NIS2 und zákon 264/2025 Sb.: Ist Ihr Unternehmen betroffen?

Die Antwort vorweg: Die europäische NIS2-Richtlinie wird in Tschechien durch den neuen zákon o kybernetické bezpečnosti č. 264/2025 Sb. umgesetzt, der seit dem 1. November 2025 gilt. Betroffen sind Unternehmen, die einen der in den Durchführungsverordnungen des NÚKIB aufgeführten Dienste erbringen und zugleich mindestens die Größe eines mittleren Unternehmens erreichen – als Richtwert gelten 50 Beschäftigte oder ein Jahresumsatz und eine Bilanzsumme von jeweils mehr als 10 Millionen Euro; bei bestimmten Diensten spielt die Unternehmensgröße keine Rolle. Das Gesetz beruht auf Selbstidentifikation: Niemand schickt Ihnen einen Brief, das Unternehmen muss seine Betroffenheit selbst feststellen und sich beim NÚKIB registrieren. Die meisten neu regulierten Unternehmen fallen unter das Regelwerk mit geringeren Pflichten – doch auch dieses verlangt eine Registrierung, Sicherheitsmaßnahmen gemäß der einschlägigen vyhláška und die Meldung von Vorfällen.

Zwei Jahre lang wurde über NIS2 im Konjunktiv gesprochen – „wenn es so weit ist“. Jetzt gilt sie. Seit dem 1. November 2025 ist zákon č. 264/2025 Sb., o kybernetické bezpečnosti in Kraft. Er hat den bisherigen zákon č. 181/2014 Sb. abgelöst und die Regulierung von einigen Dutzend Betreibern kritischer Infrastruktur auf Tausende gewöhnliche Unternehmen ausgeweitet: Produktionsbetriebe, Lebensmittelunternehmen, Verkehrsunternehmen, Chemiebetriebe, IT-Dienstleister oder Krankenhäuser.

Die häufigste Frage, die wir von Geschäftsführern hören, ist dennoch immer dieselbe: „Betrifft uns das überhaupt?“ Dieser Text hilft Ihnen, sie zu beantworten – und vor allem zu klären, was Sie 2026 praktisch unternehmen sollten.

Von der europäischen Richtlinie zum tschechischen Gesetz

NIS2 ist die EU-Richtlinie 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau. Die Richtlinie selbst erlegt Unternehmen keine Pflichten auf – sie muss durch nationales Recht umgesetzt werden. In Tschechien geschieht dies durch zákon č. 264/2025 Sb. zusammen mit einem Paket von Durchführungsverordnungen des NÚKIB, die festlegen, was als regulierter Dienst gilt und wie die konkreten Sicherheitsmaßnahmen aussehen.

Drei Dinge, die das neue Gesetz gegenüber der bisherigen Rechtslage ändert:

  1. Deutlich breiterer Anwendungsbereich. Die Regulierung richtet sich nicht mehr nur an die Energiewirtschaft und den Staat, sondern an ganze Lieferketten der gewöhnlichen Wirtschaft.
  2. Selbstidentifikation. Ein Unternehmen muss selbst beurteilen, ob es einen regulierten Dienst erbringt, und sich beim NÚKIB registrieren. Zu warten, „bis sich jemand meldet“, ist ein Gesetzesverstoß und keine Strategie.
  3. Zwei Regelwerke für Pflichten. Statt eines einzigen strengen Standards für alle unterscheidet das Gesetz je nach Bedeutung des Dienstes zwischen einem Regelwerk mit höheren und einem mit geringeren Pflichten.

Die Aufsicht führt das NÚKIB – Národní úřad pro kybernetickou a informační bezpečnost (Nationale Behörde für Cyber- und Informationssicherheit). Es betreibt auch das Registrierungsportal und einen Leitfaden zur Selbstidentifikation, mit dem Sie selbst eine erste Einschätzung vornehmen können.

Woran Sie erkennen, ob Sie einen regulierten Dienst erbringen

Zwei Voraussetzungen müssen gleichzeitig erfüllt sein: was Sie tun und wie groß Ihr Unternehmen ist.

1. Branche und Dienst

Die Durchführungsverordnung führt die regulierten Dienste nach Branchen auf. Sie orientiert sich an den Anhängen der NIS2-Richtlinie. Dazu gehören insbesondere:

  • Höhere Kritikalität: Energie, Verkehr, Bankwesen und Finanzmärkte, Gesundheitswesen, Trink- und Abwasser, digitale Infrastruktur, Verwaltung von ICT-Diensten für andere Unternehmen (MSP/MSSP), öffentliche Verwaltung und Raumfahrt.
  • Sonstige regulierte Branchen: Post- und Kurierdienste, Abfallwirtschaft, chemische Industrie, Herstellung und Vertrieb von Lebensmitteln, verarbeitendes Gewerbe (unter anderem Elektronik, Maschinen, Kraftfahrzeuge und Medizinprodukte), digitale Dienste wie Online-Marktplätze, Suchmaschinen und soziale Netzwerke sowie Forschung.

Achten Sie auf eine typische Falle: Entscheidend ist nicht der im Handelsregister eingetragene Unternehmensgegenstand, sondern das, was Sie tatsächlich betreiben. Ein Maschinenbauunternehmen, das zusätzlich einen eigenen Onlineshop und eine eigene Logistik betreibt, wird nach sämtlichen tatsächlich ausgeübten Tätigkeiten beurteilt.

2. Unternehmensgröße

Das Gesetz gilt in der Regel für mittlere und große Unternehmen. Die Schwelle orientiert sich an der europäischen Definition: als Richtwert gelten mindestens 50 Beschäftigte oder ein Jahresumsatz und zugleich eine Bilanzsumme von jeweils mehr als 10 Millionen Euro. Bei der finanziellen Alternative müssen beide Kriterien überschritten werden; ein hoher Umsatz allein reicht bei einer niedrigen Bilanzsumme nicht aus. In die Berechnung fließen auch verbundene Unternehmen und Partnerunternehmen ein – eine Tochtergesellschaft mit zwanzig Beschäftigten kann daher aufgrund der Größe des gesamten Konzerns unter die Regulierung fallen. Bei ausgewählten Diensten, etwa in Teilen der digitalen Infrastruktur oder der öffentlichen Verwaltung, gilt die Regulierung unabhängig von der Größe.

Wenn Sie beide Voraussetzungen erfüllen, verpflichtet § 6 odst. 1 des Gesetzes dazu, den Dienst innerhalb von 60 Tagen nach Erfüllung der Voraussetzungen über das Portal beim NÚKIB zu melden. Für Unternehmen, die die Voraussetzungen bereits beim Inkrafttreten des Gesetzes am 1. November 2025 erfüllten, lief diese Frist am 31. Dezember 2025 ab. Wer sie versäumt hat, sollte sich so schnell wie möglich registrieren; weiteres Abwarten verschärft das Versäumnis nur. Die vyhláška legt für jeden Dienst zugleich fest, ob er dem Regelwerk mit höheren oder geringeren Pflichten unterliegt.

Was das Regelwerk mit geringeren Pflichten umfasst

Die meisten neu regulierten Unternehmen – typischerweise aus Produktion, Lebensmittelwirtschaft, Chemie, Abfallwirtschaft und Kurierdiensten – fallen unter das Regelwerk mit geringeren Pflichten. Es wurde bewusst so ausgestaltet, dass es auch ein Unternehmen ohne eigene Sicherheitsabteilung bewältigen kann. Das bedeutet jedoch nicht, dass „wir nichts tun müssen“. Konkret geht es um:

  • Registrierung und Pflege der Kontaktdaten beim NÚKIB einschließlich der Meldung von Änderungen.
  • Sicherheitsmaßnahmen nach vyhláška č. 410/2025 Sb. (o bezpečnostních opatřeních poskytovatele regulované služby v režimu nižších povinností): Zugriffs- und Identitätsmanagement, Datensicherung und Wiederherstellung, Aktualisierungen und Behandlung von Schwachstellen, grundlegendes Lieferantenmanagement, Bewältigung von Vorfällen, Betriebskontinuität und Schulung der Beschäftigten.
  • Meldung von Cybersicherheitsvorfällen. Die Fristen legt § 16 des Gesetzes fest: eine Erstmeldung innerhalb von 24 Stunden nach Feststellung, bei einem Vorfall mit erheblichen Auswirkungen zusätzlich eine Folgemeldung – innerhalb von 72 Stunden eine Meldung mit erster Bewertung und innerhalb von 30 Tagen nach dieser Meldung einen Abschlussbericht über die Behebung. Ohne einen vorbereiteten Ablauf ist das an einem Wochenende nicht zu schaffen.
  • Reaktion auf Maßnahmen des NÚKIB – Warnungen, Gegenmaßnahmen und gegebenenfalls Abhilfemaßnahmen aufgrund einer Kontrolle.

Ein wichtiges Detail, das Unternehmensleitungen häufig unterschätzen: Die Verantwortung für die Cybersicherheit trägt die oberste Leitungsebene. Sie lässt sich weder vollständig an die IT-Abteilung noch an einen externen Dienstleister delegieren. Die Unterzeichnung eines Outsourcing-Vertrags befreit nicht von der Verantwortung – ähnlich wie bei den BOZP-Pflichten in Büros und IT-Unternehmen: Ein Dienstleister kann sie erfüllen, verantwortlich bleibt jedoch das satzungsmäßige Organ.

Und die Sanktionen? Das tschechische Gesetz beziffert sie in Kronen, nicht in den Eurobeträgen der Richtlinie: Nach § 59 des Gesetzes droht bei Verstößen im Regelwerk mit höheren Pflichten eine Geldbuße von bis zu 250.000.000 Kč oder bis zu 2 % des weltweiten Nettojahresumsatzes des Unternehmens – je nachdem, welcher Betrag höher ist. Im Regelwerk mit geringeren Pflichten sind es bis zu 175.000.000 Kč oder 1,4 % des Umsatzes. Die tatsächliche Praxis des NÚKIB wird sicherlich mit Abhilfemaßnahmen und nicht mit Höchststrafen beginnen – doch das Argument „Uns kann nichts passieren“ gilt nicht mehr.

Ein Cybersicherheitsaudit ist kein Kabelprüfungsaudit

In Angeboten wird der Begriff „Audit“ derzeit für alles Mögliche verwendet. Deshalb sollten wir die Begriffe klären, damit Sie nicht etwas anderes kaufen, als Sie tatsächlich benötigen.

Ein NIS2-Compliance-Audit (Gap-Analyse) vergleicht den Zustand des Unternehmens mit den Anforderungen des Gesetzes und seiner vyhlášky: Risikomanagement, Richtlinien, Rollen und Verantwortlichkeiten, Lieferantenverträge, Bewältigung von Vorfällen, Datensicherungen und Schulungen. Das Ergebnis ist eine Liste der Lücken und ein Plan für die notwendigen Ergänzungen – dabei geht es größtenteils um Prozesse und Dokumente, nicht um technische Geräte.

Ein Audit des Computernetzwerks und der Verkabelung prüft die physische und technische Ebene: Netzwerkschränke, Switches, WLAN, VLAN, Firewall und Netzwerkdokumentation. Für sich allein stellt es die NIS2-Konformität nicht sicher – ohne ein solches Audit wird Konformität jedoch nur vorgetäuscht, denn Sie können kein Netzwerk schützen, das Sie nicht erfasst haben. Ein Gäste-WLAN im selben Netz wie die Buchhaltung ist ein Befund, den keine Richtlinie auf dem Papier behebt.

In der Praxis ist es sinnvoll, beides zu verbinden: Zuerst wird festgestellt, wo das Unternehmen tatsächlich steht, und erst danach wird die Dokumentation erstellt. Genau so gestalten wir unser IT-Erstaudit und die Gap-Analyse für Unternehmen – wir gehen mit Ihnen die Selbstidentifikation, den technischen Zustand und die Prozesse durch. Das Ergebnis ist ein nach Prioritäten geordneter Plan und kein hundertseitiger Bericht für die Schublade. Sie müssen also nicht im luftleeren Raum herausfinden, an welchen Stellen NIS2 für Ihr Unternehmen besonders relevant ist.

Was 2026 erledigt werden sollte

Das Gesetz gilt seit dem 1. November 2025, und die Fristen laufen bereits. Ein vernünftiger Plan für 2026 sieht so aus:

  1. Selbstidentifikation (sofort). Prüfen Sie die Durchführungsverordnung und den Leitfaden zur Selbstidentifikation des NÚKIB. Dokumentieren Sie das Ergebnis schriftlich, auch wenn es „nicht reguliert“ lautet – bei einer Kontrolle oder einer Anfrage eines Kunden wird Ihnen diese Dokumentation helfen.
  2. Registrierung (sofort – bei den meisten Unternehmen ist die Frist bereits gelaufen). Wenn Sie einen regulierten Dienst erbringen, registrieren Sie sich auf dem Portal des NÚKIB. Wer die Voraussetzungen bereits am 1. November 2025 erfüllte, musste die Meldung nach § 6 odst. 1 bis zum 31. Dezember 2025 einreichen. Ein Aufschub verbessert nichts, sondern verkürzt nur die Zeit für die nächsten Schritte.
  3. Gap-Analyse (erste Jahreshälfte 2026). Ermitteln Sie die Abweichungen zwischen dem aktuellen Zustand und der für Ihr Regelwerk geltenden vyhláška. Die Sicherheitsmaßnahmen müssen nach § 13 odst. 4 spätestens innerhalb eines Jahres nach Zustellung der Registrierungsentscheidung umgesetzt sein. Wer sich zum Jahreswechsel registriert hat, muss die Maßnahmen daher im Laufe des Jahres 2026 fertigstellen.
  4. Schnelle Verbesserungen vor Papierarbeit. Datensicherung nach der 3-2-1-Regel mit einer Kopie außerhalb des Unternehmens, Mehrfaktor-Authentifizierung, Aktualisierungen und Netzwerksegmentierung. Diese Maßnahmen schützen Sie schon morgen – Ransomware auf einem betrieblichen NAS wartet nicht, bis Sie Ihre Richtlinie fertiggeschrieben haben.
  5. Verfahren zur Meldung von Vorfällen. Wer erkennt einen Vorfall, wer meldet ihn dem NÚKIB, wer kommuniziert mit den Kunden? Halten Sie den Ablauf auf einer ausgedruckten DIN-A4-Seite fest – bei einem verschlüsselten Server können Sie nicht auf das Intranet zugreifen.
  6. Die Unternehmensleitung einbeziehen. Das satzungsmäßige Organ muss Sicherheitsentscheidungen genehmigen und verstehen. Eine Stunde pro Jahr für die Risikobewertung ist das Minimum, das sowohl bei einer Kontrolle als auch bei einem Vorfall zählt.

Was gilt, wenn Sie nicht unter das Gesetz fallen?

Auch ein Unternehmen mit weniger als 50 Beschäftigten außerhalb der regulierten Branchen wird mit NIS2 in Berührung kommen – indirekt. Regulierte Unternehmen müssen die Sicherheit ihrer Lieferketten steuern, sodass die Anforderungen nach unten weitergegeben werden: Fragebögen, Vertragsklauseln, Anforderungen an MFA oder Nachweise über Datensicherungen. Wer einen Produktionsbetrieb, ein Krankenhaus oder eine Bank beliefert, erhält früher als erwartet einen Sicherheitsfragebogen – und eine vorbereitete Antwort ist ein Wettbewerbsvorteil, keine Bürokratie.

Wenn Sie nicht sicher sind, in welche Kategorie Ihr Unternehmen fällt, oder wenn Sie statt allgemeiner Warnungen eine Gap-Analyse mit einem konkreten Plan wünschen, kontaktieren Sie uns. Wir begleiten Sie sowohl bei der Selbstidentifikation als auch bei der technischen Umsetzung – vom Netzwerkschrank bis zur internen Richtlinie.

Häufig gestellte Fragen

Gilt NIS2 für Unternehmen mit weniger als 50 Beschäftigten?

In der Regel nicht unmittelbar, sofern das Unternehmen nicht zugleich die Umsatzschwellen überschreitet und keinen Dienst erbringt, der unabhängig von der Unternehmensgröße reguliert wird, etwa in Teilen der digitalen Infrastruktur. Beachten Sie jedoch die Zusammenrechnung verbundener Unternehmen und Partnerunternehmen innerhalb einer Gruppe sowie die indirekten Auswirkungen durch Sicherheitsanforderungen regulierter Kunden.

Wie stellen wir fest, ob wir einen regulierten Dienst erbringen?

Prüfen Sie die Durchführungsverordnung zu zákon č. 264/2025 Sb. und den Leitfaden zur Selbstidentifikation auf dem Portal des NÚKIB. Beurteilen Sie die tatsächlich ausgeübten Tätigkeiten und nicht nur den Registereintrag. Dokumentieren Sie das Ergebnis der Selbstidentifikation; bei einem Grenzfall hilft eine unabhängige Gap-Analyse.

Was droht, wenn wir uns nicht registrieren und „abwarten“?

Die Registrierung ist eine gesetzliche Pflicht mit kurzer Frist und keine freiwillige Entscheidung – für Unternehmen, die bereits seit dem Inkrafttreten des Gesetzes reguliert sind, lief die Frist am 31. Dezember 2025 ab. Zákon č. 264/2025 Sb. sieht in § 59 Geldbußen von bis zu 250 Millionen Kč oder 2 % des weltweiten Umsatzes vor, im Regelwerk mit geringeren Pflichten bis zu 175 Millionen Kč oder 1,4 %. Das realistischere unmittelbare Risiko sind Abhilfemaßnahmen aufgrund einer Kontrolle des NÚKIB und der Verlust von Aufträgen bei Kunden, die in Ausschreibungen einen Konformitätsnachweis verlangen.

Reicht eine ISO-27001-Zertifizierung aus?

Sie hilft, begründet für sich allein aber keine Konformität. Registrierung, Meldung von Vorfällen und konkrete Maßnahmen nach der tschechischen vyhláška – für das Regelwerk mit geringeren Pflichten vyhláška č. 410/2025 Sb. – gelten auch für zertifizierte Unternehmen. Ein gut eingeführtes ISO-System deckt jedoch den Großteil der Anforderungen ab, sodass die Gap-Analyse meist kurz ausfällt: Es werden nur die Abweichungen ermittelt, statt alles von Grund auf neu aufzubauen.

Wann müssen wir einen Vorfall melden?

Die Fristen legt § 16 von zákon č. 264/2025 Sb. fest: Die Erstmeldung muss unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Feststellung erfolgen. Bei einem Vorfall mit erheblichen Auswirkungen ist darüber hinaus eine Folgemeldung erforderlich: innerhalb von 72 Stunden eine Meldung mit erster Bewertung und innerhalb von 30 Tagen nach dieser Meldung ein Abschlussbericht über die Behebung. Praktisch bedeutet dies, dass im Voraus festgelegt sein muss, wer den Vorfall bewertet und wer die Meldung einreicht – einschließlich einer Vertretung für Urlaubszeiten.