Die Frist ist vor fast zwei Jahren verstrichen. NIS2 (die überarbeitete Cybersicherheitsrichtlinie der EU) musste bis zum 17. Oktober 2024 in allen Mitgliedstaaten in nationales Recht überführt werden. Die meisten Mitgliedstaaten haben das getan; vier, die es versäumt haben, stehen deshalb inzwischen vor Gericht. Wenn Ihre Organisation wesentliche Dienste erbringt oder in einem der erfassten Sektoren eine bedeutende Rolle spielt, lautet die Frage nicht länger, ob die Vorgaben gelten, sondern ob Sie einer Aufsichtsbehörde nachweisen können, dass Ihre Zugangskontrollen sie erfüllen. Und diese Frage landet erstmals auf dem Tisch der Geschäftsleitung, nicht mehr allein in der IT-Abteilung.
Authentifizierung steht jetzt im Gesetz, nicht mehr nur in der Empfehlung
Frühere Best-Practice-Rahmenwerke empfahlen Multi-Faktor-Authentifizierung. NIS2 geht weiter. Die grundlegenden Risikomanagementmaßnahmen (Artikel 21) verpflichten Organisationen zu technischen Kontrollen wie Zugangskontrollrichtlinien, Kryptografie und, ausdrücklich benannt, dem Einsatz von Multi-Faktor-Authentifizierung oder Lösungen zur kontinuierlichen Authentifizierung, sofern angemessen.
In der Praxis ist ein schwacher oder optionaler zweiter Faktor damit keine haltbare Position mehr. Wenn ein Prüfer wissen will, wie sich ein privilegierter Administrator an Ihrem VPN, Ihren Windows-Servern oder Ihrer Verwaltungskonsole anmeldet, ist „ein Passwort und manchmal ein SMS-Code” die Antwort, die zu einer Beanstandung führt.
Was sich 2026 geändert hat
In diesem Jahr hat sich zweierlei geändert, und keines von beidem schwächt die Anforderungen an die Authentifizierung ab.
- Vier Mitgliedstaaten stehen vor Gericht. Am 8. Juli 2026 hat die Kommission Irland, Spanien, Frankreich und die Niederlande beim Gerichtshof der EU verklagt, weil sie die vollständige Umsetzung nicht mitgeteilt hatten, nachdem bereits im November 2024 Aufforderungsschreiben und im Mai 2025 mit Gründen versehene Stellungnahmen ergangen waren (Pressemitteilung der Kommission). Wo das nationale Recht auf sich warten lässt, sind die Pflichten aufgeschoben, nicht aufgehoben.
- Eine Änderung wurde vorgeschlagen. Am 20. Januar 2026 hat die Kommission vorgeschlagen, NIS2 zu ändern, um die Richtlinie zu vereinfachen und mit dem Rechtsakt zur Cybersicherheit (Cybersecurity Act) in Einklang zu bringen (COM(2026) 13). Der Vorschlag vereinfacht die Zuständigkeitsregeln, fasst einige Sektordefinitionen enger, präzisiert die Meldung von Ransomware-Vorfällen und schafft eine Kategorie „kleiner Midcap-Unternehmen”: Organisationen mit weniger als 750 Beschäftigten und unter 150 Millionen Euro Umsatz, die als wichtige Einrichtungen gelten und nur nachträglich beaufsichtigt werden. Bislang ist das nur ein Vorschlag; verabschiedet ist er nicht. Die Sicherheitsmaßnahmen nach Artikel 21, einschließlich der Multi-Faktor-Authentifizierung, zählen nicht zu den Punkten, die er ändern will.
Für die Authentifizierung bleibt die praktische Botschaft damit dieselbe: Wenn Sie in den Anwendungsbereich fallen, ist MFA auf den maßgeblichen Zugangswegen schon heute gesetzliche Pflicht, und die vorgeschlagene Änderung zielt nicht darauf ab, daran etwas zu ändern.
Für wen das gilt
NIS2 teilt Organisationen in wesentliche und wichtige Einrichtungen über ein breites Spektrum an Sektoren ein: Energie, Verkehr, Bankwesen und Finanzmarktinfrastrukturen, Gesundheitswesen, Trink- und Abwasser, digitale Infrastruktur, öffentliche Verwaltung und mehr, ergänzt um eine zweite Ebene, die Postdienste, Abfallwirtschaft, verarbeitendes Gewerbe, Lebensmittel, Chemie und digitale Anbieter erfasst. Viele Organisationen, die außerhalb der ursprünglichen NIS-Richtlinie lagen, fallen nun klar unter deren Nachfolgerin.
Als Faustregel gilt: Eine Organisation in einem dieser Sektoren fällt in den Anwendungsbereich, sobald sie mittlere Größe erreicht, also 50 oder mehr Beschäftigte oder mehr als 10 Millionen Euro Jahresumsatz hat. Bestimmte Arten von Einrichtungen sind unabhängig von ihrer Größe erfasst. Die genauen Grenzen zieht das jeweilige nationale Recht.
Zwei Änderungen heben das über ein bloßes Compliance-Häkchen hinaus:
- Verantwortung der Leitungsorgane. Geschäftsleitungen müssen die Cybersicherheits-Risikomanagementmaßnahmen billigen und überwachen und können bei Versäumnissen persönlich haftbar gemacht werden.
- Empfindliche Sanktionen. Für Verstöße gegen die Risikomanagement- oder Meldepflichten muss das nationale Recht bei wesentlichen Einrichtungen Geldbußen mit einem Höchstbetrag von mindestens 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes vorsehen, je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen liegen die Werte bei 7 Millionen Euro bzw. 1,4 %. Die Mitgliedstaaten können die Obergrenze höher ansetzen.
Wie „NIS2-taugliche” Authentifizierung tatsächlich aussieht
Irgendeine MFA zu haben ist nicht dasselbe, wie dem Sinn der Richtlinie gerecht zu werden. Drei Punkte unterscheiden eine Kontrolle, die einen Prüfer überzeugt, von einer, die nur auf der Folie gut aussieht:
- Resistenz gegen Phishing und Relay-Angriffe. SMS-Codes lassen sich abfangen oder per SIM-Swap übernehmen, und sowohl sie als auch Ein-Tipp-Push-Verfahren kann eine Adversary-in-the-Middle-Seite in Echtzeit weiterleiten. Ein Schlüssel, der an die Hardware im Gerät des Nutzers gebunden ist (einer, der sich weder kopieren noch wiedereinspielen lässt), schließt Abfangen und SIM-Swap aus. Relay-Angriffe sind schwerer abzuwehren: Vollständig stoppen sie nur an die Website gebundene Verfahren wie FIDO-Sicherheitsschlüssel, während eine Freigabe, die anzeigt, woher die Anfrage stammt, sie für einen aufmerksamen Nutzer sichtbar macht. Push-Fatigue ist ein eigenständiges Problem, und kein Schlüssel und keine Biometrie hält sie auf, sobald die Aufforderung das Telefon erreicht: Sie wird allein durch das besiegt, was die Aufforderung anzeigt (eine präzise, verständliche Beschreibung genau dessen, was freigegeben werden soll), sodass niemals etwas blind freigegeben wird.
- Abdeckung privilegierter und entfernter Zugänge. Die Anforderung lautet nicht „MFA für das Webmail”. Sie umfasst jeden Weg, den ein Angreifer tatsächlich nutzen würde: VPN, Remote-Desktop, Server-Anmeldungen, Admin-Konsolen.
- Nachweisbarkeit. Bei NIS2 geht es ebenso sehr darum, Kontrolle nachzuweisen, wie sie zu besitzen. Jede Authentifizierung sollte einen prüfbaren, manipulationssicheren Nachweis hinterlassen, wer was wann freigegeben hat.
Wo Notakey ins Bild passt
Notakey ist genau für dieses Profil von Organisation gebaut: reguliert, sicherheitsbewusst und gegenüber Prüfern rechenschaftspflichtig.
- Der Schlüssel des Nutzers wird in der sicheren Hardware des Telefons erzeugt und verlässt sie nie. Es gibt kein gemeinsames Geheimnis, das gestohlen, und keinen Code, der abgefangen werden könnte.
- Jede Anmeldung und jede Transaktion ist ein kryptografisch signiertes, mit Zeitstempel versehenes Ereignis: der Prüfpfad, den eine NIS2-Bewertung verlangt, automatisch erzeugt statt nachträglich rekonstruiert.
- Es deckt die Zugangswege ab, auf die es ankommt, über die Protokolle, die Ihre Systeme ohnehin sprechen. Sehen Sie sich die praxisnahen Anleitungen zu 2FA am VPN über RADIUS, Windows-Remotedesktop und Linux-SSH an.
- Es läuft in Ihrer eigenen Infrastruktur oder in der Cloud, sodass Authentifizierungsdaten unter Ihrer Kontrolle bleiben können, mit von Grund auf eingebauter statt nachträglich angesetzter Ausrichtung an PSD2, eIDAS und DSGVO.
Wir werden Ihnen bewusst nicht erzählen, Notakey „mache Sie NIS2-konform” – kein Produkt leistet das im Alleingang. Was es leistet, ist, den authentifizierungsbezogenen Teil der Lücke zu schließen und Ihnen den Nachweis in die Hand zu geben, um ihn zu belegen.
Beginnen Sie mit einem Pilotprojekt, nicht mit einem Richtlinienpapier
Der schnellste Weg herauszufinden, ob Ihre Authentifizierung NIS2 genügt, ist, sie in Ihrer eigenen Umgebung zu erproben: ein echtes VPN, eine echte Admin-Anmeldung, eine Handvoll echter Nutzer. Das sagt Ihnen in einer Woche mehr über Ihre Lücke und Ihre Nachweise als eine Funktionsmatrix in einem Quartal.
Testen Sie die Live-Demo und signieren Sie in etwa zwei Minuten eine Transaktion vom eigenen Telefon aus, oder fordern Sie eine Demo an, und wir bilden Ihren Zugang über VPN, SSO oder Windows in einem funktionierenden Pilotprojekt ab.
Dieser Artikel enthält allgemeine Informationen und keine Rechtsberatung. NIS2 wird von jedem EU-Mitgliedstaat separat in nationales Recht umgesetzt; bestätigen Sie die konkreten Pflichten, Schwellenwerte und Fristen, die für Ihre Organisation gelten, mit qualifiziertem Rechtsbeistand.