Keyfactor Days 2027 – Nehmen Sie an der „Trust Security Conference“ in San Diego teil Jetzt anmelden!

NIS2-Richtlinie:

Kryptografie und PKI für wesentliche und wichtige Einrichtungen

Aktualisiert: August 24, 2026
Zurück zum Compliance-Hub

Inhaltsübersicht

Lesefortschritt

0%
Leitfaden Leitfaden zur Einhaltung kryptografischer Vorschriften für die Fertigungsindustrie Jetzt herunterladen

Übersicht

Region Europäische Union (in allen EU-Mitgliedstaaten in nationales Recht umgesetzt) 
Anwendbarkeit Systemrelevante Einrichtungen:Organisationen in Sektoren mit hoher Kritikalität wie Energie, Verkehr, Bankwesen, Gesundheitswesen, Wasserversorgung, digitale Infrastruktur und öffentliche VerwaltungWichtige Einrichtungen:Organisationen in anderen regulierten Sektoren, darunter Postdienste, Abfallwirtschaft, Chemie, Lebensmittelproduktion und digitale DienstleisterLeitungsgremien:Führungskräfte, die Maßnahmen zum Cybersicherheits-Risikomanagement genehmigen und überwachen und bei Versäumnissen persönlich haftbar gemacht werden können 
Relevante Abschnitte Artikel 21 Absatz 2 Buchstabe h:Richtlinien und Verfahren zum Einsatz von Kryptografie und VerschlüsselungArtikel 21 Absatz 2 Buchstabe j:Multi-Faktor-Authentifizierung und gesicherte KommunikationArtikel 21 Absatz 2 Buchstabe d:Sicherheit der Lieferkette, einschließlich der kryptografischen Praktiken der Lieferanten 

NIS2 (Richtlinie (EU) 2022/2555) ist die aktualisierte Cybersicherheitsrichtlinie der Europäischen Union, die schätzungsweise 160.000 Organisationen in 18 kritischen Sektoren erfasst. Sie ersetzt die ursprüngliche NIS-Richtlinie und zeichnet sich durch einen deutlich größeren Anwendungsbereich, eine Meldepflicht für Sicherheitsvorfälle sowie eine direkte Rechenschaftspflicht der Geschäftsleitung aus. 

In der Praxis verpflichtet Artikel 21 die betroffenen Unternehmen dazu, zehn Kategorien von Maßnahmen zum Cybersicherheits-Risikomanagement umzusetzen, von denen eine ausdrücklich die Kryptografie nennt: dokumentierte Richtlinien und Verfahren für den Einsatz von Kryptografie und, soweit angemessen, Verschlüsselung, die entsprechend der Größe und dem Risikoprofil des Unternehmens angewendet und mit Multi-Faktor-Authentifizierung sowie gesicherter Kommunikation kombiniert werden. 

Warum das wichtig ist 

NIS2 gilt für einen großen Teil der EU-Wirtschaft in 18 Sektoren, und obwohl die Umsetzung in nationales Recht seit der Frist im Oktober 2024 uneinheitlich voranschreitet, nehmen die Durchsetzungsbefugnisse und die unmittelbare Wirkung stetig zu, da die Mitgliedstaaten ihre Umsetzungsvorschriften fertigstellen. 

Bei Nichteinhaltung drohen Geldbußen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes für wesentliche Unternehmen (7 Millionen Euro oder 1,4 % für wichtige Unternehmen), je nachdem, welcher Betrag höher ist; zudem können einige nationale Behörden die Geschäftsleitung persönlich haftbar machen und deren Führungsaufgaben aussetzen. Artikel 21 Absatz 2 Buchstabe h ist eine der konkretesten und am besten überprüfbaren Anforderungen der Richtlinie, wodurch sie für eine Aufsichtsbehörde auch am einfachsten zu prüfen ist. 

Wie sich dies auf die Kryptografie übertragen lässt 

NIS2 befasst sich am unmittelbarsten mit Kryptografie in Artikel 21 Absatz 2 Buchstabe h, ergänzt durch die Bestimmungen zur Multi-Faktor-Authentifizierung und zur Lieferkette an anderer Stelle in Artikel 21. Die wichtigsten Kontrollbereiche mit direkten Auswirkungen auf die Kryptografie sind: 

Abschnitt Funktion Was dort steht Produkte
Art. 21 Abs. 2 Buchstabe h – Richtlinien und Verfahren zur Kryptografie und Verschlüsselung Richtlinie zu Kryptografie und Verschlüsselung Dokumentierte Kryptografie-Richtlinie, die zugelassene Algorithmen und Mindestschlüssellängen umfasst, mit Nachweis der Durchsetzung im gesamten Unternehmensverbund Command 
Art. 21 Abs. 1 und Art. 21 Abs. 2 Buchstabe h, ergänzt durch die ENISA-Leitlinien Vertraulichkeit von Daten im Ruhezustand und während der Übertragung Modernste Verschlüsselung für gespeicherte und übertragene Daten, gestützt durch eine interne oder verwaltete PKI, die die Zertifikate ausstellt  EJBCA 
Art. 21 Abs. 2 Buchstabe j – MFA oder Lösungen zur fortlaufenden Authentifizierung Mehrfaktor- und kontinuierliche Authentifizierung Kontinuierliche Authentifizierung für kritische Systeme und Administratorzugriff, die üblicherweise über eine zertifikatsbasierte Authentifizierung umgesetzt wird Command 
Art. 21 Abs. 2 Buchstabe j – Gesicherte Sprach-, Video-, Text- und Notrufkommunikation Sichere Kommunikation Authentifizierte, verschlüsselte Kanäle für die interne Kommunikation und die Notfallkommunikation, einschließlich signierter Nachrichten und Anhänge SignServer 
Art. 21 Abs. 2 Buchstabe d – Sicherheit der Lieferkette Kryptografische Sicherheit in der Lieferkette Verschlüsselungsschlüssel als Teil der Bewertung der kryptografischen Praktiken von Lieferanten 
 		EJBCA 
Gemäß Art. 21 Abs. 2 Buchstabe h, gemäß den Leitlinien der ENISA und den nationalen Umsetzungsleitlinien Schlüsselverwaltung und -rotation Dokumentierte Verfahren zur Schlüsselgenerierung, -rotation, gegebenenfalls HSM-gestützter Speicherung sowie zur Vernichtung mit vollständigem Prüfpfad Command 

Prüfungsbereitschaft 

Bei NIS2-Aufsichtsprüfungen – seien sie nun proaktiv oder durch einen Vorfall ausgelöst – liegt der Schwerpunkt eher auf dokumentierten Richtlinien und betrieblichen Nachweisen als allein auf der Absicht. Zu den wichtigsten Bereichen, die Prüfer und nationale Behörden üblicherweise bewerten, gehören: 

  • Dokumentation der Kryptografie-Richtlinien: Verfügtdie Organisation über eine schriftliche Kryptografie- und Verschlüsselungsrichtlinie, die zugelassene Algorithmen, Schlüssellängen und Kriterien für die Außerbetriebnahme regelt? 
  • Nachweis der Verschlüsselung: Kanndie Organisation nachweisen, dass sensible Daten sowohl im Ruhezustand als auch während der Übertragung verschlüsselt werden, und zwar nicht nur in extern zugänglichen Systemen, sondern auch in internen Systemen? 
  • Zertifikats- und Schlüsselbestand: Sindalle verwendeten Zertifikate und kryptografischen Schlüssel mit namentlich genannten Eigentümern und Ablaufdaten erfasst? 
  • Durchsetzung der MFA bei kritischen Systemen: Wirdfür alle Zugriffe auf Verwaltungs- und kritische Systeme eine MFA oder eine kontinuierliche Authentifizierung vorgeschrieben? 
  • Kryptografische Bewertung von Lieferanten: Werdendirekte Lieferanten und Dienstleister hinsichtlich der Sicherheit ihrer kryptografischen Verfahren und ihrer Regelungen zur Schlüsselverwahrung bewertet? 
  • Genehmigung durch das Leitungsgremium: Hatdas Leitungsgremium die Maßnahmen zum Kryptografie-Risikomanagement im Einklang mit den Anforderungen der NIS2 an die Unternehmensführung und die Aufsicht durch die Geschäftsleitung formell genehmigt und überwacht? 

LEITEN SIE DIES AN DIE GESCHÄFTSFÜHRUNG WEITER

NIS2 ist das erste EU-Gesetz zur Cybersicherheit, in dem Kryptografie ausdrücklich erwähnt wird. Artikel 21 Absatz 2 Buchstabe h schreibt dokumentierte Richtlinien und Verfahren für den Einsatz von Kryptografie und Verschlüsselung als gesetzliche Anforderung vor – und nicht nur als bewährte Praxis. Wenn wir diese Richtlinien nicht vorlegen und nachweisen können, dass sie umgesetzt werden, setzen wir uns einem Gesetz aus, das Geldbußen von bis zu 10 Millionen Euro oder 2 % des weltweiten Umsatzes vorsieht, je nachdem, welcher Betrag höher ist.

Auch dieser Punkt betrifft die Führungsetage: NIS2 ermöglicht es den nationalen Behörden, Führungskräfte persönlich haftbar zu machen, wenn sie diese Maßnahmen nicht ausreichend überwacht haben. Unser Zertifikats- und Schlüsselinventar, unsere Verschlüsselungsabdeckung und unsere kryptografischen Lieferantenbewertungen müssen so bereit sein, dass wir sie einem Prüfer schon morgen vorlegen können – und nicht erst an dem Tag, an dem ein Vorfallbericht fällig ist.

Zugehörige Compliance-Vorgaben