NIS2-Anforderungen

ANFORDERUNGEN, FRISTEN UND SEKTOREN

Die NIS2-Richtlinie verschärft die Anforderungen an die Cybersicherheit europaweit deutlich und verlangt ausdrücklich auch physische Schutzmaßnahmen. Auf dieser Seite erfahren Sie, welche Sektoren betroffen sind, welche Pflichten und Fristen gelten – und wie eine moderne Zutrittskontrolle zu Ihrer NIS2-Compliance beiträgt.

Letzte Aktualisierung: 20.08.2026

Hintergrund und rechtlicher Rahmen der NIS2-Richtlinie

Die NIS2-Richtlinie ersetzt die ursprüngliche NIS-Richtlinie zur Sicherheit von Netz- und Informationssystemen aus dem Jahr 2016 und verschärft die bisherigen Mindestanforderungen deutlich. Mit dem Gesetz zur Umsetzung der NIS2-Richtlinie hat Deutschland die Vorgaben in nationales Recht überführt: Das Gesetz wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet und ist seit dem 6. Dezember 2025 in Kraft.

Es modernisiert insbesondere das BSI-Gesetz (BSIG-neu) und weitet den Anwendungsbereich erheblich aus: Künftig unterliegen rund 29.000 bis 30.000 Einrichtungen in Deutschland der Aufsicht des BSI und damit den neuen Sicherheits- und Meldepflichten.

Wichtig zur Abgrenzung: Anders als das KRITIS-Dachgesetz, dessen Fokus auf dem physischen Schutz von Gebäuden und Anlagen liegt, steht bei NIS2 die Cybersicherheit im Mittelpunkt. Die Richtlinie verlangt jedoch ausdrücklich, dass Unternehmen nicht nur digitale, sondern auch physische Schutzmaßnahmen ergreifen – etwa moderne Schließsysteme und digitale Zutrittskontrolle.

Der gefahrenübergreifende Ansatz

Wie das KRITIS-Dachgesetz folgt auch NIS2 einem gefahrenübergreifenden Ansatz („all-hazards approach"): Verantwortliche sollen ihre Netz- und Informationssysteme nicht nur vor digitalen Gefährdungen schützen, sondern auch die physische Umwelt dieser Systeme absichern. Grund dafür ist die zunehmende Zahl sogenannter cyberphysischer Angriffe: Die Agentur der Europäischen Union für Cybersicherheit (ENISA) verweist explizit darauf, dass Schwachstellen in vernetzten Produkten und Gebäuden Angreifern Zugang zu physischen Hochsicherheitsbereichen verschaffen können. Der physische Zugang gilt inzwischen als „größte Hintertür" für Cyberkriminelle – besonders vulnerabel sind dabei frei zugängliche Terminals, Arbeitsspeicher oder Monitore.

Wer ist von NIS2 betroffen

Welche Sektoren fallen unter die NIS2-Richtlinie?

Ob NIS2 auf ein Unternehmen anwendbar ist, hängt zunächst von der Zuordnung zu einem von insgesamt 18 Sektoren ab. Diese sind in zwei Kategorien unterteilt:

Sektoren mit hoher Kritikalität (Anhang I):

• Energie: Stromnetzbetreiber, Fernwärme-/-kälteversorger, Gas- und Kraftstoffanbieter
• Transport/Verkehr: Fluggesellschaften und Flughäfen, Bahnbetreiber, Reedereien, Speditionen im Straßenverkehr
• Finanz/Versicherung: Banken, Betreiber von Finanzmarkt-Infrastrukturen (z. B. Börsen, Clearingstellen)
• Gesundheit: Krankenhäuser, Referenzlabore, Pharmahersteller, Medizinproduktehersteller
• Wasser/Abwasser: Trinkwasserversorger, Betreiber von Kläranlagen
• Informationstechnik und Telekommunikation: Rechenzentrumsbetreiber, Cloud-Anbieter, DNS- und TLD-Registries, Internetknoten (IXPs), Managed-Security-Dienstleister
• Weltraum: Betreiber von Bodenstationen für Satellitenkommunikation

Sonstige kritische Sektoren (Anhang II):

• Transport/Verkehr (Post und Kurier)
• Chemie
• Forschung
• Verarbeitendes Gewerbe
• Digitale Dienste
• Lebensmittel
• Entsorgung

Besonders wichtige vs. wichtige Einrichtungen

Neben dem Sektor entscheiden Größe und Wirtschaftsleistung über die Einstufung:

Besonders wichtige Einrichtung: Sektor in Anhang I, mindestens 250 Beschäftigte oder über 50 Mio. Euro Jahresumsatz sowie eine Bilanzsumme von über 43 Mio. Euro. Zusätzlich bestimmte Sonderfälle wie qualifizierte Vertrauensdiensteanbieter, TLD-, DNS- oder TK-Anbieter, kritische Anlagen und die Zentralregierung.

Wichtige Einrichtung: Sektoren in Anhang I oder II mit mindestens 50 Beschäftigten oder über 10 Mio. Euro Jahresumsatz und Bilanzsumme. Auch Vertrauensdienste/Trust Service Provider (TSP) fallen hierunter.

Faustregel: Für alle Unternehmen, die in den gelisteten Sektoren tätig sind und einen Jahresumsatz von 10 Millionen Euro überschreiten, gilt in der Regel die NIS2.

Ausnahme für Kleinstbetriebe: Nicht betroffen sind grundsätzlich Kleinstbetriebe mit weniger als 9 Beschäftigten und einem Umsatz unter 2 Millionen Euro. Auch kleinere Betriebe können jedoch betroffen sein, wenn ihr Ausfall erhebliche Auswirkungen auf Wirtschaft und öffentliche Versorgung hätte – etwa bei bestimmten digitalen Diensten, die durch die eIDAS-Verordnung geregelt werden.

Anforderungen und Meldepflichten

Diese Anforderungen gelten für betroffene Einrichtungen

Besonders wichtige und wichtige Einrichtungen müssen gemäß NIS2 Artikel 21 geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen ergreifen, um Risiken für die Sicherheit ihrer Netz- und Informationssysteme zu beherrschen. Im Einzelnen zählen dazu:

• Konzepte für Risikoanalyse und Sicherheit von IT-Systemen sowie zur Bewältigung von Sicherheitsvorfällen
• Maßnahmen zur Aufrechterhaltung des Betriebs (Business Continuity Management) durch Krisenmanagement und Backup-Maßnahmen
• Sicherheit in der Lieferkette – Umgang mit Geschäftspartnern und Dienstleistern
• Sicherheit in Beschaffung, Entwicklung und Wartung von IT- und Netzwerksystemen inklusive Schwachstellen-Management
• Schulungen zur IT-Sicherheit und grundlegende Verfahren der Cyberhygiene
• Kryptographie und Verschlüsselung von Daten
• Sicherheit des Personals einschließlich Konzepten für Zugriffskontrolle und Anlagenmanagement
• Sichere Authentifizierung und Kommunikation

Der hervorgehobene Punkt – Zugriffskontrolle und Anlagenmanagement – ist genau der Bereich, in dem moderne Zutrittskontrolle ansetzt.

Diese Fristen sollten Sie kennen

Meldefristen bei Sicherheitsvorfällen:

Erstmeldung / Frühwarnung: innerhalb von 24 Stunden nach Kenntniserlangung

Folgemeldung: innerhalb von 72 Stunden

Abschlussmeldung: in der Regel innerhalb eines Monats

Dauert ein Vorfall zum Zeitpunkt der Abschlussmeldung noch an, ist zunächst eine Fortschrittsmeldung erforderlich. Gerade deshalb gewinnen nachvollziehbare Zutrittsereignisse, zentrale Protokollierung und klar geregelte Berechtigungen zusätzlich an Bedeutung.

Registrierung beim BSI: Übergangsfristen für die Umsetzung sind nicht vorgesehen – die Registrierungspflicht als NIS2-Unternehmen ist bereits abgelaufen. Betroffene Unternehmen sollten sich, falls noch nicht erfolgt, umgehend nachträglich registrieren, um Bußgelder zu vermeiden.

Bußgelder bei Verstößen: Besonders wichtige Einrichtungen riskieren bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes, wichtige Einrichtungen bis zu 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes.
Erstmeldung / Frühwarnung: innerhalb von 24 Stunden nach Kenntniserlangung
Folgemeldung: innerhalb von 72 Stunden
Abschlussmeldung: in der Regel innerhalb eines Monats

Dauert ein Vorfall zum Zeitpunkt der Abschlussmeldung noch an, ist zunächst eine Fortschrittsmeldung erforderlich. Gerade deshalb gewinnen nachvollziehbare Zutrittsereignisse, zentrale Protokollierung und klar geregelte Berechtigungen zusätzlich an Bedeutung.

Registrierung beim BSI: Übergangsfristen für die Umsetzung sind nicht vorgesehen – die Registrierungspflicht als NIS2-Unternehmen ist bereits abgelaufen. Betroffene Unternehmen sollten sich, falls noch nicht erfolgt, umgehend nachträglich registrieren, um Bußgelder zu vermeiden.

Bußgelder bei Verstößen: Besonders wichtige Einrichtungen riskieren bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes, wichtige Einrichtungen bis zu 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes.

Welche Maßnahmen können Betreiber konkret ergreifen?

Von der Vorgabe zur Umsetzung

Moderne Datenzentren bilden als Schalt- und Speicherzentralen für den elektronischen Informationsaustausch das Herzstück vieler Unternehmen. Die effektive Sicherung der dort konzentrierten physischen und digitalen Vermögenswerte ist zentral für die Aufrechterhaltung kritischer betrieblicher Funktionen. Für die Ausgestaltung des physischen Schutzes bietet sich – wie beim KRITIS-Dachgesetz – ein Zonenkonzept nach dem Zwiebelschalenprinzip an, wie es die europäische Normenreihe EN 50600 für Rechenzentren beschreibt.

Ausführliche Details zum Zonenkonzept und den Schutzklassen finden Sie auf unserer Seite zum KRITIS-Dachgesetz im Detail, da beide Regelwerke auf dasselbe Prinzip zurückgreifen.

Warum moderne Schließtechnik für Ihre NIS2-Compliance entscheidend ist

Schwachstellen in der Schließtechnik erkennen

Besonders ältere mechanische Schließanlagen können zu einem Haftungsrisiko werden – etwa wenn der Patentschutz abgelaufen ist und Schlüsselkopien ohne Rückfragen angefertigt werden können. Je älter eine Anlage, desto schwieriger wird es zudem, die Anzahl der im Umlauf befindlichen Schlüssel im Blick zu behalten und auf Verluste zeitnah zu reagieren. Auch bei bereits elektronischen, kabelgebundenen Systemen muss sichergestellt werden, dass die Funktionalität bei Unterbrechungen der Stromzufuhr weiterbesteht.

Ist Ihr Schließsystem noch zeitgemäß?

Wir beraten Sie rund um Ihr Schließsystem. Möchten Sie regelmäßig auf dem Laufenden zum Theman Schließsysteme, KRITIS-Dachgesetzt und NIS2-Anforderungen bleiben? 

Melden Sie sich kostenlos zu unserem Newsletter Sicherheitstechnik ein und erhalten Sie wertvolle Informationen.

Unsere Leistungen für Ihre NIS2-Compliance

Wir unterstützen Sie bei der Umsetzung

Als Fachhandelspartner mit über 140 Jahren Erfahrung in der Sicherheitstechnik begleiten wir Sie von der Bestandsaufnahme bis zum laufenden Betrieb:

• Beratung und Bestandsaufnahme Ihrer bestehenden Zutrittskontrolle
• Zonenkonzepte für Serverräume und Rechenzentren
• Elektronische Zutrittskontrolle mit zentraler Rechteverwaltung und Echtzeit-Monitoring
• Interoperable Lösungen mit Anbindung an Zeiterfassung, Gebäudetechnik und Rettungswegtechnik
• Wartung, Service und Betreuung an unseren Standorten Gärtringen, Ehningen, Olpe, Ulm, Tübingen, Achern und Nürtingen

Häufig gestellte Fragen zu NIS2

Ab wann gilt NIS2 für mein Unternehmen? Das Gesetz ist seit dem 6. Dezember 2025 in Kraft. Betroffenheit hängt von Sektor, Mitarbeiterzahl und Jahresumsatz ab.

Muss ich mich noch registrieren? Die reguläre Registrierungsfrist beim BSI ist bereits abgelaufen. Betroffene Unternehmen ohne Registrierung sollten dies umgehend nachholen, um Bußgelder zu vermeiden.

Reicht es, nur meine IT-Systeme abzusichern? Nein. NIS2 verlangt ausdrücklich auch physische Schutzmaßnahmen als Teil eines gefahrenübergreifenden Sicherheitskonzepts – insbesondere Zugriffskontrolle und Anlagenmanagement.

Was unterscheidet eine „besonders wichtige" von einer „wichtigen" Einrichtung? Besonders wichtige Einrichtungen sind Unternehmen in einem Sektor mit hoher Kritikalität (Anhang I) mit mindestens 250 Beschäftigten oder über 50 Mio. Euro Jahresumsatz. Wichtige Einrichtungen umfassen Sektoren aus Anhang I oder II bereits ab 50 Beschäftigten oder 10 Mio. Euro Jahresumsatz.

Welche Fristen gelten, wenn ein Sicherheitsvorfall auftritt? Eine Erstmeldung ist innerhalb von 24 Stunden nach Kenntniserlangung erforderlich, eine Folgemeldung innerhalb von 72 Stunden. Die Abschlussmeldung folgt in der Regel innerhalb eines Monats.

Reicht meine bestehende Schließanlage aus? Das hängt vom Stand der Technik ab. Veraltete mechanische Systeme mit abgelaufenem Patentschutz gelten meist als Sicherheits- und Haftungsrisiko. Wir prüfen das gerne mit Ihnen gemeinsam.

Was unterscheidet NIS2 grundsätzlich vom KRITIS-Dachgesetz? NIS2 hat seinen Schwerpunkt bei der Cybersicherheit und meldet an das BSI, während das KRITIS-Dachgesetz den physischen Schutz regelt und an das BBK meldet. Viele Unternehmen sind von beiden Regelwerken gleichzeitig betroffen.