Die NIS2 Richtlinie erklärt: was SaaS und eCommerce Unternehmen wirklich tun müssen

Der Kern: NIS2 handelt von den Diensten, die du betreibst, und Deutschland hat sie im BSI Gesetz umgesetzt

Die NIS2 Richtlinie ist die Richtlinie (EU) 2022/2555, das Gesetz der Europäischen Union zur Cybersicherheit von Organisationen, die wichtige Dienste betreiben.¹ Die Mitgliedstaaten mussten sie bis zum 17. Oktober 2024 in nationales Recht übertragen und dieses Recht ab dem 18. Oktober 2024 anwenden, am selben Tag, an dem die ursprüngliche NIS Richtlinie aufgehoben wurde.¹²

Für ein SaaS Unternehmen oder einen Onlineshop heißt das kurz gesagt: Erbringst du eine Art von Dienst, die in den Anhängen der Richtlinie steht, bist du mindestens mittelgroß und erbringst du diesen Dienst in der EU, gilt NIS2 für dich. Sie verlangt zehn Arten von Sicherheitsmaßnahmen, eine Meldung von Sicherheitsvorfällen in drei Stufen, deren erste binnen 24 Stunden fällig ist, und eine Geschäftsleitung, die die Maßnahmen genehmigt und sich schulen lässt.¹ Viele SaaS Produkte zählen als Cloud Computing Dienst. Die meisten gewöhnlichen Onlineshops zählen gar nicht.

In Deutschland gilt die Richtlinie über das NIS2 Umsetzungs und Cybersicherheitsstärkungsgesetz, verkündet im Bundesgesetzblatt am 5. Dezember 2025 (BGBl. 2025 I Nr. 301), das das BSI Gesetz (BSIG) neu gefasst hat.³⁴ Was das konkret heißt, steht weiter unten. Die Unternehmen in den Beispielen sind erfunden. Das Recht und die Termine stehen in den Fußnoten.

Wie sich NIS2 vom Cyber Resilience Act unterscheidet

In meinem Beitrag zum Cyber Resilience Act habe ich geschrieben, dass reine SaaS Produkte nicht unter den CRA fallen und dass ein anderes Gesetz sie stattdessen abdeckt. Dieses Gesetz ist NIS2.

Der Cyber Resilience Act ist die Verordnung (EU) 2024/2847 und erfasst Produkte mit digitalen Elementen: Hardware, herunterladbare Software, Apps.⁵ Er sorgt dafür, dass das Produkt sicher ist, bevor es auf den Markt kommt. Unter anderem verlangt er von Herstellern eine Softwarestückliste, eine maschinenlesbare Liste der Komponenten im Produkt.⁵

NIS2 erfasst die Organisationen, die Dienste betreiben. Es geht darum, wie du Cyberrisiken managst, während der Dienst läuft: deine Maßnahmen, deine Meldungen, deine Geschäftsleitung. Der CRA sagt das selbst in Erwägungsgrund 12: NIS2 gilt für Cloud Computing Dienste und Cloud Dienstmodelle wie Software as a Service (SaaS), Platform as a Service und Infrastructure as a Service.⁵

Dazu kommt die Datenschutz Grundverordnung (DSGVO), die personenbezogene Daten erfasst, egal welches der beiden anderen Gesetze greift.⁶ Du kannst ohne Weiteres alle drei brauchen. Willkommen in der EU Compliance.

Ein Beispiel: Ein Hamburger Unternehmen verkauft eine Desktop App zur Schichtplanung in Lagern und betreibt dazu das Web Dashboard, mit dem sich die App synchronisiert. Die herunterladbare App ist ein Produkt mit digitalen Elementen, also schaut der CRA auf sie. Das gehostete Dashboard ist ein Dienst, also kann NIS2 darauf schauen, wenn das Unternehmen den Größentest unten besteht. Beide enthalten Namen von Mitarbeitenden, also schaut die DSGVO auf beide. Drei Gesetze, eine Produktlinie, und jedes stellt eine andere Frage.

Wer betroffen ist: zuerst die Art des Dienstes

NIS2 beginnt nicht mit der Größe deines Unternehmens. Sie beginnt mit dem, was du tust. Artikel 2 Absatz 1 wendet die Richtlinie auf Einrichtungen einer der in Anhang I oder II genannten Arten an.¹ Anhang I listet elf Sektoren mit hoher Kritikalität, Anhang II sieben sonstige kritische Sektoren, 18 insgesamt.¹

Anhang I umfasst Energie, Verkehr, Banken, Gesundheit, Wasser, öffentliche Verwaltung, Weltraum und zwei, die für Softwareunternehmen zählen: digitale Infrastruktur (Anbieter von Cloud Computing Diensten, Rechenzentren, Content Delivery Networks, DNS Anbieter, Vertrauensdiensteanbieter und andere) und die Verwaltung von IKT Diensten zwischen Unternehmen (Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste).¹

Anhang II umfasst Post und Kurierdienste, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe, Forschung und Anbieter digitaler Dienste: Online Marktplätze, Online Suchmaschinen und Plattformen für soziale Netzwerke.¹

Drei Begriffe entscheiden die meisten Fälle für meine Leserinnen und Leser.

Ein Cloud Computing Dienst ist nach Artikel 6 Nummer 30 ein digitaler Dienst, der auf Abruf die Verwaltung und den umfassenden Fernzugang zu einem skalierbaren und elastischen Pool gemeinsam nutzbarer Rechenressourcen ermöglicht.¹ Erwägungsgrund 33 nennt SaaS unter den erfassten Dienstmodellen.¹ Ein SaaS Produkt, bei dem sich deine Kunden registrieren und das sie über das Web nutzen, ist also sehr oft ein Cloud Computing Dienst.

Ein Anbieter verwalteter Dienste installiert, verwaltet, betreibt oder wartet IKT Produkte, Netze, Infrastruktur oder Anwendungen für Kunden, vor Ort oder aus der Ferne (Artikel 6 Nummer 39).¹ Betreibst und pflegst du die Systeme anderer Unternehmen für sie, bist das du.

Ein Online Marktplatz bekommt seine Bedeutung aus dem Verbraucherrecht: ein Dienst, der es Verbrauchern ermöglicht, "Fernabsatzverträge mit anderen Gewerbetreibenden oder Verbrauchern" abzuschließen.⁷ Die entscheidenden Worte sind "anderen Gewerbetreibenden". Ein Shop, der seine eigenen Waren verkauft, ist kein Marktplatz. Eine Plattform, auf der unabhängige Händler an Verbraucher verkaufen, ist einer.

Durchgerechnetes Beispiel: drei Unternehmen, drei Antworten

Das erste ist ein Leipziger Unternehmen, das Terminsoftware an Zahnarztpraxen verkauft, mit Registrierung und Nutzung im Browser, und zu seinen Kunden zählen Praxen in Österreich und den Niederlanden. Das Produkt passt auf die Definition des Cloud Computing Dienstes, also Anhang I. Arttest bestanden.

Das zweite ist ein Kölner Shop, der eigene Präsentkörbe online verkauft und nach Österreich liefert. Er ist kein Marktplatz, denn jeder Vertrag kommt mit dem Shop selbst zustande. Lebensmittel stehen zwar in Anhang II, aber nur für Lebensmittelunternehmen, "die im Großhandel sowie in der industriellen Produktion und Verarbeitung tätig sind".¹ Ein Präsentkorbshop im Einzelhandel ist nichts davon. Arttest nicht bestanden, NIS2 erreicht ihn über ihre eigenen Listen also nicht.

Das dritte ist eine Münchner Plattform, auf der 400 unabhängige Werkstätten Keramik an Verbraucher in ganz Europa verkaufen. Verbraucher schließen darüber Verträge mit anderen Gewerbetreibenden, also ist sie ein Online Marktplatz, Anhang II. Arttest bestanden.

Wer betroffen ist: dann der Größentest

Der zweite Filter ist die Größe. Artikel 2 Absatz 1 erfasst Einrichtungen, die als mittlere Unternehmen nach der Empfehlung 2003/361/EG der Kommission gelten oder deren Schwellenwerte überschreiten.¹ Nach dieser Empfehlung beschäftigt ein kleines Unternehmen weniger als 50 Personen und hat einen Jahresumsatz und/oder eine Jahresbilanzsumme von höchstens 10 Millionen €.⁸ Mittelgroß heißt weniger als 250 Personen und ein Umsatz bis 50 Millionen € und/oder eine Bilanzsumme bis 43 Millionen €.⁸

Zwei Details erwischen viele, in beide Richtungen.

Eine verbreitete Kurzformel sagt, ein Unternehmen sei ab 50 Beschäftigten "oder" 10 Millionen € Umsatz mittelgroß. Das ist zu einfach. Wegen des "und/oder" bleibt ein Unternehmen mit weniger als 50 Beschäftigten klein, solange entweder sein Umsatz oder seine Bilanzsumme bei höchstens 10 Millionen € liegt.⁸ Ein SaaS Unternehmen mit 30 Leuten, 12 Millionen € Umsatz und einer bescheidenen Bilanz ist weiterhin klein und liegt unter der Größengrenze von NIS2. Das deutsche Gesetz formuliert es genauso: Wichtige Einrichtung ist, wer mindestens 50 Mitarbeiter beschäftigt oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen € aufweist.⁴

In die andere Richtung gilt: Die Zahlen gehören nicht dir allein. Die Empfehlung rechnet die Daten verbundener Unternehmen und anteilig die von Partnerunternehmen hinzu.⁸ Eine kleine Tochter eines großen Konzerns ist nicht klein. Die Beschäftigten werden in Jahresarbeitseinheiten gezählt, also in Vollzeitäquivalenten, und ein Unternehmen wechselt die Kategorie erst, wenn es eine Schwelle in zwei aufeinanderfolgenden Geschäftsjahren überschreitet.⁸ Hier weicht das deutsche Gesetz ab: Die Daten von Partner oder verbundenen Unternehmen werden nicht hinzugerechnet, wenn das Unternehmen mit Blick auf seine informationstechnischen Systeme, Komponenten und Prozesse unabhängig von ihnen ist.⁴

Manche Einrichtungen sind unabhängig von ihrer Größe erfasst: Anbieter öffentlicher elektronischer Kommunikationsnetze, Vertrauensdiensteanbieter, Top Level Domain Registries und DNS Anbieter, unter anderen, sowie jede Einrichtung, die ein Mitgliedstaat als einzigen Erbringer eines wesentlichen Dienstes oder als kritisch benennt (Artikel 2 Absatz 2).¹

Der ganze Test, erst die Art, dann die Größe, dann die Kategorie, passt in eine Kette von Fragen.

Lies es von oben. Jede Raute ist eine Frage an dein Unternehmen, und die Beschriftung am Pfeil zum nächsten Kasten ist die Antwort, die dorthin führt. Die grauen Hinweise sind die Ausgänge: Wer bei einer der ersten beiden Fragen aussteigt, liegt nach den eigenen Begriffen der Richtlinie außerhalb von NIS2. Die Lehre steckt in der Reihenfolge. Erst die Art, dann die Größe, dann die Kategorie. Die meiste Verwirrung entsteht, wenn man mit der Größe anfängt.

Durchgerechnetes Beispiel: die Leipziger Terminsoftware, Jahr für Jahr

Die Schwellen sind in Euro, und das Leipziger Unternehmen bilanziert in Euro, also muss niemand umrechnen.

Erstes Jahr: 38 Beschäftigte in Vollzeitäquivalenten, 10,35 Millionen € Umsatz, 5,75 Millionen € Bilanzsumme. Weniger als 50 Beschäftigte, und die Bilanzsumme liegt unter 10 Millionen €, also ist das Unternehmen klein, obwohl sein Umsatz über 10 Millionen € liegt. Außerhalb von NIS2.

Zweites Jahr: 54 Beschäftigte. Das liegt über der Grenze für ein kleines Unternehmen, aber es ist das erste Jahr, also ändert sich der Status noch nicht.

Drittes Jahr: 58 Beschäftigte. Die Grenze ist jetzt in zwei aufeinanderfolgenden Geschäftsjahren überschritten, also wird das Unternehmen mittelgroß. Es erbringt einen Cloud Computing Dienst in der EU. NIS2 gilt.

Besonders wichtig oder wichtig: was die Kategorie ändert

Bist du einmal drin, bist du entweder eine wesentliche oder eine wichtige Einrichtung, im deutschen Gesetz "besonders wichtige Einrichtung" und "wichtige Einrichtung". Artikel 3 regelt das. Einrichtungen aus Anhang I, die die Schwellen für mittlere Unternehmen überschreiten, also große Unternehmen, sind wesentlich. Alle anderen im Anwendungsbereich sind wichtig, also mittelgroße Einrichtungen aus Anhang I und alle Einrichtungen aus Anhang II, die den Größentest bestehen, sofern kein Mitgliedstaat sie als wesentlich benennt.¹ Das BSIG übernimmt das: Besonders wichtig sind Einrichtungen aus Anlage 1 mit mindestens 250 Mitarbeitern oder mit über 50 Millionen € Umsatz und zugleich über 43 Millionen € Bilanzsumme.⁴

Die Pflichten sind für beide dieselben: die Maßnahmen nach Artikel 21 und die Meldungen nach Artikel 23. Was sich unterscheidet, sind die Aufsicht und die Höhe der Geldbußen.

Besonders wichtige Einrichtungen werden vorab beaufsichtigt. Die Behörde kann Prüfungen vor Ort, Stichproben, regelmäßige Audits und Sicherheitsscans durchführen, ob etwas passiert ist oder nicht (Artikel 32).¹ Wichtige Einrichtungen werden nachträglich beaufsichtigt: Die Behörde handelt, wenn sie Nachweise oder Hinweise hat, dass die Einrichtung die Anforderungen nicht erfüllt (Artikel 33).¹ Im BSIG sind das die §§ 61 und 62.⁹

Ein Punkt wird oft übertrieben: dass die Geschäftsleitung bei jedem Verstoß suspendiert oder abgesetzt werden könne. Die Befugnis, ein vorübergehendes Verbot für eine Geschäftsführerin oder einen gesetzlichen Vertreter zu beantragen, gibt es nur für wesentliche Einrichtungen, und nur, wenn frühere Durchsetzungsmaßnahmen gescheitert sind und eine Frist verstrichen ist (Artikel 32 Absatz 5).¹ Für beide Kategorien gilt aber, dass die Leitungspersonen für die Verletzung ihrer Pflichten haftbar gemacht werden können müssen (Artikel 32 Absatz 6 und Artikel 33 Absatz 5).¹

Ein Beispiel: Die Münchner Plattform hat 60 Beschäftigte. Sie ist mittelgroß und steht in Anhang II, also ist sie eine wichtige Einrichtung. Wüchse sie über 250 Beschäftigte, bliebe sie wichtig, denn Einrichtungen aus Anhang II werden allein durch ihre Größe nie wesentlich. Die Leipziger Terminsoftware würde mit über 250 Beschäftigten oder über den großen Schwellen besonders wichtig, denn Cloud Computing steht in Anhang I.

Die Geldbußen: eine Untergrenze unter dem Höchstbetrag

Artikel 34 regelt die Geldbußen für Verstöße gegen die Maßnahmen aus Artikel 21 oder die Meldepflichten aus Artikel 23. Für wesentliche Einrichtungen liegt der Höchstbetrag bei mindestens 10 Millionen € oder mindestens 2 % des gesamten weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen bei mindestens 7 Millionen € oder mindestens 1,4 %, je nachdem, welcher Betrag höher ist.¹ Das "mindestens" zählt: Das sind die niedrigsten Höchstbeträge, die ein Mitgliedstaat festlegen darf, und ein nationales Gesetz darf höhere festlegen.

Für ein bestimmtes Unternehmen lautet die Obergrenze:

$$F_{\max} = \max\left(A,\; r \times T\right)$$

$F_{\max}$ ist der niedrigste Höchstbetrag, den die Richtlinie einem Mitgliedstaat erlaubt. $A$ ist der feste Betrag, 10 Millionen € für eine wesentliche und 7 Millionen € für eine wichtige Einrichtung. $r$ ist der Umsatzsatz, $0{,}02$ für wesentliche und $0{,}014$ für wichtige Einrichtungen. $T$ ist der gesamte weltweite Jahresumsatz im vorangegangenen Geschäftsjahr des Unternehmens, zu dem die Einrichtung gehört, also der ganzen Gruppe. $\max$ nimmt den größeren der beiden Werte. Wenn Prozentrechnung eingerostet ist, erklärt Grundlagen: Prozent sie von Grund auf.

Deutschland ist bei den Untergrenzen der Richtlinie geblieben. Das BSIG sieht für besonders wichtige Einrichtungen bis zu 10 Millionen € und für wichtige bis zu 7 Millionen € vor, und bei einem Gesamtumsatz von mehr als 500 Millionen € bis zu 2 % beziehungsweise 1,4 % des Gesamtumsatzes, also des weltweiten Umsatzes des Unternehmens, dem die Einrichtung angehört.¹⁰

Durchgerechnetes Beispiel: zwei Obergrenzen

Die Münchner Plattform ist wichtig, mit einem Gruppenumsatz von 40,25 Millionen €. Der Umsatzteil ist $0{,}014 \times 40.250.000 = 563.500$, also 563.500 €. Das ist weniger als 7 Millionen €, also liegt die Obergrenze bei mindestens 7 Millionen €.

Jetzt ein großer Cloud Anbieter, wesentlich, mit einem Gruppenumsatz von 900 Millionen €. Der Umsatzteil ist $0{,}02 \times 900.000.000 = 18.000.000$, also 18 Millionen €. Das ist mehr als 10 Millionen €, also liegt die Obergrenze bei mindestens 18 Millionen €.

Das Muster: Für die meisten mittelgroßen Unternehmen ist der feste Betrag derjenige, der greift. In beiden Kategorien übernimmt der Prozentsatz erst ab 500 Millionen € Umsatz, denn $10.000.000 / 0{,}02$ und $7.000.000 / 0{,}014$ ergeben beide $500.000.000$. Genau an dieser Stelle setzt auch das deutsche Gesetz die Prozentregel an.¹⁰

Noch eine Regel: Ist dasselbe Verhalten zugleich eine Verletzung des Schutzes personenbezogener Daten und verhängt die Datenschutzaufsicht dafür eine Geldbuße, darf die NIS2 Behörde für dieses Verhalten keine weitere verhängen, ihre anderen Durchsetzungsmaßnahmen kann sie aber weiter nutzen (Artikel 35).¹ Das BSIG übernimmt das ausdrücklich.¹⁰

Was NIS2 von dir verlangt: die zehn Maßnahmen

Artikel 21 Absatz 1 verlangt "geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen", um die Risiken für die Systeme zu beherrschen, die du für deine Dienste nutzt. Verhältnismäßig ist hier ein echtes Wort: Die Richtlinie verlangt, dass die Behörde deine Risikoexposition, deine Größe sowie die Wahrscheinlichkeit und Schwere von Vorfällen berücksichtigt.¹

Artikel 21 Absatz 2 zählt dann auf, was die Maßnahmen mindestens umfassen müssen, und § 30 BSIG übernimmt die Liste fast wortgleich:¹¹¹

1. Konzepte zur Risikoanalyse und zur Sicherheit der Informationssysteme.
2. Bewältigung von Sicherheitsvorfällen.
3. Aufrechterhaltung des Betriebs, etwa Backup Management und Wiederherstellung nach einem Notfall, und Krisenmanagement.
4. Sicherheit der Lieferkette, einschließlich der Sicherheit der Beziehungen zu deinen unmittelbaren Anbietern und Dienstleistern.
5. Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen, einschließlich Umgang mit und Offenlegung von Schwachstellen.
6. Konzepte und Verfahren, um zu bewerten, ob deine Maßnahmen wirken.
7. Grundlegende Cyberhygiene und Schulungen zur Cybersicherheit.
8. Konzepte für Kryptografie und, wo angebracht, Verschlüsselung.
9. Sicherheit des Personals, Zugriffskontrolle und Verwaltung der Anlagen.
10. Multi Faktor Authentifizierung oder kontinuierliche Authentifizierung sowie gesicherte Sprach, Video und Textkommunikation und Notfallkommunikation, wo angebracht.

Das ist eine ordentliche Liste. Zum größten Teil ist es auch das, was ein gut geführtes Softwareunternehmen ohnehin tun sollte.

Für Cloud Computing Dienste, Online Marktplätze, Anbieter verwalteter Dienste und die anderen digitalen Arten ist die Kommission weiter gegangen. Die Durchführungsverordnung (EU) 2024/2690 legt die technischen und methodischen Anforderungen an diese Maßnahmen fest und bestimmt, wann ein Vorfall erheblich ist.¹² Gehörst du zu diesen Arten, ist diese Verordnung deine genaue Checkliste, nicht nur Artikel 21, und das BSIG gibt ihr für diese Arten ausdrücklich Vorrang.¹²¹¹

Artikel 20 fügt die Ebene der Unternehmensführung hinzu. Die Geschäftsleitung muss die Maßnahmen genehmigen, ihre Umsetzung überwachen und kann für Verstöße gegen Artikel 21 haftbar gemacht werden. Die Mitglieder der Geschäftsleitung müssen an Schulungen teilnehmen.¹

Durchgerechnetes Beispiel: die erste Lückenanalyse in Leipzig

Das Unternehmen mit der Terminsoftware, jetzt mittelgroß, nimmt die zehn Punkte und markiert jeden als erledigt, teilweise oder fehlend.

Es hat verschlüsselte Backups, aber seit einem Jahr hat niemand eines wiederhergestellt: Aufrechterhaltung des Betriebs ist teilweise erledigt. Die Entwicklerinnen und Entwickler nutzen Multi Faktor Authentifizierung in der Cloud Konsole, aber das Adminpanel des Supports hat nur Passwörter: Punkt zehn ist teilweise erledigt. Den Zahlungsdienstleister und den Mailversanddienst hat es nie bewertet: Lieferkette fehlt. Ein schriftliches Verfahren für Sicherheitsvorfälle gibt es überhaupt nicht: Bewältigung von Sicherheitsvorfällen fehlt.

Die Reihenfolge der Arbeit folgt dem Risiko und den Meldefristen im nächsten Abschnitt. Zuerst die Bewältigung von Sicherheitsvorfällen, denn ohne sie ist die 24 Stunden Frist nicht zu halten. Dann Multi Faktor Authentifizierung im Adminpanel, denn das ist eine Tür direkt zu den Terminen der Patientinnen und Patienten. Dann die Bewertung der Lieferanten und ein Wiederherstellungstest.

Meldungen: 24 Stunden, 72 Stunden, ein Monat

In Artikel 23 bekommt NIS2 eine Stoppuhr. Ein erheblicher Sicherheitsvorfall ist einer, der schwerwiegende Betriebsstörungen oder finanzielle Verluste für dich verursacht hat oder verursachen kann, oder erhebliche materielle oder immaterielle Schäden für andere.¹ Für die digitalen Anbieterarten macht die Durchführungsverordnung das konkret: etwa ein Vorfall mit einem direkten finanziellen Verlust von mehr als 500.000 € oder 5 % des Jahresumsatzes, je nachdem, welcher Betrag niedriger ist, oder eine vermutete böswillige Kompromittierung der Daten hinter einem Cloud Dienst oder einem Online Marktplatz.¹² Beim Cloud Computing ist ein Dienst, der mehr als 30 Minuten komplett nicht verfügbar ist, erheblich.¹²

Bei einem erheblichen Sicherheitsvorfall meldest du in Stufen. In Deutschland geht die Meldung an eine gemeinsame Meldestelle, die das BSI und das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtet haben:¹¹³

1. Eine frühe Erstmeldung, unverzüglich und spätestens 24 Stunden nach Kenntnis, mit der Angabe, ob du eine rechtswidrige oder böswillige Handlung vermutest und ob es grenzüberschreitende Auswirkungen geben könnte.
2. Eine Meldung über den Sicherheitsvorfall binnen 72 Stunden nach Kenntnis, mit einer ersten Bewertung von Schweregrad und Auswirkungen und, falls vorhanden, Kompromittierungsindikatoren.
3. Eine Zwischenmeldung, wenn die Behörde sie verlangt.
4. Eine Abschlussmeldung spätestens einen Monat nach der Meldung aus Schritt zwei, mit ausführlicher Beschreibung, der wahrscheinlichen Ursache, den Abhilfemaßnahmen und etwaigen grenzüberschreitenden Auswirkungen. Dauert der Vorfall dann noch an, kommt stattdessen zunächst eine Fortschrittsmeldung.¹³

Wo angebracht, musst du außerdem die Empfänger deines Dienstes unverzüglich über erhebliche Vorfälle informieren, die sie wahrscheinlich betreffen.¹

Durchgerechnetes Beispiel: das lange Wochenende der Münchner Plattform

Freitagabend, 21:00 Uhr. Die Rufbereitschaft der Münchner Plattform sieht, dass bei 30 Konten die Auszahlungsdaten der Verkäufer geändert wurden, von jemandem mit einer gestohlenen Adminsitzung. Das ist eine vermutete böswillige Kompromittierung von Marktplatzdaten, also erheblich.¹²

Die frühe Erstmeldung ist bis Samstag, 21:00 Uhr, fällig. Die Meldung über den Vorfall bis Montag, 21:00 Uhr. Geht diese Meldung am Montag um 16:00 Uhr raus, ist die Abschlussmeldung einen Monat später fällig. Die Auszahlungsdaten sind personenbezogene Daten der Verkäuferinnen und Verkäufer, die als Einzelpersonen handeln, also startet im selben Moment die Uhr des Datenschutzes. Nach der DSGVO geht die Verletzung möglichst binnen 72 Stunden an die zuständige Datenschutzaufsicht, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die betroffenen Menschen.⁶

Das sind zwei Meldungen an zwei Behörden mit sich überlappenden Fristen, beginnend um 21:00 Uhr an einem Freitag. Deshalb ist die 24 Stunden Frist ohne schriftliches Verfahren brutal, und deshalb stand die Bewältigung von Sicherheitsvorfällen in der Leipziger Lückenanalyse an erster Stelle.

Die deutsche Umsetzung: NIS2UmsuCG und das neue BSIG

Das NIS2 Umsetzungs und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) steht im Bundesgesetzblatt 2025 I Nr. 301, ausgefertigt am 2. Dezember und verkündet am 5. Dezember 2025.³ Sein Kern ist ein neu gefasstes BSI Gesetz. Für ein SaaS Unternehmen oder einen Marktplatz in Deutschland sind fünf Stellen darin die wichtigsten.

1. § 28 BSIG bestimmt, wer besonders wichtige und wer wichtige Einrichtung ist, nach den Arten in den Anlagen 1 und 2 und nach Größe. Cloud Computing Dienste und Managed Services Provider stehen in Anlage 1.⁴¹⁴
2. § 30 BSIG verlangt die zehn Maßnahmen von oben und dazu, dass du ihre Einhaltung dokumentierst.¹¹
3. § 32 BSIG regelt die Meldungen an die gemeinsame Meldestelle, mit den Fristen 24 Stunden, 72 Stunden und einem Monat.¹³
4. § 33 BSIG verpflichtet dich, dich spätestens drei Monate, nachdem du erstmals als Einrichtung giltst, beim BSI zu registrieren, mit Name, Rechtsform, Handelsregisternummer, Kontaktdaten, öffentlichen IP Adressbereichen, Sektor und den EU Staaten, in denen du Dienste erbringst. Änderungen meldest du binnen zwei Wochen.¹⁵ Das BSI beschreibt die Registrierung in zwei Schritten: ein ELSTER Organisationszertifikat über "Mein Unternehmenskonto" beantragen und sich damit im BSI Portal registrieren.¹⁶
5. § 38 BSIG verpflichtet die Geschäftsleitung, die Maßnahmen umzusetzen und ihre Umsetzung zu überwachen, und regelmäßig an Schulungen teilzunehmen. Verletzt sie diese Pflichten, haftet sie ihrer Einrichtung für schuldhaft verursachte Schäden nach dem Gesellschaftsrecht ihrer Rechtsform.¹⁷

Für die digitalen Arten, also Cloud Computing, Rechenzentren, Content Delivery Networks, Managed Service Provider, Online Marktplätze, Suchmaschinen und soziale Netzwerke, ist das BSI nur zuständig, wenn ihre Hauptniederlassung in der EU in Deutschland liegt, und dann für die ganze EU.¹⁸ Hauptniederlassung ist der Staat, in dem die Entscheidungen zum Cybersicherheitsrisikomanagement überwiegend fallen.¹⁸ Diese Einrichtungen haben eine zusätzliche Registrierungspflicht, deren Angaben das BSI an die ENISA weiterleitet.¹⁹

Das BSI schreibt heute auf seiner Seite für NIS2 regulierte Unternehmen, die gesetzliche Registrierungsfrist sei bereits abgelaufen, und bittet alle, die betroffen und noch nicht registriert sind, das umgehend nachzuholen.¹⁶ Für die Unternehmen, die 2025 schon unter das Gesetz fielen, ist diese Frist also vorbei. Wer wie die Leipziger Terminsoftware erst später hineinwächst, hat drei Monate ab dem Zeitpunkt, an dem er als Einrichtung gilt.¹⁵

Durchgerechnetes Beispiel: die Leipziger Terminsoftware im dritten Jahr

Mit 58 Beschäftigten, zum zweiten Mal in Folge über der Grenze, gilt das Leipziger Unternehmen als wichtige Einrichtung, Anlage 1, Cloud Computing.⁴ Seine Hauptniederlassung und alle Entscheidungen zur Sicherheit liegen in Leipzig, also ist das BSI zuständig, auch für die Praxen in Österreich und den Niederlanden.¹⁸

1. Registrierung beim BSI binnen drei Monaten, erst das ELSTER Organisationszertifikat, dann das BSI Portal.¹⁵¹⁶
2. Die Lückenanalyse von oben wird zum Maßnahmenplan nach § 30, und die Umsetzung wird dokumentiert.¹¹
3. Die Geschäftsführung genehmigt den Plan, überwacht ihn und meldet sich zu einer Schulung an.¹⁷
4. Ab jetzt läuft bei jedem erheblichen Vorfall die Uhr nach § 32: 24 Stunden, 72 Stunden, ein Monat.¹³

Ein Unternehmen ohne Niederlassung in der EU

NIS2 erreicht Einrichtungen, die ihre Dienste in der Union erbringen oder dort tätig sind (Artikel 2 Absatz 1), und Artikel 26 regelt Unternehmen, die dort nicht niedergelassen sind.¹

Für die meisten Einrichtungen folgt die Zuständigkeit der Niederlassung: Dich beaufsichtigt der Mitgliedstaat, in dem du niedergelassen bist.¹ Für eine Gruppe digitaler Arten, darunter Cloud Computing Anbieter, Rechenzentren, Content Delivery Networks, Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste, Online Marktplätze, Suchmaschinen, soziale Netzwerke und DNS Anbieter, folgt die Zuständigkeit der Hauptniederlassung in der Union.¹

Ist eine dieser digitalen Arten überhaupt nicht in der Union niedergelassen, bietet dort aber Dienste an, muss sie nach Artikel 26 Absatz 3 einen Vertreter in der Union benennen, niedergelassen in einem der Mitgliedstaaten, in denen sie ihre Dienste anbietet. Sie fällt dann unter die Zuständigkeit dieses Mitgliedstaats. Ohne Vertreter kann jeder Mitgliedstaat, in dem sie Dienste erbringt, rechtlich gegen sie vorgehen.¹ Das BSIG setzt das um: Sitzt der Vertreter in Deutschland, ist das BSI zuständig, und ohne benannten Vertreter kann sich das BSI selbst für zuständig erklären.¹⁸

Ein Unternehmen außerhalb der EU mit einer Tochter in Deutschland wird also hier beaufsichtigt. Ein Cloud Anbieter, Managed Service Provider oder Marktplatz ohne Niederlassung in der EU braucht einen Vertreter. Nicht sauber geregelt ist der Fall einer Einrichtung anderer Art ohne Niederlassung in der EU: Artikel 2 Absatz 1 erfasst sie im Grundsatz, aber die Zuständigkeitsregeln setzen eine Niederlassung voraus. Das ist eine Frage für eine Anwältin oder einen Anwalt im betreffenden Mitgliedstaat.

Ein Beispiel: Ein erfundener Anbieter von Praxissoftware ohne jede Niederlassung in der EU gewinnt Zahnarztpraxen in Deutschland und Österreich als Kunden. Er ist ein mittelgroßer Cloud Computing Anbieter, der seinen Dienst in der Union anbietet. Nach Artikel 26 Absatz 3 benennt er einen Vertreter, sagen wir in Deutschland, und dann gilt das BSIG, mit dem BSI als Aufsicht.¹¹⁸

Umsetzung: prüf das Land, nicht nur die Richtlinie

NIS2 ist eine Richtlinie, keine Verordnung. Jeder Mitgliedstaat schreibt sein eigenes Gesetz und darf strengere Regeln festlegen als die Richtlinie (Artikel 5).¹ Registrierung, die Behörde, an die du meldest, und die genauen Geldbußen kommen alle aus dem nationalen Recht.

Die Umsetzung verlief ungleichmäßig. Am 7. Mai 2025 schickte die Kommission begründete Stellungnahmen an 19 Mitgliedstaaten, die die vollständige Umsetzung nicht mitgeteilt hatten, darunter Deutschland, Österreich, Irland, Frankreich, Spanien und die Niederlande.²⁰ Diese Liste ist eine Momentaufnahme, also prüf die Seite der Kommission zur Umsetzung für jedes Land, in dem du tätig bist, bevor du dich darauf verlässt. Deutschland hat seitdem gehandelt, wie der Abschnitt oben zeigt.³

Auch die Richtlinie selbst bewegt sich. Am 20. Januar 2026 hat die Kommission gezielte Änderungen an NIS2 vorgeschlagen, die nach ihren Angaben die Compliance für 28.700 Unternehmen erleichtern sollen, darunter 6.200 Kleinst und Kleinunternehmen.² Das ist ein Vorschlag, kein Gesetz. Plane mit der Richtlinie, wie sie heute gilt.

Lieferkette: warum NIS2 auch Unternehmen außerhalb erreicht

Artikel 21 Absatz 2 Buchstabe d macht die Sicherheit der Lieferkette zu einer eigenen Maßnahme, und nach Artikel 21 Absatz 3 müssen Einrichtungen die Schwachstellen jedes unmittelbaren Anbieters und die Qualität seiner Produkte und Sicherheitspraktiken berücksichtigen, einschließlich seiner sicheren Entwicklungsverfahren.¹

Deshalb reicht NIS2 weiter als ihr eigener Anwendungsbereich. Eine Kölner Softwareagentur mit 20 Leuten liegt weit unter der Größengrenze. Ist ihr Kunde aber eine wichtige Einrichtung, muss dieser Kunde sie bewerten und schreibt die Bewertung in den Vertrag: Multi Faktor Authentifizierung, Fristen fürs Patchen, eine benannte Kontaktperson für Vorfälle, das Recht, Nachweise zu verlangen.

Das gilt genauso für deinen eigenen Stack: Hosting, Zahlungen, Mailversand, Open Source Bibliotheken und jede ausgelagerte Entwicklung. Bei einer großen Cloud Plattform schreib auf, welche Kontrollen ihre sind und welche deine. Mehr dazu, wie du Dienstleister prüfst, bevor sie deine Compliance untergraben, habe ich im Zusammenhang mit der DSGVO geschrieben, und die Methode lässt sich übertragen.

Ein Beispiel: Die Leipziger Terminsoftware verschickt Terminerinnerungen über einen externen Mailversanddienst. Ihre Lieferantenbewertung hält fest, wo dieser Anbieter Daten hostet, ob er Multi Faktor Authentifizierung anbietet, wie er Vorfälle meldet und wie schnell. Dabei zeigt sich, dass der Anbieter eine Benachrichtigung bei Verletzungen "zeitnah" verspricht, ohne Stundenangabe. Mit der eigenen 24 Stunden Frist im Nacken verlangt das Leipziger Unternehmen eine Zahl im Vertrag.

Wie das in einem Rails oder Solidus Projekt aussieht

NIS2 Compliance ist kein Werkzeug, das du kaufst. Sie ist Praxis, die du zeigen kannst, und in einem Ruby on Rails SaaS oder einem Solidus Shop ist das ziemlich gewöhnliche Technik.

Die Risikobewertung beginnt mit den Werten (die Produktionsdatenbank, die Authentifizierung, der Adminbereich, die API, die Kundendaten), dem, was bei jedem schiefgehen kann, und der Kontrolle dafür. Zugriffskontrolle heißt Multi Faktor Authentifizierung im Adminpanel, auf den Produktionsservern, in der Deployment Pipeline und in der Cloud Konsole, und in einem Solidus Shop ein Admin Backend mit sauber getrennten Rollen.

Verschlüsselung heißt TLS bei jeder Verbindung und verschlüsselte Backups. Rails bringt Active Record Encryption mit, um sensible Attribute auf Anwendungsebene zu verschlüsseln.²¹ Rails hat außerdem ein eingebautes rate_limit für Controller, das gegen das Erraten von Passwörtern beim Login und beim Zurücksetzen des Passworts hilft.²²

Monitoring macht die 24 Stunden Frist überhaupt erst möglich: zentrale Logs, Alarme bei ungewöhnlicher Adminaktivität und jemand, der sie auch außerhalb der Arbeitszeit bekommt. Aufrechterhaltung des Betriebs heißt, die Wiederherstellung zu testen, nicht nur das Backup zu machen, und aufzuschreiben, wie lange sie dauert und wie viele Daten du verlieren könntest.

Schulungen betreffen die Entwicklung (sicheres Programmieren, die OWASP Top 10, das Verfahren bei Vorfällen) und die Geschäftsleitung, die nach Artikel 20 genug verstehen muss, um die Maßnahmen zu genehmigen und zu überwachen.¹

Durchgerechnetes Beispiel: eine Übung auf Staging

Die Münchner Plattform übt auf Staging. Um 10:00 Uhr widerruft ein Entwickler jede Adminsitzung und stellt dann die Auszahlungstabelle aus dem verschlüsselten Backup der Nacht wieder her. Die Wiederherstellung dauert 47 Minuten. Das Backup ist von 2:00 Uhr, im Ernstfall müssten also bis zu acht Stunden Änderungen an Auszahlungen aus den Unterlagen des Zahlungsdienstleisters rekonstruiert werden. Beide Zahlen kommen mit dem Datum der Übung in den Notfallplan. Im nächsten Quartal wiederholt das Team die Übung und versucht, sie zu schlagen.

Wie ich dafür baue

Hier kommt meine Arbeit zusammen. Ich baue SaaS Plattformen auf Ruby on Rails und Shops auf Solidus, und ich baue sie von Anfang an sicher und widerstandsfähig: verschlüsselter Umgang mit Daten, Multi Faktor Authentifizierung, rollenbasierter Zugriff, Logs, die auch wirklich jemand liest, und dokumentierte Verfahren für Vorfälle.

Jedes System, das ich liefere, bekommt einen Penetrationstest mit dem Werkzeugkasten von Kali Linux, bevor es ins Internet geht, mit Werkzeugen wie Nmap, Burp Suite, Metasploit und OWASP ZAP, und die Befunde werden mit Schweregrad und Behebung dokumentiert. Diese Aufzeichnung fließt direkt in die Nachweise, die eine NIS2 Behörde verlangt.

Ich helfe auch herauszufinden, ob NIS2 überhaupt gilt, von den Begriffen der Anhänge und dem Größentest bis dahin, wo du dich registrieren würdest, gemeinsam mit einer Anwältin oder einem Anwalt im jeweiligen Mitgliedstaat für die nationalen Fragen. Und auf der Wachstumsseite baue ich Marketing, das keine neuen Löcher reißt: First Party Analytics, sichere Formulare und Personalisierung, die die Privatsphäre respektiert, statt eines Haufens Skripte von Drittanbietern.

Was du jetzt tun solltest

Arbeite das in dieser Reihenfolge durch.

1. Prüf die Art. Gehört der Dienst, den du in der EU erbringst, zu den Arten in Anhang I oder II? Für SaaS lies die Definition des Cloud Computing. Für einen Shop frag, ob andere Händler über dich verkaufen.
2. Prüf die Größe. Beschäftigte in Vollzeitäquivalenten, Umsatz und Bilanzsumme, mit verbundenen und Partnerunternehmen, über zwei Geschäftsjahre, und schau, ob die deutsche Ausnahme für unabhängige IT Systeme auf dich passt.
3. Finde dein Land. Wo bist du niedergelassen, wo liegt deine Hauptniederlassung, und falls nirgends in der EU, wo wird dein Vertreter sitzen? Lies das Gesetz und die Registrierungsregeln dieses Landes.
4. Prüf die Registrierung. Bist du in Deutschland erfasst und noch nicht beim BSI registriert, ist das die erste Aufgabe.
5. Mach die Lückenanalyse gegen die zehn Maßnahmen, und gegen die Durchführungsverordnung 2024/2690, wenn du zu den digitalen Anbieterarten gehörst.
6. Bau zuerst das Verfahren für Vorfälle. Kannst du heute keine frühe Erstmeldung binnen 24 Stunden abschicken, ist das die Priorität.
7. Informiere und schule die Geschäftsleitung. Nach Artikel 20 und § 38 BSIG setzt sie die Maßnahmen um und überwacht sie, und sie kann haften.
8. Dokumentiere alles. Risikobewertungen, Maßnahmen, Schulungsnachweise, Übungen und Lieferantenbewertungen. Eine Behörde verlangt Nachweise, keine Absichten.

NIS2 geht nicht wieder weg. Die Unternehmen, die sie als Anlass nehmen, ordentlich zu bauen, statt sie als Papierkram zu behandeln, haben am Ende weniger Vorfälle, erholen sich schneller und haben Kundinnen und Kunden, die ihnen mehr anvertrauen.

Footnotes

1. Europäisches Parlament und Rat, Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union (NIS2 Richtlinie), Artikel 2, 3, 5, 6, 20, 21, 23, 26, 32 bis 35, Erwägungsgrund 33 und Anhänge I und II, ABl. L 333, 27. Dezember 2022, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32022L2555

2. Europäische Kommission, NIS2 Directive: securing network and information systems, Shaping Europe's digital future, zuletzt aktualisiert am 2. Juli 2026, https://digital-strategy.ec.europa.eu/en/policies/nis2-directive

3. Bundesrepublik Deutschland, Gesetz zur Umsetzung der NIS 2 Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung, Bundesgesetzblatt 2025 I Nr. 301, 5. Dezember 2025, https://www.recht.bund.de/bgbl/1/2025/301/VO.html

4. Bundesministerium der Justiz und für Verbraucherschutz, Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen (BSIG), § 28 Besonders wichtige Einrichtungen und wichtige Einrichtungen, Absätze 1, 2 und 4, Gesetze im Internet, https://www.gesetze-im-internet.de/bsig_2025/__28.html

5. Europäisches Parlament und Rat, Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen (Cyberresilienzverordnung), Erwägungsgrund 12 und Anhang I Teil II, ABl., 2024, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32024R2847

6. Europäisches Parlament und Rat, Verordnung (EU) 2016/679 (Datenschutz Grundverordnung), Artikel 33, EUR Lex, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679

7. Europäisches Parlament und Rat, Richtlinie 2005/29/EG über unlautere Geschäftspraktiken, konsolidierte Fassung vom 28. Mai 2022, Artikel 2 Buchstabe n, EUR Lex, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02005L0029-20220528

8. Europäische Kommission, Empfehlung 2003/361/EG betreffend die Definition der Kleinstunternehmen sowie der kleinen und mittleren Unternehmen, Anhang Artikel 2, 4, 5 und 6, ABl. L 124, 2003, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32003H0361

9. Bundesministerium der Justiz und für Verbraucherschutz, BSIG, Inhaltsübersicht, §§ 61 und 62 Aufsichts und Durchsetzungsmaßnahmen, Gesetze im Internet, https://www.gesetze-im-internet.de/bsig_2025/

10. Bundesministerium der Justiz und für Verbraucherschutz, BSIG, § 65 Bußgeldvorschriften, Absätze 5 bis 8 und 11, Gesetze im Internet, https://www.gesetze-im-internet.de/bsig_2025/__65.html

11. Bundesministerium der Justiz und für Verbraucherschutz, BSIG, § 30 Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen, Absätze 1 bis 3, Gesetze im Internet, https://www.gesetze-im-internet.de/bsig_2025/__30.html

12. Europäische Kommission, Durchführungsverordnung (EU) 2024/2690 vom 17. Oktober 2024 zur Festlegung der technischen und methodischen Anforderungen an die Risikomanagementmaßnahmen im Bereich der Cybersicherheit und zur Bestimmung erheblicher Sicherheitsvorfälle für digitale Anbieter nach der Richtlinie (EU) 2022/2555, Artikel 3, 7 und 11, ABl., 18. Oktober 2024, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32024R2690

13. Bundesministerium der Justiz und für Verbraucherschutz, BSIG, § 32 Meldepflichten, Absätze 1 und 2, Gesetze im Internet, https://www.gesetze-im-internet.de/bsig_2025/__32.html

14. Bundesministerium der Justiz und für Verbraucherschutz, BSIG, Anlage 1 Sektoren besonders wichtiger und wichtiger Einrichtungen, Nummer 6 Digitale Infrastruktur, Gesetze im Internet, https://www.gesetze-im-internet.de/bsig_2025/anlage_1.html

15. Bundesministerium der Justiz und für Verbraucherschutz, BSIG, § 33 Registrierungspflicht, Absätze 1 und 5, Gesetze im Internet, https://www.gesetze-im-internet.de/bsig_2025/__33.html

16. Bundesamt für Sicherheit in der Informationstechnik, NIS 2 regulierte Unternehmen, bsi.bund.de, abgerufen am 8. November 2026, https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/nis-2-regulierte-unternehmen_node.html

17. Bundesministerium der Justiz und für Verbraucherschutz, BSIG, § 38 Umsetzungs, Überwachungs und Schulungspflicht für Geschäftsleitungen, Gesetze im Internet, https://www.gesetze-im-internet.de/bsig_2025/__38.html

18. Bundesministerium der Justiz und für Verbraucherschutz, BSIG, § 60 Zentrale Zuständigkeit in der Europäischen Union für bestimmte Einrichtungsarten, Absätze 1 bis 3, Gesetze im Internet, https://www.gesetze-im-internet.de/bsig_2025/__60.html

19. Bundesministerium der Justiz und für Verbraucherschutz, BSIG, § 34 Besondere Registrierungspflicht für bestimmte Einrichtungsarten, Gesetze im Internet, https://www.gesetze-im-internet.de/bsig_2025/__34.html

20. Europäische Kommission, NIS2 transposition in EU countries, Shaping Europe's digital future, zuletzt aktualisiert am 1. Juli 2025, https://digital-strategy.ec.europa.eu/en/policies/nis-transposition

21. Ruby on Rails Guides, Active Record Encryption, guides.rubyonrails.org, https://guides.rubyonrails.org/active_record_encryption.html

22. Ruby on Rails API, ActionController::RateLimiting::ClassMethods, rate_limit, api.rubyonrails.org, https://api.rubyonrails.org/classes/ActionController/RateLimiting/ClassMethods.html