Was es ist

Richtlinie (EU) 2022/2555, ABl. L 333 vom 27.12.2022, S. 80. Hebt die NIS-Richtlinie (EU) 2016/1148 auf. In Deutschland umgesetzt durch das NIS2UmsuCG, das das BSIG neu fasst, in Kraft seit 06.12.2025.

Geltungsbereich

Anhang I Sektor 8 Digitale Infrastruktur nennt Anbieter von Rechenzentrumsdiensten (Begriff Art. 6 Nr. 31), Cloud-Computing-Dienste, IXP, DNS und weitere. In Deutschland: Anlage 1 Nr. 6.1.5 BSIG, Begriff § 2 Nr. 35.

Pflichten

• Art. 20 Governance: Leitungsorgane billigen und überwachen die Maßnahmen, Schulungspflicht.
• Art. 21 Risikomanagement mit gefahrenübergreifendem Ansatz, auch physische Umwelt; Mindestkatalog Buchstaben a bis j. Die Durchführungsverordnung (EU) 2024/2690 konkretisiert das unter anderem für RZ- und Cloud-Anbieter.
• Art. 23 Meldepflichten: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht spätestens einen Monat danach.
• Art. 24: Mitgliedstaaten können verlangen, dass zertifizierte IKT-Produkte, -Dienste und -Prozesse nach europäischen Schemata gemäß Art. 49 der Verordnung (EU) 2019/881 genutzt werden; die Kommission kann dies per delegiertem Rechtsakt für bestimmte Kategorien vorschreiben.
• Art. 34 Geldbußen: wesentliche Einrichtungen bis mindestens 10 Mio. € oder 2 Prozent des weltweiten Jahresumsatzes, wichtige bis mindestens 7 Mio. € oder 1,4 Prozent.

Fristen

Inkrafttreten 16.01.2023, Umsetzung bis 17.10.2024, Anwendung ab 18.10.2024 (Art. 41).

Bezug zu Siegeln

Die Richtlinie schreibt kein privates Siegel vor. Nachweis für Betreiber kritischer Anlagen in Deutschland nach KRITIS-Nachweis nach § 39 BSIG.

Abgrenzung

• DORA (Verordnung (EU) 2022/2554) ist für Finanzunternehmen Spezialregel (Art. 4 NIS2).
• KRITIS-Dachgesetz für den physischen Schutz.