NIS-2-Richtlinie (EU) 2022/2555

Das hängt von Sektor und Größe ab. Die Richtlinie (EU) 2022/2555 gilt für öffentliche und private Einrichtungen der in den Anhängen I oder II genannten Art, die mindestens mittlere Unternehmen sind. Anhang I nennt unter anderem Energie, Verkehr, Gesundheit und Wasser, Anhang II unter anderem das verarbeitende Gewerbe, etwa den Maschinenbau. Dazu kommen Anbieter verwalteter Dienste.

In Deutschland hat das neue BSI-Gesetz die Richtlinie umgesetzt, es wurde am 5. Dezember 2025 verkündet (BGBl. 2025 I Nr. 301) und gilt seit dem Folgetag. § 28 unterscheidet zwei Gruppen. Besonders wichtige Einrichtungen sind etwa Unternehmen der Sektoren aus Anlage 1 mit mindestens 250 Beschäftigten oder mit mehr als 50 Millionen Euro Jahresumsatz und mehr als 43 Millionen Euro Bilanzsumme. Wichtige Einrichtungen sind Unternehmen der Sektoren aus den Anlagen 1 und 2 mit mindestens 50 Beschäftigten oder mit jeweils mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme. Wer darunter fällt, muss sich nach § 33 spätestens drei Monate danach beim BSI registrieren.

Für den Einstieg genügen drei Prüfungen: die Zuordnung der Haupttätigkeit zu einer Einrichtungsart in den Anlagen, die Zahl der Beschäftigten samt Umsatz und Bilanzsumme und der Stand der Registrierung. Das Ergebnis gehört schriftlich in die Compliance-Akte.

Für betroffene Einrichtungen sind Servicefirmen mit Fernzugriff Teil der Lieferkette, und die Lieferkette gehört zum Pflichtprogramm. Nach Artikel 21 der Richtlinie müssen wesentliche und wichtige Einrichtungen geeignete und verhältnismäßige Maßnahmen ergreifen, die zumindest die Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern umfassen. Bei der Wahl der Maßnahmen müssen sie nach Artikel 21 Absatz 3 die spezifischen Schwachstellen der einzelnen unmittelbaren Anbieter sowie die Cybersicherheitspraxis ihrer Anbieter berücksichtigen.

In Deutschland steht das in § 30 BSIG. Die Maßnahmen sollen den Stand der Technik einhalten und sind zu dokumentieren. Dazu gehören Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen einschließlich Schwachstellenmanagement, Konzepte für Zugriffskontrolle und Multi-Faktor-Authentifizierung. Ein Fernwartungszugang berührt jeden dieser Punkte.

In der Praxis heißt das: Der Betreiber braucht ein Verzeichnis, welche Servicefirma über welchen Weg auf welche Anlage zugreifen darf, wer die Zugänge freischaltet und wie Zugriffe protokolliert werden. Ein ständig offener VPN-Zugang, den mehrere Techniker mit einem gemeinsamen Konto nutzen, dürfte sich schwer mit den Anforderungen an Zugriffskontrolle und Multi-Faktor-Authentifizierung vereinbaren lassen. Gestaltet wird das über den Servicevertrag und über technische Vorgaben, etwa zeitlich begrenzte Freischaltung pro Einsatz. vi zeigt je Anlage, welche Servicefirma Fernzugriff hat.

Nicht allein deshalb, weil sie Dienstleister eines betroffenen Betreibers ist. Die Pflichten knüpfen an die Einrichtung selbst an: an ihren Sektor und ihre Größe. Ein Unternehmen, das Wartung und Installation von Maschinen anbietet, steht mit dieser Tätigkeit nicht in den Anhängen der Richtlinie. Anhang II nennt unter dem verarbeitenden Gewerbe die Herstellung von Maschinen (Abteilung 28 der NACE-Systematik), nicht aber die Reparatur und Installation (Abteilung 33). Betroffen sein kann die Servicefirma dennoch, wenn sie daneben Maschinen herstellt, in einem anderen Sektor der Anhänge tätig ist oder als Anbieter verwalteter Dienste gilt.

Die Richtlinie definiert den Anbieter verwalteter Dienste als Einrichtung, die Dienste im Zusammenhang mit der Installation, Verwaltung, dem Betrieb oder der Wartung von IKT-Produkten, Netzen, Infrastruktur, Anwendungen oder anderer Netz- und Informationssysteme erbringt, vor Ort oder aus der Ferne. Anbieter verwalteter Dienste stehen in Anhang I. Wer für Kunden deren IT- oder Leitsystem-Infrastruktur dauerhaft betreibt oder fernwartet, sollte prüfen, ob die Beschreibung auf das eigene Angebot passt, und ab der erforderlichen Größe eine Registrierung beim BSI vornehmen.

Unabhängig davon bleibt die Servicefirma vertraglich gebunden. Betroffene Kunden dürften Sicherheitsanforderungen an sie weiterreichen, auch wenn das Gesetz sie nicht selbst trifft.

Betroffene Einrichtungen müssen erhebliche Sicherheitsvorfälle in drei Stufen melden. Nach Artikel 23 Absatz 4 der Richtlinie ist spätestens 24 Stunden nach Kenntnisnahme eine Frühwarnung fällig, nach 72 Stunden eine Meldung mit erster Bewertung, auf Ersuchen eines CSIRT ein Zwischenbericht, und spätestens einen Monat nach der Meldung der Abschlussbericht. In Deutschland regelt das § 32 BSIG. Die Meldungen gehen an eine gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe.

Ein Sicherheitsvorfall gilt als erheblich, wenn er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann, oder wenn er andere Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann.

Der CRA bringt eine zweite, getrennte Meldepflicht. Seit dem 11. September 2026 muss der Hersteller eines Produkts mit digitalen Elementen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, mit denselben Fristen von 24 und 72 Stunden. Eine Schwachstelle in einem Gateway kann so zwei Meldeketten auslösen: Der Hersteller meldet über die Plattform der ENISA, der betroffene Betreiber ans BSI. Verträge sollten deshalb regeln, wer wen wie schnell über Vorfälle an Anlagen und Fernzugängen informiert.

Die Verantwortung liegt bei der Leitung. Nach Artikel 20 der Richtlinie müssen die Leitungsorgane wesentlicher und wichtiger Einrichtungen die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und können für Verstöße verantwortlich gemacht werden. Das deutsche Gesetz setzt das in § 38 BSIG um. Die Geschäftsleitung muss die Maßnahmen umsetzen und die Umsetzung überwachen. Verletzt sie diese Pflicht schuldhaft, haftet sie der Einrichtung nach den Regeln des Gesellschaftsrechts für den entstandenen Schaden. Nach dem BSI-Gesetz selbst haftet sie nur, wenn das Gesellschaftsrecht keine Haftungsregelung enthält.

Dazu kommt eine Schulungspflicht: Geschäftsleitungen müssen regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagementpraktiken im Bereich der IT-Sicherheit bewerten zu können und die Auswirkungen auf die erbrachten Dienste zu beurteilen. Eine Delegation an die IT-Abteilung entbindet davon nicht.

Bei Verstößen sieht § 65 BSIG Bußgelder vor. Für besonders wichtige Einrichtungen reicht der Rahmen bis zu zehn Millionen Euro, für wichtige Einrichtungen bis zu sieben Millionen Euro. Bei Unternehmen mit mehr als 500 Millionen Euro Gesamtumsatz kann in bestimmten Fällen ein Prozentsatz des Umsatzes angesetzt werden, bis zu 2 beziehungsweise 1,4 Prozent. Die Richtlinie schreibt als Höchstbetrag mindestens 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes für wesentliche Einrichtungen vor und mindestens 7 Millionen Euro oder 1,4 Prozent für wichtige, jeweils den höheren Betrag.

Der Betreiber kann seine Pflichten nicht auf die Servicefirma abwälzen, er kann sie aber mit ihr absichern. § 30 BSIG verlangt Maßnahmen, die dem Stand der Technik entsprechen und zu dokumentieren sind. Aus der Liste in Absatz 2 sind für Fernwartung vor allem zwei Punkte einschlägig: Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von IT-Systemen einschließlich Schwachstellenmanagement, sowie die Multi-Faktor-Authentifizierung und gesicherte Kommunikation. Dazu kommen Zugriffskontrolle und Lieferkettensicherheit.

Daraus lässt sich ein Katalog für den Vertrag ableiten: Welche Zugänge werden genutzt, über welche Verbindung und mit welcher Authentifizierung, personenbezogene statt gemeinsamer Konten, zeitlich begrenzte Freischaltung pro Einsatz, Protokollierung der Sitzungen und deren Aufbewahrung, Pflichten bei Sicherheitsvorfällen mit Meldefristen, die zu den eigenen 24 und 72 Stunden passen, Nachweise über Schulung und Sicherheitsmaßnahmen der Servicefirma und das Recht des Betreibers, Zugänge sofort zu sperren. Für Änderungen an Sicherheitssteuerungen gelten außerdem die Regeln der Maschinenverordnung.

Auch Kündigungs- und Haftungsregeln gehören dazu, falls die Servicefirma Sicherheitsanforderungen nicht erfüllt. Wer vorhandene Serviceverträge durchsieht, sollte zuerst die Fernzugriffsklauseln suchen, denn dort fehlen am häufigsten Angaben zu Authentifizierung und Protokollen.