{"id":2191,"date":"2026-07-28T12:18:08","date_gmt":"2026-07-28T10:18:08","guid":{"rendered":"https:\/\/www.it-resell.com\/blog\/?p=2191"},"modified":"2026-08-19T15:49:13","modified_gmt":"2026-08-19T13:49:13","slug":"blog-datenschutz-nis2-richtlinie-kritis-dachgesetz","status":"publish","type":"post","link":"https:\/\/www.it-resell.com\/blog\/datenschutz-und-compliance\/blog-datenschutz-nis2-richtlinie-kritis-dachgesetz","title":{"rendered":"NIS2-Richtlinie und KRITIS-Dachgesetz: Neue Sicherheitsvorgaben f\u00fcr Unternehmen"},"content":{"rendered":"\n
~30.000<\/b>Unternehmen in Deutschland sind sch\u00e4tzungsweise von der NIS2-Richtlinie betroffen<\/span><\/div>
bis 10 Mio. \u20ac<\/b>oder 2 % des weltweiten Jahresumsatzes \u2013 Bu\u00dfgeldrahmen bei NIS2-Verst\u00f6\u00dfen (h\u00f6herer Betrag gilt)<\/span><\/div>
50 MA \/ 10 Mio. \u20ac<\/b>Schwellenwert: ab 50 Mitarbeitenden und 10 Mio. \u20ac Umsatz\/Bilanzsumme grunds\u00e4tzlich im Anwendungsbereich<\/span><\/div>
24 Stunden<\/b>Frist f\u00fcr die erste Fr\u00fchwarnung bei meldepflichtigen Sicherheitsvorf\u00e4llen<\/span><\/div>
seit Jan 2023<\/b>ist NIS2 auf EU-Ebene in Kraft; nationale Umsetzungsfrist war der 17.10.2024<\/span><\/div>
NIS2 vs. KRITIS<\/b>NIS2 = Cybersicherheit & Pr\u00e4vention; KRITIS-Dachgesetz = physische Sicherheit & Resilienz<\/span><\/div><\/div>\n\n\n\n

Die digitale Transformation macht Unternehmen produktiver \u2013 und gleichzeitig verwundbarer. Cyberangriffe auf Energieversorger, Krankenh\u00e4user oder Logistikdienstleister zeigen, wie schnell aus einer IT-St\u00f6rung ein Betriebsausfall mit weitreichenden Folgen wird. Mit der NIS2-Richtlinie hat die Europ\u00e4ische Union ihre Vorgaben zur Netz- und Informationssicherheit erheblich versch\u00e4rft und den Kreis der betroffenen Unternehmen massiv erweitert. Erg\u00e4nzt wird die Richtlinie in Deutschland durch das KRITIS-Dachgesetz, das gezielt die physische Sicherheit und Resilienz kritischer Infrastrukturen adressiert. F\u00fcr sch\u00e4tzungsweise rund 30.000 Unternehmen bedeutet das: neue Pflichten, neue Fristen \u2013 und im Ernstfall empfindliche Bu\u00dfgelder. Dieser Beitrag zeigt, wer betroffen ist, welche Pflichten gelten und wie IT-RESELL Sie bei der Umsetzung unterst\u00fctzt.<\/p>\n\n\n\n

Was ist die NIS2-Richtlinie? Ziel und Hintergrund<\/strong><\/h2>\n\n\n\n

Mit der seit 2016 bestehenden NIS-Richtlinie hat die EU erstmals Ma\u00dfnahmen ergriffen, um ein hohes gemeinsames Sicherheitsniveau von Netz- und Informationssystemen in der Europ\u00e4ischen Union zu gew\u00e4hrleisten. Im Zuge des digitalen Wandels, der durch die COVID-19-Krise zus\u00e4tzlich beschleunigt wurde, identifizierte die EU jedoch deutliche Schw\u00e4chen im bestehenden Rahmen:<\/p>\n\n\n\n

    \n
  • Unzureichende Cyberresilienz vieler in der EU t\u00e4tigen Unternehmen<\/li>\n\n\n\n
  • Uneinheitliche Widerstandsf\u00e4higkeit zwischen Mitgliedstaaten und Sektoren<\/li>\n\n\n\n
  • Unzureichendes gemeinsames Verst\u00e4ndnis der wichtigsten Bedrohungen<\/li>\n\n\n\n
  • Fehlendes gemeinsames Krisenmanagement auf EU-Ebene<\/li>\n<\/ul>\n\n\n\n

    Als Reaktion darauf verabschiedete die EU die NIS2-Richtlinie (Richtlinie (EU) 2022\/2555), die den Anwendungsbereich und die Sicherheitsanforderungen gegen\u00fcber der urspr\u00fcnglichen NIS-Richtlinie deutlich ausweitet. Sie ist bereits seit Januar 2023 auf EU-Ebene in Kraft; die Mitgliedstaaten waren verpflichtet, sie bis zum 17. Oktober 2024 in nationales Recht umzusetzen. In Deutschland verz\u00f6gerte sich die nationale Umsetzung \u00fcber das sogenannte NIS2-Umsetzungs- und Cybersicherheitsst\u00e4rkungsgesetz (NIS2UmsuCG) \u00fcber diesen Termin hinaus. F\u00fcr betroffene Unternehmen \u00e4ndert das nichts an der grunds\u00e4tzlichen Dringlichkeit: Die inhaltlichen Anforderungen der Richtlinie stehen fest, nur der genaue Zeitpunkt des nationalen Inkrafttretens war zwischenzeitlich in Bewegung.<\/p>\n\n\n\n

    \n

    Gut zu wissen<\/p>\n

    Die EU-weiten Anforderungen der NIS2-Richtlinie gelten unabh\u00e4ngig vom Stand der nationalen Umsetzung bereits als verbindlicher Rahmen. Unternehmen sollten sich fr\u00fchzeitig vorbereiten, statt auf den finalen Gesetzestext zu warten.<\/p>\n<\/div>\n\n\n\n

    Rund 30.000 Unternehmen in Deutschland betroffen<\/strong><\/h3>\n\n\n\n

    Die Ausweitung des Anwendungsbereichs bedeutet, dass jetzt auch viele kleinere Organisationen die neuen Anforderungen erf\u00fcllen m\u00fcssen, die zuvor nicht unter die NIS-Richtlinie fielen. Nach Sch\u00e4tzungen sind in Deutschland rund 30.000 Unternehmen von der NIS2-Richtlinie betroffen \u2013 darunter Firmen aus Sektoren wie Energie, Gesundheit, Verkehr, Bankwesen, digitale Infrastruktur und \u00f6ffentliche Verwaltung.
    Zus\u00e4tzlich betrifft die Richtlinie Unternehmen, die Teil der Lieferkette dieser Sektoren sind oder Dienstleistungen f\u00fcr sie erbringen. Wichtig: Unternehmen werden nicht automatisch informiert, ob sie betroffen sind. Sie m\u00fcssen selbst pr\u00fcfen, ob sie aufgrund ihrer Gr\u00f6\u00dfe und Branchenzugeh\u00f6rigkeit unter die Richtlinie fallen und entsprechende Vorkehrungen treffen.<\/p>\n\n\n\n

    Meldepflichten und Sanktionen<\/strong><\/h2>\n\n\n\n

    Die NIS2-Richtlinie erweitert die Meldepflichten deutlich. Betroffene Unternehmen m\u00fcssen sicherheitsrelevante Vorf\u00e4lle mit erheblichen Auswirkungen auf die Verf\u00fcgbarkeit ihrer Dienste den zust\u00e4ndigen Beh\u00f6rden melden \u2013 h\u00e4ufig gestuft, beginnend mit einer Fr\u00fchwarnung innerhalb von 24 Stunden. NIS2 f\u00fchrt zudem einheitlichere und strengere Strafen bei Verst\u00f6\u00dfen ein, um sicherzustellen, dass Unternehmen die Anforderungen ernst nehmen.<\/p>\n\n\n\n

    \n

    Sanktionen im \u00dcberblick<\/p>\n

      \n
    • Bu\u00dfgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes \u2013 je nachdem, welcher Betrag h\u00f6her ist.<\/li>\n
    • Die Gesch\u00e4ftsleitung kann pers\u00f6nlich f\u00fcr Verst\u00f6\u00dfe gegen Risikomanagement- und Meldepflichten haftbar gemacht werden.<\/li>\n
    • Aufsichtsbeh\u00f6rden erhalten erweiterte Pr\u00fcf- und Durchsetzungsbefugnisse.<\/li>\n <\/ul>\n<\/div>\n\n\n\n

      Ausnahmen f\u00fcr Kommunen und Bildungseinrichtungen<\/strong><\/h2>\n\n\n\n

      Die NIS2-Richtlinie zielt vor allem auf Unternehmen ab, schlie\u00dft durch die Festlegung der betroffenen Sektoren jedoch grunds\u00e4tzlich auch Bildungseinrichtungen, St\u00e4dte und Kommunen sowie weitere \u00f6ffentliche Einrichtungen ein. In Deutschland gab es Bestrebungen, f\u00fcr einzelne dieser Akteure Ausnahmen zu schaffen \u2013 etwa f\u00fcr Bildungseinrichtungen und lokale Verwaltungen. Ob und in welchem Umfang solche Ausnahmen final Bestand haben, h\u00e4ngt von der endg\u00fcltigen nationalen Umsetzung ab und sollte im Einzelfall gepr\u00fcft werden.
      Andere \u00f6ffentliche Einrichtungen, etwa Bibliotheken, Kinos, Museen oder Zoos, k\u00f6nnen durchaus von den Vorgaben betroffen sein \u2013 abh\u00e4ngig von Gr\u00f6\u00dfe, Umsatz und Bedeutung f\u00fcr die kritische Infrastruktur. Grunds\u00e4tzlich ist es ratsam, dass sich auch diese Institutionen fr\u00fchzeitig mit Cybersicherheit und Resilienz auseinandersetzen, schon aus eigenem Interesse.<\/p>\n\n\n\n

      Was bedeutet NIS2 f\u00fcr KMU?<\/strong><\/h2>\n\n\n\n

      Mit der NIS2-Richtlinie wird der Geltungsbereich im Vergleich zu fr\u00fcheren Vorgaben deutlich erweitert \u2013 auch viele kleine und mittlere Unternehmen (KMU) m\u00fcssen den neuen Sicherheitsanforderungen gerecht werden. Dazu geh\u00f6ren insbesondere:<\/p>\n\n\n\n

        \n
      • Sicherheitsrichtlinien: Entwicklung und Implementierung von Sicherheitsrichtlinien, die den spezifischen Anforderungen des Unternehmens entsprechen<\/li>\n\n\n\n
      • Sicherheitsl\u00f6sungen: Einsatz von Sicherheitssoftware, Firewalls und Intrusion-Detection-Systemen<\/li>\n\n\n\n
      • Sicherheitsaudits: Regelm\u00e4\u00dfige Audits zur Identifizierung von Schwachstellen und Bewertung der aktuellen Sicherheitslage<\/li>\n\n\n\n
      • Mitarbeiterschulungen: Regelm\u00e4\u00dfige Sensibilisierung f\u00fcr Cyberbedrohungen und sicheren Umgang mit IT-Systemen<\/li>\n<\/ul>\n\n\n\n

        Ob Ihr Unternehmen betroffen ist, h\u00e4ngt von bestimmten Schwellenwerten ab: Unternehmen mit 50 oder mehr Mitarbeitenden, einem Umsatz ab 10 Millionen Euro und einer Jahresbilanzsumme in gleicher H\u00f6he fallen grunds\u00e4tzlich in den Anwendungsbereich. Das gilt ebenso f\u00fcr Firmen, die in einem der definierten kritischen Sektoren t\u00e4tig sind und bestimmte Schwellenwerte \u00fcberschreiten \u2013 unabh\u00e4ngig von ihrer Gr\u00f6\u00dfe.<\/p>\n\n\n\n

        \"Infografik<\/picture><\/figure>\n\n\n\n

        NIS2 in Zahlen: Betroffene Unternehmen, Bu\u00dfgeldrahmen und Schwellenwerte im \u00dcberblick. <\/em><\/p>\n\n\n\n

        NIS2 und das KRITIS-Dachgesetz im Zusammenspiel<\/strong><\/h2>\n\n\n\n

        Die NIS2-Richtlinie wird durch die CER-Richtlinie und deren nationale Umsetzung im KRITIS-Dachgesetz erg\u00e4nzt. W\u00e4hrend NIS2 prim\u00e4r auf Cybersicherheit und pr\u00e4ventive Ma\u00dfnahmen abzielt, fokussiert sich das KRITIS-Dachgesetz auf die physische Sicherheit und Resilienz kritischer Infrastrukturen.<\/p>\n\n\n\n

        Das Ziel: St\u00f6rungen und Ausf\u00e4lle bestm\u00f6glich verhindern, deren Folgen begrenzen und die Funktionsf\u00e4higkeit nach einem Vorfall schnell wiederherstellen \u2013 unabh\u00e4ngig davon, ob ein Unwetter, menschliches Versagen oder ein Sabotageakt die Ursache ist. W\u00e4hrend NIS2 sch\u00e4tzungsweise bis zu 30.000 Unternehmen betrifft, nimmt das KRITIS-Dachgesetz gezielt kritische Infrastrukturen in den Blick: Unternehmen aus Sektoren, die essenziell f\u00fcr die Versorgung in Deutschland sind und typischerweise mehr als 500.000 Personen versorgen.<\/p>\n\n\n\n

        Fazit<\/strong><\/h2>\n\n\n\n

        Die NIS2-Richtlinie und das KRITIS-Dachgesetz stellen neue Anforderungen an zahlreiche Unternehmen \u2013 darunter auch viele KMU. Bei Verst\u00f6\u00dfen gegen die neuen Vorgaben k\u00f6nnen Management und F\u00fchrungskr\u00e4fte pers\u00f6nlich verantwortlich gemacht werden, und es drohen empfindliche Sanktionen. IT-RESELL steht Ihnen als erfahrener Partner zur Seite, um die neuen Anforderungen rechtzeitig zu erf\u00fcllen und die Sicherheit sowie Resilienz Ihrer IT zu gew\u00e4hrleisten \u2013 von der H\u00e4rtung bestehender Systeme bis zur zertifizierten, DSGVO-konformen Entsorgung ausgemusterter Hardware.<\/p>\n\n\n\n