NIS2 im Jahr 2026: EU-Richtlinie 2022/2555, 18 Sektoren, wesentliche und wichtige Einrichtungen, Bußgelder bis 10 Millionen Euro

Entstehung: von NIS zu NIS2

Ihre Vorgängerin, die Richtlinie 2016/1148, war die erste europäische Querschnittsregelung auf diesem Gebiet. Zuvor war Cybersicherheit nur sektoral geregelt, vor allem in Finanzwesen und Telekommunikation. Nach einigen Jahren benannte die Kommission vier Schwächen, auf die der neue Rechtsakt jeweils antwortet.

Die erste war die uneinheitliche Umsetzung: Die Mitgliedstaaten verstanden Schlüsselbegriffe verschieden, darunter die Definition eines wesentlichen Dienstes und die Schwellen für die Erheblichkeit eines Vorfalls, sodass dieselbe Stelle in einem Staat erfasst und im anderen frei war. Die zweite war der zu enge Anwendungsbereich mit sieben Sektoren, außerhalb dessen unter anderem Abfallwirtschaft, Lebensmittelherstellung und Postdienste blieben. Die dritte waren die Sanktionen, in einem Teil der Staaten angesichts des Risikos symbolisch. Die vierte war, dass Cybersicherheit Sache der IT blieb und die Leitung nicht einbezog.

Der Zeitplan der neuen Richtlinie ist kurz, doch vier Daten gehören unterschieden. Sie wurde am 14. Dezember 2022 angenommen, am 27. Dezember 2022 im Amtsblatt veröffentlicht und trat am 16. Januar 2023 in Kraft. Die Umsetzungsfrist endete am 17. Oktober 2024, tags darauf wurde die NIS-Richtlinie aufgehoben. Bis zum 17. April 2025 sollten die Mitgliedstaaten erste Verzeichnisse der erfassten Einrichtungen erstellen.

Die Richtlinie steht nicht für sich. Die Durchführungsverordnung (EU) 2024/2690 der Kommission ^[2] vom 17. Oktober 2024 präzisiert die technischen Anforderungen an die Maßnahmen aus Artikel 21 Absatz 2 sowie die Schwellen, ab denen ein Vorfall als erheblich gilt - allerdings nur für Anbieter digitaler Dienste und Vertrauensdienste, nicht für alle erfassten Stellen. Parallel gilt die CER-Richtlinie (2022/2557) ^[3], die die physische Widerstandsfähigkeit kritischer Einrichtungen regelt und NIS2 ergänzt statt ihr Konkurrenz zu machen. Methodische Materialien zur Umsetzung veröffentlicht die ENISA ^[9].

Anwendungsbereich: achtzehn Sektoren

NIS2 verteilt die erfassten Sektoren auf zwei Anhänge, das erste von zwei Kriterien der Einstufung. Anhang I erfasst Sektoren, die als besonders kritisch gelten, und begründet die Vermutung des strengeren Regimes; Anhang II erfasst die übrigen kritischen Sektoren.

Anhang I: Sektoren hoher Kritikalität

1. Energie - Strom, Fernwärme und -kälte, Erdöl, Gas und Wasserstoff samt Systembetreibern, Speicherung und Verteilung.
2. Verkehr - Luft, Schiene, Wasser und Straße, einschließlich Infrastrukturbetreiber und Verkehrsmanagementsysteme.
3. Bankwesen - Kreditinstitute.
4. Finanzmarktinfrastruktur - Betreiber von Handelsplätzen und zentrale Gegenparteien.
5. Gesundheit - Gesundheitsdienstleister, EU-Referenzlabore, Einrichtungen der Arzneimittelforschung und Hersteller kritischer Medizinprodukte im Gesundheitsnotstand.
6. Trinkwasser - Lieferung und Verteilung von Wasser für den menschlichen Gebrauch.
7. Abwasser - Sammlung, Ableitung und Behandlung kommunaler, häuslicher und industrieller Abwässer.
8. Digitale Infrastruktur - Internetknoten, DNS-Dienste, Register für Domänen oberster Stufe, Cloud- und Rechenzentrumsanbieter, Netze zur Inhaltsauslieferung, Vertrauensdiensteanbieter sowie Anbieter öffentlicher elektronischer Kommunikationsnetze und -dienste.
9. Verwaltung von IKT-Diensten - Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste.
10. Öffentliche Verwaltung - verpflichtend auf zentraler Ebene; die regionale Ebene bleibt der Entscheidung des Mitgliedstaats überlassen.
11. Weltraum - Betreiber bodengestützter Infrastruktur für Weltraumdienste.

Anhang II: sonstige kritische Sektoren

1. Post- und Kurierdienste.
2. Abfallwirtschaft.
3. Herstellung und Vertrieb von Chemikalien.
4. Herstellung, Verarbeitung und Vertrieb von Lebensmitteln.
5. Verarbeitendes Gewerbe - Medizinprodukte und In-vitro-Diagnostika, Computer und Elektronik, elektrische Ausrüstungen, Maschinen, Fahrzeuge und sonstige Fahrzeugbauteile.
6. Anbieter digitaler Dienste - Online-Marktplätze, Suchmaschinen und Plattformen sozialer Netzwerke.
7. Forschung - Forschungseinrichtungen.

Achtzehn Sektoren sind eine erhebliche Erweiterung gegenüber den sieben der NIS-Richtlinie. Zu bedenken bleibt jedoch, dass die Zugehörigkeit zu einem Sektor allein die Pflichten nicht auslöst - sie entscheidet erst in Verbindung mit der Größe der Einrichtung.

Wesentliche und wichtige Einrichtungen

Das zweite Kriterium ist die Unternehmensgröße, gemessen an der Definition aus der Empfehlung 2003/361/EG der Kommission. Als mittleres Unternehmen gilt, wer weniger als 250 Personen beschäftigt und dessen Jahresumsatz 50 Millionen Euro oder dessen Bilanzsumme 43 Millionen Euro nicht übersteigt. Klein ist, wer weniger als 50 Personen beschäftigt und 10 Millionen Euro nicht übersteigt, Kleinstunternehmen weniger als 10 Personen und 2 Millionen Euro. Groß ist alles, was in diese Schwellen nicht passt.

Die Definition führt oft in die Irre, denn die Finanzschwellen sind mit "oder" verbunden und nicht mit "und". Eine Firma mit 120 Beschäftigten und 80 Millionen Euro Umsatz bleibt also mittel, solange ihre Bilanzsumme 43 Millionen Euro nicht übersteigt - und landet in der leichteren Kategorie, obwohl der Umsatz anderes nahelegt. Bei der Einstufung sind zudem Kapitalverflechtungen zu berücksichtigen, denn die Empfehlung verlangt die Zusammenrechnung von Partner- und verbundenen Unternehmen.

Die Verbindung beider Kriterien ergibt vier Lagen. Ein Großunternehmen in einem Sektor des Anhangs I ist wesentliche Einrichtung. Ein mittleres Unternehmen im selben Sektor sowie ein großes oder mittleres in einem Sektor des Anhangs II sind wichtige Einrichtungen. Klein- und Kleinstunternehmen bleiben grundsätzlich außerhalb - und gerade von dieser Regel kennt die Richtlinie die meisten Ausnahmen.

Artikel 2 Absatz 2 NIS2 nennt Kategorien, die unabhängig von der Größe erfasst sind: Anbieter öffentlicher elektronischer Kommunikationsnetze und öffentlich zugänglicher Kommunikationsdienste, Vertrauensdiensteanbieter, Register für Domänen oberster Stufe und DNS-Anbieter, einen Teil der öffentlichen Verwaltung sowie Einrichtungen, die ein Mitgliedstaat als kritisch für nationale Sicherheit, öffentliche Ordnung oder öffentliche Gesundheit benennt. Eine Einzelfirma, die ein Domänenregister führt, unterliegt der Richtlinie also ebenso wie ein Energieversorger.

Beide Kategorien haben identische materielle Pflichten - dieselben Risikomanagementmaßnahmen und dieselbe Meldeordnung. Sie unterscheiden sich in Aufsicht und Sanktionen. Gegenüber wesentlichen Einrichtungen ist die Aufsicht vorausschauend: Die Behörde kann jederzeit prüfen oder auditieren, ohne zuvor einen Verstoß festzustellen. Gegenüber wichtigen Einrichtungen ist sie nachgelagert - sie setzt erst ein, wenn ein Anhaltspunkt für einen Verstoß vorliegt. Auch die Höchstgrenzen der Sanktionen unterscheiden sich, wie unten beschrieben.

Zehn Risikomanagementmaßnahmen (Artikel 21 Absatz 2)

Artikel 21 Absatz 1 verlangt von wesentlichen und wichtigen Einrichtungen geeignete und verhältnismäßige technische, betriebliche und organisatorische Maßnahmen unter Berücksichtigung des Stands der Technik, einschlägiger Normen und der Umsetzungskosten. Absatz 2 entfaltet das zu einem Katalog von zehn Kategorien mit den Buchstaben a bis j. Es ist ein Mindestkatalog und bewusst allgemein - die Richtlinie nennt weder konkrete Technologien noch Häufigkeiten und überlässt das der Risikoanalyse.

Die ersten vier Kategorien bilden das Gerüst. Buchstabe a verlangt Konzepte für Risikoanalyse und Sicherheit der Informationssysteme, Buchstabe b die Bewältigung von Vorfällen mit Erkennung, Analyse, Eindämmung, Beseitigung und Lernen; eine methodische Fassung dieses Prozesses gibt NIST SP 800-61 Rev. 3 ^[12], das die Reaktion als Teil des Risikomanagements begreift und nicht als eigene, durch einen Alarm ausgelöste Etappe. Buchstabe c betrifft die Betriebskontinuität samt Sicherungskopien, Wiederherstellung nach einem Ausfall und Krisenmanagement. Buchstabe d führt die Sicherheit der Lieferkette ein, der ein eigener Abschnitt gewidmet ist.

Die nächsten drei betreffen Lebenszyklus und Überprüfung. Buchstabe e umfasst die Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen samt Umgang mit Schwachstellen und deren Offenlegung. Buchstabe f verlangt Konzepte und Verfahren zur Bewertung der Wirksamkeit der Maßnahmen - die Grundlage für Audits, Penetrationstests und Schwachstellenscans, wobei die Richtlinie keine Häufigkeit vorgibt. Buchstabe g spricht von grundlegender Cyberhygiene und Schulungen, was sowohl die Härtung von Arbeitsplätzen und Servern als auch ein Programm zum Aufbau von Bewusstsein umfasst.

Die letzten drei steigen auf die technische Ebene. Buchstabe h betrifft Konzepte für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung. Buchstabe i verbindet Personalsicherheit, Zugriffskontrolle und Verwaltung von Werten. Buchstabe j reicht weiter, als sein umgangssprachlicher Name nahelegt: Er umfasst nicht nur Mehr-Faktor- oder kontinuierliche Authentifizierung, sondern auch gesicherte Sprach-, Text- und Videokommunikation sowie gesicherte Notfallkommunikationssysteme - also die Fähigkeit, zu koordinieren, wenn die reguläre Kommunikationsinfrastruktur ausgefallen oder als kompromittiert anzusehen ist.

Eine verbreitete Ungenauigkeit gehört zum Schluss berichtigt. Schulungen der Führungskräfte werden mitunter als elfte Maßnahme aus Artikel 21 genannt. Das trifft nicht zu: Die Pflicht zu regelmäßigen Schulungen der Mitglieder des Leitungsorgans folgt aus Artikel 20 Absatz 2 und ist eine eigene Konstruktion, an andere Personen gerichtet und anders durchgesetzt. Artikel 21 Absatz 4 ergänzt, dass eine Einrichtung, die eine Maßnahme als nicht erfüllt feststellt, unverzüglich Abhilfe zu schaffen hat - die Pflicht wirkt also auch zwischen Audits.

Sicherheit der Lieferkette

Artikel 21 Absatz 2 Buchstabe d bildet zusammen mit Artikel 22 die am weitesten entwickelten Anforderungen an Lieferantenrisiken im europäischen Recht. Die Vorschrift erfasst ausdrücklich Sicherheitsaspekte im Verhältnis zwischen einer Einrichtung und ihren unmittelbaren Anbietern und Dienstleistern, was die Verantwortungsgrenze markiert: Eine Organisation haftet nicht für die ganze Kette, muss aber für ihr eigenes Glied voll einstehen. Artikel 21 Absatz 3 ergänzt, dass bei der Wahl der Maßnahmen die für jeden Anbieter spezifischen Schwachstellen und die Gesamtqualität seiner Praktiken zu berücksichtigen sind.

Praktisch bedeutet das vier Gruppen von Handlungen. Die erste ist die Bestimmung kritischer Anbieter, also derjenigen, deren Ausfall oder Kompromittierung die eigene Diensterbringung berührt. Die zweite ist die Bewertung des damit verbundenen Risikos, die nicht nur die technische Seite umfasst, sondern auch die Konzentration, also die Lage, in der sich viele Prozesse nicht zu einem anderen Anbieter verlagern lassen. Die dritte ist die Übertragung der Anforderungen in Verträge: Sicherheitsklauseln, Prüfrechte und eine Meldepflicht für Vorfälle. Die vierte ist die laufende Aufsicht anhand von Zertifikaten, Auditberichten und der Vorfallhistorie des Anbieters.

Artikel 22 fügt einen europäischen Mechanismus hinzu. Die Kooperationsgruppe kann gemeinsam mit Kommission und ENISA koordinierte Risikobewertungen benannter kritischer Lieferketten für IKT-Dienste, -Systeme und -Produkte durchführen. Deren Ergebnisse sind kein bindendes Verbot, prägen aber Beschaffungsentscheidungen in der ganzen Union.

Für den polnischen IT-Markt zählt die mittelbare Folge am meisten. Anbieter von Cloud-Diensten, Rechenzentren, Netzen zur Inhaltsauslieferung und verwalteten Diensten - einschließlich Sicherheitsdiensten - gehören zu den Sektoren des Anhangs I, und Vertrauensdiensteanbieter sind unabhängig von der Größe erfasst. Eine Hosting-Firma oder ein Integrator ohne bisherige Pflichten kann heute selbst wesentliche oder wichtige Einrichtung sein und spürt unabhängig davon den Druck von Kundinnen, die die Aufsicht über ihre Lieferkette belegen müssen. Das ist einer der stärksten Wirkmechanismen der ganzen Richtlinie, denn er kommt ohne Aufsichtsbehörde aus.

Meldung von Vorfällen: 24 Stunden, 72 Stunden, ein Monat

Artikel 23 verwendet den Begriff des erheblichen Vorfalls und bestimmt ihn in Absatz 3 durch zwei Kriterien: Der Vorfall hat schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht oder kann sie verursachen, oder er hat andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt oder kann sie beeinträchtigen. Eines der beiden genügt.

Die Meldung hat drei Hauptstufen, und die Fristen laufen ab der Kenntniserlangung vom Vorfall, nicht ab seinem Eintritt. Binnen 24 Stunden übermittelt die Einrichtung dem zuständigen CSIRT eine Frühwarnung und gibt gegebenenfalls an, ob der Vorfall auf rechtswidrige oder böswillige Handlungen zurückgehen dürfte und ob er grenzüberschreitende Auswirkungen haben kann. Binnen 72 Stunden folgt die eigentliche Meldung mit einer ersten Bewertung von Schwere und Auswirkungen und, soweit verfügbar, Kompromittierungsindikatoren. Spätestens einen Monat nach dieser Meldung folgt der Abschlussbericht: eine ausführliche Beschreibung, die Art der Bedrohung oder die Grundursache, die ergriffenen Minderungsmaßnahmen und etwaige grenzüberschreitende Auswirkungen. Dauert der Vorfall an, tritt an die Stelle des Abschlussberichts ein Fortschrittsbericht, der Abschluss folgt einen Monat nach Ende der Bearbeitung. Unabhängig davon kann das CSIRT oder die Behörde jederzeit einen Zwischenbericht verlangen.

Die Pflicht endet nicht bei der Behörde. Artikel 23 Absatz 1 verlangt, gegebenenfalls auch die Empfänger des Dienstes über einen erheblichen Vorfall zu unterrichten, der die Diensterbringung beeinträchtigen kann, Absatz 2 über eine erhebliche Cyberbedrohung samt Maßnahmen, die die Empfänger ergreifen können. Bemerkenswert ist, dass die Richtlinie auch den Weg zurück vorsieht: Das CSIRT soll auf eine Frühwarnung möglichst binnen 24 Stunden antworten und kann technische Unterstützung leisten.

Zahlenschwellen gibt es, doch sie reichen nur begrenzt. Die Verordnung 2024/2690 ^[2] bestimmt sie nur für Anbieter digitaler Dienste und Vertrauensdienste. Für einen Cloud-Anbieter ist ein Vorfall unter anderem dann erheblich, wenn der Dienst länger als 30 Minuten vollständig nicht verfügbar ist oder wenn seine Verfügbarkeit länger als eine Stunde für mehr als 5 Prozent der Nutzenden in der Union oder für mehr als eine Million Nutzende eingeschränkt ist - je nachdem, welche Zahl kleiner ist. Das sind zwei getrennte Kriterien und nicht ein zusammengesetztes; ihre Verwechslung führt zu zu wenigen Meldungen. Die übrigen Sektoren haben keine Zahlenschwellen und müssen die Schwere selbst beurteilen.

Die größte operative Schwierigkeit bleibt die Bestimmung des Zeitpunkts, zu dem die Organisation "Kenntnis erlangt" hat. Das ist eine Beurteilung und keine technische Tatsache, weshalb das Verfahren vorab bestimmen sollte, wessen Einstufung die Uhr startet - meist der Zeitpunkt, zu dem das Überwachungsteam ein Ereignis als Vorfall nach den Kriterien des Artikels 23 Absatz 3 einstuft. Die Funktionen eines solchen Teams und typische Schwierigkeiten beschreibt eine Übersichtsarbeit zu Security Operations Centern ^[13] (siehe Artikel zum SOC). Die zweite Schwierigkeit ist die Unvollständigkeit der Informationen am ersten Tag, doch die Richtlinie setzt genau das voraus: Die Frühwarnung ist ein Signal und kein Bericht. Die dritte ist die Vielzahl der Adressaten, wenn ein Vorfall Empfänger in mehreren Mitgliedstaaten trifft.

Verantwortung des Leitungsorgans (Artikel 20)

Artikel 20 ist eine der weitestreichenden Änderungen der ganzen Richtlinie, denn er verlagert die Cybersicherheit von der operativen Ebene auf das Leitungsorgan. Absatz 1 begründet drei verbundene Pflichten: die Billigung der zur Erfüllung des Artikels 21 getroffenen Risikomanagementmaßnahmen, die Überwachung ihrer Umsetzung und die Verantwortung für Verstösse gegen diese Pflicht. Absatz 2 ergänzt die Pflicht, regelmäßig Schulungen zu besuchen, die es erlauben, Risiken zu erkennen und Managementpraktiken zu bewerten, und regt entsprechende Schulungen für Beschäftigte an.

Diese Konstruktion zählt, weil sie die Beweislast verschiebt. Die Billigung einer Richtlinie durch Beschluss des Leitungsorgans, ein dokumentierter Berichtszyklus und Nachweise besuchter Schulungen sind Belege, die zuvor niemand sammeln musste und die eine Aufsichtsbehörde nun unmittelbar prüfen kann. Ihr Fehlen ist ein Verstoß, unabhängig davon, wie gut die technischen Maßnahmen wirken.

Die persönliche Verantwortung folgt nicht unmittelbar aus der Richtlinie - Artikel 32 Absatz 5 überlässt ihre Ausgestaltung den Mitgliedstaaten und nennt zwei mögliche Mittel: ein befristetes Verbot der Ausübung von Leitungsfunktionen gegenüber einer natürlichen Person in der Rolle der Geschäftsführung oder gesetzlichen Vertretung und, bei wesentlichen Einrichtungen, die befristete Aussetzung einer Betriebserlaubnis. Gegenüber Stellen der öffentlichen Verwaltung bleibt die Vorschrift von nationalen Regeln zur Amtshaftung unberührt. Die polnische Novelle des Cybersicherheitsgesetzes ^[4] führt ein eigenes Sanktionssystem ein, dessen Anwendung sich nach dem unten beschriebenen Zeitplan verteilt.

Die praktischen Folgen sind vorhersehbar. Wer für Informationssicherheit verantwortlich ist, erhält einen Berichtsweg unmittelbar zum Leitungsorgan, Richtlinien sind keine Dokumente der IT-Abteilung mehr, und Budgetentscheidungen verlangen eine an konkreten Anforderungen ausgerichtete Begründung. Das Leitungsorgan braucht zudem eine festgelegte Rolle in der Vorfallbearbeitung, vor allem bei der externen Kommunikation und bei strategischen Entscheidungen.

Verwaltungssanktionen

Die Höchstgrenzen unterscheiden sich nach Kategorie. Gegenüber wesentlichen Einrichtungen verlangt Artikel 34 Absatz 4 von den Mitgliedstaaten eine Höchstsanktion von mindestens 10 000 000 Euro oder mindestens 2 Prozent des gesamten weltweiten Jahresumsatzes des Unternehmens im vorangegangenen Geschäftsjahr, wobei der höhere Betrag gilt. Gegenüber wichtigen Einrichtungen sieht Artikel 34 Absatz 5 entsprechend 7 000 000 Euro oder 1,4 Prozent vor. Für große Konzerne bindet praktisch der Prozentwert und nicht der Festbetrag.

Die Höhe ist jedoch nicht beliebig. Artikel 32 Absatz 7 verpflichtet die zuständigen Behörden, die Verteidigungsrechte zu wahren und acht Faktoren zu berücksichtigen: Schwere des Verstoßes und Bedeutung der verletzten Vorschriften, seine Dauer, einschlägige frühere Verstösse der Einrichtung, verursachte materielle und immaterielle Schäden samt Wirkung auf andere Dienste und Zahl betroffener Nutzender, Vorsatz oder Fahrlässigkeit, Maßnahmen zur Verhinderung oder Minderung des Schadens, die Anwendung genehmigter Verhaltensregeln oder Zertifizierungsmechanismen sowie den Grad der Zusammenarbeit. Die Vorschrift nennt zudem fünf Verstösse, die stets als schwer gelten: wiederholte Verstösse, das Unterlassen der Meldung oder Behebung erheblicher Vorfälle, das Unterlassen der Beseitigung von Mängeln entgegen verbindlichen Anweisungen, das Behindern von Audits oder Überwachung sowie unrichtige oder grob ungenaue Angaben zu den Maßnahmen aus Artikel 21 und den Meldungen aus Artikel 23.

Neben Geldsanktionen sieht die Richtlinie nicht finanzielle Mittel vor, praktisch oft empfindlicher: die Anordnung, den Verstoß einzustellen, die Anordnung, Auditempfehlungen umzusetzen, die Veröffentlichung des Verstoßes und, bei wesentlichen Einrichtungen, die befristete Aussetzung einer Erlaubnis oder ein Leitungsverbot.

Das Ausmaß der Änderung zeigt der Vergleich. Das polnische Cybersicherheitsgesetz in der Fassung von 2018 ^[5] sah Sanktionen in der Größenordnung einiger hunderttausend Zloty vor, also zwei Größenordnungen niedriger. Nach der Umsetzung wird der Verstoß gegen Cybersicherheitspflichten zu einem regulatorischen Risiko, das dem Verstoß gegen den Datenschutz vergleichbar ist - mit dem Unterschied, dass ein Teil der Sanktionen eine Person und nicht nur die Organisation treffen kann.

Europäische Zusammenarbeit

NIS2 baut die Struktur der Zusammenarbeit aus, in der vier Arten von Gremien mit klar getrennten Rollen wirken. Die Kooperationsgruppe aus Vertretungen der Mitgliedstaaten, der Kommission und der ENISA arbeitet strategisch: Sie tauscht gute Praxis aus, gibt methodische Leitlinien heraus und führt koordinierte Risikobewertungen von Lieferketten durch.

Das CSIRT-Netzwerk verbindet die nationalen Reaktionsteams und arbeitet operativ. Polen vertreten darin die nationalen Teams nach dem Cybersicherheitsgesetz. Das Netzwerk dient dem Austausch über grenzüberschreitende Vorfälle, der gegenseitigen technischen Hilfe und gemeinsamen Übungen.

Neu ist nach Artikel 16 EU-CyCLONe, das europäische Netzwerk der Verbindungsstellen für Cyberkrisen. Es arbeitet auf politisch-strategischer Ebene neben dem operativen CSIRT-Netzwerk und soll das Krisenmanagement europäischen Zuschnitts koordinieren und ein gemeinsames Lagebild für politische Entscheidungen aufbauen. Die Trennung der Ebenen ist gewollt: Die Erfahrung zeigt, dass in einem schweren grenzüberschreitenden Vorfall der Engpass nicht die technische Analyse ist, sondern die Abstimmung von Entscheidungen zwischen Staaten.

Die Rolle der ENISA ist in der Richtlinie gestärkt. Die Agentur unterstützt die Mitgliedstaaten methodisch, veröffentlicht technische Leitlinien zu den Maßnahmen aus Artikel 21 ^[9], führt europäische Übungen durch, verwaltet Zertifizierungsschemata und gibt eine jährliche Analyse der Bedrohungslage ^[6] sowie vorausschauende Studien ^[10] heraus, die für mehrjährige Planung nützlich sind.

Verhältnis zu DORA, CER, DSGVO, KSC und AI Act

NIS2 ist nicht die einzige Regelung, der eine typische Organisation unterliegt, und die Überlagerung der Regime führt zu widersprüchlichen Auslegungen. Am deutlichsten ist der Finanzsektor. Die DORA-Verordnung ^[8], anwendbar seit dem 17. Januar 2025, ist gegenüber NIS2 lex specialis: Beim IKT-Risikomanagement, bei der Meldung von Vorfällen, beim Testen der digitalen Resilienz und bei der Aufsicht über externe Dienstleister wendet eine Bank DORA an und nicht die NIS2 umsetzenden Vorschriften. Außerhalb dieser Bereiche bleibt sie im allgemeinen Regime (siehe Artikel zu DORA).

Die CER-Richtlinie ^[3] ist eine Schwesterregelung und keine Konkurrenz: NIS2 betrifft die digitale, CER die physische Widerstandsfähigkeit. Ein Energieversorger unterliegt meist beiden, und die nach beiden Rechtsakten zuständigen Behörden müssen Informationen austauschen.

Zur DSGVO ist das Verhältnis ergänzend, führt aber zu einer doppelten Meldepflicht. Erpressungssoftware, die personenbezogene Daten verschlüsselt, ist zugleich ein erheblicher Vorfall nach NIS2 und eine Verletzung des Datenschutzes, was zwei unabhängige Fristläufe gegenüber zwei Behörden auslöst. Das interne Verfahren sollte das vorsehen, denn praktisch scheitert meist nicht die Meldung selbst, sondern die Abstimmung beider Wege (siehe Artikel zur DSGVO).

In Polen zählt jedoch das Verhältnis zum Cybersicherheitsgesetz am meisten: Seit dem 3. April 2026 wenden Stellen das novellierte Gesetz an und nicht die Richtlinie unmittelbar (siehe Artikel zum KSC). Gesondert festzuhalten ist der AI Act, der die Anforderungen an Cybersicherheit nicht ersetzt, sondern um Anforderungen an Hochrisiko-KI-Systeme ergänzt; wer ein solches System in einem wesentlichen Dienst nutzt, erfüllt beide Regime parallel (siehe Artikel zum AI Act).

Umsetzung in Polen

Die Umsetzung erfolgte durch das Gesetz vom 23. Januar 2026 zur Änderung des Gesetzes über das nationale Cybersicherheitssystem und einiger anderer Gesetze (Gesetzblatt 2026 Position 252) ^[4]. Es ersetzte die bisherige Kategorie des Betreibers wesentlicher Dienste durch die zweistufige Einteilung in wesentliche und wichtige Einrichtungen, übernahm alle achtzehn Sektoren in nationales Recht und änderte die Statusfeststellung: Statt einer Verwaltungsentscheidung gilt die eigenständige Registrierung.

Für den öffentlichen Sektor zählt das Beschäftigungskriterium am meisten. Ein Gemeindeamt ist wesentliche Einrichtung, wenn es mindestens 50 Personen in Vollzeitäquivalenten mit Arbeitsvertrag beschäftigt, Stand 1. Januar des jeweiligen Jahres - so bestimmt es Anhang 1 des Gesetzes im Sektor "Öffentliche Stellen". Es ist kein Bevölkerungs- und kein Befreiungsschwellenwert: Ein kleineres Amt qualifiziert sich auf dieser Grundlage nicht, kann aber als wichtige Einrichtung oder über seine Organisationseinheiten erfasst sein. Wojewodschafts- und Marschallämter sind unabhängig von der Beschäftigtenzahl erfasst.

Der Zeitplan verteilt die Pflichten über mehrere Jahre, und vier Daten gehören unterschieden. Die Novelle trat am 3. April 2026 in Kraft. Stellen, die an diesem Tag bereits die Voraussetzungen erfüllten, haben die Pflichten aus Kapitel 3 bis zum 3. April 2027 zu erfüllen. Das erste Audit nach Artikel 15 fällt für dieselbe Gruppe auf den 3. April 2028, weitere folgen mindestens alle drei Jahre, gerechnet ab der Unterzeichnung des vorherigen Berichts, der an die zuständige Behörde geht. Stellen, die die Voraussetzungen später erfüllen, rechnen ab ihrem eigenen Datum. Die Pflicht zum periodischen Audit trifft nur wesentliche Einrichtungen; eine jährliche Überprüfung des Informationssicherheits-Managementsystems verlangt das Gesetz dagegen von einer wichtigen Einrichtung, die eine öffentliche Stelle ist.

Die Verspätung blieb nicht folgenlos. Die Europäische Kommission leitete gegen Staaten, die die vollständige Umsetzung nicht fristgerecht notifiziert hatten, ein Vertragsverletzungsverfahren ein - Polen war darunter, und das Inkrafttreten der Novelle war die Antwort darauf.

Was jetzt vorzubereiten ist

Ausgangspunkt ist die Feststellung des eigenen Status. Dazu gehören die Prüfung der Sektorzugehörigkeit anhand beider Anhänge, die Berechnung der Unternehmensgröße unter Berücksichtigung von Kapitalverflechtungen und die Dokumentation des Ergebnisses - auch wenn es negativ ausfällt, denn das Fehlen einer solchen Analyse ist selbst häufig Gegenstand von Prüfbemerkungen. Erst danach ist eine Lückenanalyse sinnvoll, also die Abbildung bestehender Richtlinien, Verfahren und Maßnahmen auf die zehn Kategorien des Artikels 21 Absatz 2 (siehe Artikel zum KSC- und NIS2-Audit).

Die Reihenfolge der weiteren Arbeiten folgt dem gesetzlichen Zeitplan und nicht der Bequemlichkeit. Die Pflichten aus Kapitel 3 sind ab dem 3. April 2027 fällig, bis dahin müssen also die Dinge mit der längsten Vorlaufzeit stehen: Überwachung und Vorfallbearbeitung samt Meldeverfahren und erprobten Kontaktwegen, Mehr-Faktor-Authentisierung für Fernzugriff und privilegierte Konten, eine Kryptografierichtlinie samt Schlüsselverwaltung und ein Kontinuitätsplan mit dokumentiertem Wiederherstellungstest. Am längsten dauert meist das Ordnen der Lieferkette, weil es Vertragsverhandlungen und damit die Zustimmung der Gegenseite verlangt.

Parallel läuft die organisatorische Schicht: die Benennung einer für Informationssicherheit verantwortlichen Person mit Berichtsweg zum Leitungsorgan, die Festlegung des Berichtszyklus sowie die Planung und Dokumentation der von Artikel 20 Absatz 2 verlangten Schulungen der Mitglieder dieses Organs. Ein unabhängiges Konformitätsaudit schließt das Ganze ab und liefert einen Bezugspunkt vor dem ersten gesetzlichen Audit.

Die häufigsten Fehler dieser Zeit wiederholen sich. Der erste ist das Aufschieben, bis die Pflichten fällig werden - die Übergangszeit ist oft zu kurz für Änderungen, die Vertragsverhandlungen oder Architekturumbauten verlangen. Der zweite ist die Annahme, ein ISO/IEC-27001-Zertifikat ^[7] genüge; es ist eine gute Grundlage, deckt aber weder die Meldefristen noch die Pflichten des Leitungsorgans ab, und sein Beweiswert reicht nur so weit wie sein Anwendungsbereich. Der dritte ist das Übergehen der Lieferkette. Der vierte ist die Behandlung von Verfahren als Dokumente statt als Handlungen: Ein Meldeverfahren, das niemand geübt hat, funktioniert nicht, und bei einer 24-Stunden-Frist bleibt keine Zeit, es unterwegs zu lernen. Der fünfte ist das fehlende echte Engagement des Leitungsorgans, das keine Qualität technischer Umsetzungen ersetzt.

Die Kosten hängen so stark vom Ausgangspunkt und von der Größe ab, dass Spannen ohne Kenntnis des Istzustands eine Scheingenauigkeit wären. Die größten Posten sind meist die Fähigkeit zu Überwachung und Reaktion - selbst aufgebaut oder als Dienst eingekauft - und das Ordnen der Lieferantenbeziehungen. Über beides entscheidet man früh, denn beides hat die längste Vorlaufzeit.