NIS2 (Richtlinie (EU) 2022/2555) legt mittelgroßen und großen Organisationen in 18 Sektoren Pflichten zum Cybersicherheits-Risikomanagement und zur Meldung von Vorfällen auf. Es ist eine Richtlinie, die Pflichten ergeben sich also aus dem nationalen Recht des jeweiligen Mitgliedstaats. Für Sie als Einkäufer ist vor allem die Lieferkette relevant. Betroffene Organisationen müssen die Cybersicherheitspraktiken ihrer direkten Lieferanten und Dienstleister berücksichtigen (Art. 21 Abs. 2 Buchst. d und Abs. 3). Das zeigt sich in den Fragen und Vertragsklauseln beim Einkauf von Cloud und Software.
Fakten und Daten zuletzt geprüft: 11. Oktober 2026 · Diese Seite bietet allgemeine Informationen und ist keine Rechtsberatung; prüfen Sie für Ihre Situation den Text der Richtlinie und das nationale Recht.
Die Richtlinie ist in Kraft getreten, zwanzig Tage nach der Veröffentlichung im Amtsblatt am 27. Dezember 2022 (Art. 45).
Frist für die Mitgliedstaaten, die Umsetzungsmaßnahmen zu erlassen und zu veröffentlichen (Art. 41 Abs. 1).
Die Mitgliedstaaten müssen die Umsetzungsmaßnahmen ab diesem Tag anwenden (Art. 41 Abs. 1). Die Durchführungsverordnung (EU) 2024/2690 wird am selben Tag im Amtsblatt veröffentlicht.
Deutschland: Das Gesetz zur Umsetzung von NIS2 ist nach der Verkündung am 5. Dezember 2025 in Kraft getreten (laut BSI).
Die Europäische Kommission beschließt, Irland, Spanien, Frankreich und die Niederlande an den Gerichtshof der EU zu verweisen, weil sie keine Maßnahmen zur Umsetzung von NIS2 mitgeteilt hatten.
Niederlande: Die Cyberbeveiligingswet (Cybersicherheitsgesetz) ist in Kraft getreten.
NIS2 gilt für öffentliche und private Einrichtungen einer Art, die in Anhang I (Sektoren mit hoher Kritikalität) oder Anhang II (sonstige kritische Sektoren) genannt ist, die mittlere Unternehmen sind oder diese Grenze überschreiten und die ihre Dienste in der Union erbringen oder dort Tätigkeiten ausüben (Art. 2 Abs. 1). Die Größe richtet sich nach der Empfehlung 2003/361/EG. Artikel 3 Absatz 4 des Anhangs dieser Empfehlung ist für NIS2 nicht anwendbar.
Anhang I umfasst unter anderem Energie, Verkehr, Bankwesen, Gesundheitswesen, digitale Infrastruktur, IKT-Dienstverwaltung (Business-to-Business) und öffentliche Verwaltung. Anhang II umfasst unter anderem Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe, Anbieter digitaler Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke) und Forschung. Zur digitalen Infrastruktur zählen unter anderem Anbieter von Cloud-Computing, Rechenzentrumsdiensten und Inhaltezustellnetzen; Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste stehen unter IKT-Dienstverwaltung. Softwareanbieter als solche sind in den Anhängen nicht aufgeführt.
Wesentliche Einrichtungen sind unter anderem Einrichtungen einer Art aus Anhang I, die die Grenze für mittlere Unternehmen überschreiten, sowie unabhängig von ihrer Größe qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Namensregister und DNS-Diensteanbieter (Art. 3 Abs. 1). Alle übrigen Einrichtungen aus den Anhängen sind wichtige Einrichtungen (Art. 3 Abs. 2). Manche Einrichtungen fallen unabhängig von ihrer Größe unter die Richtlinie, etwa Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste, Vertrauensdiensteanbieter, der einzige Anbieter eines wesentlichen Dienstes in einem Mitgliedstaat und Anbieter von Domänennamen-Registrierungsdiensten (Art. 2 Abs. 2 bis 4). Bei wesentlichen Einrichtungen umfasst die Aufsicht unter anderem regelmäßige und gezielte Sicherheitsprüfungen (Art. 32 Abs. 2). Bei wichtigen Einrichtungen erfolgt die Aufsicht nachträglich (Art. 33).
Das Leitungsorgan einer wesentlichen oder wichtigen Einrichtung billigt die Risikomanagementmaßnahmen im Bereich der Cybersicherheit, überwacht ihre Umsetzung und kann für Verstöße gegen Art. 21 haftbar gemacht werden (Art. 20 Abs. 1). Mitglieder der Leitungsorgane müssen Schulungen absolvieren, um Risiken und Cybersicherheitspraktiken beurteilen zu können (Art. 20 Abs. 2).
Art. 21 verlangt geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen nach einem gefahrenübergreifenden Ansatz, die mindestens zehn Bereiche abdecken (Art. 21 Abs. 1 und Abs. 2 Buchst. a bis j). Für den Einkauf von Software und Cloud-Diensten sind diese zusammen mit Meldepflicht und Bußgeldern am wichtigsten:
Die Mitgliedstaaten mussten die Umsetzungsmaßnahmen bis zum 17. Oktober 2024 erlassen und veröffentlichen und ab dem 18. Oktober 2024 anwenden (Art. 41 Abs. 1). Am 8. Juli 2026 hat die Europäische Kommission beschlossen, Irland, Spanien, Frankreich und die Niederlande an den Gerichtshof der EU zu verweisen, weil sie keine Maßnahmen zur Umsetzung von NIS2 mitgeteilt hatten. Da NIS2 eine Richtlinie ist und die Mitgliedstaaten ein höheres Cybersicherheitsniveau vorsehen dürfen (Art. 5), können die nationalen Regeln abweichen. Stand 11. Oktober 2026 für vier Länder:
NIS2 bindet Ihren Anbieter nicht unmittelbar, es sei denn, er fällt selbst unter die Richtlinie, etwa als Anbieter von Cloud-Computing, Rechenzentrumsdiensten oder verwalteten Diensten. Die Pflicht liegt bei der einkaufenden Einrichtung: Sie sichert ihre Lieferkette und berücksichtigt dabei die Praktiken ihrer direkten Lieferanten (Art. 21 Abs. 2 Buchst. d und Abs. 3).
Die Durchführungsverordnung (EU) 2024/2690, veröffentlicht am 18. Oktober 2024, legt die technischen Anforderungen von Art. 21 Abs. 2 unter anderem für DNS-Diensteanbieter, Anbieter von Cloud-Computing, Rechenzentrumsdiensten und Inhaltezustellnetzen, verwalteten Diensten und verwalteten Sicherheitsdiensten, Online-Marktplätze, Suchmaschinen und soziale Netzwerke fest und bestimmt, wann ein Vorfall für sie erheblich ist (Art. 1 und 3). Ihre Richtlinie zur Sicherheit der Lieferkette enthält Auswahlkriterien für Lieferanten: Cybersicherheitspraktiken, Qualität und Widerstandsfähigkeit von Produkten und Diensten sowie die Fähigkeit, Bezugsquellen zu diversifizieren und Anbieterabhängigkeit zu begrenzen (Nr. 5.1.2). Sie legen Anforderungen in Verträgen fest (Nr. 5.1.4), führen ein Verzeichnis ihrer direkten Lieferanten (Nr. 5.2) und überprüfen Lieferanten in geplanten Abständen (Nr. 5.1.6). Für andere Organisationen ist der Anhang nicht unmittelbar verbindlich. Sie können die Punkte aber als Checkliste nutzen:
Der CRA (Verordnung (EU) 2024/2847) stellt Anforderungen an Produkte mit digitalen Elementen und deren Hersteller. NIS2 betrifft das Risikomanagement von Einrichtungen. Nach Erwägungsgrund 12 des CRA gilt NIS2 für Cloud-Computing-Dienste, einschließlich SaaS, PaaS und IaaS, und nach Erwägungsgrund 13 können die Mitgliedstaaten auf Grundlage von NIS2 zusätzliche Cybersicherheitsanforderungen an IKT-Produkte stellen, die wesentliche und wichtige Einrichtungen verwenden.
Nach Erwägungsgrund 28 von NIS2 ist DORA (Verordnung (EU) 2022/2554) für Finanzunternehmen ein sektorspezifischer Rechtsakt der Union. Die DORA-Bestimmungen zu IKT-Risikomanagement, Meldung IKT-bezogener Vorfälle, Tests und IKT-Drittparteirisiko gelten dann anstelle der NIS2-Bestimmungen zu Risikomanagement, Meldung und Aufsicht. Art. 4 beschreibt, wann sektorspezifische Anforderungen gleichwertig sind.
Kann ein Verstoß gegen Art. 21 oder 23 eine Verletzung des Schutzes personenbezogener Daten nach sich ziehen, informiert die zuständige Behörde die DSGVO-Aufsichtsbehörde. Hat diese für dasselbe Verhalten eine Geldbuße verhängt, verhängt die NIS2-Behörde dafür keine Geldbuße nach Art. 34 (Art. 35).
Der Wortlaut von Art. 21 Abs. 3 nennt das Land, in dem ein Lieferant niedergelassen ist, nicht. Die Richtlinie verlangt, auf Schwachstellen, Produkte und Cybersicherheitspraktiken zu achten. Die koordinierten Risikobewertungen auf Unionsebene können technische und, soweit relevant, nichttechnische Risikofaktoren berücksichtigen (Art. 22 Abs. 1).
Der Score berührt einige Themen, die NIS2 nennt. Kryptografie und Verschlüsselung (Art. 21 Abs. 2 Buchst. h) betreffen die Hoheit über kryptografische Schlüssel (CKS). Die Begrenzung der Anbieterabhängigkeit und die Datenrückgabe bei Vertragsende (Nr. 5.1.2 Buchst. d und Nr. 5.1.4 Buchst. h der Durchführungsverordnung) betreffen die Portabilität (PLS). Wo Daten gehostet werden und wo ein Anbieter und seine Muttergesellschaft ansässig sind (DRS und JES) sowie ob Software quelloffen oder selbst hostbar ist (SRS), werden in Art. 21 als solche nicht genannt. Sie können sie in Ihre eigene Risikobewertung einbeziehen. Der Score ist keine Bewertung der NIS2-Konformität und belegt nicht, dass Sie oder ein Anbieter die Richtlinie einhalten.
Möchten Sie wissen, wie Ihr eigener Software-Stack bei der digitalen Souveränität abschneidet? Machen Sie das kostenlose Assessment.
Kostenloses Assessment startenDas hängt von der Art der Organisation, dem Sektor und der Größe ab. Die Art muss in Anhang I oder II genannt sein, und die Organisation muss mindestens mittelgroß sein, sofern keine Ausnahme für kleinere Einrichtungen gilt (Art. 2). Prüfen Sie das nationale Recht und die Aufsichtsbehörde in Ihrem Land.
Nein, die Pflichten aus Art. 21 liegen bei der wesentlichen oder wichtigen Einrichtung selbst. Ein Cloud-Anbieter kann zusätzlich selbst unter NIS2 fallen, da Anbieter von Cloud-Computing-Diensten in Anhang I aufgeführt sind.
Eine Frühwarnung innerhalb von 24 Stunden nach Kenntnis vom erheblichen Vorfall, eine Meldung des Vorfalls innerhalb von 72 Stunden und ein Abschlussbericht spätestens einen Monat nach dieser Meldung (Art. 23 Abs. 4).
Bei Verstößen gegen Art. 21 oder 23 müssen die Mitgliedstaaten Höchstbeträge von mindestens 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen sowie mindestens 7 Mio. EUR oder 1,4 % für wichtige Einrichtungen vorsehen (Art. 34 Abs. 4 und 5).
Das Leitungsorgan billigt die Sicherheitsmaßnahmen, überwacht sie und kann für Verstöße gegen Art. 21 haftbar gemacht werden (Art. 20 Abs. 1). Nationale Regeln für öffentliche Einrichtungen und Amtsträger bleiben unberührt.
Nicht alle. Am 8. Juli 2026 hat die Kommission Irland, Spanien, Frankreich und die Niederlande an den Gerichtshof verwiesen. In den Niederlanden und in Deutschland ist das Gesetz inzwischen in Kraft; in Frankreich liegt der Gesetzentwurf noch beim Parlament.