Die NIS2-Richtlinie ist ein europäisches Gesetz – erlassen von der EU und in Deutschland längst kein Zukunftsthema mehr, sondern geltendes Recht. Mit dem NIS2-Umsetzungsgesetz (NIS2UmsuCG) hat der Bundestag am 13. November 2025 die deutsche Umsetzung beschlossen, der Bundesrat bestätigte sie am 20. November 2025. Seit Inkrafttreten am 6. Dezember 2025 gelten die Pflichten – ohne Übergangsfrist.
Wer betroffen ist
Das Gesetz erfasst rund 29.500 Unternehmen in 18 Sektoren. In den elf als „wesentlich“ eingestuften Sektoren – etwa Energie, Verkehr, Gesundheit, Bankwesen und digitale Infrastruktur – gilt NIS2 ab 250 Mitarbeitenden oder 50 Millionen Euro Jahresumsatz. In sieben weiteren „wichtigen“ Sektoren, etwa Post- und Kurierdienste, Abfallwirtschaft oder Chemie, greift die Regulierung bereits ab 50 Mitarbeitenden oder 10 Millionen Euro Umsatz. Auch viele mittelständische Zulieferer und Dienstleister fallen damit erstmals unter eine Cybersicherheitsregulierung.
Was NIS2 fordert
Betroffene Unternehmen müssen ein Risikomanagement für Cybersicherheit etablieren, das unter anderem Vorfallsbehandlung, Business Continuity, Lieferkettensicherheit, Verschlüsselung und Zugriffskontrollen umfasst. Hinzu kommen Melde- und Registrierungspflichten sowie eine persönliche Verantwortung der Geschäftsleitung – Vorstände und Geschäftsführer haften künftig auch persönlich für Versäumnisse bei der Umsetzung.
Die wichtigsten Fristen
Die Registrierungsfrist beim BSI ist bereits am 6. März 2026 abgelaufen. Wer sich noch nicht registriert hat, sollte das umgehend nachholen. Bis zum 30. Juni 2026 mussten betroffene Unternehmen zudem die erste Prüfung ihrer Sicherheitsmaßnahmen fristgerecht erbringen. Da keine allgemeine Übergangsfrist besteht, gelten die materiellen Pflichten faktisch bereits seit Dezember 2025 – wer bislang nicht aktiv geworden ist, hat also Nachholbedarf.
Sanktionen
Verstöße können mit Bußgeldern bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden. Zusätzlich drohen behördliche Anordnungen bis hin zur vorübergehenden Untersagung von Führungsfunktionen bei schweren und wiederholten Verstößen.
NIS2 und die USA: Gibt es eine Verbindung?
NIS2 ist ausschließlich EU-Recht. Es gibt keine amerikanische Entsprechung mit derselben Rechtsgrundlage, und die Richtlinie entfaltet außerhalb der EU auch keine unmittelbare rechtliche Wirkung – auch wenn US-Unternehmen mit Niederlassungen oder kritischen Diensten in der EU betroffen sein können. Trotzdem taucht in der Praxis immer wieder Verwechslungsgefahr mit zwei US-amerikanischen Begriffen auf.
NIST – die häufigste Verwechslung
Am ehesten wird NIS2 mit dem NIST Cybersecurity Framework verwechselt, das vom National Institute of Standards and Technology in den USA entwickelt wurde. Die Ähnlichkeit der Abkürzungen („NIS2“ und „NIST“) begünstigt das. Inhaltlich sind beide jedoch grundlegend verschieden: NIST ist ein freiwilliges Rahmenwerk zum Risikomanagement, das Unternehmen weltweit als Orientierung nutzen können. NIS2 dagegen ist eine bindende EU-Richtlinie mit klaren Anwendungsschwellen, Melde- und Registrierungspflichten sowie empfindlichen Bußgeldern bei Verstößen. Beide schließen sich nicht aus – viele Unternehmen nutzen das NIST-Framework als praktisches Werkzeug, um die NIS2-Anforderungen umzusetzen.
National Intelligence Strategy – ein anderes „NIS“
Die Abkürzung „NIS“ steht in den USA außerdem für die National Intelligence Strategy, ein strategisches Grundsatzdokument des Office of the Director of National Intelligence. Es richtet die US-Nachrichtendienste strategisch aus und behandelt auch Cyberbedrohungen – hat aber mit einer Unternehmenspflicht oder einem Gesetz im Sinne der EU-NIS2-Richtlinie nichts zu tun. Eine inhaltliche oder rechtliche Verbindung zur europäischen NIS2-Richtlinie besteht nicht; die Namensähnlichkeit ist Zufall.
Fazit
Wer auf „NIS“ oder „NIST“ im US-Kontext stößt, sollte genau hinschauen: Es handelt sich weder um eine Vorstufe noch um ein amerikanisches Pendant zur europäischen NIS2-Richtlinie, sondern um eigenständige, rechtlich unabhängige Konzepte.
Was Unternehmen jetzt tun sollten
Zuerst gilt es zu klären, ob das eigene Unternehmen unter den Anwendungsbereich fällt und ob die BSI-Registrierung bereits erfolgt ist. Anschließend sollte der Status des Risikomanagements gegen die NIS2-Anforderungen geprüft und dokumentiert werden – insbesondere Vorfallmeldeprozesse und Lieferkettensicherheit verdienen besondere Aufmerksamkeit. Da die Geschäftsleitung persönlich in der Verantwortung steht, sollte NIS2 auch auf Ebene der Unternehmensführung verankert sein, nicht nur in der IT-Abteilung.
Hinweis: Für verbindliche rechtliche Einschätzungen zum NIS2-Umsetzungsgesetz sollte fachkundiger Rat eingeholt werden.