NIS2: Wer ist betroffen und wie prüfen Sie das

NIS2 betrifft Unternehmen aus definierten Sektoren, die als „wichtige“ oder „besonders wichtige Einrichtung“ eingestuft werden – maßgeblich sind Branche, Mitarbeiterzahl und Umsatz. In Deutschland regelt das NIS2UmsuCG, seit dem 6. Dezember 2025 in Kraft, die Umsetzung der EU-Richtlinie 2022/2555 und macht die Registrierung beim BSI für betroffene Unternehmen verpflichtend.

Das Wichtigste in Kürze

• NIS2 (Richtlinie (EU) 2022/2555) verpflichtet Unternehmen aus 18 Sektoren zu Risikomanagement und Meldepflichten, gestaffelt nach Mitarbeiterzahl und Umsatz.
• Deutschland setzt NIS2 über das NIS2UmsuCG um; das Gesetz ist am 6. Dezember 2025 in Kraft getreten.
• Betroffene Unternehmen müssen sich beim BSI registrieren – laut BSI ist die gesetzliche Registrierungsfrist bereits abgelaufen.
• Deutschland unterscheidet drei Kategorien: KRITIS-Betreiber, besonders wichtige Einrichtungen und wichtige Einrichtungen, mit unterschiedlich strengen Pflichten.
• Verstöße können mit Bußgeldern von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden.
• NIS2-Pflichten überschneiden sich zunehmend mit dem EU AI Act, sobald KI-Systeme Teil der betrieblichen Informationssysteme sind.

Inhaltsverzeichnis

• Was genau ist NIS2?
• Bin ich von NIS2 betroffen?
• Wann bin ich NIS2 pflichtig?
• Wie bereiten Sie Ihr Unternehmen auf NIS2 vor?
• Welche Pflichten entstehen durch NIS2?
• Was passiert bei einem Verstoß gegen NIS2?
• Häufige Fragen zu NIS2

Was genau ist NIS2?

NIS2 ist die zweite EU-Richtlinie zur Netzwerk- und Informationssicherheit (Richtlinie (EU) 2022/2555) und hebt das gemeinsame Cybersicherheitsniveau in der Union gegenüber der ersten NIS-Richtlinie von 2016 deutlich an. Sie wurde am 14. Dezember 2022 verabschiedet und ersetzt ein System, das nur rund sieben Sektoren erfasste, durch eines mit 18 Sektoren und deutlich schärferen Pflichten.

Der Grund für die Verschärfung ist einfach: Die erste NIS-Richtlinie ließ zu viele wirtschaftlich kritische Bereiche außen vor und wurde von den Mitgliedstaaten uneinheitlich umgesetzt. NIS2 schließt diese Lücken mit einem verbindlicheren, EU-weit einheitlicheren Mindeststandard und einer deutlich größeren Zahl erfasster Unternehmen.

Jeder EU-Mitgliedstaat musste NIS2 bis zum 17. Oktober 2024 in nationales Recht überführen, so die NIS2-Richtlinie im EUR-Lex-Volltext. Deutschland hat diese Frist verpasst; die parlamentarische Beratung des NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes (NIS2UmsuCG) zog sich über mehrere Gesetzgebungsperioden. Wie die Bundesregierung mitteilt, ist das Gesetz am 6. Dezember 2025 in Kraft getreten und erweitert seither die Zuständigkeit des Bundesamts für Sicherheit in der Informationstechnik (BSI) erheblich – bis hin zu Aufsichtsbefugnissen über kleinere Telekommunikationsanbieter mit 100.000 oder weniger Kunden und über Teile der Bundesverwaltung selbst.

Für Unternehmen bedeutet das: NIS2 ist kein IT-internes Thema mehr, sondern eine Pflicht mit Meldefristen, dokumentierten Risikomanagementmaßnahmen und persönlicher Verantwortung der Geschäftsleitung.

Der Grund für den engeren Zuschnitt ist die veränderte Bedrohungslage: Ransomware-Angriffe und Supply-Chain-Kompromittierungen treffen heute regelmäßig Betreiber kritischer Infrastruktur und deren Zulieferer, nicht mehr nur klassische IT-Unternehmen. Auch die europäische Cybersicherheitsagentur ENISA verweist in ihrer Arbeit wiederholt auf die wachsende Angriffsfläche entlang von Lieferketten als einen der Treiber für ein einheitlicheres, verbindlicheres EU-Regelwerk. NIS2 reagiert darauf mit einem doppelt so breiten Anwendungsbereich wie sein Vorgänger und mit Pflichten, die erstmals auch die Unternehmensleitung persönlich in die Verantwortung nehmen.

Cybersicherheit ist dabei nur eine Seite der neuen Resilienzagenda: Ergänzend zu NIS2 bereitet Deutschland mit dem KRITIS-Dachgesetz zusätzliche Vorgaben zur physischen Resilienz kritischer Infrastrukturen vor, etwa gegen Sabotage oder Naturkatastrophen. Für betroffene Unternehmen ist das ein Hinweis darauf, dass Cyber- und physische Sicherheit regulatorisch zunehmend zusammengedacht werden, auch wenn dieser Artikel sich auf die NIS2-Anforderungen konzentriert.

Bin ich von NIS2 betroffen?

Ob Sie betroffen sind, hängt von zwei Kriterien gemeinsam ab: Ihrer Branche (ein Sektor aus Anhang I oder Anhang II der Richtlinie) und Ihrer Unternehmensgröße nach Mitarbeitendenzahl, Umsatz und Bilanzsumme. Beide Kriterien müssen zutreffen, damit die Einstufung greift – mit Ausnahmen für bestimmte Einrichtungstypen, die unabhängig von der Größe erfasst werden.

Die folgende Tabelle zeigt die vereinfachte Einstufung, wie sie NIS2 europaweit vorsieht und wie sie das NIS2UmsuCG in deutsches Recht überführt:

Kategorie	Mitarbeitende	Umsatz oder Bilanzsumme	Typische Sektoren
Wichtige Einrichtung	ab 50	über 10 Mio. €	Anhang-I- und Anhang-II-Sektoren, mittlere Unternehmen
Besonders wichtige Einrichtung	ab 250	über 50 Mio. € Umsatz oder über 43 Mio. € Bilanzsumme	Anhang-I-Sektoren, große Unternehmen
KRITIS-Betreiber	unabhängig von der Größe	Versorgung von in der Regel mindestens 500.000 Personen	Energie, Wasser, Gesundheit, Ernährung, IT/TK, Finanzwesen

Anhang I der Richtlinie – die „Sektoren mit hoher Kritikalität“ – umfasst Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienstleistungsmanagement im B2B-Bereich, öffentliche Verwaltung und den Weltraumsektor. Anhang II, die „sonstigen kritischen Sektoren“, deckt Post- und Kurierdienste, Abfallbewirtschaftung, die Chemieindustrie, Lebensmittelproduktion, Teile des verarbeitenden Gewerbes (etwa Medizinprodukte, Elektronik, Maschinenbau, Fahrzeugbau), Anbieter digitaler Dienste wie Online-Marktplätze und Suchmaschinen sowie Forschungseinrichtungen ab.

Einige Einrichtungstypen fallen unabhängig von ihrer Größe unter NIS2 – etwa qualifizierte Vertrauensdiensteanbieter, Betreiber von Namensräumen der Domäne oberster Stufe und bestimmte Anbieter öffentlicher Kommunikationsnetze. Wenn Sie unsicher sind, ob Ihr Unternehmen in eine dieser Kategorien fällt, bietet das BSI eine strukturierte NIS-2-Betroffenheitsprüfung an, mit der sich die Einstufung anhand von Sektor, Größe und Tätigkeit klären lässt.

KRITIS-Betreiber sind dabei kein neues, sondern ein bereits bestehendes deutsches Konzept: Es erfasst Betreiber, deren Ausfall die Versorgung eines erheblichen Teils der Bevölkerung gefährden würde, meist definiert über konkrete Schwellenwerte je Sektor – etwa die versorgte Personenzahl bei Energie- oder Wassernetzen. NIS2UmsuCG verzahnt diese bestehende KRITIS-Regulierung mit den neuen NIS2-Kategorien, statt sie zu ersetzen; ein KRITIS-Betreiber ist damit in aller Regel automatisch auch besonders wichtige Einrichtung im Sinne von NIS2, unterliegt aber zusätzlich den strengeren sektorspezifischen KRITIS-Anforderungen.

Auch wenn Ihr Unternehmen die Schwellenwerte selbst nicht erreicht: Wer als Zulieferer oder Dienstleister für eine wichtige oder besonders wichtige Einrichtung arbeitet, wird über die Pflicht zur Sicherheit der Lieferkette faktisch in deren Anforderungen hineingezogen. Ein IT-Dienstleister mit nur 30 Mitarbeitenden kann also NIS2-relevante Nachweise liefern müssen, sobald ein Kunde als besonders wichtige Einrichtung eingestuft ist.

Die Einstufung unterscheidet sich damit deutlich von der DSGVO, deren Anwendungsbereich unabhängig von Branche oder Größe an die Verarbeitung personenbezogener Daten anknüpft. NIS2 fragt zuerst nach dem Sektor, dann nach der Größe – ein Unternehmen kann datenschutzrechtlich hochsensibel arbeiten und trotzdem außerhalb der 18 NIS2-Sektoren liegen, oder umgekehrt sektoral betroffen sein, ohne nennenswerte personenbezogene Daten zu verarbeiten.

Wann bin ich NIS2 pflichtig?

Seit dem 6. Dezember 2025 ist das NIS2UmsuCG in Kraft, und betroffene Unternehmen müssen ihre Pflichten ohne Übergangsfrist erfüllen. Das schließt die Registrierung beim BSI ausdrücklich mit ein.

Die Registrierung läuft technisch über „Mein Unternehmenskonto“ auf ELSTER-Basis: Unternehmen benötigen ein Organisationszertifikat, mit dem sie sich anschließend im BSI-Portal registrieren – eine Pflicht, die sich unmittelbar aus § 33 Absatz 6 BSIG ergibt. Laut BSI ist die gesetzliche Registrierungsfrist für betroffene Unternehmen bereits abgelaufen; wer sich noch nicht registriert hat, sollte das unverzüglich nachholen, da eine unterlassene Registrierung selbst bereits einen Verstoß darstellt.

Praktisch bedeutet das für die Beschaffung des Organisationszertifikats: Ohne ein bereits bestehendes ELSTER-Unternehmenskonto verzögert sich der gesamte Registrierungsprozess, da die Freischaltung selbst mehrere Werktage dauern kann. Unternehmen, die diesen Schritt aufschieben, verlieren damit Zeit, die ihnen bei einer gleichzeitig laufenden Betroffenheitsprüfung und Gap-Analyse eigentlich fehlt.

„Pflichtig“ bedeutet dabei mehr als ein einmaliges Formular. Ab dem Zeitpunkt der Einstufung gelten fortlaufend: dokumentierte Risikomanagementmaßnahmen, Meldepflichten bei Sicherheitsvorfällen und eine Governance-Struktur, in der die Geschäftsleitung die Umsetzung nicht delegieren, sondern aktiv billigen und überwachen muss. NIS2 sieht in Artikel 20 ausdrücklich vor, dass Mitglieder der Unternehmensleitung für Verstöße gegen ihre Aufsichtspflichten persönlich haftbar gemacht werden können – ein Novum gegenüber der ersten NIS-Richtlinie.

Wie bereiten Sie Ihr Unternehmen auf NIS2 vor?

Der pragmatischste Startpunkt ist eine ehrliche Bestandsaufnahme: Wer weiß heute tatsächlich, welche Systeme, Zulieferer und Datenflüsse im Ernstfall meldepflichtig wären? In den meisten Unternehmen, die wir sprechen, ist genau diese Übersicht die größte Lücke – nicht der Wille, NIS2 umzusetzen.

Sinnvoll ist eine Reihenfolge, die zuerst Klarheit schafft und danach Technik einführt: die BSI-Betroffenheitsprüfung zur Einstufung, eine Gap-Analyse der acht Pflichtenkategorien aus Artikel 21 gegen den Ist-Zustand, die Benennung einer verantwortlichen Person auf Leitungsebene gemäß Artikel 20 und erst danach die Auswahl konkreter Werkzeuge für Protokollierung, Zugriffskontrolle und Meldeprozesse. Unternehmen, die diese Reihenfolge umdrehen und zuerst Software beschaffen, verschieben die eigentliche Arbeit – das Verstehen der eigenen Risiken – lediglich nach hinten.

Ein Punkt wird dabei häufig unterschätzt: Die Meldefristen von 24 Stunden für die Frühwarnung lassen sich nicht nachträglich einführen, wenn ein Vorfall bereits läuft. Sie setzen voraus, dass Zuständigkeiten, Eskalationswege und technische Erkennung schon vorher eingeübt sind – idealerweise durch simulierte Vorfallsübungen, nicht erst durch den ersten echten Ernstfall.

Welche Pflichten entstehen durch NIS2?

NIS2 verpflichtet betroffene Unternehmen zu technischen, operativen und organisatorischen Risikomanagementmaßnahmen sowie zu engen Meldefristen bei Sicherheitsvorfällen. Artikel 21 der Richtlinie, in Deutschland umgesetzt über § 30 BSIG, listet dafür einen konkreten Maßnahmenkatalog.

1. Konzepte für Risikoanalyse und Sicherheit der Informationssysteme

Jede betroffene Einrichtung braucht ein dokumentiertes, regelmäßig aktualisiertes Sicherheitskonzept, das Risiken für ihre Informationssysteme systematisch bewertet – nicht als einmalige Übung, sondern als laufenden Prozess. Prüfer erwarten dabei eine nachvollziehbare Methodik, nicht nur ein einmal erstelltes PDF-Dokument im Intranet.

2. Bewältigung von Sicherheitsvorfällen

Ein definierter Incident-Response-Prozess muss festlegen, wie Vorfälle erkannt, eingedämmt und aufgearbeitet werden, einschließlich klarer interner Eskalationswege. Ohne benannte Verantwortliche für jede Phase verstreicht wertvolle Zeit genau dann, wenn die gesetzlichen Meldefristen bereits laufen.

3. Aufrechterhaltung des Geschäftsbetriebs

Dazu gehören Backup-Management, Notfallwiederherstellung und Krisenmanagement, damit ein Sicherheitsvorfall nicht zum vollständigen Betriebsausfall führt. Getestete Wiederanlaufpläne zählen hier mehr als reine Absichtserklärungen.

4. Sicherheit der Lieferkette

Unternehmen müssen die Cybersicherheitsrisiken ihrer direkten Lieferanten und Dienstleister bewerten und vertraglich adressieren – ein Grund, warum sich NIS2-Pflichten entlang von Zulieferketten fortsetzen. Das betrifft ausdrücklich auch Software- und KI-Anbieter, deren Systeme auf Unternehmensdaten zugreifen.

5. Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen

Das umfasst Schwachstellenmanagement und die sichere Konfiguration neuer wie bestehender Systeme, einschließlich Software, die im Unternehmen selbst entwickelt wird. Auch intern gebaute Tools und Automatisierungen fallen darunter, nicht nur zugekaufte Standardsoftware.

6. Bewertung der Wirksamkeit der Maßnahmen

Risikomanagementmaßnahmen müssen regelmäßig überprüft werden – etwa durch Audits oder Tests –, statt einmal eingeführt und dann nicht mehr kontrolliert zu werden. Ein Sicherheitskonzept, das seit zwei Jahren unverändert ist, gilt in der Praxis als Warnsignal, nicht als Nachweis guter Vorbereitung.

7. Grundlegende Cyberhygiene und Schulungen

NIS2 verlangt Schulungen zur Cybersicherheit für Mitarbeitende und Führungskräfte gleichermaßen; Artikel 20 macht Schulungen für die Geschäftsleitung sogar ausdrücklich verpflichtend. Einmalige Einführungsschulungen reichen dafür in der Regel nicht aus, da sich Bedrohungslage und Anforderungen laufend verändern.

8. Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung

Konzepte für Verschlüsselung, rollenbasierte Zugriffskontrolle und Multi-Faktor-Authentifizierung runden den Katalog ab und zählen zu den technisch am konkretesten geprüften Anforderungen. Wer Zugriffe pro Rolle statt pauschal pro Team vergibt, kann diese Anforderung deutlich einfacher nachweisen als mit geteilten Sammelkonten.

Meldepflichten: 24 Stunden, 72 Stunden, ein Monat

Neben den Risikomanagementmaßnahmen verlangt Artikel 23 NIS2 ein gestuftes Meldeverfahren bei erheblichen Sicherheitsvorfällen: eine Frühwarnung innerhalb von 24 Stunden nach Bekanntwerden, eine vollständigere Meldung innerhalb von 72 Stunden und einen Abschlussbericht spätestens einen Monat nach dem Vorfall. Diese Fristen sind in der Praxis der Punkt, an dem viele Unternehmen erstmals merken, wie wenig Zeit ihre bestehenden Prozesse tatsächlich vorsehen.

Die 24-Stunden-Frühwarnung verlangt dabei noch keine vollständige Ursachenanalyse, sondern lediglich die Meldung, dass ein erheblicher Vorfall vorliegt und ob ein Zusammenhang mit rechtswidrigen oder böswilligen Handlungen vermutet wird. Erst die 72-Stunden-Meldung und der Abschlussbericht erfordern eine detailliertere Einschätzung von Schweregrad, Auswirkungen und Ursache.

Was passiert bei einem Verstoß gegen NIS2?

Bei Verstößen drohen Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen – je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen liegt der Rahmen niedriger, aber immer noch empfindlich.

Einrichtungstyp	Bußgeldrahmen (Beispiel Höchstsatz)
Besonders wichtige Einrichtung	bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes
Wichtige Einrichtung	bis zu 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes

Neben dem Bußgeld selbst kann die Aufsichtsbehörde weitere Maßnahmen anordnen, etwa verbindliche Anweisungen zur Umsetzung fehlender Maßnahmen oder – in der Richtlinie als letztes Mittel vorgesehen – die vorübergehende Aussetzung von Zulassungen oder Führungspositionen bei besonders wichtigen Einrichtungen. Der eur-lex.europa.eu-Volltext der Richtlinie beschreibt diese Eskalationsstufen im Detail.

Wichtig dabei: Ein Bußgeld ist in der Praxis selten die erste Konsequenz. Häufiger beginnt die Aufsichtsbehörde mit Prüfungen und Anweisungen zur Nachbesserung; das Bußgeld greift, wenn Anweisungen ignoriert oder Fristen wiederholt gerissen werden. Genau deshalb lohnt sich eine belastbare Dokumentation vom ersten Tag an – sie ist der Unterschied zwischen einer Anweisung zur Nachbesserung und einem Verfahren, das eskaliert.

In der Praxis überschneiden sich NIS2-Pflichten zunehmend mit dem EU AI Act, sobald KI-Systeme Teil der betrieblichen Informationssysteme werden – etwa wenn ein Sprachmodell auf sensible Unternehmensdaten zugreift oder Entscheidungen vorbereitet, die unter die vier Risikoklassen des EU AI Act fallen. Wer als NIS2-pflichtiges Unternehmen zusätzlich KI-Systeme einführt, sollte auch die Schulungspflicht nach Artikel 4 des EU AI Act im Blick behalten, denn beide Regelwerke verlangen dokumentierte, überprüfbare Kompetenz- und Kontrollnachweise.

Genau an diesem Punkt setzt eine governte Arbeitsumgebung an: Die DevKira-Plattform bündelt Zugriffskontrolle, Protokollierung und Kostenzuordnung pro Nutzer in einem System, sodass Nachweise für Risikomanagementmaßnahmen nicht nachträglich aus verstreuten Tools zusammengesucht werden müssen. Die Governed-Egress-Funktion etwa macht sichtbar, welche externen Ziele ein Team tatsächlich erreicht – eine der Kontrollen, die sowohl unter NIS2-Risikomanagement als auch unter KI-Governance zunehmend erwartet wird.

Konkret heißt das: Statt zum Prüfungstermin manuell zusammenzutragen, wer wann auf welches System zugegriffen und welches KI-Modell welche Daten verarbeitet hat, liefert eine governte Umgebung diese Nachweise fortlaufend. Für Unternehmen, die gleichzeitig NIS2-Risikomanagement und den zunehmenden KI-Einsatz im Alltag absichern müssen, reduziert das den Aufwand für Dokumentation spürbar – und macht aus zwei getrennten Compliance-Projekten ein gemeinsames Fundament aus Zugriffskontrolle, Protokollierung und nachvollziehbaren Freigaben.

Der nächste Schritt

Der zuverlässigste erste Schritt ist die BSI-Betroffenheitsprüfung – sie klärt in wenigen Minuten, ob Ihr Unternehmen überhaupt registrierungspflichtig ist. Ist die Betroffenheit geklärt, lohnt sich der Blick auf die technische Seite: Wie lässt sich Risikomanagement so umsetzen, dass es nicht bei jedem Audit neu dokumentiert werden muss? In einem Gespräch mit DevKira zeigen wir, wie sich Zugriffskontrolle, Protokollierung und KI-Nutzung in einer gemeinsamen, prüfbaren Umgebung für Business- und IT-Teams abbilden lassen.

Häufige Fragen zu NIS2

Was genau ist NIS2?

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Netzwerk- und Informationssicherheit. Sie verpflichtet Unternehmen aus 18 definierten Sektoren zu Risikomanagementmaßnahmen und Meldepflichten bei Sicherheitsvorfällen. In Deutschland setzt das NIS2UmsuCG die Richtlinie um; es ist am 6. Dezember 2025 in Kraft getreten und erweitert die Aufsichtsbefugnisse des BSI erheblich.

Bin ich von NIS2 betroffen?

Betroffen sind Unternehmen, die gleichzeitig in einem der 18 Sektoren aus Anhang I oder II tätig sind und die Größenschwellen erreichen – ab 50 Mitarbeitenden oder mehr als 10 Millionen Euro Umsatz für „wichtige Einrichtungen“, ab 250 Mitarbeitenden oder mehr als 50 Millionen Euro Umsatz für „besonders wichtige Einrichtungen“. Die BSI-Betroffenheitsprüfung schafft im Zweifel Klarheit.

Wann bin ich NIS2 pflichtig?

Seit Inkrafttreten des NIS2UmsuCG am 6. Dezember 2025 gilt die Pflicht ohne Übergangsfrist für alle betroffenen Unternehmen. Dazu zählen die unverzügliche Registrierung beim BSI sowie die laufende Umsetzung von Risikomanagementmaßnahmen und Meldeprozessen – die gesetzliche Registrierungsfrist ist laut BSI bereits verstrichen.

Was passiert, wenn ich mich nicht rechtzeitig beim BSI registriere?

Eine unterlassene oder verspätete Registrierung ist selbst bereits ein Verstoß gegen NIS2UmsuCG und kann Bußgelder nach sich ziehen. Zusätzlich verliert das Unternehmen wertvolle Zeit, um die eigentlichen Risikomanagementmaßnahmen aufzubauen – die Registrierung ist der Startpunkt, nicht das Ziel der Pflichten. Da das Organisationszertifikat für „Mein Unternehmenskonto“ selbst einige Werktage braucht, lohnt sich ein früher Start unabhängig vom Stand der übrigen Vorbereitung.

Gilt NIS2 auch für kleine und mittelständische Unternehmen?

Kleinstunternehmen sind in der Regel ausgenommen, doch viele mittelständische Unternehmen ab 50 Mitarbeitenden in einem betroffenen Sektor fallen bereits als „wichtige Einrichtung“ unter NIS2. Auch kleinere Zulieferer größerer Einrichtungen spüren die Anforderungen häufig indirekt über vertragliche Klauseln zur Sicherheit der Lieferkette, selbst wenn sie die Größenschwellen selbst nicht erreichen.

Wie hängen NIS2 und der EU AI Act zusammen?

Beide Regelwerke verlangen dokumentiertes Risikomanagement, überprüfbare Kontrollen und geschultes Personal – NIS2 für Informationssysteme allgemein, der EU AI Act speziell für KI-Systeme. Sobald KI-Werkzeuge Teil der betrieblichen IT-Landschaft eines NIS2-pflichtigen Unternehmens sind, überschneiden sich beide Pflichtenkataloge in der praktischen Umsetzung.