NIS2-Richtlinie: Der vollständige Compliance-Leitfaden für europäische und mit der EU verbundene Unternehmen (2026)

Die NIS2-Richtlinie ist die ehrgeizigste Reform des europäischen Rechtsrahmens zur Cybersicherheit seit 2016. Am 14. Dezember 2022 verabschiedet und im Amtsblatt der Europäischen Union veröffentlicht (Richtlinie (EU) 2022/2555), erweitert sie den Kreis der sicherheitspflichtigen Einrichtungen in beispiellosem Umfang, verschärft die Pflichten, verdoppelt die Sanktionen und führt erstmals eine persönliche Verantwortung der Leitungsorgane ein.

Die Mitgliedstaaten hatten bis zum 17. Oktober 2024 Zeit, die Umsetzung in nationales Recht abzuschliessen. Mitte 2026 ist das Bild uneinheitlich: Einige Staaten haben die Umsetzung abgeschlossen (Belgien, Kroatien, Italien, Lettland), mehrere grosse Volkswirtschaften, darunter Frankreich und Deutschland, finalisieren ihre Gesetzestexte noch, und die Europäische Kommission hat gegen die Nachzügler Vertragsverletzungsverfahren eingeleitet. Dieser Leitfaden erklärt, wer betroffen ist, was die zehn Massnahmen von Artikel 21 verlangen, wie weit die Umsetzung gediehen ist und wie Sie Ihren Compliance-Fahrplan aufbauen, unabhängig davon, wo in der EU (oder als Zulieferer aus dem Vereinigten Königreich) Ihre Organisation tätig ist.

Was ist die NIS2-Richtlinie?

NIS2 folgt auf die ursprüngliche NIS-Richtlinie von 2016, deren Anwendungsbereich auf einige hundert Betreiber wesentlicher Dienste und Anbieter digitaler Dienste beschränkt war. NIS2 verwandelt diesen engen Kreis in einen Rahmen, der potenziell Zehntausende von Einrichtungen in der gesamten EU erfasst: Schätzungen gehen allein in Frankreich von rund 10'000 Einrichtungen aus, mit vergleichbaren Grössenordnungen in Deutschland, Italien und Spanien.

NIS2 gegenüber NIS1: drei strukturelle Änderungen

• Beispielloser Anwendungsbereich: 18 erfasste Sektoren (gegenüber 7 unter NIS1), mit zwei Kategorien von Einrichtungen, wesentliche und wichtige, die denselben Sicherheitsanforderungen unterliegen.
• Harmonisierte Pflichten: zehn verbindliche Mindestmassnahmen, definiert in Artikel 21 und ausnahmslos auf alle betroffenen Einrichtungen anwendbar.
• Persönliche Verantwortung: erstmals haften Mitglieder der Leitungsorgane persönlich für die Einhaltung und können individuell sanktioniert werden.

Gilt NIS2 für Unternehmen im Vereinigten Königreich?

Nach dem Brexit unterliegt das Vereinigte Königreich nicht mehr den EU-Richtlinien. NIS2 gilt daher nicht unmittelbar für Unternehmen mit Sitz im Vereinigten Königreich, die ausschliesslich dort tätig sind. Das Vereinigte Königreich arbeitet weiterhin unter den Network and Information Systems Regulations 2018 (der britischen Umsetzung der ursprünglichen NIS-Richtlinie). Die britische Regierung hat ihre Absicht bekundet, diesen Rahmen zu aktualisieren, über den im Rahmen der King's Speech 2024 angekündigten Cyber Security and Resilience Bill, doch bis 2026 wurde kein an NIS2 ausgerichteter Ersatz förmlich verabschiedet.

Die Exponierung des Vereinigten Königreichs gegenüber NIS2 bleibt erheblich, in drei Szenarien:

• Britische Gruppen mit EU-Tochtergesellschaften: Eine im Vereinigten Königreich ansässige Gruppe, die Tochtergesellschaften in EU-Mitgliedstaaten betreibt, muss NIS2 auf diese Tochtergesellschaften anwenden. Werden Sicherheitsfunktionen zentral aus der britischen Konzernzentrale erbracht, wirken die NIS2-Anforderungen auf die Muttergesellschaft zurück.
• Britische Zulieferer wesentlicher oder wichtiger EU-Einrichtungen: Nach Artikel 21 Absatz 2 Buchstabe d müssen regulierte EU-Einrichtungen die Sicherheit ihrer Lieferkette steuern. Sie geben diese Anforderungen vertraglich an alle Zulieferer weiter, auch an britische. Auditklauseln, Nachweise über Sicherheitskontrollen, Meldepflichten bei Vorfällen: Britische IKT-Dienstleister, die EU-Kunden bedienen, müssen nachverhandeln oder verlieren Aufträge.
• Britische Gruppen mit EU-Kundenbezug: Rechenzentren, Cloud-Plattformen, Managed-Service-Provider und SaaS-Anbieter mit EU-Kundenstamm unterliegen denselben nachgelagerten Pflichten, selbst ohne eine EU-Rechtsperson. Die Reichweite von Artikel 21 Absatz 2 Buchstabe d über die Lieferkette ist der praktische Mechanismus, über den NIS2 in die britische Wirtschaft hineinwirkt.

Wer ist von der NIS2-Richtlinie betroffen?

Wesentliche Einrichtungen (11 Sektoren)

Wesentliche Einrichtungen sind in Sektoren tätig, die als kritisch für das Funktionieren der Gesellschaft gelten. Sie unterliegen einer proaktiven Aufsicht durch die zuständigen nationalen Behörden; Kontrollen können auch ohne vorherigen Vorfall durchgeführt werden. Die Höchstsanktionen erreichen 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes.

• Energie (Elektrizität, Erdgas, Erdöl, Wasserstoff)
• Verkehr (Luft, Schiene, See, Binnenschifffahrt, Strasse, öffentlicher Nahverkehr)
• Bankwesen (Kreditinstitute)
• Finanzmarktinfrastrukturen (Handelsplätze, zentrale Gegenparteien)
• Gesundheit (Gesundheitsdienstleister, Referenzlabore, Hersteller kritischer Arzneimittel und Medizinprodukte, Forschung und Entwicklung)
• Trinkwasser (Lieferanten und Verteiler)
• Abwasser (Sammlung, Behandlung und Ableitung)
• Digitale Infrastruktur (Internetknoten, DNS, TLDs, Cloud-Dienste, Rechenzentren, CDNs, qualifizierte Vertrauensdienste)
• Verwaltung von IKT-Diensten (Managed-Service-Provider und Managed-Security-Service-Provider)
• Öffentliche Verwaltung (zentrale, regionale und lokale Verwaltungen gemäss nationalen Schwellenwerten)
• Weltraum (Betreiber von Bodeninfrastruktur zur Unterstützung von Weltraumdiensten)

Wichtige Einrichtungen (7 Sektoren)

Wichtige Einrichtungen unterliegen denselben zehn Sicherheitsmassnahmen wie wesentliche Einrichtungen, jedoch einer reaktiven Aufsicht: Die zuständigen Behörden werden vor allem nach einer Meldung oder einem Vorfall tätig. Die Höchstsanktionen erreichen 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes.

• Post- und Kurierdienste
• Abfallbewirtschaftung
• Herstellung, Produktion und Vertrieb von Chemikalien
• Produktion, Verarbeitung und Vertrieb von Lebensmitteln
• Verarbeitendes Gewerbe (Medizinprodukte, Computerprodukte, Elektronik, elektrische Ausrüstungen, Maschinen, Kraftfahrzeuge)
• Anbieter digitaler Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke)
• Forschungseinrichtungen

Das Grössenkriterium: Wer ist tatsächlich erfasst?

In einem erfassten Sektor tätig zu sein, genügt nicht; Sie müssen zudem den Grössenschwellenwert überschreiten. Die allgemeine Regel unterscheidet drei Fälle:

• Grossunternehmen: 250 Beschäftigte oder mehr ODER ein Umsatz über 50 Millionen Euro und eine Bilanzsumme über 43 Millionen Euro.
• Mittleres Unternehmen: 50 Beschäftigte oder mehr ODER ein Umsatz über 10 Millionen Euro. Mittlere Unternehmen in einem erfassten Sektor unterliegen NIS2.
• Kleinunternehmen (unter 50 Beschäftigte, unter 10 Millionen Euro Umsatz): grundsätzlich ausserhalb des NIS2-Anwendungsbereichs, mit Ausnahmen für bestimmte, ausdrücklich benannte kritische Infrastrukturen.

NIS2 und Zulieferer: die unsichtbare Wirkung von Artikel 21 Buchstabe d

Eine der häufigsten Fragen lautet: „Wir liegen unter den Grössenschwellenwerten; sind wir wirklich ausserhalb des Anwendungsbereichs?“ Die Antwort ist differenziert. Artikel 21 Absatz 2 Buchstabe d der Richtlinie verpflichtet alle wesentlichen und wichtigen Einrichtungen, die Sicherheit ihrer Lieferkette zu steuern, einschliesslich ihrer direkten Zulieferer und Dienstleister. Konkret bedeutet dies, dass die regulierte Einrichtung diese Anforderungen vertraglich an ihre Zulieferer weitergibt, unabhängig von deren Grösse. Unter den Schwellenwerten zu liegen schützt Sie vor der direkten Pflicht, nicht vor der vertraglichen Pflicht, die Ihre Kunden Ihnen auferlegen.

Besonders betroffen sind Managed-Service-Provider (MSP), Systemintegratoren, Anbieter von Unternehmenssoftware, Hosting-Anbieter, Cloud-Anbieter und jeder Zulieferer mit Zugang zu den Informationssystemen einer wesentlichen oder wichtigen Einrichtung. Diese Organisationen unterliegen NIS2 formal nicht, werden aber von ihren Kunden bewertet und vertraglich auditiert. Das geforderte Sicherheitsniveau, Risikomanagementpolitik, dokumentiertes Vorfallverfahren, Zugriffskontrolle, wird zu einer geschäftlichen Voraussetzung, nicht nur zu einer regulatorischen.

Fachleute, die auf Zuliefererseite die NIS2-Compliance verantworten, CISOs, Einkaufsleitungen, Compliance-Verantwortliche, finden in der Zertifizierung NIS2 Lead Implementer die Referenz, die ihre Kompetenz im Drittparteien-Risikomanagement und in der Lieferkettensicherheit strukturiert, zwei Bereiche im Kern von Artikel 21 Buchstabe d. Für Organisationen, die viele Zulieferer verwalten, ermöglichen TPRM-Plattformen wie Supplier Shield diese Bewertungen strukturiert und automatisiert im grossen Massstab durchzuführen.

Umsetzung von NIS2 in der EU: Stand 2026

Die NIS2-Richtlinie setzte den 17. Oktober 2024 als Frist für die Umsetzung in nationales Recht in allen Mitgliedstaaten. Mitte 2026 ist das Bild uneinheitlich. Mehrere Mitgliedstaaten haben ihre Umsetzung fristgerecht oder kurz danach abgeschlossen: Belgien, Kroatien, Italien und Lettland gehörten zu den Ersten. Mehrere grosse Volkswirtschaften, darunter Frankreich (Loi Résilience), Deutschland (NIS-2-Umsetzungsgesetz) und Spanien, finalisierten ihre Gesetzestexte noch weit in das Jahr 2026 hinein. Die Europäische Kommission leitete 2025 Vertragsverletzungsverfahren gegen die Nachzügler ein.

Diese uneinheitliche Landschaft bedeutet, dass nationale Details, genaue Sektorschwellen, Sanktionsobergrenzen im nationalen Recht, die Einbeziehung oder Ausnahme öffentlicher Stellen und Gebietskörperschaften, je nach Rechtsordnung variieren. Die Richtlinie selbst legt das Mindestniveau fest, das unabhängig vom Umsetzungsstand in der gesamten EU gilt. Multinationale Gruppen, die in mehreren Mitgliedstaaten tätig sind, müssen daher einen Compliance-Rahmen aufbauen, der das Mindestniveau der Richtlinie erfüllt, und darauf die nationalen Besonderheiten aufsetzen.

Die zehn verpflichtenden Massnahmen von Artikel 21

Artikel 21 der NIS2-Richtlinie definiert die Mindestmassnahmen, die alle wesentlichen und wichtigen Einrichtungen umsetzen müssen. Die Richtlinie legt zehn Kategorien von Massnahmen (a bis j) fest, die in der Praxis jeweils mehrere Teilanforderungen umfassen, die verhältnismässig zum Risikoprofil, zur Grösse und zum Sektor der Organisation anzuwenden sind. Diese Anforderungen sind keine Empfehlungen: Sie werden bei Kontrollen der zuständigen Behörden überprüft, und ihr Fehlen stellt einen Verstoss dar, der Sanktionen auslösen kann.

Meldefristen bei Vorfällen: 24 Stunden, 72 Stunden, 1 Monat

NIS2 führt verbindliche Meldefristen ein, die eine der wichtigsten operativen Änderungen für Sicherheitsteams darstellen. Sobald ein erheblicher Sicherheitsvorfall festgestellt ist, gilt gegenüber der zuständigen nationalen Behörde (BSI in Deutschland, NCSC in der Schweiz, ANSSI in Frankreich, CSIRT.IT in Italien usw.) folgender Zeitplan:

• Frühwarnung, 24 Stunden: erste Meldung an die zuständige Behörde mit Angabe der Art des Vorfalls und ob böswillige Handlungen vermutet werden.
• Vollständige Meldung, 72 Stunden: erste Bewertung von Schwere, Auswirkungen und Kompromittierungsindikatoren (IoC).
• Abschlussbericht, 1 Monat: Grundursache, umgesetzte Korrekturmassnahmen, mögliche grenzüberschreitende Auswirkungen.

Persönliche Verantwortung der Leitungsorgane: die zentrale Änderung

NIS2 schreibt eine unmittelbare Einbindung der Leitungsorgane in die Cybersicherheits-Governance vor, ohne Präzedenzfall in früheren europäischen Regulierungen. Die Richtlinie verlangt, dass die Leitung die Sicherheitsmassnahmen genehmigt und ihre Umsetzung überwacht, mit einem Verantwortungsrahmen, dessen konkrete Ausgestaltung von den nationalen Umsetzungsbestimmungen abhängt. Mindestens müssen Mitglieder der Leitungsorgane:

• die von der Einrichtung umgesetzten Risikomanagementmassnahmen für die Cybersicherheit genehmigen
• die Umsetzung dieser Massnahmen überwachen und für jeden Verstoss verantwortlich sein
• an einer ihrer Rolle angemessenen Cybersicherheitsschulung teilnehmen und ihre Beschäftigten dazu anhalten, dasselbe zu tun; diese Schulungspflicht ist ausdrücklich in der Richtlinie verankert

Im Fall eines erheblichen Sicherheitsvorfalls infolge eines Verstosses können die zuständigen Behörden die persönliche Verantwortung von Mitgliedern der Leitung geltend machen. In schweren oder wiederholten Fällen können vorübergehende Verbote der Ausübung von Leitungsfunktionen verhängt werden. Diese Bestimmung macht NIS2 zu einer Governance-Frage auf Ebene des Leitungsorgans. Da die Richtlinie ausdrücklich eine Schulung der Leitung vorschreibt, ist die Schulung NIS2 Foundation der passende Weg für Entscheidungsträger, die die regulatorischen Herausforderungen und die sie persönlich treffenden Pflichten beherrschen müssen.

NIS2 und ISO 27001: Übereinstimmungen und Lücken

Organisationen, die bereits nach ISO 27001:2022 zertifiziert sind, haben auf ihrem Weg zur NIS2-Compliance einen erheblichen Vorsprung. Die meisten der zehn Massnahmen von Artikel 21 lassen sich direkt Anforderungen im Hauptteil der Norm oder Massnahmen in Anhang A zuordnen. Einheitliche GRC-Plattformen wie Acuna operationalisieren diese Zuordnung, indem sie ISO 27001, NIS2, DORA und zugehörige Kontrollen in einem einzigen prüfbaren Referenzrahmen zusammenführen.

Wo NIS2 über ISO 27001 hinausgeht

• Gesetzliche Meldefristen: ISO 27001 schreibt keine Fristen von 24 Stunden, 72 Stunden oder 1 Monat vor. Diese Pflichten bestehen nur unter NIS2 (und der DSGVO für personenbezogene Daten).
• Persönliche Verantwortung der Leitungsorgane: ISO 27001 verpflichtet die Organisation, nicht Einzelpersonen. NIS2 begründet eine persönliche Verantwortung, die über die Zertifizierung hinausgeht.
• Regulatorische Meldung an nationale Behörden: ISO 27001 verlangt keine Meldungen an eine zuständige nationale Behörde. NIS2 führt diese direkte Verbindung zu den Regulatoren ein.

NIS2 und DSGVO: zwei unterschiedliche Regime, ein gemeinsames Risiko

NIS2 und DSGVO verfolgen unterschiedliche Ziele: NIS2 zielt auf die operative Resilienz von Informationssystemen, die DSGVO schützt die personenbezogenen Daten von Einzelpersonen. Doch für Organisationen, die personenbezogene Daten verarbeiten, also nahezu alle NIS2-Einrichtungen, kann ein einziger Cybervorfall gleichzeitig Pflichten unter beiden Regimen auslösen, mit unterschiedlichen Fristen und Behörden.

Am stärksten von diesem doppelten Regime betroffen sind das Gesundheitswesen (medizinische Daten), Banken und Versicherungen (personenbezogene Finanzdaten) sowie öffentliche Verwaltungen (Bürgerdaten). Für diese Organisationen müssen die Verfahren zur Vorfallreaktion die beiden Stränge vom Moment der Erkennung an trennen: Wer meldet was, an welche Behörde, innerhalb welcher Frist.

NIS2 und DORA: sich ergänzende Regime für den Finanzsektor

NIS2 und DORA sind zwei unterschiedliche, aber sich ergänzende Regime. NIS2 setzt den allgemeinen Cybersicherheitsrahmen für 18 Sektoren; DORA ist eine unmittelbar anwendbare Verordnung, die sich an Finanzeinrichtungen richtet. Für Banken, Versicherer und Zahlungsinstitute in der gesamten EU gelten beide gleichzeitig, wobei DORA als Lex specialis bei IKT-Risiko, Vorfallmeldung, Resilienztests und Management von IKT-Drittparteien Vorrang hat. Eine vollständige Darstellung von DORA, einschliesslich der fünf Säulen, der Sanktionen und der Querverweise zu FINMA und zur britischen operativen Resilienz, finden Sie in unserem vollständigen DORA-Compliance-Leitfaden.

Wie viel kostet die NIS2-Compliance?

Rückmeldungen aus der Praxis spezialisierter Beratungshäuser bewegen sich in Spannen, die von Grösse und Ausgangsreife abhängen. Für eine mittelgrosse Organisation (50 bis 250 Beschäftigte) in einem wichtigen Sektor, die ohne formale Sicherheitspolitik startet, liegen die Kosten der anfänglichen Compliance typischerweise zwischen 50'000 und 200'000 Euro über 18 Monate. Für eine grosse wesentliche Einrichtung mit komplexen Informationssystemen kann das Budget je nach Umfang der umzusetzenden Massnahmen mehrere hunderttausend bis mehrere Millionen Euro erreichen. Diese Spannen decken die Lückenanalyse, technische Aufrüstungen, Dokumentation sowie verpflichtende Schulungen für Teams und Leitung ab.

Organisationen, die bereits nach ISO 27001 zertifiziert sind, senken diese Kosten dank ihrer bestehenden Dokumentationsbasis um 30 bis 50 %; die meisten der zehn Massnahmen von Artikel 21 lassen sich direkt ISO-27001-Kontrollen zuordnen. Eine von einer spezialisierten Beratung durchgeführte NIS2-Lückenanalyse ermöglicht es, den verbleibenden Aufwand präzise zu bestimmen, bevor ein Umsetzungsbudget festgelegt wird. Für interne Teams, die die Compliance vorantreiben, ist die Zertifizierung NIS2 Lead Implementer die kosteneffizienteste Investition: Sie strukturiert das Vorgehen, verringert die Abhängigkeit von externen Beratern und weist die Kompetenz gegenüber Kunden und Regulatoren nach.

NIS2-Compliance erreichen: die 4 Phasen

Phase 1, Bewertung (1 bis 3 Monate)

Stellen Sie fest, ob Ihre Organisation in den NIS2-Anwendungsbereich fällt, inventarisieren Sie die betroffenen Informationssysteme und führen Sie eine Lückenanalyse zwischen Ihrem aktuellen Sicherheitsniveau und den zehn Massnahmen von Artikel 21 durch. Diese Phase bestimmt die Prioritäten und kalibriert den Gesamtaufwand.

Phase 2, Planung (1 bis 2 Monate)

Definieren Sie einen Risikobehandlungsplan, einen priorisierten Fahrplan, interne Verantwortlichkeiten und das Budget. Achten Sie besonders auf die Sicherheit der Lieferkette: Artikel 21 Buchstabe d verlangt, dass Sie die mit Ihren direkten Zulieferern und Dienstleistern verbundenen Risiken bewerten und steuern. Plattformen für das Drittparteien-Risikomanagement wie Supplier Shield ermöglichen es, diese Dimension Ihres NIS2-Programms zu strukturieren und zu automatisieren.

Phase 3, Umsetzung (6 bis 12 Monate)

Setzen Sie die zehn Massnahmen von Artikel 21 um, richten Sie Verfahren zur Vorfallmeldung mit etabliertem Kontakt zur zuständigen Behörde ein, sichern Sie die Lieferkette und dokumentieren Sie alles für regulatorische Kontrollen. Die Schulung der Beschäftigten, einschliesslich der Leitung, wird von der Richtlinie ausdrücklich verlangt.

Phase 4, kontinuierliche Kontrolle

Testen Sie die Verfahren regelmässig (Vorfallübungen, interne Audits), halten Sie die Meldung an die Behörden aufrecht und treiben Sie die kontinuierliche Verbesserung des Programms voran. Organisationen, die Unterstützung bei der Compliance suchen, können sich auf spezialisierte Beratungshäuser wie Abilene Advisors stützen, Experten für die schweizerische und europäische regulatorische Compliance (NIS2, DORA, ISO 27001).

In der Praxis sollte eine Organisation, die bei null beginnt, 12 bis 18 Monate von der Bewertung bis zur Bereitschaft für regulatorische Kontrollen einplanen. Organisationen, die bereits nach ISO 27001 zertifiziert sind, verkürzen diesen Zeitraum dank ihrer bestehenden Dokumentationsbasis erheblich.

NIS2-Schulung und -Zertifizierung an der Abilene Academy

Die Abilene Academy, PECB Titanium Partner mit Sitz in Morges (Schweiz), hat Sicherheits- und Compliance-Teams von Organisationen wie The Global Fund (Genf), UNICC (Vereinte Nationen) und Deloitte Dänemark begleitet. Beide zertifizierenden NIS2-Schulungen werden von Praktikern konzipiert und durchgeführt, die an realen Compliance-Programmen arbeiten:

NIS2-Richtlinie Foundation (2 Tage)

Die Schulung NIS2-Richtlinie Foundation behandelt den Aufbau der Richtlinie, die Kriterien des Anwendungsbereichs (Unternehmen, öffentlicher Sektor, Zulieferer), die zehn Massnahmen von Artikel 21, die Meldepflichten und die Aufsichtsmechanismen der zuständigen nationalen Behörden. Sie richtet sich an Sicherheitsverantwortliche, IT-Leitungen, Rechtsberater und Mitglieder der Leitung, die die NIS2-Anforderungen verstehen müssen, bevor sie das Compliance-Programm angehen.

NIS2-Richtlinie Lead Implementer (5 Tage)

Die Schulung NIS2-Richtlinie Lead Implementer behandelt den vollständigen Compliance-Zyklus: Lückenanalyse, Risikobehandlung, Umsetzung von Kontrollen, Steuerung der Zulieferersicherheit, Verfahren zum Vorfallmanagement und Vorbereitung auf regulatorische Kontrollen. Die Zertifizierung PECB NIS2 Lead Implementer belegt unabhängige, anerkannte Kompetenz gegenüber Kunden, Vertragspartnern und Aufsichtsbehörden. Was wir in den Kursen regelmässig beobachten: Erfahrene Fachleute beherrschen die technischen Massnahmen von Artikel 21, haben aber noch nie eine 24-Stunden-Meldung an die zuständige Behörde simuliert. Genau diese Lücke, prozedural, nicht technisch, trainiert die Schulung unter realistischen Bedingungen.

Beide Schulungen sind in Genf, Lausanne und Paris als Präsenz- und virtuelle Live-Formate verfügbar, auf Englisch und Französisch. Sie werden von Praktikern durchgeführt, die über direkte Erfahrung mit NIS2-, ISO-27001- und DORA-Umsetzungen in internationalen Umgebungen verfügen.

Quellen und Referenzen

• Richtlinie (EU) 2022/2555: NIS2 (EUR-Lex, Europäisches Parlament und Rat, 14. Dezember 2022).
• ENISA, NIS Investments Report 2023 (Agentur der Europäischen Union für Cybersicherheit, Daten zu Trends bei Cybersicherheitsinvestitionen in der EU).
• UK Network and Information Systems Regulations 2018 (UK Statutory Instruments, aktuelle britische Umsetzung der ursprünglichen NIS-Richtlinie).
• Europäische Kommission, Cybersicherheitspolitik und NIS2 (GD CONNECT, Nachverfolgung der Umsetzung und Vertragsverletzungsverfahren).
• PECB NIS 2 Lead Implementer: Zertifizierungsdatenblatt (PECB, offizielle Zertifizierungsreferenz).

Weiterführend: DORA ist Lex specialis für Finanzeinrichtungen; wo NIS2 dieselbe Einrichtung erfasst (Kreditinstitut, Versicherer, Zahlungsabwickler), hat das spezifischere Regime von DORA zur operativen Resilienz gemäss Artikel 1 Absatz 2 der NIS2-Richtlinie selbst Vorrang. Fällt Ihre Organisation in beide Anwendungsbereiche, führt unser vollständiger DORA-Compliance-Leitfaden durch das Zusammenspiel der beiden Regime, und die Zertifizierung DORA Lead Manager ist der anerkannte Nachweis, um es operativ umzusetzen.