NIS1 vs NIS2: Was hat sich geändert?

NIS2 ist nicht einfach ein Update der alten NIS1-Richtlinie. Es ist eine grundlegend neue Regulierung mit erweitertem Geltungsbereich, konkreteren Pflichten und deutlich höheren Sanktionen. Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2UmsuCG, das die europäische Richtlinie in nationales Recht umsetzt. Ohne Übergangsfrist.

Dieser Artikel zeigt die konkreten Unterschiede zwischen NIS1 und NIS2 und erklärt, was das für Unternehmen in Deutschland bedeutet.

Was war die NIS1-Richtlinie?

Die NIS1-Richtlinie (EU 2016/1148) war der erste Versuch der EU, einheitliche Cybersicherheitsstandards für kritische Infrastrukturen zu schaffen. Sie trat 2016 in Kraft und betraf sieben Sektoren: Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trinkwasserversorgung und digitale Infrastruktur.

Die Anforderungen blieben bewusst offen formuliert. Betroffene Unternehmen mussten "geeignete und verhältnismäßige technische und organisatorische Maßnahmen" treffen und "erhebliche Sicherheitsvorfälle" melden. Was genau das bedeutete, definierte jeder Mitgliedstaat selbst. In Deutschland setzte das BSI-Gesetz die Anforderungen für KRITIS-Betreiber um, andere Länder wählten andere Wege.

Das Ergebnis war ein Flickenteppich unterschiedlicher Sicherheitsniveaus. Ein Energieversorger in Deutschland unterlag anderen Regeln als einer in Frankreich. Die EU-Kommission stellte in ihrer Evaluierung 2020 fest, dass NIS1 das Harmonisierungsziel verfehlt hatte: Die Meldepflichten waren uneinheitlich, die Aufsichtspraxis lückenhaft, und ganze Sektoren blieben unreguliert.

NIS1 vs NIS2: Die wichtigsten Unterschiede auf einen Blick

NIS2 (EU 2022/2555) ersetzt NIS1 vollständig. Die Änderungen betreffen nicht einzelne Stellschrauben, sondern die gesamte Architektur der Regulierung. Die folgende Tabelle fasst die sieben Kerländerungen zusammen.

Die Tabelle zeigt: NIS2 ist kein Feintuning. Es ist eine Neukalibrierung, die den Regulierungsrahmen für Cybersicherheit in Europa auf ein anderes Niveau hebt. Die wichtigsten Dimensionen im Detail.

Erweiterter Geltungsbereich: Wer ist jetzt betroffen?

Unter NIS1 entschied jeder Mitgliedstaat selbst, welche Unternehmen als Betreiber wesentlicher Dienste galten. NIS2 ersetzt diesen Ansatz durch EU-weit einheitliche Kriterien. Das Ergebnis: Die Zahl der betroffenen Unternehmen in Deutschland steigt von wenigen Tausend auf rund 30.000.

Neu sind vor allem die Sektoren Abfallwirtschaft, Lebensmittelproduktion, Postdienste, chemische Industrie, verarbeitendes Gewerbe und digitale Dienste. Statt der alten Unterscheidung zwischen "Betreibern wesentlicher Dienste" und "Anbietern digitaler Dienste" kennt NIS2 zwei Kategorien: besonders wichtige Einrichtungen (bwE) und wichtige Einrichtungen (wE). Die Einstufung hängt von Sektor, Mitarbeiterzahl und Jahresumsatz ab.

Ob Ihr Unternehmen unter den erweiterten Geltungsbereich fällt, hängt von diesen drei Faktoren ab. Alle 18 Sektoren und die genauen Schwellenwerte erklären wir unter Für wen gilt NIS2?.

Neue Pflichten: Was NIS2 von Unternehmen verlangt

NIS1 formulierte Anforderungen bewusst vage: "geeignete Sicherheitsmaßnahmen" ohne klare Definition. NIS2 konkretisiert das. §30 BSIG listet zehn Maßnahmenbereiche auf, die betroffene Unternehmen umsetzen müssen. Dazu gehören Risikoanalyse, Incident Response, Business Continuity, Lieferkettensicherheit, Schwachstellenmanagement, Kryptographie und Multi-Faktor-Authentifizierung. Wer sich diese Liste anschaut, wird feststellen: Das ist im Kern ein Informationssicherheitsmanagementsystem (ISMS).

Unternehmen, die bereits eine ISO 27001 Zertifizierung besitzen, decken erfahrungsgemäß 70-80 % der NIS2-Anforderungen ab. Wer noch kein ISMS hat, kann mit einer Plattform wie SECJUR die Vorbereitungszeit erfahrungsgemäß um bis zu 50 % verkürzen. Die zehn konkreten Maßnahmen nach §30 BSIG erklären wir im Detail unter NIS2 Anforderungen: Alle Pflichten für Unternehmen 2026.

Neben den Risikomanagement-Maßnahmen verschärft NIS2 auch die Meldepflichten. Sicherheitsvorfälle mit erheblicher Auswirkung müssen dem BSI innerhalb von 24 Stunden als Frühwarnung, innerhalb von 72 Stunden als vollständiger Bericht und innerhalb eines Monats als Abschlussbericht gemeldet werden. Wie Sie diese Fristen einhalten, zeigt unser Leitfaden zur NIS2 Meldepflicht.

Die dritte große Änderung betrifft die Geschäftsleitung persönlich. §38 NIS2UmsuCG verpflichtet Geschäftsführer, die Risikomanagement-Maßnahmen zu billigen, ihre Umsetzung zu überwachen und regelmäßig an Cybersicherheitsschulungen teilzunehmen. Eine Delegation an die IT-Abteilung reicht nicht mehr aus. Welche persönlichen Haftungsrisiken das mit sich bringt, lesen Sie unter NIS2 Haftung Geschäftsführer.

"Viele Unternehmen behandeln NIS2 noch wie ein IT-Projekt. Das greift zu kurz. NIS2 verlangt ein systematisches Risikomanagement, das von der Geschäftsleitung getragen wird. Wer das verstanden hat, baut kein NIS2-Projekt auf, sondern ein ISMS."

Niklas Hanitsch, Gründer & Geschäftsführer bei SECJUR

Härtere Sanktionen: Bußgelder bis 10 Millionen Euro

Unter NIS1 bestimmte jeder Mitgliedstaat seine eigenen Sanktionen. Das führte zu erheblichen Unterschieden: In manchen Ländern drohten empfindliche Strafen, in anderen kaum spürbare. NIS2 harmonisiert den Strafrahmen EU-weit.

Für besonders wichtige Einrichtungen (bwE) sieht §65 NIS2UmsuCG Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes vor (je nachdem, welcher Betrag höher ist). Für wichtige Einrichtungen (wE) liegt die Obergrenze bei 7 Millionen Euro oder 1,4 % des Jahresumsatzes. Zum Vergleich: Unter NIS1 gab es in Deutschland für KRITIS-Verstöße Bußgelder von maximal 100.000 Euro. Der Sprung auf 10 Millionen Euro zeigt, wie ernst der Gesetzgeber die neue Regulierung nimmt.

Hinzu kommt die proaktive Aufsicht. Besonders wichtige Einrichtungen unterliegen nach §61 NIS2UmsuCG einer aktiven Kontrolle durch das BSI: Audits, Inspektionen und Anordnungen sind ohne konkreten Anlass möglich. Bei wichtigen Einrichtungen (§62) greift das BSI nur bei Hinweisen auf Verstöße ein. Unter NIS1 war die Aufsicht in den meisten Fällen rein reaktiv.

NIS2 in Deutschland: Das NIS2UmsuCG gilt seit Dezember 2025

Die EU-Mitgliedstaaten hatten bis Oktober 2024 Zeit, NIS2 in nationales Recht umzusetzen. Deutschland hat diese Frist gerissen. Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) wurde erst im November 2025 vom Bundestag verabschiedet und ist am 6. Dezember 2025 in Kraft getreten.

Ein wichtiger Punkt: Es gibt keine Übergangsfrist. Unternehmen, die unter den Geltungsbereich fallen, müssen die Anforderungen ab dem Tag des Inkrafttretens erfüllen. Das unterscheidet das NIS2UmsuCG von vielen anderen Regulierungen, die betroffenen Unternehmen 12 oder 24 Monate Vorbereitungszeit einräumen.

Die BSI-Registrierungspflicht ist seit März 2026 aktiv. Betroffene Unternehmen müssen sich über das BSI-Portal registrieren und einen Kontaktpunkt für Sicherheitsvorfälle benennen. Wer sich noch nicht registriert hat, muss sofort handeln. Eine verspätete Registrierung ist besser als keine, denn sie zeigt dem BSI, dass das Unternehmen reagiert hat.

Die vollständige Timeline des Gesetzgebungsverfahrens und den aktuellen Stand dokumentieren wir unter NIS2UmsuCG.

Fazit: NIS2 ist keine Weiterentwicklung, sondern ein Neustart

NIS1 war ein erster Schritt. NIS2 ist der Rahmen, den die EU von Anfang an hätte setzen sollen: einheitliche Kriterien, konkrete Pflichten, spürbare Sanktionen. Für Unternehmen in Deutschland bedeutet das: Die Anforderungen sind seit Dezember 2025 geltendes Recht. Wer noch nicht begonnen hat, sollte jetzt starten.

Der effizienteste Weg zur NIS2-Compliance führt über ein ISMS. Die zehn Maßnahmenbereiche aus §30 BSIG entsprechen im Kern den Anforderungen, die ein ISMS nach ISO 27001 ohnehin abdeckt. ISMS-Plattformen wie SECJUR Digital Compliance Office unterstützen Unternehmen dabei, die Anforderungen systematisch umzusetzen, von der Risikoanalyse über die Dokumentation bis zur BSI-Registrierung. Erfahrungsgemäß sinkt der interne Aufwand damit um bis zu 50 %, weil die Plattform Workflows, Vorlagen und Mappings mitbringt.

Fazit: NIS1 vs NIS2 – eine weitreichende Neuauflage der EU-Cybersicherheit

‍

Zusammenfassend sind die wesentlichen Unterschiede zwischen NIS1 vs NIS2 die erweiterte Anwendung auf eine breitere Palette von Sektoren, strengere Anforderungen an die Informationssicherheit für betroffene Unternehmen, einheitlichere Standards und eine verstärkte Zusammenarbeit auf EU-Ebene.  

‍

Mit den neuen Maßnahmen in NIS1 vs NIS2 wird somit ein weitaus höheres Niveau der Cybersicherheit angestrebt, um die digitale Infrastruktur Europas langfristig zu schützen und die Sicherheit der Bürger zu gewährleisten.

‍