NIS2-Richtlinie: neue Cybersicherheitspflichten für Unternehmen

Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Umsatzes. Die NIS2-Richtlinie (Richtlinie 2022/2555) bringt die schärfsten Cybersicherheitspflichten in der Geschichte der EU: Sie weitet den Anwendungsbereich von 7 auf 18 Branchen aus und erfasst alle mittleren und großen Unternehmen dieser Branchen.

Spanien liegt mit der Umsetzung mehr als 16 Monate im Rückstand. Der Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, der spanische Gesetzentwurf zur Koordinierung und Governance der Cybersicherheit, wurde im Januar 2025 vom Ministerrat verabschiedet, steckt aber weiterhin im parlamentarischen Verfahren. Die Europäische Kommission hat Spanien wegen dieser Verzögerung bereits eine mit Gründen versehene Stellungnahme übermittelt (Mai 2025). Bis dahin sind die Pflichten der Richtlinie in vielen Punkten unmittelbar anwendbar.

Was ist die NIS2-Richtlinie und warum betrifft sie Ihr Unternehmen?

NIS2 ersetzt die frühere NIS-Richtlinie (2016) und hebt das Anforderungsniveau an die Cybersicherheit europäischer Unternehmen und Organisationen deutlich an. Die wichtigsten Änderungen:

• Mehr Branchen: von 7 auf 18 verpflichtete Branchen
• Mehr Unternehmen: alle mittleren und großen Unternehmen dieser Branchen, nicht nur kritische Betreiber
• Mehr Pflichten: konkrete technische und organisatorische Maßnahmen, mit strengen Meldefristen
• Mehr Sanktionen: Bußgelder auf dem Niveau der DSGVO, mit persönlicher Verantwortung der Leitungsorgane

Die Richtlinie reagiert auf eine wachsende Bedrohungslage: Cyberangriffe auf europäische Unternehmen haben sich vervielfacht, und die digitale Abhängigkeit sorgt dafür, dass ein Vorfall in einem Unternehmen die gesamte Wertschöpfungskette treffen kann.

Welche Unternehmen betrifft NIS2? Branchen und Schwellenwerte

NIS2 teilt die Branchen in zwei Kategorien und die Unternehmen in zwei Pflichtstufen ein:

Branchen mit hoher Kritikalität (Anhang I)

• Energie (Strom, Öl, Gas, Wasserstoff, Fernwärme)
• Verkehr (Luft, Schiene, See, Straße)
• Bankwesen und Finanzmarktinfrastrukturen
• Gesundheitswesen
• Trinkwasser und Abwasser
• Digitale Infrastruktur (DNS, IXP, Cloud, Rechenzentren)
• Verwaltung von IKT-Diensten (B2B)
• Öffentliche Verwaltung
• Weltraum

Sonstige kritische Branchen (Anhang II)

• Post- und Kurierdienste
• Abfallbewirtschaftung
• Herstellung und Vertrieb von Chemikalien
• Produktion und Vertrieb von Lebensmitteln
• Verarbeitendes Gewerbe (Medizinprodukte, Elektronik, Maschinen, Fahrzeuge)
• Anbieter digitaler Dienste (Marktplätze, Suchmaschinen, soziale Netzwerke)
• Forschung

Größenschwellen

Unternehmen unterhalb dieser Schwellen fallen grundsätzlich nicht unmittelbar unter NIS2. Die Mitgliedstaaten können jedoch kleinere Einrichtungen benennen, wenn sie diese für ihre Branche als kritisch einstufen.

Gehört Ihr Unternehmen zu einer dieser 18 Branchen? Unser Team der spezialisierten Beratung kann Ihre Exponierung gegenüber NIS2 bewerten.

Zentrale Pflichten: was NIS2 verlangt

Maßnahmen des Risikomanagements

Die betroffenen Einrichtungen müssen technische, operative und organisatorische Maßnahmen umsetzen, die dem Risiko angemessen sind. Die Richtlinie führt mindestens zehn Bereiche auf:

• Richtlinien für Informationssicherheit und Risikoanalyse
• Behandlung von Sicherheitsvorfällen
• Betriebskontinuität und Krisenmanagement
• Sicherheit der Lieferkette
• Sicherheit bei Beschaffung und Entwicklung von Systemen
• Bewertung der Wirksamkeit der ergriffenen Maßnahmen
• Cyberhygiene und Schulung des Personals
• Richtlinien für Kryptografie und Verschlüsselung
• Sicherheit des Personals und Zugriffskontrolle
• Multifaktor-Authentifizierung und sichere Kommunikation

Meldung von Vorfällen

Tritt ein erheblicher Vorfall ein, muss das Unternehmen ein gestuftes Verfahren einhalten:

Ein Vorfall gilt als „erheblich“, wenn er eine schwere Betriebsstörung des Dienstes verursacht oder andere natürliche oder juristische Personen erheblich schädigt – oder schädigen kann.

Verantwortung der Leitungsorgane

NIS2 führt die persönliche Verantwortung der Leitungsorgane ein. Die Leitung wesentlicher Einrichtungen muss die Cybersicherheitsmaßnahmen genehmigen, ihre Umsetzung überwachen und eigene Schulungen absolvieren. Bei Verstößen droht ein vorübergehendes Verbot, Leitungsfunktionen auszuüben.

Sanktionen bei Verstößen: bis zu 10 Millionen Euro

Das Sanktionsregime unterscheidet zwischen den beiden Arten von Einrichtungen:

Neben den Geldbußen können die Behörden:

• die Veröffentlichung des Verstoßes anordnen
• Zertifizierungen oder Genehmigungen aussetzen
• die Ausübung von Leitungsfunktionen vorübergehend untersagen (nur bei wesentlichen Einrichtungen)

Diese Sanktionen liegen auf dem Niveau der DSGVO und bedeuten einen enormen Sprung gegenüber der ursprünglichen NIS-Richtlinie, die das Sanktionsregime fast vollständig den einzelnen Mitgliedstaaten überließ.

Stand von NIS2 in Spanien: Umsetzung ausstehend

Die Umsetzungsfrist lief am 17. Oktober 2024 ab. Spanien hat sie nicht eingehalten. Der aktuelle Stand:

• Januar 2025: Der spanische Ministerrat verabschiedete den Gesetzentwurf zur Koordinierung und Governance der Cybersicherheit
• Mai 2025: Die Europäische Kommission übermittelte Spanien wegen der Verzögerung eine mit Gründen versehene Stellungnahme
• Mai 2026: Der Text wartet weiterhin auf die parlamentarische Beratung in den Cortes

Das spanische Gesetz wird das Centro Nacional de Ciberseguridad, das nationale Cybersicherheitszentrum, schaffen und Zuständigkeiten an das CCN (Centro Criptológico Nacional), INCIBE und die Koordinierungsstelle für Cybersicherheit des spanischen Innenministeriums übertragen.

Solange die Umsetzung nicht abgeschlossen ist, sollten Unternehmen davon ausgehen, dass viele Pflichten der Richtlinie unmittelbare Wirkung entfalten, vor allem die zur Meldung von Vorfällen und die Mindestsicherheitsmaßnahmen. Vorsicht gebietet, sich vorzubereiten, ohne auf das nationale Gesetz zu warten.

Wollen Sie der Pflicht zuvorkommen? Sprechen Sie unser Team an, um Ihren Fahrplan für die Cybersicherheit nach NIS2 zu entwerfen.

Wie Sie sich vorbereiten: Schritte und verfügbare Fördermittel

Anpassungsplan in 5 Schritten

1. Feststellen, ob Ihr Unternehmen betroffen ist: Branche (18 Branchen) und Größe prüfen (≥50 Beschäftigte oder >10 Mio. €)
2. Ihre Einrichtung einstufen: wesentlich oder wichtig, je nach Branche und Größe
3. Eine Risikoanalyse durchführen: den aktuellen Stand der Cybersicherheit an den 10 Bereichen der Richtlinie messen
4. Die technischen und organisatorischen Maßnahmen umsetzen: Sicherheitsrichtlinien, Behandlung von Vorfällen, Betriebskontinuität, Sicherheit der Lieferkette
5. Das Meldeverfahren einrichten: die Abläufe für die Fristen von 24 Stunden, 72 Stunden und 1 Monat vorbereiten

Fördermittel für die Umstellung

Investitionen in Cybersicherheit lassen sich über laufende spanische Förderprogramme unterstützen:

• Kit Consulting: enthält ein Modul für grundlegende Cybersicherheit (6.000 €) mit Risikobewertung, Sicherheitsrichtlinien und Schulungsplan
• Kit Digital: die Kategorie Cybersicherheit für Unternehmen deckt Schutz- und Erkennungswerkzeuge ab
• Steuerabzüge: Investitionen in Sicherheitssoftware und -systeme können Steuerabzüge für technologische Innovation nutzen

Bei Tecnocim Innova unterstützen wir Sie dabei, Ihre Exponierung gegenüber NIS2 zu bewerten, einen Anpassungsplan zu entwerfen und ihn mit den verfügbaren öffentlichen Fördermitteln für die Finanzierung der Investition zu verbinden.

Sprechen Sie uns an für eine unverbindliche Ersteinschätzung.