NIS2 (Richtlinie (EU) 2022/2555) hat NIS1 (Richtlinie (EU) 2016/1148) am 18. Oktober 2024 abgelöst. Der größte Unterschied ist der Anwendungsbereich. Unter NIS1 ermittelte jeder Mitgliedstaat seine „Betreiber wesentlicher Dienste“ in 7 Sektoren. NIS2 gilt automatisch für mittlere und größere Einrichtungen in 18 Sektoren. Hinzu kommen zehn Mindestmaßnahmen für die Sicherheit, die Haftung der Leitungsorgane, eine erste Meldung innerhalb von 24 Stunden und Mindestobergrenzen für Bußgelder.
Dieser Leitfaden behandelt die Vergleichstabelle, wer erfasst ist, was sich bei Sicherheitsmaßnahmen, Meldungen, Leitung und Bußgeldern geändert hat, den Zeitplan, den Änderungsvorschlag von 2026 und was ein ehemaliger NIS1-Betreiber jetzt tun sollte.
| Thema | NIS1, Richtlinie (EU) 2016/1148 | NIS2, Richtlinie (EU) 2022/2555 |
|---|---|---|
| Inkrafttreten / Anwendung | In Kraft seit 8. August 2016, anwendbar ab 10. Mai 2018 | In Kraft seit 16. Januar 2023, anwendbar ab 18. Oktober 2024 |
| Wer erfasst ist | Von jedem Mitgliedstaat ermittelte Betreiber wesentlicher Dienste sowie Anbieter digitaler Dienste | Einrichtungen der in Anhang I und II genannten Arten, die mindestens mittlere Unternehmen sind, sowie einige unabhängig von ihrer Größe |
| Sektoren | 7 für Betreiber sowie 3 Arten digitaler Dienste | 18 (11 in Anhang I, 7 in Anhang II) |
| Kategorien | Betreiber wesentlicher Dienste, Anbieter digitaler Dienste | Wesentliche und wichtige Einrichtungen |
| Sicherheitsmaßnahmen | „Geeignete und verhältnismäßige“ Maßnahmen | Derselbe Grundsatz, plus zehn Mindestmaßnahmen (Artikel 21 Absatz 2) |
| Leitung | Keine besondere Pflicht | Leitungsorgane billigen, überwachen, können verantwortlich gemacht werden und müssen an Schulungen teilnehmen (Artikel 20) |
| Meldung von Sicherheitsvorfällen | „Unverzüglich“ | Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats (Artikel 23) |
| Lieferkette | Nicht erwähnt | Eine ausdrückliche Maßnahme (Artikel 21 Absatz 2 Buchstabe d), plus koordinierte Bewertungen auf EU-Ebene (Artikel 22) |
| Bußgelder | Von jedem Mitgliedstaat festgelegt, keine Beträge | Höchstbetrag von mindestens 10 Mio. EUR oder 2 % (wesentliche Einrichtungen) und 7 Mio. EUR oder 1,4 % (wichtige Einrichtungen), je nachdem, welcher Betrag höher ist (Artikel 34) |
| Telekommunikation und Vertrauensdienste | Außerhalb der Sicherheits- und Meldevorschriften von NIS1 | Unabhängig von der Größe erfasst |
Was ist der Unterschied zwischen NIS1 und NIS2?
Der Weg in den Anwendungsbereich. Unter NIS1 musste jeder Mitgliedstaat bis zum 9. November 2018 die Betreiber wesentlicher Dienste mit einer Niederlassung in seinem Hoheitsgebiet ermitteln. Geprüft wurde, ob eine Einrichtung einen Dienst erbringt, der für die Aufrechterhaltung kritischer gesellschaftlicher oder wirtschaftlicher Tätigkeiten unerlässlich ist, ob dieser Dienst von Netz- und Informationssystemen abhängt und ob ein Sicherheitsvorfall eine erhebliche Störung bewirken würde. Jedes Land wendete diesen Test auf seine eigene Weise an. Dieselbe Art von Unternehmen konnte daher in einem Land erfasst sein und in einem anderen nicht.
NIS2 hat das durch eine Größenregel ersetzt. Nach Artikel 2 Absatz 1 gilt die Richtlinie für Einrichtungen einer in Anhang I oder II genannten Art, die nach der KMU-Definition der EU (Empfehlung 2003/361/EG) als mittlere Unternehmen gelten oder diese Größe überschreiten. Einige Einrichtungen sind unabhängig von ihrer Größe erfasst, darunter Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste, Vertrauensdiensteanbieter, TLD-Namenregister, DNS-Diensteanbieter und Anbieter von Domänennamen-Registrierungsdiensten. Die Mitgliedstaaten können weiterhin Einrichtungen nach bestimmten Kriterien hinzufügen, etwa wenn eine Einrichtung der einzige Anbieter eines wesentlichen Dienstes ist.
Ob Sie als wesentliche oder wichtige Einrichtung gelten, ergibt sich dann vor allem aus Sektor und Größe, wie in unserem Beitrag zu wesentlichen und wichtigen Einrichtungen erklärt. Ihre eigene Einordnung prüfen Sie mit dem NIS2-Betroffenheitscheck.
Welche Sektoren umfasste NIS1, welche umfasst NIS2?
NIS1 hatte 7 Sektoren für Betreiber wesentlicher Dienste (Anhang II der NIS1): Energie (Elektrizität, Erdöl, Erdgas), Verkehr (Luftverkehr, Schienenverkehr, Schifffahrt, Straßenverkehr), Bankwesen, Finanzmarktinfrastrukturen, Einrichtungen der medizinischen Versorgung, Trinkwasserlieferung und -versorgung sowie digitale Infrastruktur (Internet-Knoten, DNS-Diensteanbieter, TLD-Namenregister). Daneben erfasste sie drei Arten von Anbietern digitaler Dienste (Anhang III): Online-Marktplätze, Online-Suchmaschinen und Cloud-Computing-Dienste.
NIS2 hat 18 Sektoren.
- Anhang I, Sektoren mit hoher Kritikalität (11): Energie (jetzt einschließlich Fernwärme und -kälte, Wasserstoff und Ladepunkte), Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten (Business-to-Business), öffentliche Verwaltung und Weltraum.
- Anhang II, sonstige kritische Sektoren (7): Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe (darunter Medizinprodukte, Datenverarbeitungsgeräte und elektronische Erzeugnisse, elektrische Ausrüstungen, Maschinen und Fahrzeuge), Anbieter digitaler Dienste (Online-Marktplätze, Suchmaschinen, Plattformen für Dienste sozialer Netzwerke) und Forschung.
Die Neuzugänge betreffen vor allem mittelgroße Unternehmen, die nie mit NIS1 zu tun hatten: Anbieter verwalteter Dienste, Rechenzentren, Hersteller, Lebensmittelunternehmen und Forschungseinrichtungen. Cloud-Computing-Dienste waren schon unter NIS1 als Anbieter digitaler Dienste erfasst. Wenn Sie ein Anbieter verwalteter Dienste sind, lesen Sie NIS2 für MSPs und MSSPs.
Wie haben sich die Sicherheitsanforderungen geändert?
NIS1 verlangte von Betreibern wesentlicher Dienste „geeignete und verhältnismäßige technische und organisatorische Maßnahmen“ unter Berücksichtigung des Stands der Technik (Artikel 14). Für Anbieter digitaler Dienste nannte sie fünf zu berücksichtigende Elemente, etwa die Bewältigung von Sicherheitsvorfällen, das Business Continuity Management und die Einhaltung internationaler Normen (Artikel 16).
NIS2 behält den Grundsatz der Verhältnismäßigkeit bei, macht aber drei Dinge ausdrücklich. Die Maßnahmen folgen einem gefahrenübergreifenden Ansatz, der auch die physische Umgebung Ihrer Systeme einschließt. Artikel 21 Absatz 2 enthält zehn Mindestmaßnahmen, von der Risikoanalyse und der Bewältigung von Sicherheitsvorfällen bis zur Sicherheit der Lieferkette, Kryptografie und gegebenenfalls Multi-Faktor-Authentifizierung. Und für Anbieter von Cloud-Computing-, Rechenzentrums- und DNS-Diensten, Anbieter verwalteter Dienste und mehrere andere digitale Anbieter legt die Durchführungsverordnung (EU) 2024/2690 detaillierte technische Anforderungen fest. Die zehn Maßnahmen erklären wir in unserem Beitrag zu NIS2 Artikel 21.
Bei der Aufsicht hat sich weniger geändert, als viele denken. Schon NIS1 erlaubte den Behörden, von Betreibern wesentlicher Dienste dokumentierte Sicherheitsmaßnahmen und die Ergebnisse von Sicherheitsüberprüfungen zu verlangen (Artikel 15), und Anbieter digitaler Dienste wurden nachträglich beaufsichtigt (Artikel 17). NIS2 behält diese Aufteilung bei: umfassende Aufsicht für wesentliche Einrichtungen, nachträgliche Aufsicht für wichtige Einrichtungen.
Wie hat sich die Meldung von Sicherheitsvorfällen geändert?
NIS1 verlangte, Sicherheitsvorfälle „unverzüglich“ zu melden, wenn sie erhebliche Auswirkungen auf die Verfügbarkeit eines wesentlichen Dienstes hatten, bei Anbietern digitaler Dienste beträchtliche Auswirkungen. Eine Frist in Stunden nannte sie nicht.
Artikel 23 NIS2 legt für erhebliche Sicherheitsvorfälle einen dreistufigen Ablauf fest:
- Eine Frühwarnung innerhalb von 24 Stunden, nachdem die Einrichtung Kenntnis von dem Sicherheitsvorfall erlangt hat.
- Eine Meldung über den Sicherheitsvorfall innerhalb von 72 Stunden, mit einer ersten Bewertung von Schweregrad und Auswirkungen.
- Ein Abschlussbericht spätestens einen Monat nach der Meldung über den Sicherheitsvorfall.
Vertrauensdiensteanbieter müssen die Meldung über den Sicherheitsvorfall innerhalb von 24 Stunden übermitteln. NIS2 definiert außerdem, was „erheblich“ bedeutet: ein Sicherheitsvorfall, der schwerwiegende Betriebsstörungen oder finanzielle Verluste für die Einrichtung verursacht oder verursachen kann oder anderen erhebliche materielle oder immaterielle Schäden zufügt oder zufügen kann. Die Fristen in der Praxis behandelt unser Beitrag zum NIS2-Meldezeitplan für Sicherheitsvorfälle.
Was hat sich für die Leitung und bei den Bußgeldern geändert?
NIS1 enthielt keine besonderen Vorgaben für die Geschäftsleitung. Nach Artikel 20 NIS2 müssen die Leitungsorgane die Risikomanagementmaßnahmen im Bereich der Cybersicherheit billigen und ihre Umsetzung überwachen, und sie können für Verstöße der Einrichtung gegen Artikel 21 verantwortlich gemacht werden. Die Mitglieder der Leitungsorgane müssen an Schulungen teilnehmen.
NIS1 überließ die Sanktionen vollständig den Mitgliedstaaten (Artikel 21 der NIS1) und verlangte nur, dass sie „wirksam, angemessen und abschreckend“ sind. Artikel 34 NIS2 legt Mindestobergrenzen für Verstöße gegen Artikel 21 oder 23 fest: mindestens 10.000.000 EUR oder 2 % des gesamten weltweiten Jahresumsatzes für wesentliche Einrichtungen und 7.000.000 EUR oder 1,4 % für wichtige Einrichtungen, je nachdem, welcher Betrag höher ist. Eine höhere Stufe gibt es nicht. Nationale Gesetze können höhere Obergrenzen festlegen, und sie regeln das Verfahren. Details finden Sie in unserem Beitrag zu Durchsetzung und Sanktionen unter NIS2.
Wann hat NIS2 die NIS1 abgelöst?
| Datum | Was geschah |
|---|---|
| 19. Juli 2016 | NIS1 im Amtsblatt veröffentlicht |
| 9. Mai 2018 | Frist für die Umsetzung von NIS1, anwendbar ab 10. Mai 2018 |
| 27. Dezember 2022 | NIS2 im Amtsblatt veröffentlicht |
| 16. Januar 2023 | NIS2 in Kraft getreten |
| 17. Oktober 2024 | Frist für die Mitgliedstaaten, ihre NIS2-Gesetze zu erlassen |
| 18. Oktober 2024 | Nationale NIS2-Gesetze gelten, NIS1 aufgehoben |
| 17. April 2025 | Listen der wesentlichen und wichtigen Einrichtungen der Mitgliedstaaten fällig |
Viele Mitgliedstaaten waren spät dran. Am 8. Juli 2026 hat die Kommission Irland, Spanien, Frankreich und die Niederlande vor dem Gerichtshof verklagt, weil sie ihre Umsetzungsmaßnahmen nicht mitgeteilt hatten. Hat ein Land sein NIS2-Gesetz noch nicht verabschiedet, klären Sie mit der nationalen Behörde, welche Regeln in der Zwischenzeit gelten. Beispiele aus einzelnen Ländern: Deutschland, Belgien und Luxemburg.
Wird NIS2 erneut geändert?
Eine Änderung ist vorgeschlagen, aber nicht beschlossen. Am 20. Januar 2026 hat die Kommission gezielte Änderungen der NIS2 vorgeschlagen (COM(2026) 13). Dazu gehören eine neue Kategorie „kleiner Midcap-Unternehmen“, die die Kosten der Einhaltung senken soll, Anpassungen des Anwendungsbereichs in Sektoren wie Elektrizität und Chemie, eine vereinfachte Erhebung von Daten zu Ransomware, einfachere Zuständigkeitsregeln und die Zertifizierung der „Cyberabwehr“ (cyber posture) einer Einrichtung als Nachweis der Einhaltung. Nach Angaben der Kommission würde das Paket die Einhaltung für rund 28.700 Unternehmen vereinfachen.
Solange das Europäische Parlament und der Rat den Vorschlag nicht angenommen und die Mitgliedstaaten ihn nicht umgesetzt haben, gelten der aktuelle NIS2-Text und Ihr nationales Gesetz.
Was sollten Sie jetzt tun, wenn Sie unter NIS1 fielen?
Sie fallen mit ziemlicher Sicherheit weiterhin in den Anwendungsbereich. Es geht also um die Lücken. Fünf Punkte erfordern meist Arbeit:
- Registrierung. NIS2 verlangt von jeder erfassten Einrichtung, der Behörde Namen, Kontaktdaten, IP-Adressbereiche, Sektor und die Länder, in denen sie tätig ist, mitzuteilen und Änderungen innerhalb von zwei Wochen zu melden. Unter NIS1 hat die Behörde die Betreiber ermittelt. Unter NIS2 erwarten viele Länder, dass sich die Einrichtungen selbst registrieren.
- Leitungsorgan. Billigung der Maßnahmen durch das Leitungsorgan, dokumentierte Überwachung und Schulung seiner Mitglieder.
- Lieferkette. Ein Lieferantenverzeichnis, Sicherheitskriterien in Verträgen und eine Bewertung jedes kritischen unmittelbaren Anbieters.
- Meldefrist. Eine Rufbereitschaft, die eine Frühwarnung innerhalb von 24 Stunden abgeben kann, auch am Wochenende.
- Nachweise. Die Einhaltung von NIS1 wurde oft mit Dokumenten belegt. NIS2-Behörden verlangen Nachweise, dass die Maßnahmen umgesetzt sind.
Am letzten Punkt geraten die meisten Programme ins Stocken. Eine Sicherheitsrichtlinie mit dem Satz „MFA für alle administrativen Zugänge“ ist schnell geschrieben. Zu zeigen, dass das heute für jedes Administratorkonto zutrifft, ist es nicht, es sei denn, die Nachweise kommen aus den Systemen selbst. Genau das sammelt die CloudSoul-Plattform, und ein Mensch prüft, was die Daten nicht klären. Das gesamte NIS2-Programm finden Sie auf der Seite zur NIS2-Compliance.
Checkliste: von NIS1 zu NIS2
- Bestätigen Sie Ihre NIS2-Kategorie, wesentlich oder wichtig, nach Ihrem nationalen Gesetz.
- Registrieren Sie sich bei Ihrer zuständigen Behörde oder prüfen Sie, ob Ihre Registrierung aktuell ist.
- Führen Sie eine Gap-Analyse Ihrer NIS1-Maßnahmen gegenüber den zehn Maßnahmen aus Artikel 21 durch.
- Lassen Sie die Maßnahmen nachweisbar vom Leitungsorgan billigen und planen Sie die Schulung.
- Erstellen Sie ein Lieferantenverzeichnis und ergänzen Sie kritische Verträge um Sicherheitsklauseln.
- Testen Sie, ob Sie eine Frühwarnung innerhalb von 24 Stunden abgeben können.
- Ersetzen Sie Dokumente durch Nachweise, wo die Behörde Belege verlangen wird.
Quellen
- Richtlinie (EU) 2016/1148 (NIS1), Artikel 1, 5, 14 bis 17, 21, 25 und 26, Anhänge II und III, EUR-Lex.
- Richtlinie (EU) 2022/2555 (NIS2), Artikel 2, 3, 20 bis 23, 34, 41, 44 und 45, Anhänge I und II, EUR-Lex.
- Europäische Kommission, Themenseite zur NIS2-Richtlinie (Klagen vor dem Gerichtshof vom 8. Juli 2026, Vorschlag vom Januar 2026), Shaping Europe’s digital future.
- Europäische Kommission, Fragen und Antworten zum Cybersicherheitspaket, 20. Januar 2026, Shaping Europe’s digital future.
Häufige Fragen
Was ist der Unterschied zwischen NIS1 und NIS2?
Vor allem der Anwendungsbereich. Unter NIS1 ermittelte jeder Mitgliedstaat seine Betreiber wesentlicher Dienste in 7 Sektoren, dazu kamen drei Arten von Anbietern digitaler Dienste. NIS2 gilt automatisch für mittlere und größere Einrichtungen in 18 Sektoren und ergänzt zehn Mindestmaßnahmen für die Sicherheit, die Haftung der Leitungsorgane, strengere Meldefristen und Mindestobergrenzen für Bußgelder.
Gilt NIS1 noch?
Nein. Die Richtlinie (EU) 2016/1148 (NIS1) wurde mit Wirkung vom 18. Oktober 2024 aufgehoben, dem Tag, ab dem die Mitgliedstaaten NIS2 anwenden mussten. Hat ein Land sein NIS2-Gesetz noch nicht verabschiedet, klären Sie mit der nationalen Behörde, welche Regeln in der Zwischenzeit gelten.
Wie viele Sektoren umfasst NIS2 im Vergleich zu NIS1?
NIS2 umfasst 18 Sektoren: 11 Sektoren mit hoher Kritikalität in Anhang I und 7 sonstige kritische Sektoren in Anhang II. NIS1 umfasste 7 Sektoren für Betreiber wesentlicher Dienste sowie Online-Marktplätze, Online-Suchmaschinen und Cloud-Computing-Dienste.
Welche Bußgelder sah NIS1 vor?
NIS1 legte keine Beträge fest. Nach Artikel 21 mussten die Mitgliedstaaten wirksame, angemessene und abschreckende Sanktionen festlegen. NIS2 legt Mindestobergrenzen fest: mindestens 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen und 7 Mio. EUR oder 1,4 % für wichtige Einrichtungen, je nachdem, welcher Betrag höher ist.
Wenn wir NIS1 erfüllt haben, erfüllen wir dann auch NIS2?
Nicht automatisch. Sie fallen sehr wahrscheinlich weiterhin in den Anwendungsbereich, aber NIS2 ergänzt ausdrückliche Maßnahmen wie die Sicherheit der Lieferkette und gegebenenfalls Multi-Faktor-Authentifizierung, die Billigung durch die Leitungsorgane und deren Schulung sowie eine Frühwarnung innerhalb von 24 Stunden. Ausgangspunkt ist eine Gap-Analyse anhand von Artikel 21 und Artikel 23.
