Was ist die NIS-2-Richtlinie?
NIS2 ist die EU-Richtlinie (EU) 2022/2555. Sie soll ein hohes gemeinsames Cybersicherheitsniveau in der gesamten Union herstellen und löst die ältere NIS-Richtlinie ab. Die Mitgliedstaaten mussten sie bis zum 17. Oktober 2024 in nationales Recht umsetzen.
Für wen gilt die NIS-2-Richtlinie?
Erfasst sind Einrichtungen in 18 Sektoren — von Energie, Verkehr, Gesundheit und Wasser bis zu digitaler Infrastruktur, IT-Dienstleistungen, Post, Abfall, Chemie, Lebensmitteln und verarbeitendem Gewerbe. Anhang I nennt Sektoren mit hoher Kritikalität, Anhang II weitere kritische Sektoren; ob eine Einrichtung als „wesentlich“ oder „wichtig“ gilt, ergibt sich erst aus Art. 3 zusammen mit Größe und Sonderfällen. NIS2 zielt vor allem auf mittlere und größere Einrichtungen, doch bestimmte Einrichtungen sind unabhängig von ihrer Größe erfasst.
Welche Pflichten verlangt sie?
Zehn Gruppen von Risikomanagementmaßnahmen (Art. 21): Risikoanalyse, Vorfallsbehandlung, Betriebskontinuität, Lieferkettensicherheit, sichere Beschaffung und Entwicklung, Wirksamkeitsprüfung, Schulung, Kryptographie, Zugriffskontrolle sowie Multi-Faktor-Authentifizierung und gesicherte Kommunikation. Dazu kommen Registrierung und Meldepflichten.
Welche Meldefristen gelten bei Vorfällen?
Bei einem erheblichen Sicherheitsvorfall: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen eines Monats (Art. 23). Die Frist läuft ab Kenntnis, nicht ab dem nächsten Werktag.
Wer haftet persönlich?
Die Leitungsorgane. Sie müssen die Maßnahmen billigen, ihre Umsetzung überwachen und sich schulen lassen (Art. 20) — Cybersicherheit ist damit ausdrücklich Chefsache und nicht an die IT delegierbar.
Welche Sanktionen drohen bei Verstößen?
Die Richtlinie verpflichtet die Mitgliedstaaten, Höchstbußgelder von mindestens 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes für wesentliche und mindestens 7 Mio. Euro oder 1,4 % für wichtige Einrichtungen vorzusehen — jeweils der höhere Betrag (Art. 34). Welche Sanktion tatsächlich verhängt wird, richtet sich nach dem nationalen Recht und der zuständigen nationalen Behörde.
So funktioniert es
Antworten
Acht kurze Fragen mit vorgegebenen Antworten — keine Formulierungsarbeit.
Prüfen
Überblick über alle Antworten, mit direkter Möglichkeit zur Änderung.
Konto anlegen oder anmelden
Nur um Ihr Ergebnis zu speichern und später wiederzufinden.
Ergebnis erhalten
Erste Einordnung, offene Punkte und nächste Schritte — basierend auf Ihren Antworten.
Was bietet Ihnen NIS2Steps?
Erste Einordnung
Hinweise zu möglicher NIS2-Betroffenheit, deterministisch aus Ihren Angaben berechnet.
Offene Punkte
Klar benannt, wo Antworten fehlen oder fachliche Prüfung nötig ist — nie stillschweigend übergangen.
Nächste Schritte
Bis zu drei konkrete, aus Ihren Antworten begründete Handlungsempfehlungen.
Beispielergebnis
Beispiel — Demonstrationsdaten
Land: EU · Formularversion 1 · bewertet am 11.9.2026
Stand der Sicherheitsangaben
- Multi-Faktor-/kontinuierliche Authentifizierung — Lücke erkannt
Nächste Schritte
Keine benannte verantwortliche Stelle für IT und Sicherheit angegeben.
MFA ist nur bei einem Teil der Konten aktiv.
Sicherungskopien bestehen, ein getesteter Wiederherstellungsnachweis fehlt.
Erste Einschätzung auf Basis Ihrer Angaben — kein Zertifikat, keine vollständige Prüfung.
Methodik und Grenzen
Diese kurze Einschätzung unterscheidet drei Ebenen: Ihre eigenen Angaben (Selbstauskunft), hochgeladene Nachweise und eine geprüfte fachliche Freigabe durch einen unabhängigen Reviewer. Nur Letzteres gilt als bewiesen. Diese Seite ersetzt keine Rechtsberatung und keine vollständige Prüfung.
Grundlage ist die Richtlinie (EU) 2022/2555, die in allen EU-Mitgliedstaaten gilt. Sektor- und Größenkriterien sind unionsweit einheitlich; die nationale Umsetzung regelt Details wie zuständige Behörde, Registrierung und Fristen.
Europäischer NIS2-Kontext
NIS2Steps bezieht sich auf die EU-Richtlinie (EU) 2022/2555 und ihre Umsetzung in den Mitgliedstaaten. Kein offizielles, gefördertes oder von der EU anerkanntes Angebot.
Häufige Fragen
Muss ich Dokumente hochladen?
Nicht für die kurze Einschätzung. Dokumente und detaillierte Nachweise sind später im Konto möglich, freiwillig.
Was, wenn ich eine Antwort nicht kenne?
„Ich weiß es nicht“ ist eine gültige Antwort. Sie führt zu einer offenen Frage im Ergebnis, nie zu einer erfundenen Bewertung.
Kann ich Antworten ändern?
Ja, jederzeit vor und nach dem Ergebnis. Änderungen erzeugen eine neue Version; die vorherige bleibt einsehbar.
Warum brauche ich ein Konto?
Nur um Ihr Ergebnis zu speichern und sicher wiederzufinden. Ohne Konto geht die Sitzung nach 24 Stunden verloren.
Was bedeutet das Ergebnis?
Eine erste, auf Ihren Angaben basierende Einordnung — kein Zertifikat, kein Bescheid einer Behörde.
Dedizierter Umsetzungspfad und NIS-2-Konformitätsaudit
Überprüfen Sie Ihre Einstufung (wesentliche / wichtige Einrichtung), die 10 Risikomanagementmaßnahmen (Art. 21) und 24h-Meldewege mit den Auditoren von SKOPION Intelligence.
Ihre Daten werden vertraulich gemäß unserer Datenschutzerklärung verarbeitet.