Viele Wege führen zu NIS2
Wir unterstützen Sie auf Ihrem!
Egal, ob Sie gerade zum ersten mal von NIS2 (Netz- und Informationssicherheit-Richtlinie) hören oder bereits von NIS1 betroffen waren und sich fragen, was sich für Sie und Ihr Unternehmen ändert. Egal, ob Konzern, Handwerksbetrieb oder öffentlicher Sektor. Egal, ob Sie Geschäftsführer oder Teil der IT sind – NIS2 trifft auf mehr Unternehmen zu, als je zuvor. Gemeinsam mit Ihnen findet Honicon die richtige Lösung für Ihren speziellen Fall.
Was ist NIS2 ?
NIS2 ist eine EU-Richtlinie, die die Cybersicherheit in kritischen und wichtigen Infrastrukturen stärkt. Sie legt strengere Anforderungen an IT-Sicherheitsmaßnahmen und Meldepflichten für Unternehmen fest, um Netzwerke und Informationssysteme besser vor Cyberbedrohungen zu schützen. Honicon unterstützt Unternehmen, auch Einrichtungen der öffentlichen Hand, bei der Erfüllung aller Vorgaben, die sich seit der Umsetzung der NIS2 Richtlinie in deutsches Recht ergeben, insbesondere aus dem BSIG, aber auch aus weiteren Gesetzen, die durch die Umsetzung beeinflusst wurden. Wir bieten maßgeschneiderte Lösungen, um diese Anforderungen effizient und regelkonform in Ihre IT Strukturen zu integrieren.
Was verändert sich
für mein Unternehmen?
Ihr Unternehmen war noch nicht von NIS1 betroffen?
Wenn Ihr Unternehmen bisher nicht unter die NIS1-Richtlinie fiel, könnte sich das mit der Einführung von NIS2 ändern. NIS2 erweitert den Geltungsbereich auf viele weitere Branchen und Unternehmen. Besonders betroffen sind Unternehmen, die bestimmte Schwellenwerte bei Umsatz und Mitarbeiterzahl überschreiten und zu den unter §28 BSIG genannten besonders wichtigen oder wichtigen Einrichtungen gehören. Sie müssen künftig strengere
IT-Sicherheitsmaßnahmen umsetzen und Sicherheitsvorfälle an die zuständigen Behörden melden. Es ist wichtig, dass Sie frühzeitig prüfen, ob Ihr Unternehmen von der neuen Richtlinie betroffen ist, um rechtzeitig die notwendigen Maßnahmen zur IT-Sicherheit zu ergreifen. Erfahren Sie hier mehr darüber, was Sie beachten müssen und wie Sie sich vorbereiten können.
Ihr Unternehmen war bereits von NIS1 betroffen?
Wenn Ihr Unternehmen schon unter die NIS1-Richtlinie fiel oder zur kritischen Infrastruktur (KRITIS) gehörte, sind Ihnen viele der Anforderungen bereits vertraut. Dennoch bringt NIS2 einige wesentliche Neuerungen mit sich, insbesondere eine striktere Meldepflicht für IT-Sicherheitsvorfälle und deutlich schärfere Sanktionen bei Nichteinhaltung. Die neuen Regelungen erfordern, dass Vorfälle nicht nur schneller, sondern auch detaillierter gemeldet werden. Neben der Meldepflicht sollten Sie auch die erweiterten Anforderungen an die IT-Sicherheit und Compliance im Blick behalten. Erfahren Sie hier mehr über die Änderungen und wie Sie sich optimal vorbereiten können.
Wer ist
betroffen?
Die NIS2-Richtlinie richtet sich an Unternehmen und Organisationen, die als kritische oder wichtige Infrastrukturen gelten. Dazu gehören Sektoren wie Energie, Verkehr, digitale Infrastruktur, Gesundheit und viele mehr. Besonders betroffen sind Unternehmen, die nicht als Kleinst- oder Kleinunternehmen eingestuft werden – das bedeutet, Sie haben mindestens 50 Mitarbeiter und/oder einen Jahresumsatz oder eine Jahresbilanzsumme von mindestens 10 Millionen Euro. Sie müssen künftig strenge IT-Sicherheitsmaßnahmen umsetzen und Cybervorfälle melden.
NIS2 erweitert den bisherigen Geltungsbereich und umfasst nun deutlich mehr Organisationen, die für die Sicherheit der Netzwerke und Informationen verantwortlich sind.
Die Unternehmen, auf welche NIS2 zutrifft, lassen sich grundsätzlich in zwei Kategorien einteilen:
„Wichtige Einrichtungen” sind Organisationen oder Unternehmen, die gemäß § 28 Abs. 2 BSIG bestimmte Registrierungs-, Nachweis- und Meldepflichten erfüllen müssen. Diese Einrichtungen werden anhand von Kriterien wie Jahresumsatz oder Mitarbeiterzahl identifiziert. Das NIS-2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten und hat das BSI-Gesetz entsprechend novelliert. Wichtige Einrichtungen müssen seither Risikomanagementmaßnahmen zur IT-Sicherheit nach § 30 BSIG umsetzen und erhebliche Sicherheitsvorfälle nach § 32 BSIG melden, um den Schutz der Netzwerke und Informationssysteme zu gewährleisten.
„Besonders wichtige Einrichtungen” sind Unternehmen und Organisationen, die im Vergleich zu wichtigen Einrichtungen einer strengeren und regelmäßigeren Kontrolle durch das BSI unterliegen. Auch sie werden überwiegend anhand von Schwellenwerten wie Umsatz oder Mitarbeiterzahl bestimmt; Betreiber kritischer Anlagen gelten dabei unabhängig von diesen Werten stets als besonders wichtige Einrichtungen. Die von ihnen umgesetzten Sicherheitsmaßnahmen werden regelmäßig überprüft, etwa durch Audits oder Zertifizierungen. Bei Verstößen drohen ihnen zudem höhere Bußgelder als wichtigen Einrichtungen.
Betroffenheitsprüfung des BSI
Welche Pflichten
bestehen?
Neben der Einordnung als wichtige oder besonders wichtige Einrichtung stehen im Alltag vor allem die Risikomanagementmaßnahmen aus § 30 BSIG im Vordergrund. Das Gesetz verlangt unter anderem Konzepte zur Risikoanalyse und Sicherheit in der Informationstechnik, ein funktionierendes Asset Management als Basis, Zugangskontrollen sowie Verschlüsselung sensibler Daten. Hinzu kommen Netzwerksicherung durch Firewalls und Intrusion Detection Systeme, regelmäßiges Patch Management zum Schließen bekannter Sicherheitslücken sowie kontinuierliches Monitoring und Protokollierung, um Vorfälle frühzeitig zu erkennen. Ein funktionierendes Incident Management (Vorfallsmanagement) sorgt für schnelle Reaktion und Wiederherstellung.
Damit einher gehen die Meldepflichten aus § 32 BSIG: Erhebliche Sicherheitsvorfälle müssen innerhalb von 24 Stunden erstgemeldet werden, nach 72 Stunden folgt eine Zwischenmeldung mit näherer Einschätzung, spätestens nach einem Monat ein Abschlussbericht.
Für Betreiber kritischer Anlagen kommt eine weitere Pflicht hinzu: der Einsatz von Systemen zur Angriffserkennung (§ 31 Abs. 2 BSIG). Diese frühe Angriffserkennung war einer der Hauptgründe für NIS 2, da Angreifer sich in ungeschützten Netzwerken oft über Wochen unbemerkt bewegen können, bevor ein Vorfall auffällt.
Ergänzend wichtig sind die Bewertung von Lieferkettenrisiken samt Sicherheitsanforderungen in Verträgen mit Drittanbietern sowie regelmäßige Mitarbeiterschulungen und Audits, die fest im Unternehmensalltag verankert sein sollten.
Die Geschäftsführung selbst trifft dabei nach § 38 BSIG eine eigenständige Pflicht: Sie muss die Umsetzung der Risikomanagementmaßnahmen überwachen, sich regelmäßig schulen lassen und haftet persönlich, wenn sie dieser Aufsichtspflicht nicht nachkommt.
Was gilt
seit wann?
Für NIS2-betroffene Unternehmen gilt seit dem 6. Dezember 2025 das neue BSIG, ohne Übergangsfrist. Das heißt: Risikomanagementmaßnahmen (§ 30 BSIG), Meldepflichten und die persönliche Geschäftsleitungshaftung (§ 38 BSIG) sind seither unmittelbar verbindlich. Lediglich für die BSI Registrierung gab es eine dreimonatige Frist, die am 6. März 2026 endete.
Das BSI duldet verspätete Registrierungen bis zum 31. Juli 2026, ohne dass sich die gesetzliche Frist (6. März 2026) selbst ändert – die Registrierungspflicht und ihre Bußgeldbewehrung bleiben also unverändert bestehen.
Hintergrund: NIS2 war ursprünglich nur eine EU Richtlinie, zu deren Umsetzung Deutschland bereits bis Oktober 2024 verpflichtet war. Diese Frist wurde verpasst, erst Ende 2025 kam das nationale Gesetz. Seither gelten die Pflichten aber sofort und ohne Schonfrist.
Bei Verstößen drohen Geldbußen von bis zu 10 Millionen Euro beziehungsweise 2 % des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen, und bis zu 7 Millionen Euro beziehungsweise 1,4 % für wichtige Einrichtungen, jeweils der höhere Betrag. Zusätzlich haftet die Geschäftsleitung seit dem 6. Dezember 2025 persönlich nach § 38 BSIG, Verstöße können öffentlich gemacht werden, und in Ausnahmefällen kann das BSI ein vorübergehendes Berufsverbot aussprechen. Unternehmen sollten daher jetzt handeln, um Konsequenzen zu vermeiden.
Wie unterstützt HONICON ?
Meldeketten
Honicon unterstützt Sie dabei, Jira zu nutzen, um NIS2-konforme Meldeketten effizient zu erstellen und zu automatisieren. Angepasste Workflows erfassen Cybervorfälle sofort, leiten sie an die richtigen Stellen weiter und dokumentieren sie lückenlos. Automatisierte Benachrichtigungen stellen sicher, dass alle Parteien rechtzeitig informiert werden, um schnell zu handeln. Die Integration mit weiteren IT-Systemen ermöglicht es, die komplette Meldekette digital abzubilden, sodass Ihr Unternehmen die NIS2-Meldepflichten jederzeit zuverlässig erfüllen kann.
Asset Management
Mit Jira unterstützt Honicon Sie beim Aufbau eines effektiven Asset Managements, um Abhängigkeiten und Sicherheitsstrukturen übersichtlich darzustellen. Durch die gezielte Erfassung und Verwaltung aller wichtigen Assets behalten Sie stets den Überblick über kritische Systeme und deren Abhängigkeiten. Jira ermöglicht es Ihnen, Sicherheitslücken in Echtzeit zu identifizieren und zu überwachen, um Maßnahmen zur Risikominimierung rechtzeitig umzusetzen. Automatisierte Berichte und Dashboard-Funktionen sorgen dafür, dass Sie stets aktuelle Informationen zu Ihrem Sicherheitsstatus haben. So können Sie Ihre IT-Infrastruktur jederzeit kontrollieren und optimieren.
Benötigen Sie eine spezielle Lösungen
für Ihr Unternehmen?
Honicon bietet maßgeschneiderte Lösungen, die auf die spezifischen Anforderungen Ihres Unternehmens abgestimmt sind. Ob IT-Sicherheitsmaßnahmen, Compliance-Management oder die Optimierung Ihrer Jira-Umgebung – wir entwickeln individuelle Lösungen, die genau zu Ihrem Geschäftsmodell passen. Unsere Expertise reicht von der Integration spezieller Tools bis hin zur Automatisierung wichtiger Geschäftsprozesse. Durch unsere praxisorientierten Ansätze sorgen wir dafür, dass Ihre IT-Infrastruktur nicht nur sicher, sondern auch effizient ist. Lassen Sie uns gemeinsam herausfinden, wie wir Ihre IT-Systeme auf das nächste Level bringen können.
Kontaktieren Sie uns jetzt!
Juristische Grundlagen
zu NIS2
Die NIS2-Richtlinie ist ein wichtiges Gesetzgebungswerk der Europäischen Union zur Stärkung der Cybersicherheit in allen Mitgliedstaaten. “NIS” steht für “Netz- und Informationssicherheit”. Diese Richtlinie aktualisiert und erweitert die ursprüngliche NIS-Richtlinie von 2016, um den wachsenden Herausforderungen durch Cyberbedrohungen gerecht zu werden.
Ein entscheidender Aspekt ist, dass NIS2 als EU-Richtlinie und nicht als unmittelbar geltendes EU-Gesetz formuliert wurde. Eine Richtlinie legt Ziele fest, die alle Mitgliedstaaten erreichen müssen, lässt ihnen jedoch Spielraum bei der Umsetzung in nationales Recht. Dies ermöglicht es jedem Land, die Anforderungen an seine spezifischen nationalen Gegebenheiten anzupassen. So können Mitgliedstaaten eigene Gesetze erlassen oder bestehende anpassen, um die Richtlinie effektiv umzusetzen. Diese Flexibilität ist besonders wichtig, da jedes Land unterschiedliche technische Infrastrukturen und Sicherheitsbedürfnisse hat.
Die rechtliche Grundlage der NIS2-Richtlinie ist Artikel 114 des Vertrags über die Arbeitsweise der Europäischen Union. Dieser erlaubt es der EU, Maßnahmen zur Harmonisierung der nationalen Vorschriften zu ergreifen, um das Funktionieren des Binnenmarktes zu verbessern. Durch die Wahl einer Richtlinie können nationale Besonderheiten berücksichtigt werden, was in sensiblen Bereichen wie der Cybersicherheit von großer Bedeutung ist.
Für Unternehmen bedeutet dies, dass sie sich auf strengere nationale Gesetze einstellen müssen, die höhere Sicherheitsstandards und Meldepflichten beinhalten. Die Mitgliedstaaten sind verpflichtet, die Richtlinie innerhalb einer bestimmten Frist in nationales Recht umzusetzen. Für die Bürger erhöht sich dadurch die Sicherheit der digitalen Dienste, da Unternehmen besser gegen Cyberangriffe geschützt sind.
Die NIS2-Richtlinie stellt somit einen wichtigen Schritt zur Verbesserung der Cybersicherheit in der EU dar. Durch die Möglichkeit, die Bestimmungen an nationale Umstände anzupassen, wird sichergestellt, dass die Maßnahmen effektiv sind und den spezifischen Bedürfnissen jedes Landes entsprechen, während gleichzeitig ein hohes gemeinsames Sicherheitsniveau angestrebt wird.
Verbessern Sie gemeinsam mit uns
Ihre IT-Sicherheit
