Mit dem NIS-2-Umsetzungsgesetz hat Deutschland die EU-Richtlinie NIS-2 in nationales Recht überführt. Das neu gefasste BSI-Gesetz (BSIG) ist seit dem 6. Dezember 2025 in Kraft und erweitert den Kreis der regulierten Unternehmen von rund 2.000 unter dem bisherigen KRITIS-Recht auf nach der Gesetzesbegründung etwa 29.500 Einrichtungen. Ein großer Teil davon fällt erstmals unter Cybersicherheitsrecht – und viele dieser Unternehmen wissen es noch nicht.
Dieser Beitrag beantwortet die drei Fragen, die sich jede Geschäftsführung jetzt stellen muss: Sind wir betroffen? Was müssen wir konkret tun? Und was passiert, wenn wir es nicht tun?
Was ist NIS-2 – und wer setzt es durch?
NIS-2 ist die EU-Richtlinie (EU) 2022/2555 zur Netz- und Informationssicherheit. Sie verpflichtet Unternehmen in 18 Sektoren, die für Wirtschaft und Gesellschaft wesentlich sind, zu einem Mindestniveau an Cybersicherheit: Risikomanagement, Meldung von Vorfällen, Verantwortung der Leitung. In Deutschland ist sie durch das NIS-2-Umsetzungsgesetz im BSIG umgesetzt; zuständige Aufsichtsbehörde ist das Bundesamt für Sicherheit in der Informationstechnik (BSI). Wie die Richtlinie aus Brüssel in deutsches Recht gelangt und wer sie beaufsichtigt, erklärt Zentralstelle und 2. Säule.
Bin ich betroffen? Sektoren und Schwellenwerte
Die Betroffenheit hängt von zwei Faktoren ab: dem Sektor und der Größe des Unternehmens. Das BSIG unterscheidet zwei Kategorien mit unterschiedlicher Aufsichtsintensität.
| Besonders wichtige Einrichtungen | Wichtige Einrichtungen | |
|---|---|---|
| Sektoren | Sektoren hoher Kritikalität (Anlage 1): Energie, Transport und Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienstleistungsmanagement, Weltraum | Zusätzlich sonstige kritische Sektoren (Anlage 2): Post und Kurier, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe (u. a. Medizinprodukte, Elektronik, Maschinenbau, Fahrzeugbau), digitale Dienste, Forschung |
| Größe | Ab 250 Beschäftigten oder über 50 Mio. Euro Umsatz und über 43 Mio. Euro Bilanzsumme | Ab 50 Beschäftigten oder über 10 Mio. Euro Umsatz und über 10 Mio. Euro Bilanzsumme |
| Unabhängig von der Größe | Betreiber kritischer Anlagen (KRITIS), qualifizierte Vertrauensdiensteanbieter, TLD-Registries, DNS-Dienste, bestimmte TK-Anbieter | Vertrauensdiensteanbieter und weitere Sonderfälle |
| Aufsicht | Proaktiv: BSI kann auch ohne Anlass prüfen; Betreiber kritischer Anlagen müssen alle drei Jahre Nachweise vorlegen (§ 39 BSIG) | Reaktiv: BSI wird bei Anhaltspunkten für Verstöße tätig |
| Bußgeldrahmen | Bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes | Bis 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes |
Wichtig: Die inhaltlichen Pflichten – die zehn Risikomanagement-Maßnahmen, Registrierung, Meldung, Leitungsverantwortung – gelten für beide Kategorien. Der Unterschied liegt in Aufsicht und Bußgeldhöhe.
Zwei Beispiele aus der Praxis:
- Ein Hersteller von Medizintechnik mit 80 Beschäftigten und 14 Mio. Euro Umsatz: verarbeitendes Gewerbe (Anlage 2), Schwellen überschritten – wichtige Einrichtung, registrierungs- und maßnahmenpflichtig.
- Ein Logistikdienstleister mit 300 Beschäftigten im Sektor Transport (Anlage 1): besonders wichtige Einrichtung, mit proaktiver BSI-Aufsicht und dem höchsten Bußgeldrahmen.
Die schnellste und verbindlichste Prüfung bietet die Betroffenheitsprüfung des BSI. Unternehmen müssen ihre Betroffenheit selbst feststellen – das BSI informiert nicht aktiv.
Unternehmen unter den Schwellen sind nicht aus dem Spiel: Regulierte Einrichtungen müssen die Sicherheit ihrer Lieferkette managen und reichen die Anforderungen per Vertrag an Zulieferer weiter. Was das bedeutet, zeigt NIS-2 in der Lieferkette.
Welche Pflichten gelten konkret?
1. Registrierung beim BSI
Betroffene Einrichtungen müssen sich spätestens drei Monate, nachdem sie erstmals als besonders wichtige oder wichtige Einrichtung gelten, beim BSI registrieren (§ 33 BSIG). Für Unternehmen, die bei Inkrafttreten bereits betroffen waren, lief die gesetzliche Frist am 6. März 2026 ab; das BSI hat säumige Einrichtungen anschließend aufgefordert, die Registrierung bis zum 31. Juli 2026 nachzuholen. Beide Termine sind verstrichen – wer noch nicht registriert ist, sollte das umgehend tun. Die unterlassene Übermittlung der Registrierungsdaten ist eine Ordnungswidrigkeit mit bis zu 500.000 Euro Bußgeld. Die Registrierung erfolgt über das BSI-Portal und umfasst Name und Rechtsform, Anschrift und Kontaktdaten einschließlich öffentlicher IP-Adressbereiche, Sektor, EU-Mitgliedstaaten der Leistungserbringung und zuständige Aufsichtsbehörden.
2. Die zehn Risikomanagement-Maßnahmen (§ 30 BSIG)
Das Gesetz verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen nach dem Stand der Technik, mindestens in zehn Bereichen:
- Konzepte für Risikoanalyse und Sicherheit in der Informationstechnik
- Bewältigung von Sicherheitsvorfällen (Incident-Handling)
- Aufrechterhaltung des Betriebs: Backup-Management, Wiederherstellung, Krisenmanagement
- Sicherheit der Lieferkette, einschließlich der Beziehungen zu Dienstleistern
- Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen, inklusive Schwachstellenmanagement
- Konzepte zur Bewertung der Wirksamkeit der Maßnahmen
- Cyberhygiene und Schulungen
- Einsatz von Kryptografie und Verschlüsselung
- Personalsicherheit, Zugriffskontrolle und Asset-Management
- Multi-Faktor-Authentifizierung, gesicherte Kommunikation und Notfallkommunikation
Jede Maßnahme muss nicht nur umgesetzt, sondern nachweisbar sein: dokumentiert, mit Verantwortlichen, mit Belegen aus dem Betrieb. Was das in der Praxis bedeutet, beschreibt der NIS-2-Fahrplan in sechs Phasen.
3. Meldung erheblicher Sicherheitsvorfälle
Erhebliche Sicherheitsvorfälle sind gestuft an das BSI zu melden:
- Innerhalb von 24 Stunden eine Erstmeldung mit Verdacht auf rechtswidrige Handlung oder grenzüberschreitende Auswirkung,
- innerhalb von 72 Stunden eine Meldung mit Bewertung von Schwere und Auswirkungen,
- auf Anfrage Zwischenberichte und nach einem Monat ein Abschlussbericht.
In der Praxis scheitern Unternehmen hier nicht an der Frist, sondern an der Vorbereitung: Wer erkennt einen Vorfall als „erheblich“? Wer entscheidet, wer meldet, wer informiert Kunden? Diese Fragen müssen vor dem ersten Vorfall beantwortet und geübt sein.
4. Pflichten der Geschäftsleitung (§ 38 BSIG)
Die Geschäftsleitung ist verpflichtet, die Risikomanagement-Maßnahmen umzusetzen und ihre Umsetzung zu überwachen – und regelmäßig an Schulungen teilzunehmen, um Risiken und Maßnahmen bewerten zu können. Diese Pflichten sind nicht delegierbar: Ein externer Informationssicherheitsbeauftragter kann vorbereiten und umsetzen, die Verantwortung bleibt bei der Leitung.
Was riskiert die Geschäftsführung persönlich?
Wer NIS-2 als IT-Thema abtut, unterschätzt die Konstruktion des Gesetzes. Es adressiert ausdrücklich die Leitung:
- Schadensersatz gegenüber der eigenen Gesellschaft. Nach § 38 Abs. 2 BSIG haftet die Geschäftsleitung ihrer Einrichtung für einen schuldhaft verursachten Schaden, wenn sie Umsetzungs- und Überwachungspflicht verletzt – nach den Regeln des Gesellschaftsrechts, also § 43 GmbHG für Geschäftsführer und § 93 AktG für Vorstände, mit der dort geltenden Beweislast zu Lasten des Organs.
- Bußgelder gegen das Unternehmen. Bis zu 10 Mio. Euro oder 2 % bzw. 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes (§ 65 BSIG; der Prozentsatz greift bei Gesamtumsatz über 500 Mio. Euro), dazu eigene Tatbestände unter anderem für unterlassene Registrierung und unterlassene Meldungen.
- Aufsichtsmaßnahmen. Anordnungen, Nachweisverlangen, bei besonders wichtigen Einrichtungen auch Prüfungen; in schweren Fällen kann die Aufsicht die Untersagung der Leitungstätigkeit beantragen.
- Folgekosten. Verlust öffentlicher Aufträge und Kunden, die NIS-2-Konformität zur Vergabevoraussetzung machen; Reputationsschäden bei gemeldeten Vorfällen.
Was die Geschäftsführung schützt, ist nachweisbare Sorgfalt: dokumentierte Entscheidungen, benannte Verantwortliche, regelmäßige Berichte, dokumentierte Schulungsteilnahme – und ein Managementsystem, das diese Nachweise erzeugt.
ISO 27001 oder BSI IT-Grundschutz als Nachweisrahmen
NIS-2 schreibt keinen Standard vor. In der Praxis setzen betroffene Unternehmen die zehn Maßnahmen über ein Informationssicherheits-Managementsystem um, weil nur ein System die geforderte Nachweisbarkeit dauerhaft liefert. Zwei Rahmen kommen in Frage:
- ISO/IEC 27001 – international anerkannt, risikobasiert, flexibel im Geltungsbereich. Die 93 Controls des Anhangs A decken die zehn NIS-2-Bereiche weitgehend ab. Der richtige Rahmen für Unternehmen mit internationalen Kunden und Lieferketten.
- BSI IT-Grundschutz – die deutsche Methodik mit vorgefertigten Bausteinen, in der Verwaltung und bei behördennahen Auftraggebern der Referenzrahmen. Eine ISO-27001-Zertifizierung auf Basis von IT-Grundschutz verbindet beides.
Was beide Rahmen nicht abdecken, sind die gesetzlichen Pflichten außerhalb des ISMS: Registrierung, die gestuften Meldungen an das BSI, die Schulungspflicht der Leitung. Sie werden als NIS-2-Erweiterung des ISMS ergänzt. Eine Zertifizierung ist nicht vorgeschrieben – für Betreiber kritischer Anlagen, die alle drei Jahre Nachweise vorlegen müssen, ist sie aber ein anerkannter Weg, diese Pflicht zu erfüllen.
Die fünf häufigsten Umsetzungsfehler
- Betroffenheit nicht geprüft. Viele Unternehmen im verarbeitenden Gewerbe, in der Lebensmittelbranche oder im IT-Dienstleistungsmanagement wissen nicht, dass sie seit 2025 reguliert sind – und verpassen Registrierung und Fristen.
- Business Continuity als Nebensache. Backup, Wiederherstellung und Krisenmanagement sind Pflichtmaßnahme Nr. 3 – und die Lücke, die bei Prüfungen am häufigsten auffällt: ungetestete Backups, keine Wiederanlaufzeiten, kein Krisenstab.
- Lieferkette ignoriert. Dienstleister und Zulieferer müssen bewertet, vertraglich verpflichtet und überwacht werden. Ein Fragebogen allein beweist nichts – siehe Lieferantenfragebögen als Scheinsicherheit.
- Meldeprozess nicht geübt. 24 Stunden sind kurz, wenn niemand weiß, wer entscheidet. Der Meldeweg gehört vorab festgelegt, dokumentiert und mindestens einmal durchgespielt.
- Geschäftsleitung nicht eingebunden. Umsetzung, Überwachung und Schulung sind persönliche Pflichten der Leitung. Ein ISMS, das nur in der IT lebt, erfüllt sie nicht.
Fahrplan: In fünf Schritten zur NIS-2-Konformität
- Betroffenheit und Einstufung klären – Sektor, Beschäftigte, Umsatz, Bilanzsumme; Betroffenheitsprüfung des BSI; Dokumentation des Ergebnisses, auch bei Nichtbetroffenheit.
- Registrieren – sofort, falls noch nicht geschehen.
- Gap-Analyse gegen die zehn Pflichtbereiche nach § 30 BSIG; typische Prioritäten: Business Continuity, Lieferkette, Incident-Handling und Meldeprozess.
- ISMS aufbauen oder erweitern – ISO 27001 oder IT-Grundschutz als Rahmen, NIS-2-Pflichten als Erweiterung, Geschäftsleitung mit Beschluss, Berichtsweg und Schulung eingebunden.
- Verantwortung besetzen und Nachweise führen – intern oder als externer Informationssicherheitsbeauftragter; Wirksamkeit regelmäßig prüfen, etwa durch interne Audits.
Den Fahrplan im Detail – mit Phasen, Dauer und Ergebnissen – beschreibt NIS-2 umsetzen in sechs Phasen.
Fazit
NIS-2 ist keine abstrakte Bürokratiepflicht, sondern geltendes Recht mit Registrierungspflicht, Meldefristen und persönlicher Verantwortung der Geschäftsleitung. Wer betroffen ist, kann die Anforderungen mit einem strukturierten ISMS systematisch erfüllen – und erhält damit zugleich den Nachweis, den Kunden, Auditoren und Aufsicht verlangen. Der erste Schritt ist einfach: die eigene Betroffenheit prüfen. Der zweite: nicht warten, bis das BSI oder ein Kunde fragt.
