NIS2: Was die neue EU-Cybersicherheitswelt für dein Travel Management bedeutet

Die EU verschärft ihr Cybersicherheitsrecht – und mit NIS2 geraten plötzlich auch Unternehmen in den Fokus, die sich bisher nicht als „kritische Infrastruktur“ gesehen haben. Mit dem NIS2-Umsetzungsgesetz ist die Richtlinie in Deutschland seit Dezember 2025 verbindlich, betroffen sind zehntausende Unternehmen aus 18 Sektoren. Für dich als Travelmanager:in heißt das: Geschäftsreisen und mobiles Arbeiten sind nicht mehr nur Komfort- oder Effizienzthemen, sondern Teil eines regulierten Sicherheits- und Risikomanagements.

Was ist NIS2 – in einfachen Worten?

NIS2 ist die weiterentwickelte EU-Richtlinie zur Sicherheit von Netz- und Informationssystemen (Richtlinie (EU) 2022/2555). Sie ersetzt die erste NIS-Richtlinie aus 2016 und soll ein durchgängig höheres Cybersicherheitsniveau in kritischen und wichtigen Bereichen der europäischen Wirtschaft schaffen.

Zentrale Ziele von NIS2 sind:

• einheitliche Mindeststandards für Cybersicherheit in 18 definierten Sektoren,

• klare Vorgaben für Risikomanagement und Sicherheitsmaßnahmen,

• Meldepflichten für erhebliche Sicherheitsvorfälle und

• eine engere Zusammenarbeit zwischen Unternehmen und staatlichen Stellen.

Die Mitgliedstaaten mussten NIS2 bis Oktober 2024 in nationales Recht überführen; in Deutschland ist dies mit dem NIS2-Umsetzungsgesetz (NIS2UmsuCG) erfolgt, das seit dem 6. Dezember 2025 gilt.

Für welche Firmen gilt NIS2 – und wer ist außen vor?

NIS2 arbeitet nicht mit einer generischen „Pflicht für alle“, sondern mit einem sektorspezifischen Ansatz und klaren Schwellenwerten.

Die 18 Sektoren nach NIS2

Die Richtlinie unterscheidet zwei Kategorien von Einrichtungen, die in 18 Sektoren tätig sind: „wesentliche“ (essential) und „wichtige“ (important) Einrichtungen.

Zu den Sektoren mit hoher Kritikalität (Annex I) zählen u. a.:

• Energie (Strom, Gas, Öl, Wasserstoff, Fernwärme),

• Verkehr (Straße, Luft, Wasser, Schiene),

• Bankwesen und Finanzmarktinfrastrukturen,

• Gesundheitswesen (z. B. Krankenhäuser, Labore),

• Trinkwasserversorgung und Abwasser,

• digitale Infrastruktur (z. B. Internetknoten, DNS-Dienste),

• bestimmte ICT-Dienstleister (z. B. Managed Services),

• öffentliche Verwaltung (mindestens zentrale und Teile der regionalen Ebene) und

• der Raumfahrtsektor.

Zu den weiteren kritischen Sektoren (Annex II) gehören u. a.:

• Post- und Kurierdienste,

• Abfallwirtschaft,

• Herstellung und Handel bestimmter Chemikalien,

• Produktion, Verarbeitung und Distribution von Lebensmitteln,

• große Teile der verarbeitenden Industrie und des Maschinenbaus,

• bestimmte digitale Dienste (z. B. Online-Plattformen, Cloud-Dienste) sowie

• Forschungseinrichtungen.

Deutschland geht davon aus, dass rund 29.500 Unternehmen in diese Kategorien fallen.

Größenkriterien: Wann ist ein Unternehmen „drin“?

Grundsätzlich gilt: Erfasst werden vor allem mittlere und große Unternehmen in diesen Sektoren. Typische Schwellenwerte sind:

• mehr als 50 Mitarbeitende oder

• mehr als 10 Mio. Euro Jahresumsatz oder

• mehr als 10 Mio. Euro Bilanzsumme.

Kleinere Unternehmen können dennoch erfasst werden, wenn sie eine besonders kritische Funktion erfüllen, z. B. Schlüsselrolle in einer Lieferkette oder Monopolstellung in einem Versorgungsbereich. Die konkrete Einstufung als „wesentliche“ oder „wichtige“ Einrichtung erfolgt durch die Mitgliedstaaten; in der EU müssen entsprechende Listen regelmäßig aktualisiert werden.

Wie ist der Stand in Deutschland – und welche Ausweitungspläne gibt es?

In Deutschland ist das NIS2-Umsetzungsgesetz seit Dezember 2025 in Kraft.

• Unternehmen, die mutmaßlich unter NIS2 fallen, müssen sich beim BSI registrieren; die Frist lag im Frühjahr 2026, viele Organisationen haben dies laut Berichten jedoch noch nicht vollständig erledigt.

• Die Zahl der betroffenen Unternehmen kann sich weiter verändern, weil die nationalen Listen regelmäßig überprüft und angepasst werden.

Darüber hinaus zeigt sich, dass manche Mitgliedstaaten den Anwendungsbereich über die Mindestvorgaben der Richtlinie hinaus ausweiten.

• So werden in einzelnen Ländern zusätzliche Branchen oder Unternehmensgrößen in die Regulierung einbezogen, etwa erweiterte Kategorien im Energie- oder Fertigungssektor.

• Auf EU-Ebene gibt es derzeit keine beschlossene „NIS3“, aber Fachanalysen gehen davon aus, dass die Regulierung im Zuge anderer Cyber- und Resilienzinitiativen (z. B. CER-Richtlinie, Cyber Resilience Act) weiter verdichtet und verzahnt werden wird – mit Einfluss auf zusätzliche Akteure in der Lieferkette.

Für Unternehmen, die heute noch knapp außerhalb des formalen NIS2-Rahmens liegen, bedeutet das: Die Anforderungen können indirekt über Kundenverträge, Lieferkettenerwartungen oder nationale Verschärfungen auf sie zukommen.

Welche Pflichten ergeben sich aus NIS2?

Auch wenn die konkrete Ausgestaltung je nach Mitgliedstaat variiert, lassen sich die Kernpflichten klar benennen.

Betroffene Unternehmen müssen insbesondere:

• ein systematisches Risikomanagement für Cybersicherheit etablieren,

• organisatorische und technische Maßnahmen ergreifen (z. B. Zugriffskontrolle, Verschlüsselung, Business Continuity, Incident Response),

• Mitarbeitende regelmäßig schulen und sensibilisieren,

• Sicherheitsvorfälle innerhalb definierter Fristen an zuständige Behörden melden und

• sich einer Aufsicht durch nationale Stellen unterziehen, die auch Sanktionen verhängen können.

In Deutschland sieht das NIS2-Umsetzungsgesetz empfindliche Bußgelder vor, deren Höhe sich unter anderem am Jahresumsatz orientiert; die Richtlinie selbst nennt Obergrenzen im Prozentbereich des globalen Umsatzes für schwere Verstöße.

Warum NIS2 das Travel Management direkt betrifft

Cybersicherheit wird oft mit Rechenzentren und Serverräumen verbunden. NIS2 macht jedoch klar, dass auch die Nutzung von IT-Systemen durch Mitarbeitende – insbesondere mobil – Teil des Risikobildes ist.

Für Geschäftsreisen bedeutet das:

• Wer unterwegs mit Unternehmenssystemen arbeitet, bewegt sich innerhalb dieses regulierten Rahmens, sofern das Unternehmen under NIS2 fällt.

• Unsichere WLANs, verlorene Geräte oder unkontrollierte File-Sharing-Lösungen sind nicht nur praktische Ärgernisse, sondern potenzielle Compliance-Verstöße.

• Die Sicherheitsanforderungen erstrecken sich auf Dienstleister, etwa Buchungsplattformen, Payment-Provider oder Travel-Management-Unternehmen, die personenbezogene und geschäftskritische Daten verarbeiten.

Damit wird das Travel Management zu einem wichtigen Mitgestalter der Cybersicherheitsstrategie – nicht, weil es Firewalls konfiguriert, sondern weil es definiert, wie Mitarbeitende real unterwegs arbeiten.

Typische NIS2-relevante Situationen auf Reisen

Um die Verbindung noch klarer zu machen, hier einige Szenarien, die im Lichte von NIS2 besonders sensibel sind:

• Arbeiten im Hotel-WLAN Zugriff auf E-Mails, CRM oder interne Dokumente über ungesicherte oder schwach geschützte Netzwerke kann Angriffsvektoren eröffnen. NIS2-konformes Risikomanagement legt hier Wert auf technische Schutzmaßnahmen (z. B. VPN, starke Authentifizierung) und entsprechende Nutzungsvorgaben.

• Verlust oder Diebstahl von Geräten unterwegs Laptops, Smartphones oder Tablets, die unverschlüsselt oder ohne angemessene Zugriffskontrollen genutzt werden, sind aus Sicht der Richtlinie ein erhebliches Risiko für die Sicherheit von Netz- und Informationssystemen.

• Spontane Lösungen für Datenaustausch Wenn Mitarbeitende wegen langsamer Verbindungen schnell auf private E-Mail-Konten oder nicht freigegebene Cloud-Dienste ausweichen, widerspricht das einem kontrollierten Sicherheitskonzept.

• Phishing und Social Engineering im Reisealltag Unter Zeitdruck und mit vielen parallelen Eindrücken steigt die Gefahr, auf gefälschte Airline- oder Hotel-Kommunikation hereinzufallen. NIS2 betont Schulung und Bewusstseinsbildung ausdrücklich als Teil der Sicherheitsstrategie.

Was das konkret für Travelmanager:innen heißt

Auch ohne technische Detailverantwortung ergeben sich für das Travel Management klare Aufgaben, sobald das Unternehmen in den NIS2-Anwendungsbereich fällt oder sich freiwillig an den Standards orientiert.

Zu den zentralen Handlungsfeldern gehören:

• Reiserichtlinien um Cyberkomponenten ergänzen Reise-Policies sollten regeln, wie Mitarbeitende unterwegs mit IT-Systemen umgehen: welche Geräte verwendet werden, wann VPN verpflichtend ist, welche Netzwerke tabu sind und welche Dienste für Dateiübertragung erlaubt sind.

• Enge Abstimmung mit IT- und Sicherheitsverantwortlichen Travelmanager:innen sollten gemeinsam mit IT-Security klären, wie typische Reiseszenarien in das unternehmensweite Risikomanagement und die Incident-Prozesse eingebettet werden.

• Überprüfung von Reise-Dienstleistern und Tools Anbieter von Buchungs- und Abrechnungslösungen sowie Travel-Management-Partner sollten nachvollziehbare Informationen zu ihren Sicherheitsstandards liefern können – ein wichtiger Baustein, um NIS2-Anforderungen an die Lieferkette zu erfüllen.

• Sensibilisierung der Reisenden Kurze, praxisnahe Hinweise („Sicher arbeiten im Hotel“, „Was tun bei Geräteverlust?“) helfen, die Anforderungen aus NIS2 in den Reisealltag zu übersetzen.

Entwicklungsperspektive: Wird NIS2 noch mehr Firmen erfassen?

Schon heute ist NIS2 deutlich breiter angelegt als die Vorgängerregelung – sowohl in der Sektorabdeckung als auch bei der Einbeziehung mittelgroßer Unternehmen. Analysen gehen davon aus, dass:

• die nationalen Umsetzungsakte und sektoralen Auslegungen in einzelnen Ländern punktuell über den EU-Mindeststandard hinausgehen,

• die Listen betroffener Einrichtungen regelmäßig aktualisiert werden, wodurch weitere Unternehmen nachrücken können und

• zusätzliche EU-Instrumente (z. B. CER-Richtlinie zu kritischen Einrichtungen, Cyber Resilience Act für Produkte) das regulatorische Umfeld weiter verdichten.

Für Unternehmen, die viele internationale Geschäftsreisen durchführen, bedeutet das: Selbst wenn sie aktuell nicht direkt im Kernkreis der NIS2-Unternehmen stehen, sollten sie das Thema im Blick behalten – spätestens, wenn Kund:innen, Auftraggeber oder Konzerntöchter strengere Sicherheitsanforderungen an die gesamte Lieferkette stellen.

Fazit: NIS2 macht aus Reisesicherheit auch Datensicherheit

NIS2 ist kein „klassisches Reisegesetz“ – aber es verändert den Kontext, in dem Geschäftsreisen stattfinden. Für betroffene Unternehmen reicht es nicht mehr, nur physische Sicherheit, Gesundheit und Haftung abzubilden; die Sicherheit von Informationssystemen und Daten wird zu einem rechtlich gerahmten Bestandteil unternehmerischer Sorgfalt.

Für dich als Travelmanager:in ist das eine Chance: Wer Reiserichtlinien, Dienstleisterauswahl und Traveller-Schulungen mit den Anforderungen von NIS2 verzahnt, stärkt nicht nur Compliance, sondern macht Geschäftsreisen insgesamt robuster – gerade in einer Zeit, in der physische und digitale Risiken immer stärker zusammenwachsen.