NIS-2 in Microsoft 365. Wissen, wo Ihr Tenant steht.

Die zweite EU-Richtlinie zur Netz- und Informationssicherheit (Richtlinie (EU) 2022/2555). Sie verpflichtet Unternehmen ab einer bestimmten Größe in 18 Sektoren zu Risikomanagement, zur Meldung erheblicher Sicherheitsvorfälle und zur Registrierung beim BSI. In Deutschland setzt das NIS2UmsuCG sie um; die Pflichten stehen im BSI-Gesetz, vor allem in § 28 (Anwendungsbereich), § 30 (Maßnahmen), § 32 (Meldepflichten) und § 38 (Geschäftsleitung).

Rund 29.500 Unternehmen in 18 Sektoren (Quelle: BSI). Wichtige Einrichtungen haben mindestens 50 Mitarbeitende oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme. Ab 250 Mitarbeitenden oder mehr als 50 Millionen Euro Umsatz und 43 Millionen Euro Bilanzsumme gelten Unternehmen in den Sektoren der Anlage 1 als besonders wichtige Einrichtungen.

Seit dem 6. Dezember 2025, ohne Übergangsfrist. Die Frist zur Registrierung beim BSI lief am 6. März 2026 ab.

Zehn Felder: Risikoanalyse und Sicherheitskonzepte, Bewältigung von Sicherheitsvorfällen, Business Continuity und Krisenmanagement, Lieferkettensicherheit, Sicherheit bei Erwerb, Entwicklung und Wartung, Bewertung der Wirksamkeit, Schulungen und Sensibilisierung, Kryptografie, Personalsicherheit und Zugriffskontrolle sowie Multi-Faktor-Authentifizierung und sichere Kommunikation.

§ 65 BSIG sieht Geldbußen bis zu 10 Millionen Euro für besonders wichtige und bis zu 7 Millionen Euro für wichtige Einrichtungen vor. Die Umsatzregel gilt nicht alternativ: Sie tritt erst ab einem Gesamtumsatz von mehr als 500 Millionen Euro an die Stelle dieser Beträge, dann bis zu 2 beziehungsweise 1,4 Prozent des weltweiten Umsatzes. Für den Mittelstand sind in aller Regel die Eurobeträge maßgeblich.

Ja. § 38 BSIG verpflichtet die Geschäftsleitung, die Umsetzung der Maßnahmen zu überwachen, und begründet ihre persönliche Haftung. Bei Pflichtverletzungen kann sie für entstandene Schäden zur Verantwortung gezogen werden.

Neun der zehn Maßnahmenfelder lassen sich in Microsoft 365 umsetzen, mit Entra ID, Defender XDR, Purview, Intune, Conditional Access und Sensitivity Labels, sofern der Lizenzplan sie enthält. Das zehnte Feld, Schulungen und Sensibilisierung, ist organisatorisch. Die meisten Unternehmen besitzen die Lizenzen bereits, nutzen die Bausteine aber nicht passend eingestellt.

Microsoft 365 lässt sich datenschutzkonform betreiben. Ob es konform ist, hängt davon ab, wie Sie es einsetzen. Microsoft stellt einen Auftragsverarbeitungsvertrag bereit und sagt mit der EU Data Boundary zu, Kundendaten der zentralen Dienste in der EU zu speichern und zu verarbeiten. Rechtsgrundlagen, Verzeichnis der Verarbeitungstätigkeiten, Lösch- und Berechtigungskonzepte bleiben Ihre Aufgabe. Die DSGVO gilt neben NIS-2. Eine rechtliche Bewertung Ihres Einsatzes ersetzt diese Übersicht nicht.

Kommunen wurden im NIS2UmsuCG ausdrücklich nicht in den Anwendungsbereich aufgenommen. Bundesbehörden und die Landesebene können dagegen direkt betroffen sein. Kommunale Zulieferer bleiben über die Pflichten zur Lieferkettensicherheit und die eigene Sektor-Einstufung NIS-2-pflichtig.