Blog · IT-Sicherheit und Regulierung
NIS2 verständlich erklärt: Wer betroffen ist und was jetzt zu tun ist
Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz. Es macht Informationssicherheit für Tausende mittlere und große Unternehmen zur gesetzlichen Pflicht – und zur Chefsache. Wir erklären, wer betroffen ist, welche Pflichten gelten und wie Sie die Umsetzung pragmatisch angehen.
Das Wichtigste in Kürze
- Betroffen sind Unternehmen ab 50 Mitarbeitenden oder mehr als 10 Mio. € Umsatz und Bilanzsumme in 18 Sektoren.
- Die Registrierung beim BSI war bis 6. März 2026 fällig, die Nachfrist lief bis 31. Juli 2026.
- Pflicht sind ein Risikomanagement mit Mindestmaßnahmen und Meldungen in 24 Stunden, 72 Stunden und einem Monat.
- Die Geschäftsleitung muss die Umsetzung überwachen, sich schulen lassen – und haftet.
- Auch nicht betroffene Zulieferer spüren NIS2 über die Anforderungen ihrer Kunden.
Grundlagen
Was ist NIS2?
NIS2 ist eine EU-Richtlinie für ein hohes gemeinsames Niveau der Cybersicherheit. Sie erweitert die frühere NIS-Richtlinie deutlich: Statt nur weniger Betreiber kritischer Infrastrukturen sind jetzt viele mittlere und große Unternehmen aus zahlreichen Branchen erfasst. In Deutschland wurde sie mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz umgesetzt, das am 6. Dezember 2025 in Kraft getreten ist – ohne Übergangsfrist. Die Pflichten stehen im neu gefassten BSI-Gesetz (BSIG), zuständige Behörde ist das Bundesamt für Sicherheit in der Informationstechnik (BSI).
Betroffenheit
Wer ist betroffen?
Ob Ihr Unternehmen unter NIS2 fällt, hängt von zwei Fragen ab: In welchem Sektor sind Sie tätig – und wie groß ist Ihr Unternehmen?
Die Sektoren
Das Gesetz unterscheidet Sektoren mit hoher Kritikalität, etwa Energie, Verkehr einschließlich Luftverkehr, Banken, Gesundheitswesen, Trinkwasser, digitale Infrastruktur und IT-Dienstleistungen für Unternehmen (Managed Services), und sonstige kritische Sektoren, etwa Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe wie Maschinen- und Fahrzeugbau, digitale Dienste und Forschung. Maßgeblich ist die Tätigkeit, mit der Sie den Großteil Ihres Umsatzes erzielen; geringfügige Nebentätigkeiten können unberücksichtigt bleiben.
Die Größenschwellen
| Kategorie | Größe | Sektoren |
|---|---|---|
| Besonders wichtige Einrichtung | Ab 250 Mitarbeitenden oder mehr als 50 Mio. € Umsatz und 43 Mio. € Bilanzsumme | Sektoren mit hoher Kritikalität, außerdem Betreiber kritischer Anlagen |
| Wichtige Einrichtung | Ab 50 Mitarbeitenden oder mehr als 10 Mio. € Umsatz und Bilanzsumme | Alle NIS2-Sektoren |
| Nicht direkt betroffen | Darunter | Ausnahmen für bestimmte Dienste wie DNS, Top-Level-Domains, Vertrauensdienste und Telekommunikation, die unabhängig von der Größe erfasst sein können |
Gerechnet wird nach der KMU-Definition der EU: Partner- und verbundene Unternehmen zählen in der Regel mit. Eine kleine Tochter eines großen Konzerns kann deshalb betroffen sein, obwohl sie allein unter den Schwellen liegt.
In vier Fragen zur Einschätzung: Mit unserem kostenlosen NIS2-Check sehen Sie sofort, ob Ihr Unternehmen voraussichtlich betroffen ist. Die Auswertung läuft vollständig in Ihrem Browser.
Pflichten
Pflicht 1: Registrierung beim BSI
Betroffene Unternehmen müssen sich innerhalb von drei Monaten nach ihrer Einstufung beim BSI registrieren. Für alle, die schon beim Inkrafttreten betroffen waren, endete die Frist am 6. März 2026; das BSI hat säumigen Unternehmen eine Nachfrist bis zum 31. Juli 2026 eingeräumt. Wer die Registrierung noch nicht erledigt hat, sollte das jetzt umgehend nachholen. Ändern sich Angaben, etwa Ansprechpartner oder Dienste, sind sie innerhalb von zwei Wochen zu aktualisieren. Wer später über die Schwellen wächst, hat ab dann wieder drei Monate Zeit.
Pflicht 2: Risikomanagement nach § 30 BSIG
Kern von NIS2 ist die Pflicht zu geeigneten, verhältnismäßigen und wirksamen technischen und organisatorischen Maßnahmen. Was angemessen ist, richtet sich nach Risiko, Unternehmensgröße und möglichen Auswirkungen eines Vorfalls. Das Gesetz nennt dafür Mindestbereiche:
- Konzepte für Risikoanalyse und Sicherheit der Informationssysteme
- Bewältigung von Sicherheitsvorfällen
- Aufrechterhaltung des Betriebs: Backup, Wiederherstellung und Krisenmanagement
- Sicherheit der Lieferkette, also der Beziehungen zu Dienstleistern und Zulieferern
- Sicherheit bei Beschaffung, Entwicklung und Wartung, einschließlich Umgang mit Schwachstellen
- Bewertung der Wirksamkeit der Maßnahmen
- Grundlegende Cyberhygiene und Schulungen
- Kryptografie und Verschlüsselung
- Personalsicherheit, Zugriffskontrolle und Verwaltung der IT-Werte
- Mehr-Faktor-Authentifizierung, gesicherte Kommunikation und Notfallkommunikation
Eine Zertifizierung schreibt NIS2 für die meisten Unternehmen nicht vor. Orientierung bieten ISO/IEC 27001 und der BSI-IT-Grundschutz – wer danach arbeitet, deckt einen Großteil der Anforderungen ab. Wichtig ist, dass Sie Ihre Maßnahmen dokumentieren: Im Zweifel müssen Sie gegenüber dem BSI nachweisen können, was Sie wie umgesetzt haben.
Pflicht 3: Erhebliche Sicherheitsvorfälle melden
Erhebliche Sicherheitsvorfälle – etwa solche, die den Betrieb schwer stören oder anderen erheblichen Schaden zufügen können – müssen Sie dem BSI in drei Stufen melden:
| Frist | Meldung | Inhalt |
|---|---|---|
| 24 Stunden | Erstmeldung | Verdacht auf einen erheblichen Vorfall, mögliche böswillige Ursache, mögliche grenzüberschreitende Auswirkungen |
| 72 Stunden | Meldung | Erste Bewertung mit Schweregrad, Auswirkungen und Kompromittierungsindikatoren |
| 1 Monat | Abschlussmeldung | Ausführliche Beschreibung, Ursache, getroffene Abhilfemaßnahmen |
Die Fristen laufen ab Kenntnis des Vorfalls – auch am Wochenende. Legen Sie deshalb vorab fest, wer einen Vorfall bewertet, wer meldet und wie Sie erreichbar sind. Betrifft ein Vorfall personenbezogene Daten, kommt parallel die 72-Stunden-Meldung an die Datenschutzaufsicht nach DSGVO hinzu. Eine Hilfe für den ersten Moment ist unsere IT-Notfallkarte.
Verantwortung
Chefsache: Pflichten und Haftung der Geschäftsleitung
NIS2 macht Cybersicherheit ausdrücklich zur Aufgabe der Geschäftsleitung (§ 38 BSIG). Geschäftsführung und Vorstand müssen die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Sie müssen außerdem regelmäßig an Schulungen teilnehmen, um Risiken und Maßnahmen selbst beurteilen zu können.
Die operative Arbeit können Sie an IT-Leitung, Informationssicherheitsbeauftragte oder einen Dienstleister übertragen – die Verantwortung nicht. Verletzt die Geschäftsleitung ihre Pflichten, kann sie dem Unternehmen gegenüber persönlich haften.
Unsere Empfehlung aus der Praxis: Planen Sie für die Geschäftsleitung eine kompakte Schulung von wenigen Stunden ein und wiederholen Sie sie regelmäßig. Dazu ein kurzer, fester Bericht zur Informationssicherheit – etwa quartalsweise – mit Status der Maßnahmen und offenen Risiken. Das erfüllt die Überwachungspflicht und schafft eine saubere Dokumentation.
Aufsicht und Bußgelder
Das BSI kann Nachweise verlangen, Prüfungen anordnen und Anweisungen erteilen; bei besonders wichtigen Einrichtungen auch ohne konkreten Anlass. Die Bußgelder sind deutlich höher als bisher: für besonders wichtige Einrichtungen bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu 7 Mio. € oder 1,4 % – bei großen Unternehmen gilt der höhere Betrag. Auch eine versäumte Registrierung oder Meldung kann ein Bußgeld nach sich ziehen.
Lieferkette
NIS2 für Zulieferer und Dienstleister
Viele kleinere Unternehmen sind nicht selbst betroffen, spüren NIS2 aber trotzdem: Betroffene Kunden müssen die Sicherheit ihrer Lieferkette berücksichtigen. In der Praxis heißt das Sicherheitsfragebögen, vertragliche Klauseln zu Meldepflichten und Mindestmaßnahmen und gelegentlich Audits. Besonders gefragt sind IT-Dienstleister und alle, die Zugriff auf Systeme ihrer Kunden haben.
Wer hier gut vorbereitet ist, gewinnt: Mit dokumentierter Grundsicherung – Mehr-Faktor-Anmeldung, Updates, Backup, Notfallplan, Zugriffsregeln – beantworten Sie Fragebögen schnell und heben sich vom Wettbewerb ab. Was dazugehört, zeigt unser Ratgeber IT-Sicherheit für KMU.
Fahrplan
In sieben Schritten NIS2-fit
- Betroffenheit klären und dokumentieren: Sektor, Größe, Unternehmensverbund – auch wenn das Ergebnis „nicht betroffen“ lautet.
- Registrieren: Beim BSI anmelden, falls noch nicht geschehen, und Angaben aktuell halten.
- Verantwortung festlegen: Wer koordiniert die Informationssicherheit, wer berichtet an die Geschäftsleitung?
- Bestandsaufnahme: Ist-Stand entlang der zehn Mindestbereiche erheben und Lücken priorisieren.
- Schnelle Hebel umsetzen: Mehr-Faktor-Anmeldung, Patch-Management, Backup mit Wiederherstellungstest, Zugriffsrechte.
- Meldeweg und Notfallplan einrichten: Bewertung, Meldung in 24/72 Stunden, Kommunikation im Ernstfall – einmal durchspielen.
- Schulen und überprüfen: Geschäftsleitung und Mitarbeitende schulen, Maßnahmen jährlich auf Wirksamkeit prüfen, Lieferanten einbeziehen.
Unser Fazit: NIS2 verlangt nichts, was ein gut geführtes Unternehmen nicht ohnehin brauchen sollte – aber es verlangt es nachweisbar und mit Verantwortung an der Spitze. Wer pragmatisch mit den wirksamsten Maßnahmen beginnt und sauber dokumentiert, ist auf einem guten Weg.
Häufige Fragen zu NIS2
Ab wann gilt NIS2 in Deutschland?
Das NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten – ohne Übergangsfrist. Die Registrierung beim BSI war bis zum 6. März 2026 fällig, das BSI hat eine Nachfrist bis zum 31. Juli 2026 eingeräumt.
Wir haben unter 50 Mitarbeitende – sind wir raus?
In der Regel ja, sofern Umsatz oder Bilanzsumme höchstens 10 Mio. € betragen und Sie nicht zu einem größeren Unternehmensverbund gehören. Ausnahmen gibt es für bestimmte Dienste wie DNS, Top-Level-Domains, Vertrauensdienste oder Telekommunikation. Indirekt kann NIS2 Sie über Ihre Kunden trotzdem betreffen.
Brauchen wir eine ISO-27001-Zertifizierung?
Nein, für die meisten Unternehmen schreibt NIS2 keine Zertifizierung vor. ISO 27001 oder der BSI-IT-Grundschutz sind aber eine gute Grundlage, um die Anforderungen strukturiert umzusetzen und nachzuweisen.
Was gilt als erheblicher Sicherheitsvorfall?
Ein Vorfall, der schwerwiegende Betriebsstörungen oder finanzielle Verluste verursachen oder andere Personen erheblich schädigen kann – etwa ein Ransomware-Angriff, der die Produktion stoppt. Im Zweifel ist eine frühe Erstmeldung besser als eine verspätete.
Haftet die Geschäftsführung persönlich?
Die Geschäftsleitung muss die Maßnahmen umsetzen und überwachen und sich regelmäßig schulen. Verletzt sie diese Pflichten schuldhaft, kann sie dem Unternehmen gegenüber für entstandene Schäden haften. Delegieren lässt sich die Arbeit, nicht die Verantwortung.
Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung. Verbindlich ist die Prüfung im Einzelfall. Stand: Oktober 2026.
Kostenlos vorab prüfen
Erste Einschätzung in wenigen Minuten – kostenlos und ohne Anmeldung.