> For the complete documentation index, see [llms.txt](https://docs.stoik.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.stoik.io/help/help-de/onboarding/compliance/nis-2.md).

# NIS 2

Die NIS-2-Richtlinie verpflichtet Organisationen in kritischen Sektoren, robuste Cybersicherheitsmaßnahmen umzusetzen. Diese Seite erklärt, was die Richtlinie verlangt, wie Sie prüfen, ob sie für Sie gilt, und wie Sie die Bewertung in Stoïk Protect abschließen.

## NIS 2 verstehen

### Was die Richtlinie ist

NIS 2 ([Richtlinie (EU) 2022/2555](https://eur-lex.europa.eu/eli/dir/2022/2555/oj)) ersetzt die erste NIS-Richtlinie von 2016. Sie wurde im Dezember 2022 angenommen, und die Mitgliedstaaten mussten sie bis **17. Oktober 2024**.

Im Vergleich zu NIS 1 haben sich zwei Dinge erheblich geändert:

* **Der Anwendungsbereich wurde erweitert.** Etwa **18 Sektoren** sind nun abgedeckt: 11 hochkritische Sektoren in Anhang I und 7 weitere kritische Sektoren in Anhang II. Tausende mittelgroße und große Organisationen fallen erstmals darunter, ebenso wie öffentliche Verwaltungen.
* **Die Geschäftsleitung wurde verantwortlich gemacht.** Nach [Artikel 20](https://eur-lex.europa.eu/eli/dir/2022/2555/oj)muss das Leitungsorgan die Cybersicherheitsmaßnahmen genehmigen, ihre Umsetzung überwachen und kann persönlich haftbar gemacht werden. Führungskräfte müssen außerdem eine Cybersicherheitsschulung absolvieren.

{% hint style="info" %}
NIS 2 ist eine **Richtlinie**, keine Verordnung. Sie legt die Ziele fest; jeder Mitgliedstaat erlässt sein eigenes Gesetz. Ihre genauen Fristen, Ihr Registrierungsverfahren und etwaige strengere nationale Anforderungen ergeben sich aus Ihrem Land, nicht aus dem europäischen Text.
{% endhint %}

### Die drei Kernpflichten

<table><thead><tr><th width="242.62109375">Pflicht</th><th>Was das bedeutet</th></tr></thead><tbody><tr><td><strong>Bei der nationalen Behörde registrieren</strong></td><td>Sobald Sie festgestellt haben, dass Sie darunterfallen, müssen Sie Ihre Einrichtung der zuständigen Behörde in Ihrem Land melden</td></tr><tr><td><strong>Ihr Cyberrisiko managen</strong></td><td>Die technischen, operativen und organisatorischen Maßnahmen aus Artikel 21 umsetzen</td></tr><tr><td><strong>Bedeutende Vorfälle melden</strong></td><td>Ihre Behörde benachrichtigen innerhalb von <strong>24 Stunden</strong> (Frühwarnung), <strong>72 Stunden</strong> (Vorfallmeldung) und <strong>einem Monat</strong> (Abschlussbericht)</td></tr></tbody></table>

Bei Nichteinhaltung drohen Ihnen Verwaltungsstrafen von bis zu **10 Mio. € oder 2 % des weltweiten Jahresumsatzes** für wesentliche Einrichtungen und **7 Mio. € oder 1,4 %** für wichtige Einrichtungen, jeweils der höhere Betrag.

### Artikel 21(2): die zehn Maßnahmen

Artikel 21 ist das Herzstück der Richtlinie und die Grundlage für die Bewertung in Stoïk Protect.

[Artikel 21(1)](https://eur-lex.europa.eu/eli/dir/2022/2555/oj) legt den Grundsatz fest: Maßnahmen müssen **angemessen und verhältnismäßig**sein, einem **Allgefahrenansatz**folgen und auf Ihre Größe, Ihre Gefährdung und die Schwere der Vorfälle, die Ihnen widerfahren könnten, zugeschnitten sein. Von einem Hersteller mit 60 Beschäftigten wird nicht erwartet, dass er dasselbe Programm aufbaut wie ein nationaler Energieversorger.

[Artikel 21(2)](https://eur-lex.europa.eu/eli/dir/2022/2555/oj) führt dann zehn Mindestmaßnahmen auf. Die zehn Bereiche der Bewertung:

<table><thead><tr><th width="77.8984375"></th><th width="282.796875">Maßnahme</th><th>Was die Richtlinie verlangt</th></tr></thead><tbody><tr><td><strong>(a)</strong></td><td>Risikoanalyse und Sicherheitsrichtlinien für Informationssysteme</td><td>Eine dokumentierte Sicht auf Ihre Risiken und schriftliche, auf der richtigen Ebene genehmigte Sicherheitsrichtlinien</td></tr><tr><td><strong>(b)</strong></td><td>Vorfallsbehandlung</td><td>Die Fähigkeit, Vorfälle zu erkennen, einzuordnen, darauf zu reagieren und sie zu melden</td></tr><tr><td><strong>(c)</strong></td><td>Geschäftskontinuität</td><td>Backup-Management, Notfallwiederherstellung und Krisenmanagement</td></tr><tr><td><strong>(d)</strong></td><td>Sicherheit der Lieferkette</td><td>Sicherheit in Ihren Beziehungen zu direkten Lieferanten und Dienstleistern</td></tr><tr><td><strong>(e)</strong></td><td>Sicherheit bei Beschaffung, Entwicklung und Wartung</td><td>Einschließlich Schwachstellenbehandlung und Offenlegung</td></tr><tr><td><strong>(f)</strong></td><td>Bewertung der Wirksamkeit Ihrer Maßnahmen</td><td>Richtlinien und Verfahren, um zu überprüfen, dass das Umgesetzte tatsächlich funktioniert</td></tr><tr><td><strong>(g)</strong></td><td>Grundlegende Cyberhygiene-Praktiken und Cybersicherheitsschulungen</td><td>Für alle Mitarbeitenden, nicht nur für das IT-Team</td></tr><tr><td><strong>(h)</strong></td><td>Kryptografie und Verschlüsselung</td><td>Eine Richtlinie dazu, wo und wie Verschlüsselung eingesetzt wird</td></tr><tr><td><strong>(i)</strong></td><td>Personalsicherheit, Zugriffskontrolle und Asset-Management</td><td>Onboarding und Offboarding, Minimalberechtigung, ein Asset-Inventar</td></tr><tr><td><strong>(j)</strong></td><td>MFA und gesicherte Kommunikation</td><td>Multi-Faktor- oder kontinuierliche Authentifizierung, sichere Sprache, Video- und Textkommunikation, Notfallkommunikation</td></tr></tbody></table>

{% hint style="warning" %}
Die Richtlinie nennt absichtlich **Themen, keine Kontrollen**. Sie sagt Ihnen nicht, welches EDR Sie kaufen sollen, wie oft Sie patchen sollen oder was eine Passwortrichtlinie enthalten muss. Deshalb arbeitet eine Bewertung wie die in Stoïk Protect auf der Ebene konkreter Maßnahmen: Sie übersetzt jedes der zehn Themen in Dinge, die Sie tatsächlich bestätigen oder umsetzen können.
{% endhint %}

### Wo mehr Details existieren

Zwei Quellen gehen über die Richtlinie hinaus:

* [**Durchführungsverordnung (EU) 2024/2690 der Kommission**](https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj) legt detaillierte technische und methodische Anforderungen für die Maßnahmen nach Artikel 21 sowie die Kriterien fest, was als bedeutender Vorfall gilt. Sie gilt für bestimmte grenzüberschreitende digitale Einrichtungen: DNS-Anbieter, TLD-Register, Cloud- und Rechenzentrumsanbieter, CDN, Managed-Service- und Managed-Security-Service-Provider, Online-Marktplätze und Suchmaschinen, soziale Netzwerke und Vertrauensdiensteanbieter. Wenn Sie zu diesen gehören, ist diese Verordnung Ihr Bezugspunkt statt Ihrer nationalen Mindestanforderungen.
* **Nationale Referenzwerke.** Mitgliedstaaten veröffentlichen ihre eigenen Maßnahmenkataloge. In Frankreich, [ANSSI](https://cyber.gouv.fr/reglementation/cybersecurite-systemes-dinformation/directives-nis-nis2-et-dispositif-saiv/directive-nis-2/) veröffentlicht das *Référentiel Cyber France* (ReCyF), das die Richtlinie in 20 Sicherheitsziele mit getrennten Anforderungen für wichtige und wesentliche Einrichtungen aufschlüsselt. Diese Referenzwerke sind feingranularer als die zehn Bereiche und bilden die Grundlage für ein Audit.

## Schritt 1: Berechtigungsprüfung

Öffnen Sie den **Compliance** -Tab und gehen Sie zur **NIS 2** -Karte. Drei Felder bestimmen das Ergebnis:

<table><thead><tr><th width="198.828125">Feld</th><th>Optionen</th></tr></thead><tbody><tr><td><strong>Tätigkeitssektor</strong></td><td>Die in Anhang I und Anhang II der <a href="https://eur-lex.europa.eu/eli/dir/2022/2555/oj">Richtlinie</a>aufgelisteten Sektoren, plus <em>Keine der oben genannten</em></td></tr><tr><td><strong>Anzahl der Beschäftigten</strong></td><td>Weniger als 50 · Zwischen 50 und 250 · Mehr als 250</td></tr><tr><td><strong>Konsolidierter Umsatz</strong></td><td>Weniger als 10 Mio. € · Zwischen 10 Mio. € und 50 Mio. € · Mehr als 50 Mio. €</td></tr></tbody></table>

Bereits aus Ihrem Versicherungsvertrag bekannte Felder sind vorausgefüllt. Sie können sie jederzeit mit der **Bearbeiten** -Schaltfläche ändern.

Wenn Ihr Sektor **Digitale Infrastruktur** oder **Verwaltete IKT-Dienste**ist, werden Sie außerdem nach Ihrer konkreten Tätigkeit gefragt (DNS-Anbieter, TLD-Register, Domainregistrar, Vertrauensdiensteanbieter, öffentliche elektronische Kommunikation, Cloud Computing, Rechenzentrum, CDN, MSP/MSSP). Einige dieser Tätigkeiten machen Sie unabhängig von Ihrer Größe darunterfallend.

{% hint style="info" %}
Es wird nur Ihr Umsatz abgefragt, nicht Ihre Bilanzsumme. Die Richtlinie wendet die Größenschwellen aus [der Empfehlung 2003/361/EG der Kommission](https://eur-lex.europa.eu/eli/reco/2003/361/oj)an, die jeweils eines von beiden berücksichtigt, daher fragen wir nach der einfacheren der beiden Angaben.
{% endhint %}

### Ihr Ergebnis verstehen

|                           | Wesentliche Einrichtung                                               | Wichtige Einrichtung                                                   | Nicht betroffen                             |
| ------------------------- | --------------------------------------------------------------------- | ---------------------------------------------------------------------- | ------------------------------------------- |
| **Überwachung**           | Proaktive Prüfung durch die Behörde                                   | Prüfung ausgelöst durch Vorfall                                        | Keine NIS-2-Überwachung                     |
| **Geschäftsleitung**      | Persönliche Haftung (Amtsenthebung)                                   | Persönliche Haftung                                                    | Keine NIS-2-Haftung der Geschäftsleitung    |
| **Max. Sanktionen**       | 10 Mio. € oder 2 % des weltweiten Umsatzes, je nachdem, was höher ist | 7 Mio. € oder 1,4 % des weltweiten Umsatzes, je nachdem, was höher ist | Keine administrativen Sanktionen nach NIS 2 |
| **Meldung von Vorfällen** | 24 Std. / 72 Std. / 1 Monat                                           | 24 Std. / 72 Std. / 1 Monat                                            | Keine Meldepflicht nach NIS 2               |
| **Fristen**               | Durch die Umsetzung in Ihrem Land festgelegt                          | Durch die Umsetzung in Ihrem Land festgelegt                           | Keine NIS-2-Registrierungsfrist             |

Wesentliche und wichtige Einrichtungen können dann die vollständige Bewertung mit **Vollständige Bewertung abschließen**.

{% hint style="warning" %}
Das Ergebnis ist indikativ. Es basiert auf Ihrem Sektor, Ihrer Größe und Ihrer digitalen Tätigkeit. Nationale Besonderheiten wie eine Einstufung nach der CER-Richtlinie, ein früherer Status als Betreiber wesentlicher Dienste oder zusätzliche von Ihrem Mitgliedstaat hinzugefügte Sektoren werden nicht berücksichtigt. Bestätigen Sie Ihren endgültigen Status bei Ihrer nationalen Behörde oder Ihrer Rechtsberatung.
{% endhint %}

## Schritt 2: Die Bewertung

Die Bewertung überführt die zehn Maßnahmen des Artikels 21(2) in **40 konkrete Maßnahmen**, vier pro Bereich. Kreuzen Sie an, was Sie bereits umgesetzt haben.

| Bereich                                                       | Artikel  |
| ------------------------------------------------------------- | -------- |
| Risikoanalyse und Sicherheitsrichtlinien                      | 21(2)(a) |
| Vorfallsbehandlung und -meldung                               | 21(2)(b) |
| Geschäftskontinuität und Krisenmanagement                     | 21(2)(c) |
| Sicherheit der Lieferkette                                    | 21(2)(d) |
| Sicherheit über den Lebenszyklus und Schwachstellenbehandlung | 21(2)(e) |
| Wirksamkeitsbewertung                                         | 21(2)(f) |
| Cyberhygiene und Schulungen                                   | 21(2)(g) |
| Kryptografie und Verschlüsselung                              | 21(2)(h) |
| Personalsicherheit, Zugriffskontrolle und Assets              | 21(2)(i) |
| MFA und gesicherte Kommunikation                              | 21(2)(j) |

### Von Ihren Stoïk-Tools abgedeckte Maßnahmen

Diese fünf Maßnahmen werden automatisch angehakt, wenn das entsprechende Tool aktiv ist:

| Maßnahme                                                                       | Abgedeckt durch                      |
| ------------------------------------------------------------------------------ | ------------------------------------ |
| Regelmäßige Schwachstellenscans auf internen und externen Systemen durchführen | External Scan · AD Scan · Cloud Scan |
| Nach geleakten Zugangsdaten im Zusammenhang mit Unternehmenskonten suchen      | Credentials                          |
| Phishing-Simulationskampagnen durchführen                                      | Simulation                           |
| Regelmäßige Cybersicherheitsschulungen für alle Mitarbeitenden ausrollen       | Learning                             |
| Erkennungstools einrichten, um Vorfälle frühzeitig zu erkennen                 | Stoïk MDR                            |

{% hint style="info" icon="eye" %}
**Hinweis**<br>

Dieses NIS2-Tool wird ausschließlich zu allgemeinen Informations- und Orientierungszwecken bereitgestellt. Es soll Vermittlern und Kunden einen ersten Hinweis darauf geben, ob ein Unternehmen unter den Anwendungsbereich der NIS2-Richtlinie und der damit verbundenen Verpflichtungen fallen könnte.<br>

Die von diesem Tool erzeugten Ergebnisse basieren auf den vom Nutzer bereitgestellten Informationen und auf Stoïks aktuellem Verständnis der anwendbaren Gesetzgebung, das sich auf nationaler Ebene ändern oder unterschiedlich ausgelegt werden kann. Das Tool stellt keine Rechtsberatung dar und sollte nicht als Ersatz für eine qualifizierte rechtliche Bewertung herangezogen werden.<br>

Stoïk übernimmt keine ausdrückliche oder stillschweigende Zusicherung oder Gewährleistung hinsichtlich der Richtigkeit, Vollständigkeit oder Aktualität der bereitgestellten Informationen oder Ergebnisse und lehnt jede Haftung für Entscheidungen oder Maßnahmen ab, die aufgrund der Nutzung dieses Tools getroffen oder ergriffen werden.
{% endhint %}

## Offizielle Ressourcen

### Europäische Texte

| Quelle                                                                                                       | Was es abdeckt                                                                                                                                                                                                                                |
| ------------------------------------------------------------------------------------------------------------ | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| [Richtlinie (EU) 2022/2555](https://eur-lex.europa.eu/eli/dir/2022/2555/oj)                                  | Die Richtlinie selbst: Anwendungsbereichskriterien (Art. 2, 3), Verantwortlichkeit der Geschäftsleitung (Art. 20), Risikomanagementmaßnahmen (Art. 21), Meldepflichten (Art. 23), Sanktionen (Art. 34) und die Sektorlisten (Anhang I und II) |
| [Durchführungsverordnung (EU) 2024/2690 der Kommission](https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj) | Detaillierte technische Anforderungen für Artikel 21 sowie die Kriterien für einen bedeutenden Vorfall, für grenzüberschreitende digitale Einrichtungen                                                                                       |
| [der Empfehlung 2003/361/EG der Kommission](https://eur-lex.europa.eu/eli/reco/2003/361/oj)                  | Die Definition von Kleinst-, kleinen und mittleren Unternehmen, die zur Bestimmung Ihrer Größenkategorie verwendet wird                                                                                                                       |
| [NIS-2-Richtlinie: Europäische Kommission](https://digital-strategy.ec.europa.eu/en/policies/nis2-directive) | Überblick, FAQ und der Stand der nationalen Umsetzungen                                                                                                                                                                                       |
| [ENISA: NIS-Richtlinie](https://www.enisa.europa.eu/topics/nis-directive)                                    | Leitlinien und technisches Umsetzungsmaterial der EU-Cybersicherheitsagentur                                                                                                                                                                  |

### Nationale Behörden

<table><thead><tr><th width="163.39453125">Land</th><th>Behörde</th></tr></thead><tbody><tr><td>Frankreich</td><td><a href="https://cyber.gouv.fr/reglementation/cybersecurite-systemes-dinformation/directives-nis-nis2-et-dispositif-saiv/directive-nis-2/">ANSSI</a></td></tr><tr><td>Deutschland</td><td><a href="https://www.bsi.bund.de/">BSI</a></td></tr><tr><td>Belgien</td><td><a href="https://ccb.belgium.be/">Zentrum für Cybersicherheit Belgien</a></td></tr><tr><td>Niederlande</td><td><a href="https://www.digitaltrustcenter.nl/">Digital Trust Center</a></td></tr><tr><td>Spanien</td><td><a href="https://www.incibe.es/">INCIBE</a></td></tr></tbody></table>

{% hint style="info" %}
Die Registrierung bei Ihrer nationalen Behörde und die für Sie geltenden Fristen werden durch die Umsetzung in Ihrem Land festgelegt. Prüfen Sie die Seite Ihrer nationalen Behörde für den aktuellen Stand.
{% endhint %}


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.stoik.io/help/help-de/onboarding/compliance/nis-2.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.