.

9. Angleichung und Integration mit anderen Sicherheitsstandards

• Integration mit bestehenden Standards: Unternehmen müssen ihre Sicherheitsmaßnahmen so anpassen, dass sie sowohl die Anforderungen der NIS-2 Richtlinie als auch anderer relevanter Standards wie ISO 27001 oder TISAX® erfüllen. Dies erfordert eine sorgfältige Analyse und Anpassung der bestehenden Prozesse. Nutzen Sie unsere NIS-2 Checkliste.
• Vereinheitlichung von Sicherheitsprozessen: Unternehmen sollten ihre Cybersicherheitsprozesse vereinheitlichen, um Redundanzen zu vermeiden und die Einhaltung verschiedener Standards zu erleichtern. Dies führt zu effizienteren Sicherheitsoperationen und besserer Compliance.

Wie wir Sie dabei konkret unterstützen, von der Betroffenheitsfeststellung über die Gap-Analyse bis zum Nachweispaket, zeigt unsere NIS-2 Beratung.

Kostenloses Erstgespräch vereinbaren