Die Richtlinie erlegt „wesentlichen“ und „wichtigen“ Einrichtungen Pflichten zu Risikomanagementmaßnahmen, zur Sicherheit der Lieferkette und zu einer strengen Meldung von Sicherheitsvorfällen auf (Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden). Das Leitungsorgan ist verpflichtet, die Maßnahmen zu billigen und zu überwachen; bei einem Verstoß kann persönliche Verantwortung entstehen.
Erfasste Unternehmen in der EU
Mittlere und größere Einrichtungen in den benannten Sektoren; bei bestimmten kritischen Diensten unabhängig von der Größe.
Türkische Zulieferer
Weil die erfassten Unternehmen für die Sicherheit ihrer Lieferkette verantwortlich sind, wandern die Sicherheitsanforderungen in die Verträge.
Konzernstrukturen
Über Beteiligungen in der EU erreichen Richtlinien- und Auditpflichten auch Gruppen mit Sitz in der Türkei.
- 01Risikomanagementmaßnahmen umsetzen: einschließlich Zugriffskontrolle, Kryptografie, Datensicherung, Bewältigung von Sicherheitsvorfällen und Aufrechterhaltung des Betriebs.
- 02Sicherheit der Lieferkette gewährleisten; mit Sicherheitsanforderungen und Auditrechten in den Verträgen mit Zulieferern.
- 03Meldung von Sicherheitsvorfällen vornehmen; Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, danach ein ausführlicher Bericht.
- 04Aufsicht durch die Leitung und Schulung Billigung und Überwachung durch das Leitungsorgan sowie regelmäßige Schulungen zur Cybersicherheit.
Überblick
Die NIS-2-Richtlinie erweitert und verschärft das Cybersicherheitsniveau der EU. Rechtsgrundlage ist die Richtlinie (EU) 2022/2555 (ABl. L 333 vom 27.12.2022); sie ist am 16.01.2023 in Kraft getreten, und die Frist zur Umsetzung in nationales Recht lief am 17.10.2024 ab. Von ihrer Vorgängerin (NIS 1) unterscheidet sie sich durch einen weit größeren Anwendungsbereich, durch Sanktionen, die sich denen der DSGVO annähern, und dadurch, dass die Verantwortung ausdrücklich beim Leitungsorgan liegt.
Anwendungsbereich
In den in den Anhängen I und II aufgeführten Sektoren — Energie, Verkehr, Bankwesen, Gesundheit, Trinkwasser, digitale Infrastruktur und öffentliche Verwaltung sowie Post, Abfall, Chemie, Lebensmittel, kritische Zweige des verarbeitenden Gewerbes und digitale Anbieter — sind in der Regel mittlere und größere Einrichtungen erfasst. Die Einrichtungen werden als „wesentlich“ oder „wichtig“ eingestuft; danach richtet sich die Intensität der Aufsicht.
Kernpflichten
Die Unternehmen müssen Risikomanagementmaßnahmen umsetzen, die die Bewältigung von Sicherheitsvorfällen, die Aufrechterhaltung des Betriebs, die Sicherheit der Lieferkette, die Zugriffskontrolle und die Kryptografie umfassen; sie müssen erhebliche Sicherheitsvorfälle nach einem gestuften Zeitplan melden — Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, danach ein ausführlicher Bericht — und sie müssen die Aufsicht auf der Leitungsebene verankern.
Worauf es auf der türkischen Seite ankommt
Türkische Unternehmen geraten meist über die Lieferkette in den Anwendungsbereich: Kunden in der EU nehmen Sicherheitsanforderungen, Auditrechte und Meldefristen in ihre Verträge auf. IT und Recht müssen diese Bedingungen gemeinsam verhandeln.
Fahrplan
Eine Analyse des Anwendungsbereichs anhand der EU-Beteiligungen und des Kundenportfolios; der Abgleich des vorhandenen Sicherheitsrahmens, etwa nach ISO 27001, mit den Themen der NIS-2-Richtlinie; eine Ordnung für die Reaktion auf Sicherheitsvorfälle und deren Meldung; und der Nachweis der Aufsicht durch Beschlüsse des Leitungsorgans und durch Schulungsnachweise. Die Zuständigkeit ist dabei klar geteilt: Fragen des türkischen Rechts — die Umsetzung der weitergereichten Anforderungen in Ihrem Unternehmen und Ihre eigenen Verträge mit Vorlieferanten in der Türkei — bearbeitet Köksal in Istanbul; Fragen des deutschen Rechts, etwa die Registrierungs- und Meldepflichten Ihrer deutschen Tochtergesellschaft nach dem BSIG, bearbeitet unsere Partnerkanzlei activelaw (Hannover).
Sanktionen
Für wesentliche Einrichtungen sind Geldbußen mit einer Obergrenze von mindestens 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes vorgesehen, für wichtige Einrichtungen von mindestens 7 Mio. Euro oder 1,4 %; maßgeblich ist jeweils der höhere Betrag. Gegenüber den Mitgliedern des Leitungsorgans stehen bei einer Verletzung der Aufsichtspflicht persönliche Maßnahmen im Raum — bis hin zu einem vorübergehenden Verbot, Leitungsaufgaben wahrzunehmen.
Verwandte Inhalte
Die Verantwortung der Leitungsebene behandeln wir in unserer Analyse zur NIS-2-Richtlinie, die Ordnung der Vorfallreaktion in unserem Schwerpunkt Cybersicherheit. Für die Meldung von Datenschutzverletzungen lesen Sie diesen Eintrag zusammen mit den Einträgen zur DSGVO und zum türkischen Datenschutzgesetz (KVKK).
Inkrafttreten & Änderungshistorie
- 06.12.2025
Deutsche Umsetzung in Kraft
Mit dem NIS2UmsuCG trat das neue BSIG in Kraft (BGBl. 2025 I Nr. 301). Rund 29.500 Einrichtungen sind erfasst; die erste Frist für die Registrierung beim BSI lief am 06.03.2026 ab.
- 17.10.2024
Umsetzungsfrist abgelaufen
Die Pflicht der Mitgliedstaaten, die Richtlinie in nationales Recht umzusetzen, wurde wirksam.
- 16.01.2023
Inkrafttreten
Die Richtlinie, die an die Stelle von NIS 1 tritt, trat in Kraft.
Amtliche Quellen
Richtlinientext · EUR-Lex NIS2Orientierungshilfen · ENISA enisa.europa.euNIS-2-Umsetzungsseite des BSI bsi.bund.de
