Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union, zur Änderung der Verordnung (EU) Nr. 910/2014 und der Richtlinie (EU) 2018/1972 sowie zur Aufhebung der Richtlinie (EU) 2016/1148 (NIS-2-Richtlinie) (Text von Bedeutung für den EWR)

Die Richtlinie (EU) 2022/2555 ist eine Richtlinie und damit ein unionsrechtlicher Harmonisierungsakt, der die Mitgliedstaaten zur Umsetzung in nationales Recht verpflichtet, ihnen aber die Form und Mittel der Umsetzung überlässt. Systematisch stützt sie sich auf Artikel 114 AEUV und dient der Mindestharmonisierung des Cybersicherheitsrechts im Binnenmarkt; zugleich hebt sie die Richtlinie (EU) 2016/1148 auf und ändert die Verordnung (EU) Nr. 910/2014 sowie die Richtlinie (EU) 2018/1972. Inhaltlich schafft sie ein unionsweit abgestimmtes System aus nationalen Cybersicherheitsstrategien, zuständigen Behörden, CSIRTs, Kooperationsmechanismen sowie Pflichten zum Risikomanagement, zur Vorfallmeldung, Aufsicht und Durchsetzung. Zentrale Unterscheidung ist die Einordnung erfasster Einrichtungen als wesentliche oder wichtige Einrichtungen mit abgestuften Aufsichtsregimen. • Der Anwendungsbereich erfasst öffentliche und private Einrichtungen in den Sektoren mit hoher Kritikalität und sonstigen kritischen Sektoren, insbesondere Energie, Verkehr, Bankwesen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, öffentliche Verwaltung, Weltraum, Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, bestimmte Herstellungsbereiche, Anbieter digitaler Dienste und Forschung. Grundsätzlich erfasst sind mittlere und größere Einrichtungen; unabhängig von der Größe gelten die Vorgaben jedoch unter anderem für Anbieter öffentlicher elektronischer Kommunikationsnetze oder öffentlich zugänglicher elektronischer Kommunikationsdienste, Vertrauensdiensteanbieter, DNS-Diensteanbieter, TLD-Namenregister, Domänennamenregistrierungsdienste sowie nach der Richtlinie (EU) 2022/2557 als kritische Einrichtungen eingestufte Stellen. Ausgenommen sind insbesondere bestimmte Tätigkeiten der öffentlichen Verwaltung in den Bereichen nationale Sicherheit, öffentliche Sicherheit, Verteidigung und Strafverfolgung; zudem können Mitgliedstaaten für bestimmte sicherheitsnahe Tätigkeiten oder Dienste Ausnahmen von einzelnen Pflichten vorsehen. Für Vertrauensdiensteanbieter greift diese Ausnahme gerade nicht allein wegen sicherheitsbezogener Tätigkeiten. • In der Praxis bedeutet dies, dass betroffene Einrichtungen ihre Cyberrisiken systematisch steuern, Vorfälle in engen Fristen melden, Lieferketten und Zugriffsschutz absichern, Wiederherstellung und Krisenmanagement organisieren und ihre Leitungsorgane in die Verantwortung einbinden müssen. Mitgliedstaaten müssen hierfür Behörden, zentrale Anlaufstellen, CSIRTs und Krisenstrukturen schaffen oder benennen und deren Zusammenarbeit sicherstellen. Für grenzüberschreitend tätige digitale und infrastrukturelle Akteure entsteht damit ein deutlich vereinheitlichter, aber auch strenger überwachter Compliance-Rahmen.

Stand: 01.07.2026

Mitgliedstaaten: • Pflicht1: Nationale Cybersicherheitsstrategien erlassen und regelmäßig evaluieren. • Pflicht2: Zuständige Behörden, zentrale Anlaufstellen, CSIRTs und Behörden für das Cyberkrisenmanagement benennen oder einrichten. • Pflicht3: Aufsichts-, Durchsetzungs- und Sanktionsregelungen zur Umsetzung der Richtlinie schaffen. • Empfehlung: Sektorübergreifende Meldewege, Registermechanismen und Unterstützungsangebote für KMU frühzeitig harmonisieren. Wesentliche und wichtige Einrichtungen: • Pflicht1: Geeignete technische, operative und organisatorische Risikomanagementmaßnahmen für Netz- und Informationssysteme umsetzen. • Pflicht2: Erhebliche Sicherheitsvorfälle fristgerecht mit Frühwarnung, Vorfallmeldung und Abschlussbericht melden. • Pflicht3: Sicherheitsrisiken in Lieferketten, Zugriffskontrollen, Wiederherstellung und Cyberhygiene systematisch absichern. • Empfehlung: Governance, Schulungen und Nachweisdokumentation so ausgestalten, dass Prüfungen und Vorfallreaktionen belastbar unterstützt werden. Leitungsorgane wesentlicher und wichtiger Einrichtungen: • Pflicht1: Risikomanagementmaßnahmen im Bereich der Cybersicherheit billigen. • Pflicht2: Deren Umsetzung überwachen. • Pflicht3: An Schulungen teilnehmen, um Risiken und Managementpraktiken im Bereich Cybersicherheit bewerten zu können. • Empfehlung: Cybersicherheit als festen Bestandteil von Unternehmenssteuerung, Krisenmanagement und Compliance verankern. CSIRTs: • Pflicht1: Sicherheitsvorfälle, Cyberbedrohungen und Schwachstellen überwachen, analysieren und Frühwarnungen ausgeben. • Pflicht2: Auf Ersuchen Einrichtungen technisch unterstützen, etwa bei Reaktion, Schwachstellenscans und Lagebeurteilung. • Pflicht3: Im CSIRTs-Netzwerk kooperieren und gegebenenfalls koordinierte Offenlegung von Schwachstellen unterstützen. • Empfehlung: Sichere Kommunikationsinfrastruktur, Redundanzen und standardisierte Verfahren für Informationsaustausch priorisieren. Zuständige Behörden und zentrale Anlaufstellen: • Pflicht1: Die Anwendung der Richtlinie beaufsichtigen und Meldungen bzw. grenzüberschreitende Zusammenarbeit koordinieren. • Pflicht2: Wesentliche Einrichtungen ex ante und ex post, wichtige Einrichtungen anlassbezogen ex post überwachen. • Pflicht3: Bei Verstößen geeignete Durchsetzungsmaßnahmen bis hin zu Anordnungen und Geldbußen ergreifen. • Empfehlung: Risikobasierte Aufsichtsmethoden und enge Kooperation mit Datenschutz-, Strafverfolgungs- und Sektorbehörden etablieren. TLD-Namenregister und Einrichtungen, die Domänennamen-Registrierungsdienste erbringen: • Pflicht1: Genaue und vollständige Domänennamen-Registrierungsdaten in eigenen Datenbanken erfassen und pflegen. • Pflicht2: Überprüfungsverfahren und Vorgaben zur Datenqualität öffentlich vorhalten. • Pflicht3: Berechtigten Zugangsnachfragern rechtmäßigen Zugang zu bestimmten Registrierungsdaten fristgerecht gewähren. • Empfehlung: Veröffentlichung, Offenlegung und Datenpflege technisch so organisieren, dass Datenschutz und Reaktionsgeschwindigkeit gleichermaßen gewahrt bleiben.