Artikel 21 der NIS2-Richtlinie, Richtlinie (EU) 2022/2555, legt die Mindestmaßnahmen für Cybersicherheit fest, die wesentliche und wichtige Einrichtungen ergreifen müssen. Er liest sich wie eine Liste von Überschriften und lässt viel Spielraum bei der Frage, was „gut genug“ ist. Dieser Artikel geht jede Maßnahme praxisnah durch und behandelt anschließend die Meldefristen nach Artikel 23.
Es handelt sich um eine Lesart der Richtlinie selbst. Jeder Mitgliedstaat setzt sie durch nationales Recht um, das Details ergänzen kann. Prüfen Sie daher die Regeln und die zuständige Behörde in jedem Land, in dem Sie tätig sind.
Gilt die Richtlinie für Sie?
NIS2 erfasst im Allgemeinen mittlere und große Organisationen in den Sektoren, die in den Anhängen I und II aufgeführt sind. Die Größe richtet sich nach der KMU-Definition der EU: Ein kleines Unternehmen hat weniger als 50 Beschäftigte und einen Jahresumsatz oder eine Bilanzsumme von höchstens 10 Mio. EUR. In der Praxis heißt das: Mit 50 oder mehr Beschäftigten oder mit Umsatz und Bilanzsumme jeweils über 10 Mio. EUR sind Sie mindestens ein mittleres Unternehmen.
Manche Einrichtungen fallen nach Art. 2 Abs. 2 unabhängig von ihrer Größe unter die Richtlinie. Dazu gehören etwa Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste, Vertrauensdiensteanbieter, Namenregister der Top-Level-Domains und DNS-Diensteanbieter.
Einrichtungen sind entweder wesentlich oder wichtig (Art. 3). Die Maßnahmen nach Artikel 21 sind für beide gleich. Der Unterschied zeigt sich bei der Aufsicht, die bei wichtigen Einrichtungen vor allem nachträglich erfolgt (Art. 33), und bei den Höchstbußgeldern nach Art. 34. Für wesentliche Einrichtungen müssen die Mitgliedstaaten ein Höchstmaß von mindestens 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes festlegen, je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen liegen die Werte bei 7 Mio. EUR oder 1,4 %.
Zwei Punkte sind für Leser außerhalb der EU wichtig, auch in der Türkei. Nach Art. 26 Abs. 3 müssen bestimmte digitale Anbieter einen Vertreter in der EU benennen, wenn sie dort Dienste anbieten, ohne dort niedergelassen zu sein. Dazu gehören Anbieter von Cloud-Diensten, Rechenzentren, Managed Services und Managed Security Services. Und Zulieferer von Einrichtungen, die unter die Richtlinie fallen, bekommen Artikel 21 über die Verträge und Fragebögen ihrer Kunden zu spüren.
Die zehn Maßnahmen nach Art. 21 Abs. 2
Art. 21 Abs. 1 verlangt „geeignete und verhältnismäßige“ Maßnahmen. Sie müssen den Stand der Technik, einschlägige Normen, die Kosten, die Größe der Einrichtung und ihre Risikoexposition sowie die Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen berücksichtigen. Nach Art. 21 Abs. 2 müssen sie auf einem gefahrenübergreifenden Ansatz beruhen und mindestens Folgendes umfassen.
(a) Risikoanalyse und Sicherheitskonzepte für Informationssysteme
Halten Sie schriftlich fest, was Sie schützen müssen, was schiefgehen kann und was Sie dagegen beschlossen haben. Für ein Unternehmen mit 200 Beschäftigten bedeutet das: eine Liste der Assets, ein mindestens jährlich überprüftes Risikoregister und eine kurze, von der Geschäftsleitung unterzeichnete Sicherheitsrichtlinie.
(b) Bewältigung von Sicherheitsvorfällen
Legen Sie einen schriftlichen Prozess fest, um Vorfälle zu erkennen, einzuordnen und darauf zu reagieren, mit benannten Personen und Kontakten außerhalb der Geschäftszeiten. Nehmen Sie die Meldeschritte nach Artikel 23 auf, damit niemand die Fristen mitten in einem Vorfall ermitteln muss.
(c) Aufrechterhaltung des Betriebs, Backups, Notfallwiederherstellung und Krisenmanagement
Wissen Sie, welche Dienste am wichtigsten sind und wie lange Sie ohne sie auskommen. Halten Sie Backups vor, die ein Angreifer mit Administratorrechten nicht löschen kann, und testen Sie Wiederherstellungen nach Plan. Führen Sie mindestens eine Tabletop-Übung mit der Geschäftsleitung durch.
(d) Sicherheit der Lieferkette
Erfassen Sie die Lieferanten und Dienstleister, die Ihre Systeme beeinflussen können, etwa Ihren MSP, Cloud- und SaaS-Anbieter sowie Softwarehersteller. Nach Art. 21 Abs. 3 sollen Sie die spezifischen Schwachstellen, die Produktqualität und die Sicherheitspraktiken jedes unmittelbaren Lieferanten berücksichtigen, einschließlich sicherer Entwicklung. In der Praxis heißt das: Sicherheitsanforderungen und Meldepflichten bei Vorfällen in die Verträge aufnehmen.
(e) Sicherheit bei Erwerb, Entwicklung und Wartung, einschließlich Umgang mit und Offenlegung von Schwachstellen
Patchen Sie nach festem Zeitplan, verfolgen Sie Schwachstellen in dem, was Sie entwickeln und einkaufen, und geben Sie Außenstehenden eine Möglichkeit, Ihnen Probleme zu melden. Eine veröffentlichte Datei security.txt und eine einfache Richtlinie zur Offenlegung decken den letzten Punkt ab.
(f) Bewertung der Wirksamkeit dieser Maßnahmen
Prüfen Sie, ob Kontrollen funktionieren, statt es anzunehmen. Interne Audits, Schwachstellenscans, Penetrationstests und Wiederherstellungstests zählen alle, sofern Befunde bis zu ihrer Behebung verfolgt werden.
(g) Grundlegende Cyberhygiene und Schulungen
Sorgen Sie überall für die Grundlagen: Updates, sichere Konfiguration, minimale Rechte und das Entfernen ungenutzter Konten. Schulen Sie alle Beschäftigten regelmäßig, mindestens zum Erkennen von Phishing. Art. 20 Abs. 2 verlangt zusätzlich, dass die Mitglieder der Leitungsorgane an Schulungen teilnehmen.
(h) Kryptografie und Verschlüsselung
Legen Sie fest, wo Verschlüsselung erforderlich ist, etwa auf Laptops, bei Backups, bei Daten während der Übertragung und bei sensiblen gespeicherten Daten. Legen Sie fest, welche Algorithmen und Protokollversionen zulässig sind und wer Schlüssel und Zertifikate verwaltet.
(i) Personalsicherheit, Zugriffskontrolle und Asset-Management
Betreiben Sie Prozesse für Eintritt, Wechsel und Austritt, die Zugänge am letzten Arbeitstag tatsächlich entfernen. Überprüfen Sie privilegierte Konten regelmäßig. Führen Sie ein Asset-Inventar, für das jemand verantwortlich ist und das aktuell gehalten wird.
(j) Multi-Faktor- oder kontinuierliche Authentifizierung, gesicherte Kommunikation und Notfallkommunikation
Setzen Sie Multi-Faktor-Authentifizierung für Fernzugänge, E-Mail, Cloud-Administration und privilegierte Konten ein. Vereinbaren Sie einen Notfallkommunikationskanal, der nicht von Ihrer eigenen E-Mail oder Ihrem Chat abhängt, denn diese können während eines Vorfalls ausgefallen sein oder mitgelesen werden.
Die Geschäftsleitung ist verantwortlich
Nach Artikel 20 müssen die Leitungsorgane die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen. Sie können für Verstöße der Einrichtung gegen Artikel 21 haftbar gemacht werden. Ihre Mitglieder müssen an Schulungen teilnehmen, und die Mitgliedstaaten müssen die Einrichtungen dazu anhalten, ihren Beschäftigten regelmäßig entsprechende Schulungen anzubieten.
In der Praxis heißt das: Setzen Sie Cybersicherheit mindestens vierteljährlich auf die Tagesordnung der Geschäftsleitung. Dokumentieren Sie Entscheidungen, auch Risiken, die die Geschäftsleitung bewusst akzeptiert hat.
Die Meldefristen nach Artikel 23
Ein erheblicher Sicherheitsvorfall ist einer, der schwerwiegende Betriebsstörungen oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann oder anderen erhebliche materielle oder immaterielle Schäden zufügt. Solche Vorfälle sind dem CSIRT oder der zuständigen Behörde in Stufen zu melden:
| Stufe | Frist | Inhalt |
|---|---|---|
| Frühwarnung | Binnen 24 Stunden nach Kenntnisnahme | Ob ein rechtswidriges oder böswilliges Handeln vermutet wird und ob grenzüberschreitende Auswirkungen möglich sind |
| Meldung des Sicherheitsvorfalls | Binnen 72 Stunden nach Kenntnisnahme | Aktualisierung der Frühwarnung, erste Bewertung von Schwere und Auswirkungen, Kompromittierungsindikatoren, soweit verfügbar |
| Zwischenbericht | Auf Anfrage | Relevante Statusaktualisierungen |
| Abschlussbericht | Binnen eines Monats nach der Meldung des Sicherheitsvorfalls | Ausführliche Beschreibung, wahrscheinliche Ursache, ergriffene und laufende Abhilfemaßnahmen, grenzüberschreitende Auswirkungen |
| Fortschrittsbericht | Wenn der Vorfall zum Termin des Abschlussberichts noch andauert | Sachstand, gefolgt von einem Abschlussbericht binnen eines Monats nach Abschluss der Bearbeitung des Vorfalls |
Für Vertrauensdiensteanbieter gilt eine kürzere Frist. Bei Vorfällen, die ihre Vertrauensdienste betreffen, ist die Meldung aus der zweiten Zeile binnen 24 Stunden fällig. Gegebenenfalls müssen Einrichtungen auch die Empfänger ihrer Dienste über erhebliche Sicherheitsvorfälle informieren, die diese beeinträchtigen können.
Diese Fristen laufen neben anderen Pflichten. Ein Ransomware-Angriff, der personenbezogene Daten betrifft, kann zusätzlich eine Meldung nach Art. 33 DSGVO an die Datenschutzaufsichtsbehörde erfordern, möglichst binnen 72 Stunden.
Verhältnismäßig, dokumentiert, nachweisbar
Artikel 21 schreibt keinen bestimmten Standard vor. Wenn Sie bereits nach ISO/IEC 27001 arbeiten, ist die Zuordnung der Controls zu den zehn Maßnahmen ein sinnvoller Ausgangspunkt. Für bestimmte digitale Anbieter legt die Durchführungsverordnung (EU) 2024/2690 der Kommission detaillierte technische Anforderungen fest, und der technische Umsetzungsleitfaden der ENISA vom Juni 2025 bietet Beispiele für Nachweise und Zuordnungen. Auch wenn diese Verordnung für Sie nicht gilt, zeigt der Leitfaden, wie Nachweise aussehen.
Wofür Sie sich auch entscheiden: Sammeln Sie Nachweise – Richtlinien mit Freigabedatum, Schulungsnachweise, Testberichte, Protokolle von Wiederherstellungen und die Risikoentscheidungen der Geschäftsleitung. Stellt eine Einrichtung fest, dass sie die Anforderungen nicht erfüllt, muss sie nach Art. 21 Abs. 4 unverzüglich Korrekturmaßnahmen ergreifen.
Wo Sie anfangen
- Klären Sie nach Ihrem nationalen Recht, ob Sie unter die Richtlinie fallen und ob als wesentliche oder wichtige Einrichtung.
- Führen Sie eine Gap-Analyse anhand der zehn Maßnahmen oben durch. Für den Anfang genügt eine Seite pro Maßnahme.
- Schließen Sie zuerst die Lücken mit großer Wirkung, etwa fehlende MFA, ungetestete Backups oder ein fehlendes Meldeverfahren für Vorfälle.
- Nehmen Sie die Meldeschritte nach Artikel 23 mit den Kontaktdaten Ihres CSIRT oder Ihrer Behörde in Ihren Notfallplan auf.
- Informieren Sie die Geschäftsleitung, dokumentieren Sie ihre Freigabe und planen Sie ihre Schulung.
Unser Beratungsteam unterstützt Sie bei einer NIS2-Gap-Analyse, und SecAudit ordnet in seinen Compliance-Berichten Sicherheitsbefunde von WordPress-Websites den Maßnahmen nach Artikel 21 zu.
