02.02.2026

Author: Peter Amrhyn

NIS2-Grundlagen: 7 Fragen, die jede Führungskraft beantworten können sollte

Sind NIS und kritische Infrastrukturen nur etwas für IT-Sicherheitsfanatiker, Brüsseler Bürokraten und stark regulierte Branchen? Nun, das ist nicht mehr der Fall. Mit der überarbeiteten NIS2-Verordnung weitet die EU den Anwendungsbereich aus und erweitert die Liste der kritischen Sektoren, die nun entweder als "wesentlich" oder "wichtig" eingestuft werden. Dies bedeutet, dass nun eine wesentlich grössere Zahl von Unternehmen betroffen ist. Daher sollten sich alle Führungskräfte mit den neuen Rechtsvorschriften vertraut machen, um unangenehme Überraschungen zu vermeiden. Wir haben sieben wichtige Fragen und Antworten für Unternehmensleiter zusammengestellt.

Was ist NIS2 und warum ist es wichtig?

NIS steht für „Network and Information Security“. Mit NIS2 hat die EU die bestehende Cybersicherheitsrichtlinie aktualisiert, um die Resilienz kritischer Dienste in ganz Europa zu stärken. Die Richtlinie erweitert den Geltungsbereich der ursprünglichen NIS-Vorgaben deutlich und führt strengere Anforderungen an Governance, Risikomanagement und Meldepflichten bei Sicherheitsvorfällen ein. Für Führungskräfte ist NIS2 daher kein reines IT-Thema, sondern eine Verantwortung auf Vorstandsebene, die sich direkt auf die operative Resilienz, das regulatorische Risiko und das digitale Vertrauen auswirkt. Als EU-Richtlinie tritt NIS2 nicht automatisch in Kraft, sondern muss zunächst von den Mitgliedstaaten in nationales Recht umgesetzt werden. Wenn Sie wissen möchten, welche Länder diesen Schritt bereits umgesetzt haben, werfen Sie einen Blick auf die Karte im NIS2-Cheat Sheet.

Wer ist von NIS2 betroffen?

Die NIS2-Richtlinie gilt für mittlere und grosse Organisationen in definierten Sektoren wie Energie, Verkehr, Gesundheitswesen, digitaler Infrastruktur und Cloud-Diensten. Bestimmte Unternehmen fallen unabhängig von ihrer Größe unter NIS2, wenn sie als kritisch eingestuft werden. Auch Nicht-EU-Unternehmen können betroffen sein, sofern sie innerhalb der EU relevante Dienste erbringen.

Ob und in welchem Umfang Ihr Unternehmen unter NIS2 fällt, ist im Einzelfall auf Basis der nationalen Gesetze in den Ländern zu prüfen, in denen Ihr Unternehmen tätig ist. Im Zweifel sollten Unternehmen rechtlichen Rat einholen.

Was sind die wichtigsten Verpflichtungen auf den Punkt gebracht?

Die NIS2-Richtlinie verpflichtet Organisationen zur Umsetzung risikobasierter Cybersicherheits- und Resilienzmaßnahmen, darunter:

Klare Sicherheitsorganisation und Richtlinien
Formelles Risikomanagement und regelmäßige Bewertungen
Erkennung, Reaktion und verpflichtende Meldung von Sicherheitsvorfällen
Business-Continuity- und Disaster-Recovery-Planung
Management von Lieferketten- und Drittparteirisiken
Sensibilisierung der Mitarbeitenden und rollenbasierte Schulungen

Im Mittelpunkt stehen nicht bestimmte Technologien, sondern Wirksamkeit, Verantwortlichkeit und kontinuierliche Verbesserung.

Was bedeutet NIS2 für das Management auf Führungsebene?

NIS2 weist die Verantwortung ausdrücklich dem Leitungsorgan der Organisation zu. Führungskräfte müssen:

Cybersicherheits-Risikomanagementmaßnahmen genehmigen
deren Umsetzung überwachen
für angemessene Ressourcen sorgen
regelmässig über Cybersicherheitsrisiken Bericht erhalten

Zwar können Aufgaben delegiert werden, die Verantwortung bleibt jedoch unteilbar. In einigen Ländern kann die Nichtbeachtung zu persönlichen Sanktionen gegenüber Mitgliedern der Geschäftsleitung führen.

Was sind die Anforderungen an die Meldepflicht bei Vorfällen?

Organisationen müssen erhebliche Cybersicherheitsvorfälle innerhalb strenger Fristen an die zuständigen nationalen Behörden melden. Die konkreten Vorgaben ergeben sich aus der jeweiligen nationalen Gesetzgebung, typischerweise gilt jedoch:

Eine Frühwarnmeldung innerhalb von 24 Stunden
Eine detailliertere Meldung innerhalb von 72 Stunden
Ein Abschlussbericht nach Behebung des Vorfalls

Dies macht leistungsfähige Prozesse für Erkennung, Protokollierung und Reaktion unverzichtbar.

Welche Folgen hat die Nichteinhaltung?

Je nach nationaler Umsetzung können Geldbußen bis zu folgenden Höchstbeträgen verhängt werden:

10 Mio. € oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen
7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes für wichtige Einrichtungen

Neben Geldbußen drohen Organisationen Reputationsschäden, eine verstärkte Aufsicht der Behörden sowie mögliche betriebliche Einschränkungen.

Wie sollten Organisationen in der Praxis an die NIS2-Richtlinie herangehen?

Führungskräfte sollten NIS2 als strategisches Resilienzprogramm verstehen – nicht als einmalige Compliance‑Übung. Zentrale Schritte sind:

Klären, ob und in welchen Bereichen NIS2 auf Ihre Organisation anwendbar ist
Klare Governance-Strukturen und Management-Überwachung etablieren
Eine strukturierte Gap-Analyse gegenüber den NIS2-Anforderungen durchführen
Massnahmen nach geschäftskritischem Risiko priorisieren
Vertrauenswürdige, konforme Partner für kritische digitale Dienste auswählen

Möchten Sie mehr über den aktuellen Stand der NIS2-Implementierung in den EU-Ländern erfahren oder die Bereitschaft Ihres Cybersicherheits-Risikomanagements beurteilen? Laden Sie unseren neuen NIS2-Spickzettel herunter!

Dieser Artikel dient nur zu Informationszwecken und stellt keine Rechtsberatung dar. Organisationen sollten die NIS2-Verpflichtungen auf der Grundlage ihrer spezifischen Umstände und der nationalen Umsetzung bewerten.

Erfolgsgeschichten

Erfolgsgeschichten

NIS2-Grundlagen: 7 Fragen, die jede Führungskraft beantworten können sollte

Was ist NIS2 und warum ist es wichtig?

Wer ist von NIS2 betroffen?

Was sind die wichtigsten Verpflichtungen auf den Punkt gebracht?

Was bedeutet NIS2 für das Management auf Führungsebene?

Was sind die Anforderungen an die Meldepflicht bei Vorfällen?

Welche Folgen hat die Nichteinhaltung?

Wie sollten Organisationen in der Praxis an die NIS2-Richtlinie herangehen?

Weitere Blogartikel

NIS2-Grundlagen: 7 Fragen, die jede...

5 Digital Trust und...

FAQ EU-Digitaler Produktpass (DPP)

Digitaler Produktpass: Bürde oder...