www.simplify-data.de
Mit dem NIS2-Umsetzungsgesetz ist die europäische NIS-2-Richtlinie in deutsches Recht überführt worden. Damit fallen deutlich mehr Unternehmen als bisher unter gesetzliche Pflichten zur Cybersicherheit, darunter viele Mittelständler, die sich bisher nie damit befassen mussten. Dieser Artikel gibt Ihnen einen Überblick, wer betroffen ist, was konkret zu tun ist und wo Sie offizielle Informationen finden.
Wichtig vorab: Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung. Ob Ihr Unternehmen im Einzelfall betroffen ist, sollten Sie anhand des Gesetzestextes und bei Unklarheiten mit juristischer Unterstützung prüfen.
Was ist NIS2 und seit wann gilt es?
NIS2 steht für die zweite EU-Richtlinie über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau (Richtlinie (EU) 2022/2555). Deutschland hat sie mit dem „Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung“ umgesetzt, kurz NIS2UmsuCG.
Der Bundestag hat das Gesetz am 13. November 2025 beschlossen. Es wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet (BGBl. 2025 I Nr. 301) und ist am 6. Dezember 2025 in Kraft getreten. Kern ist ein neu gefasstes BSI-Gesetz (BSIG). Eine allgemeine Übergangsfrist gibt es laut BSI nicht: Die Pflichten gelten grundsätzlich ab Inkrafttreten.
Das BSI geht von rund 29.500 betroffenen Unternehmen und Institutionen der Bundesverwaltung aus (Stand: November 2026).
Wer ist betroffen?
Ob ein Unternehmen unter NIS2 fällt, hängt von zwei Faktoren ab: der Branche und der Unternehmensgröße. Die Branchen sind in zwei Anlagen zum BSIG aufgelistet.
Anlage 1 (Sektoren mit hoher Kritikalität) umfasst unter anderem:
- Energie (Strom, Gas, Fernwärme, Kraftstoff und Heizöl)
- Transport und Verkehr (Luft, Schiene, Schifffahrt, Straße)
- Finanzwesen und Gesundheit
- Wasser (Trinkwasser, Abwasser)
- Digitale Infrastruktur, darunter Cloud- und Rechenzentrumsdienste, DNS-Dienste sowie Managed Services Provider und Managed Security Services Provider
- Weltraum
Anlage 2 (sonstige kritische Sektoren) umfasst unter anderem:
- Post- und Kurierdienste
- Abfallbewirtschaftung
- Chemie sowie Lebensmittelproduktion und -vertrieb
- Verarbeitendes Gewerbe, etwa Maschinenbau, Herstellung von Medizinprodukten, elektrischen Ausrüstungen, Kraftwagen und Datenverarbeitungsgeräten
- Anbieter digitaler Dienste und Forschung
Besonders wichtige und wichtige Einrichtungen
Das Gesetz unterscheidet zwei Kategorien. Die Schwellenwerte stehen in § 28 BSIG:
| Kategorie | Branche | Größe (eines der Kriterien genügt) |
|---|---|---|
| Besonders wichtige Einrichtung | Anlage 1 | mindestens 250 Beschäftigte oder Jahresumsatz über 50 Mio. Euro und Jahresbilanzsumme über 43 Mio. Euro |
| Wichtige Einrichtung | Anlage 1 oder 2 | mindestens 50 Beschäftigte oder Jahresumsatz und Jahresbilanzsumme jeweils über 10 Mio. Euro |
Daneben gibt es Sonderfälle, die unabhängig von der Größe erfasst sind, zum Beispiel Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries und DNS-Diensteanbieter. Für Telekommunikationsanbieter gelten eigene Schwellen.
Ein Punkt wird oft übersehen: Auch wenn Ihr Unternehmen selbst nicht betroffen ist, können NIS2-Pflichten Sie indirekt erreichen. Betroffene Einrichtungen müssen die Sicherheit ihrer Lieferkette berücksichtigen und geben Anforderungen deshalb häufig vertraglich an Dienstleister und Zulieferer weiter.
Die wichtigsten Pflichten im Überblick
Registrierung beim BSI
Betroffene Einrichtungen müssen sich spätestens drei Monate, nachdem sie erstmals oder erneut NIS2-betroffen sind, beim BSI registrieren (§ 33 BSIG). Der Prozess hat zwei Schritte: zuerst ein Konto bei „Mein Unternehmenskonto“ (MUK), dann die Registrierung im BSI-Portal. Ändern sich Ihre Angaben, müssen Sie das unverzüglich, spätestens nach zwei Wochen, nachtragen.
Für Unternehmen, die schon beim Inkrafttreten betroffen waren, lief die Dreimonatsfrist damit im März 2026 ab. Wer die Registrierung versäumt hat, sollte sie umgehend nachholen. Wird ein Unternehmen später betroffen, etwa durch Wachstum, beginnt die Frist ab diesem Zeitpunkt.
Meldung erheblicher Sicherheitsvorfälle
Kommt es zu einem erheblichen Sicherheitsvorfall, gilt ein gestuftes Meldeverfahren an das BSI:
- Innerhalb von 24 Stunden nach Kenntniserlangung: frühe Erstmeldung
- Innerhalb von 72 Stunden: Meldung mit einer ersten Bewertung, etwa zu Schweregrad, Auswirkungen und Kompromittierungsindikatoren
- Spätestens nach einem Monat: Abschlussmeldung
Diese Fristen sind kurz. Sie lassen sich nur einhalten, wenn vorher feststeht, wer im Ernstfall entscheidet, wer meldet und welche Informationen bereitliegen.
Risikomanagementmaßnahmen
Nach § 30 BSIG müssen betroffene Einrichtungen geeignete, verhältnismäßige technische und organisatorische Maßnahmen ergreifen. Das Gesetz nennt mindestens zehn Bereiche, darunter:
- Risikoanalyse und Sicherheitskonzepte
- Bewältigung von Sicherheitsvorfällen
- Aufrechterhaltung des Betriebs, zum Beispiel Backup-Management und Krisenmanagement
- Sicherheit der Lieferkette
- Schulungen und Sensibilisierung der Beschäftigten
- Konzepte für Kryptografie und Verschlüsselung
- Zugriffskontrolle und Management von Anlagen
- Multi-Faktor-Authentifizierung und gesicherte Kommunikation
Die Maßnahmen sollen dem Stand der Technik entsprechen und dokumentiert werden. Normen wie ISO/IEC 27001 oder der IT-Grundschutz des BSI können den Nachweis erleichtern, ersetzen aber laut BSI nicht die Prüfung gegen den gesetzlichen Maßnahmenkatalog.
Verantwortung der Geschäftsleitung
NIS2 ist ausdrücklich Chefsache. Nach § 38 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen umsetzen und überwachen. Verletzt sie diese Pflichten, haftet sie gegenüber der eigenen Einrichtung für schuldhaft verursachte Schäden. Zudem muss die Geschäftsleitung regelmäßig an Schulungen teilnehmen. Auch wenn die IT vollständig ausgelagert ist, bleibt die Verantwortung laut BSI bei der Geschäftsleitung.
Aufsicht und Bußgelder
Das BSI überwacht die Einhaltung. Es kann Informationen anfordern, Prüfungen durchführen und Anordnungen erlassen. Bei Verstößen drohen Bußgelder: laut BSI bis zu 10 Mio. Euro oder 2 Prozent des Gesamtumsatzes bei besonders wichtigen Einrichtungen und bis zu 7 Mio. Euro oder 1,4 Prozent bei wichtigen Einrichtungen.
Checkliste: So gehen Sie jetzt vor
- Betroffenheit prüfen: Gleichen Sie Ihre Tätigkeit mit Anlage 1 und 2 des BSIG ab und prüfen Sie die Größenschwellen. Das BSI bietet dafür eine Betroffenheitsprüfung auf seiner Website an.
- Ergebnis dokumentieren: Halten Sie fest, wie Sie zu Ihrer Einschätzung gekommen sind, auch wenn Sie nicht betroffen sind.
- Registrieren: Legen Sie bei Betroffenheit ein MUK-Konto an und registrieren Sie sich im BSI-Portal.
- Meldeprozess festlegen: Bestimmen Sie Verantwortliche und Vertretungen und üben Sie den Ablauf für die 24-Stunden-Meldung.
- Bestandsaufnahme machen: Prüfen Sie, welche der zehn Maßnahmenbereiche bereits abgedeckt sind, zum Beispiel MFA, Backups und Zugriffskontrolle.
- Lieferkette einbeziehen: Klären Sie mit IT-Dienstleistern, welche Sicherheitsleistungen vertraglich vereinbart sind.
- Geschäftsleitung schulen: Planen Sie regelmäßige Schulungen für die Geschäftsführung ein.
Wie Simplify Data unterstützen kann
Wir begleiten kleine und mittlere Unternehmen in Kiel, Schleswig-Holstein und Hamburg bei der technischen Umsetzung von Sicherheitsmaßnahmen, etwa mit einem Zero-Trust-Netzwerk auf WireGuard-Basis und Managed E-Mail. Die rechtliche Bewertung Ihrer Betroffenheit ersetzt das nicht, aber viele Maßnahmen aus § 30 BSIG lassen sich so strukturiert angehen. Managed Services kennenlernen