Was ist NIS und warum NIS2 wichtig ist
Die Richtlinie über die Sicherheit von Netz- und Informationssystemen (NIS) war das erste Cybersicherheitsgesetz der EU, das 2016 verabschiedet wurde. Sie verpflichtete die Mitgliedstaaten, zuständige Behörden einzurichten, nationale CSIRTs zu gründen und Mindeststandards für das Risikomanagement anzuwenden.
Die Erfahrung zeigte, dass NIS1 zu eng gefasst war. Viele Sektoren waren nicht abgedeckt, und die Verpflichtungen unterschieden sich erheblich.
Deshalb hat die EU am 14. Dezember 2022 die NIS2-Richtlinie (Richtlinie (EU) 2022/2555) verabschiedet. Sie wurde am 27. Dezember 2022 im Amtsblatt veröffentlicht und trat am 16. Januar 2023 in Kraft. Alle Mitgliedstaaten mussten sie bis zum 17. Oktober 2024 in nationales Recht umsetzen und damit NIS1 ersetzen. Den offiziellen Richtlinientext können Sie auf EUR-Lex lesen.
Wer muss NIS2 einhalten?
NIS2 gilt für zwei Kategorien von Einrichtungen:
- Wesentliche Einrichtungen – Energie, Verkehr, Gesundheitswesen, digitale Infrastruktur, öffentliche Verwaltung.
- Wichtige Einrichtungen – Rechtsdienstleistungen, Post- und Kurierdienste, Lebensmittelversorgung, digitale Plattformen.
In der Praxis fallen die meisten Unternehmen in den von NIS2 abgedeckten Sektoren mit mehr als 50 Mitarbeitern oder über 10 Millionen Euro Umsatz in den Geltungsbereich. Dies betrifft Tausende mittelständischer Unternehmen in Europa. Weitere Informationen finden Sie unter wer einen LEI-Code benötigt.
Kernpflichten unter NIS2
Die Richtlinie legt strenge Verpflichtungen fest:
- Risikomanagement – Implementierung von Sicherheitsmaßnahmen, die den Bedrohungen angemessen sind.
- Meldung von Vorfällen – Benachrichtigung über erhebliche Vorfälle innerhalb von 24 Stunden und Einreichung eines vollständigen Berichts innerhalb von 72 Stunden.
- Sicherheit der Lieferkette – Bewertung der Cybersicherheit von Lieferanten und Dienstleistern.
- Verantwortung des Vorstands – Führungskräfte sind für die Einhaltung verantwortlich.
- Sanktionen – Bußgelder können in ihrer Höhe den DSGVO-Strafen ähneln.
Für einen strukturierten Überblick siehe ENISAs Zusammenfassung der NIS2.
Warum viele Länder noch im Rückstand sind
NIS2 ist eine EU-Richtlinie. Das bedeutet, sie legt Ziele fest, die jeder Mitgliedstaat in seine eigenen Gesetze umsetzen muss. Die Frist war der 17. Oktober 2024, aber viele Länder haben sie verpasst.
Am 28. November 2024 sandte die Europäische Kommission Mahnschreiben an 23 Mitgliedstaaten, weil sie die NIS2-Richtlinie nicht fristgerecht umgesetzt hatten. Am 7. Mai 2025 erließ die Kommission begründete Stellungnahmen an 19 Mitgliedstaaten – darunter Estland, Lettland, Polen, Finnland, Spanien und andere –, die NIS2 noch nicht vollständig umgesetzt hatten. Dies ist die letzte Stufe vor möglichen rechtlichen Schritten vor dem Gerichtshof der Europäischen Union. Siehe die Pressemitteilung der Kommission: „Kommission fordert 19 Mitgliedstaaten zur vollständigen Umsetzung der NIS2-Richtlinie auf“
Das bedeutet, die Mitgliedstaaten stehen unter starkem Druck. Die Umsetzung erfolgt nun mit Hochdruck. Für Unternehmen ist die Botschaft klar: Die NIS2-Regeln werden bald in jedem EU-Land gelten, unabhängig davon, ob Ihr nationales Gesetz bereits aktualisiert wurde oder nicht.
Rolle des LEI-Codes
Der Legal Entity Identifier (LEI) ist ein 20-stelliger alphanumerischer Code, der juristische Personen weltweit eindeutig identifiziert. Er wurde nach der Finanzkrise von 2008 geschaffen, um die Transparenz auf den globalen Märkten zu verbessern, und wird heute von Regulierungsbehörden, Banken und Unternehmen weit verbreitet eingesetzt. Erfahren Sie mehr bei der Global Legal Entity Identifier Foundation (GLEIF).
Im NIS2-Kontext ist der LEI ein praktisches Werkzeug:
- Eindeutige Identität – Berichte und grenzüberschreitende Kommunikation sind konsistent.
- Transparenz der Lieferkette – der LEI zeigt sowohl „wer wer ist“ als auch „wem wer gehört.“
- Prüfpfad – ein Standard-Identifikator reduziert Fehler und verbessert die Berichterstattung.
Siehe auch was ein LEI ist für eine vollständige Erklärung.
Schritte für Unternehmen jetzt
- Überprüfen Sie Ihren Status – sind Sie als wesentliche oder wichtige Einrichtung eingestuft?
- Beantragen Sie einen LEI-Code – falls Sie noch keinen haben, registrieren Sie sich jetzt. Sie können einen LEI direkt beim LEI System beantragen.
- Integrieren Sie den LEI in die Governance – nehmen Sie ihn in Verträge, Lieferkettenprüfungen und Vorfallberichte auf.
- Schulen Sie Ihren Vorstand – die Führungsebene ist unter NIS2 rechenschaftspflichtig.
- Bereiten Sie Meldeprozesse vor – stellen Sie sicher, dass Sie die 24h/72h-Fristen einhalten können.
Für Kostendetails besuchen Sie unsere LEI-Preisseite.
Das Gesamtbild
NIS2 ist nicht optional. Es ist bereits EU-Recht. Auch wenn einige nationale Gesetze noch nicht vollständig sind, wird die Durchsetzung überall erfolgen.
Und die Auswirkungen reichen über die EU hinaus. Unternehmen in Ländern wie Norwegen oder Mexiko, die EU-Kunden bedienen, werden ebenfalls den Druck spüren, diese Standards zu erfüllen.
Der LEI-Code ist eine einfache, aber wirkungsvolle Methode, um Vertrauen und Transparenz in dieser neuen Ära der digitalen Regulierung zu schaffen.
Länderübersicht
LEI System bietet LEI-Registrierungsdienste in mehr als 170 Jurisdiktionen weltweit an, was uns zu einem der global am besten vernetzten Registrierungsagenten macht. Im Folgenden stellen wir eine Auswahl von Märkten vor, in denen wir bereits dedizierte lokale Websites betreiben. Diese Liste ist nicht vollständig – neue Länderdomains werden kontinuierlich hinzugefügt, während unsere internationale Präsenz wächst. Die folgenden Beispiele zeigen, wie sich die NIS2-Implementierung in diesen Ländern entwickelt, was dies für Unternehmen bedeutet und wie der LEI-Code die Compliance unterstützt.
🇪🇪 Estland
Status. Am 7. Mai 2025 erließ die Europäische Kommission eine begründete Stellungnahme an Estland, da die vollständige Umsetzung der NIS2 nicht gemeldet worden war. Estland verfügt bereits über das Cybersicherheitsgesetz (2018, geändert 2022), das nun im Einklang mit NIS2 aktualisiert wird. Das Ministerium für Wirtschaft und Kommunikation ist zuständig. Siehe auch die Seite der EU-Digitalstrategie zu NIS2.
Was das bedeutet. Durchführungsrechtsakte werden die Anforderungen an Risikokontrollen, die Verantwortung des Vorstands, die Bewertung der Lieferkette und die Meldung von Vorfällen präzisieren. Unternehmen sollten ihre Prozesse jetzt vorbereiten.
Rolle des LEI. Der LEI ist unter anderem für eine eindeutige Identifizierung in Vorfallberichten und Lieferkettenprüfungen erforderlich. Er beschleunigt die grenzüberschreitende Zusammenarbeit, vermeidet Verwechslungen bei Firmennamen und unterstützt Prüfpfade.
Es ist sehr einfach, einen LEI auf der Website des estnischen LEI Systems zu beantragen. Siehe auch eine detaillierte Übersicht unserer erschwinglichen LEI-Preise.
🇱🇻 Lettland
Status. Lettland hat ein neues Cybersicherheitsgesetz verabschiedet, das am 1. September 2024 in Kraft trat. Unternehmen mussten ihren Status bis zum 1. April 2025 registrieren und die erste Selbsteinschätzung bis zum 1. Oktober 2025 einreichen. Die zuständige Behörde ist CERT.LV.
Was das bedeutet. Lettische Unternehmen müssen einen verantwortlichen Beauftragten ernennen, Risikobewertungen durchführen und die Meldepflichten gemäß dem neuen Gesetz erfüllen.
Rolle des LEI. Der LEI hilft unter anderem, grenzüberschreitende Partner eindeutig zu identifizieren und die Transparenz auf dem baltischen Markt zu verbessern.
Es ist sehr einfach, einen LEI auf der Website des lettischen LEI Systems zu beantragen. Siehe auch eine detaillierte Übersicht unserer erschwinglichen LEI-Preise.
🇱🇹 Litauen
Status. Litauen hat sein Cybersicherheitsgesetz am 11. Juli 2024 geändert, wobei die Bestimmungen am 18. Oktober 2024 in Kraft traten. Durchführungsverordnungen folgten am 11. November 2024. Die zuständige Behörde ist das Nationale Zentrum für Cybersicherheit (NCSC).
Was das bedeutet. Litauische Unternehmen müssen neue Pflichten bezüglich Risikomanagement, Lieferkettenkontrollen und Meldung von Vorfällen erfüllen.
Rolle des LEI. Der LEI ist unter anderem wichtig für die Lieferantenkartierung und -prüfungen, um eine konsistente Identifizierung über Grenzen hinweg zu gewährleisten.
Es ist sehr einfach, einen LEI auf der Website des litauischen LEI Systems zu beantragen. Siehe auch eine detaillierte Übersicht unserer erschwinglichen LEI-Preise.
🇵🇱 Polen
Status. Polen hat die Frist im Oktober 2024 verpasst. Am 7. Mai 2025 erließ die Kommission eine begründete Stellungnahme. Ein Gesetzesentwurf ist in Vorbereitung und wird für 2026 erwartet. Die zuständige Behörde wird das Ministerium für digitale Angelegenheiten sein.
Was das bedeutet. Polnische Unternehmen werden bald die Einhaltung durch Registrierung, Risikomanagement und Lieferkettenprüfungen nachweisen müssen.
Rolle des LEI. Der LEI hilft unter anderem, Lieferantenprüfungen zu standardisieren und die Berichterstattung in EU-Systemen zu vereinfachen.
Es ist sehr einfach, einen LEI auf der Website des polnischen LEI Systems zu beantragen. Siehe auch eine detaillierte Übersicht unserer erschwinglichen LEI-Preise.
🇩🇰 Dänemark
Status. Dänemark erhielt am 7. Mai 2025 eine begründete Stellungnahme, weil es die vollständige Umsetzung nicht gemeldet hatte. Entwürfe sektoraler Gesetze wurden veröffentlicht. Die dänische Wirtschaftsbehörde ist zuständig.
Was das bedeutet. Unternehmen sollten bereits Systeme für Risikomanagement, Meldung von Vorfällen und die Verantwortung des Vorstands einrichten, da diese Anforderungen bald obligatorisch werden.
Rolle des LEI. Der LEI erhöht unter anderem die Transparenz der Lieferkette und erleichtert die Einhaltung der Anforderungen von EU-Partnern.
Es ist sehr einfach, einen LEI auf der Website des dänischen LEI Systems zu beantragen. Siehe auch eine detaillierte Übersicht unserer erschwinglichen LEI-Preise.
🇸🇮 Slowenien
Status. Slowenien erhielt am 7. Mai 2025 eine begründete Stellungnahme. Anpassungen werden in das Informationssicherheitsgesetz aufgenommen. Die zuständige Behörde ist die Verwaltung für Informationssicherheit.
Was das bedeutet. Detaillierte Verfahren für die Meldung von Vorfällen und das Risikomanagement werden vorbereitet.
Rolle des LEI. Der LEI sorgt unter anderem für Klarheit in Berichten und Partnerbewertungen.
Es ist sehr einfach, einen LEI auf der Website des slowenischen LEI Systems zu beantragen. Siehe auch eine detaillierte Übersicht unserer erschwinglichen LEI-Preise.
🇮🇹 Italien
Status. Italien hat die Umsetzung der NIS2 abgeschlossen. Die zuständige Behörde ist die ACN (Nationale Agentur für Cybersicherheit).
Was das bedeutet. Italienische Unternehmen müssen klar definierte Anforderungen an Risikomanagement, Vorstandsverantwortung und Meldung von Vorfällen befolgen.
Rolle des LEI. Der LEI hilft unter anderem, die Berichterstattung über internationale Organisationen hinweg zu vereinheitlichen und Fehler im grenzüberschreitenden Austausch zu reduzieren.
Es ist sehr einfach, einen LEI auf der Website des italienischen LEI Systems zu beantragen. Siehe auch eine detaillierte Übersicht unserer erschwinglichen LEI-Preise.
🇪🇸 Spanien
Status. Spanien erhielt am 7. Mai 2025 eine begründete Stellungnahme. Die Umsetzung ist im Gange. Das Ministerium für Wirtschaft und digitale Transformation ist zuständig.
Was das bedeutet. Spanische Unternehmen müssen sich auf aktualisierte Meldeverfahren und strengere Lieferkettenbewertungen vorbereiten.
Rolle des LEI. Der LEI vereinfacht unter anderem die Identifizierung grenzüberschreitender Lieferanten und verbessert die Berichtsgenauigkeit.
Es ist sehr einfach, einen LEI auf der Website des spanischen LEI Systems zu beantragen. Siehe auch eine detaillierte Übersicht unserer erschwinglichen LEI-Preise.
🇫🇮 Finnland
Status. Finnland erhielt am 7. Mai 2025 eine begründete Stellungnahme. Technische Vorschriften sind in Vorbereitung. Das Nationale Zentrum für Cybersicherheit ist zuständig.
Was das bedeutet. Unternehmen müssen sich auf 24-Stunden- und 72-Stunden-Meldefristen sowie auf Sicherheitsprüfungen der Lieferkette vorbereiten.
Rolle des LEI. Der LEI unterstützt unter anderem die Sorgfaltspflicht bei Lieferanten und gewährleistet eine konsistente Identifizierung in Berichten.
Es ist sehr einfach, einen LEI auf der Website des finnischen LEI Systems zu beantragen. Siehe auch eine detaillierte Übersicht unserer erschwinglichen LEI-Preise.
🇸🇪 Schweden
Status. Schweden erhielt am 7. Mai 2025 eine begründete Stellungnahme. Ein neues Cybersicherheitsgesetz ist in Vorbereitung. Die schwedische Behörde für Zivilschutz und Notfallplanung (MSB) wird die zuständige Behörde sein.
Was das bedeutet. Unternehmen sollten mit einer raschen Durchsetzung rechnen, sobald das Gesetz verabschiedet ist, und ihre Prozesse bereits jetzt anpassen.
Rolle des LEI. Der LEI reduziert unter anderem Fehler bei der Lieferantenidentifizierung und stärkt Prüfpfade.
Es ist sehr einfach, einen LEI auf der Website des schwedischen LEI Systems zu beantragen. Siehe auch eine detaillierte Übersicht unserer erschwinglichen LEI-Preise.
🇨🇿 Tschechien
Status. Tschechien erhielt am 7. Mai 2025 eine begründete Stellungnahme. Die zuständige Behörde ist NÚKIB (Nationale Agentur für Cyber- und Informationssicherheit).
Was das bedeutet. Listen der wesentlichen und wichtigen Einrichtungen sowie Verfahren zur Meldung von Vorfällen werden finalisiert.
Rolle des LEI. Der LEI hilft unter anderem, Verwechslungen bei Firmennamen zu vermeiden und die grenzüberschreitende Zusammenarbeit zu unterstützen.
Es ist sehr einfach, einen LEI auf der Website des tschechischen LEI Systems zu beantragen. Siehe auch eine detaillierte Übersicht unserer erschwinglichen LEI-Preise.
🇧🇪 Belgien
Status. Belgien hat die Umsetzung der NIS2 abgeschlossen. Die zuständige Behörde ist das Zentrum für Cybersicherheit Belgien (CCB).
Was das bedeutet. Belgische Unternehmen müssen den Aufsichtsrahmen befolgen und die Meldepflichten für Vorfälle erfüllen.
Rolle des LEI. Der LEI beschleunigt unter anderem Prüfungen und gewährleistet Präzision in der Berichterstattung.
Es ist sehr einfach, einen LEI auf der Website des belgischen LEI Systems zu beantragen. Siehe auch eine detaillierte Übersicht unserer erschwinglichen LEI-Preise.
🇳🇱 Niederlande
Status. Die Niederlande erhielten eine begründete Stellungnahme am 7. Mai 2025. Das Nationale Cyber Security Centrum (NCSC) ist die zuständige Behörde.
Was das bedeutet. Niederländische Unternehmen müssen bald detaillierte Aufsichts- und Compliance-Verpflichtungen erfüllen.
Rolle des LEI. Der LEI optimiert unter anderem KYC/KYB-Prozesse in internationalen Lieferketten.
Es ist sehr einfach, einen LEI auf der niederländischen LEI System Website zu beantragen. Sehen Sie sich auch eine detaillierte Übersicht unserer erschwinglichen LEI-Preise an.
🇵🇹 Portugal
Status. Portugal erhielt eine begründete Stellungnahme am 7. Mai 2025. Die Umsetzung ist noch unvollständig. Die zuständige Behörde ist das Nationale Zentrum für Cybersicherheit (CNCS).
Was das bedeutet. Portugiesische Unternehmen sollten sich auf sektorspezifische Anforderungen und strengere Meldepflichten für Vorfälle vorbereiten.
Rolle des LEI. Der LEI kann unter anderem in Verträgen und Lieferantenaudits zur Stärkung der Rechenschaftspflicht eingesetzt werden.
Es ist sehr einfach, einen LEI auf der portugiesischen LEI System Website zu beantragen. Sehen Sie sich auch eine detaillierte Übersicht unserer erschwinglichen LEI-Preise an.
🇫🇷 Frankreich
Status. Frankreich erhielt eine begründete Stellungnahme am 7. Mai 2025. Die Umsetzung ist teilweise unvollständig. Die zuständige Behörde ist die ANSSI (Nationale Agentur für Cybersicherheit).
Was das bedeutet. Französische Unternehmen erwarten sektorspezifische Durchführungsrechtsakte, die die Compliance-Schritte definieren werden.
Rolle des LEI. Der LEI unterstützt unter anderem die Zuverlässigkeit bei grenzüberschreitenden Verträgen und der regulatorischen Berichterstattung.
Es ist sehr einfach, einen LEI auf der französischen LEI System Website zu beantragen. Sehen Sie sich auch eine detaillierte Übersicht unserer erschwinglichen LEI-Preise. an.
🇳🇴 Norwegen (außerhalb der EU)
Status. Norwegen ist kein EU-Mitglied, übernimmt aber oft EU-Regeln über den EWR. NIS1 ist bereits in Kraft, und die Vorbereitungen zur Angleichung an NIS2 laufen. Die Nationale Sicherheitsbehörde (NSM) ist zuständig.
Was das bedeutet. Norwegische Unternehmen, die mit EU-Partnern zusammenarbeiten, sollten sich proaktiv an die NIS2-Standards anpassen, um konform und wettbewerbsfähig zu bleiben.
Rolle des LEI. Der LEI senkt unter anderem die Kosten in KYC/KYB-Prozessen und erleichtert die Zusammenarbeit mit EU-Partnern.
Es ist sehr einfach, einen LEI auf der norwegischen LEI System Website zu beantragen. Sehen Sie sich auch eine detaillierte Übersicht unserer erschwinglichen LEI-Preise an.
🇲🇽 Mexiko (außerhalb der EU)
Status. Mexiko hat derzeit kein einheitliches nationales Cybersicherheitsgesetz. Im Jahr 2025 laufen Diskussionen über die Schaffung eines Cybersicherheitsrahmens. Das Bundesdatenschutzgesetz wurde kürzlich aktualisiert.
Was das bedeutet. Unternehmen, die mit EU-Partnern verbunden sind, sollten sich freiwillig an EU-Standards anpassen, um das Vertrauen in grenzüberschreitende Lieferketten aufrechtzuerhalten.
Rolle des LEI. Der LEI stärkt unter anderem das Vertrauen in internationale Operationen, insbesondere in den Bereichen Finanzen und Logistik.
Es ist sehr einfach, einen LEI auf der mexikanischen LEI System Website. zu beantragen. Sehen Sie sich auch eine detaillierte Übersicht unserer erschwinglichen LEI-Preise an.