NIS2-Umsetzung 2026: Wer ist betroffen und was Unternehmen jetzt tun müssen (mit Checkliste)
NIS2 gilt in Deutschland seit 6.12.2025. Prüfen Sie, ob Ihr Unternehmen betroffen ist, welche Pflichten gelten und was jetzt zu tun ist – mit Checkliste.
Case studies
See how we turn brands into growth engines
Real projects across branding, packaging, websites and growth.
Frequently asked questions
Straight answers on this topic from the UnFoldMart team.
Recent blogs
View all blogs →
.webp)
.webp)
.jpeg)
.jpeg)
Recognized where it matters.
Ready to Build a Brand That Scales Globally?
Von Branding und Verpackung bis zu Webflow-Websites, SEO, AEO und GEO: UnFoldMart vereint Strategie, Design und Wachstum in einem Team – für 250+ Marken in 10 Märkten. Sagen Sie uns, wo Sie wachsen wollen, und wir zeigen Ihnen den schnellsten Weg dorthin.
- 30-minute strategy call
- No sales pitch
- Clear next steps for your brand
Kurz gesagt
NIS2 ist die EU-Richtlinie (EU) 2022/2555 für Cybersicherheit. In Deutschland gilt sie über das NIS2-Umsetzungsgesetz seit dem 6. Dezember 2025 ohne allgemeine Übergangsfrist. Betroffen sind rund 29.500 Unternehmen, meist ab 50 Beschäftigten oder mehr als 10 Mio. Euro Umsatz und Bilanzsumme in den gelisteten Sektoren. Sie müssen sich beim BSI registrieren, Risikomanagement nach § 30 BSIG umsetzen und erhebliche Vorfälle binnen 24 Stunden melden.
Auf einen Blick
- In Kraft seit 6. Dezember 2025, ohne allgemeine Übergangsfrist (BSI-FAQ).
- Registrierung beim BSI binnen drei Monaten – diese gesetzliche Frist ist abgelaufen; wer noch fehlt, muss sich umgehend registrieren (BSI).
- Meldefristen bei erheblichen Vorfällen: 24 Stunden, 72 Stunden, ein Monat (§ 32 BSIG).
- Bußgelder bis 10 Mio. Euro oder 2 % des weltweiten Umsatzes für besonders wichtige Einrichtungen (§ 65 BSIG).
- Die Geschäftsleitung ist verantwortlich und haftet ihrer Einrichtung nach Gesellschaftsrecht (§ 38 BSIG).
Stand: 11. November 2026. Wichtiger Hinweis: Dieser Artikel ist eine sachliche Orientierung und keine Rechtsberatung. UnFoldMart ist weder Auditor noch Zertifizierungsstelle und erbringt keine Rechtsberatung. Ob und wie NIS2 für Ihr Unternehmen gilt, klären Sie bitte verbindlich mit Ihrer Rechtsberatung.
1. Was ist NIS2? Definition in einem Absatz
NIS2 ist die zweite EU-Richtlinie zur Netz- und Informationssicherheit, die Richtlinie (EU) 2022/2555. Sie stammt vom 14. Dezember 2022 und wurde am 27. Dezember 2022 im Amtsblatt der EU veröffentlicht (ABl. L 333, S. 80; Richtlinientext, Amt für Veröffentlichungen der EU). Sie trat am zwanzigsten Tag nach der Veröffentlichung, also im Januar 2023, in Kraft (Art. 45) und hob die erste NIS-Richtlinie (EU) 2016/1148 mit Wirkung vom 18. Oktober 2024 auf (Art. 44). Die Mitgliedstaaten mussten sie bis zum 17. Oktober 2024 in nationales Recht umsetzen (Art. 41; Europäische Kommission).
Deutschland hat die Richtlinie mit dem „Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung“ vom 2. Dezember 2025 umgesetzt (BGBl. 2025 I Nr. 301); das BSI nennt es kurz „NIS-2-Umsetzungsgesetz“ (BSI-FAQ). Es ist ein Artikelgesetz: Artikel 1 enthält das neu gefasste BSI-Gesetz (BSIG), in dem die konkreten Pflichten für Unternehmen stehen.
Die wichtigsten Begriffe
| Begriff | Bedeutung |
|---|---|
| NIS2 | Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der EU. |
| BSIG | Gesetz über das Bundesamt für Sicherheit in der Informationstechnik. Enthält seit 6.12.2025 die NIS2-Pflichten (§§ 28 ff.). |
| BSI | Bundesamt für Sicherheit in der Informationstechnik, zuständige Aufsichtsbehörde für die meisten NIS2-Einrichtungen. |
| Besonders wichtige Einrichtung | Größere Unternehmen in Sektoren der Anlage 1 BSIG sowie bestimmte Sonderfälle (§ 28 Abs. 1 BSIG). |
| Wichtige Einrichtung | Mittlere Unternehmen in Sektoren der Anlagen 1 und 2 BSIG (§ 28 Abs. 2 BSIG). |
| Betreiber kritischer Anlagen (KRITIS) | Betreiber von Anlagen mit besonderer Bedeutung für die Versorgung; gelten immer als besonders wichtige Einrichtung. |
| Erheblicher Sicherheitsvorfall | Ein Vorfall mit schwerwiegenden Betriebsstörungen, finanziellen Verlusten oder erheblichen Schäden für Dritte; Legaldefinition in § 2 Nr. 11 BSIG. |
| MUK | „Mein Unternehmenskonto“, das Unternehmenskonto der Verwaltung auf Basis des ELSTER-Organisationszertifikats. |
2. Aktueller Stand: Zeitleiste der NIS2-Umsetzung in Deutschland
Das NIS2-Umsetzungsgesetz wurde am 5. Dezember 2025 verkündet und trat am 6. Dezember 2025 in Kraft (BSI-FAQ; BGBl. 2025 I Nr. 301). Artikel 30 des Gesetzes bestimmt: „Dieses Gesetz tritt am Tag nach der Verkündung in Kraft.“
| Datum | Ereignis |
|---|---|
| 14.12.2022 | NIS2-Richtlinie (EU) 2022/2555 erlassen |
| 27.12.2022 | Veröffentlichung im Amtsblatt der EU (ABl. L 333) |
| Januar 2023 | Richtlinie tritt in Kraft |
| 17.10.2024 | EU-Umsetzungsfrist (Art. 41); Deutschland verspätet |
| 13.11.2025 | Beschluss im Bundestag |
| 21.11.2025 | Beschluss im Bundesrat |
| 02.12.2025 | Ausfertigung des Gesetzes (Unterzeichnung durch den Bundespräsidenten) |
| 05.12.2025 | Verkündung im Bundesgesetzblatt |
| 06.12.2025 | Inkrafttreten – Pflichten gelten ab sofort |
| Anfang März 2026 | Ablauf der gesetzlichen Drei-Monats-Frist für die Registrierung (§ 33 Abs. 1 BSIG) |
| 28.10.2026 | BSI stellt ein Beispielcurriculum für NIS2-Geschäftsleitungsschulungen vor |
Zur oft genannten „Nachfrist 31. Juli 2026“: Dieses Datum taucht in Presse- und Verbandsberichten auf. Das BSI selbst schreibt auf seiner NIS2-Seite nur: „Die gesetzliche Registrierungsfrist ist bereits abgelaufen.“ Wer betroffen und noch nicht registriert ist, soll sich „jetzt umgehend im BSI-Portal registrieren“ (BSI). Verlassen Sie sich also nicht auf eine Nachfrist.
Ausblick EU: Die Europäische Kommission hat am 20. Januar 2026 gezielte Änderungen der NIS2-Richtlinie vorgeschlagen, unter anderem zur Vereinfachung und zur Abstimmung mit dem Cybersecurity Act (COM(2026) 13) (Europäische Kommission). Das ist ein Vorschlag. Bis er verabschiedet und in deutsches Recht übernommen ist, gilt das BSIG unverändert.
3. Wer ist von NIS2 betroffen?
Von NIS2 betroffen ist ein Unternehmen, wenn es in einem der Sektoren der Anlagen 1 oder 2 BSIG tätig ist und die Größenschwellen aus § 28 BSIG erreicht. Laut BSI gelten die neuen Pflichten für rund 29.500 Unternehmen in Deutschland sowie für Institutionen der Bundesverwaltung (BSI-FAQ).
Das Gesetz unterscheidet zwei Kategorien; sie bestimmen vor allem Bußgeldrahmen und Aufsicht.
Besonders wichtige Einrichtungen (§ 28 Abs. 1 BSIG)
Als besonders wichtige Einrichtung gelten nach § 28 Abs. 1 BSIG:
- Betreiber kritischer Anlagen – unabhängig von der Unternehmensgröße.
- Qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries und DNS-Diensteanbieter – unabhängig von der Größe.
- Telekommunikationsanbieter mit mindestens 50 Mitarbeitern oder einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Mio. Euro.
- Sonstige Unternehmen in Sektoren der Anlage 1 mit mindestens 250 Mitarbeitern oder einem Jahresumsatz von über 50 Mio. Euro und zudem einer Jahresbilanzsumme von über 43 Mio. Euro.
Achten Sie auf die Logik: Die Mitarbeiterzahl allein reicht; beim Geld müssen Umsatz und Bilanzsumme über der Schwelle liegen.
Wichtige Einrichtungen (§ 28 Abs. 2 BSIG)
Wichtige Einrichtungen sind Unternehmen der gelisteten Sektoren mit mindestens 50 Mitarbeitern oder mehr als 10 Mio. Euro Jahresumsatz und Jahresbilanzsumme (§ 28 Abs. 2 BSIG). Dazu zählen:
- Vertrauensdiensteanbieter (nicht qualifiziert),
- kleinere Telekommunikationsanbieter,
- Unternehmen in Sektoren der Anlage 1 oder Anlage 2, die mindestens 50 Mitarbeiter beschäftigen oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. Euro haben – sofern sie nicht schon besonders wichtige Einrichtung sind.
Welche Sektoren zählen?
| Anlage 1 BSIG (besonders wichtige oder wichtige Einrichtung) | Anlage 2 BSIG (wichtige Einrichtung) |
|---|---|
| Energie (Strom, Fernwärme/-kälte, Kraftstoff und Heizöl, Gas, Wasserstoff) | Post- und Kurierdienste |
| Transport und Verkehr (Luft, Schiene, Schifffahrt, Straße) | Abfallbewirtschaftung |
| Finanzwesen | Produktion, Herstellung und Handel mit chemischen Stoffen |
| Gesundheit | Produktion, Verarbeitung und Vertrieb von Lebensmitteln (Großhandel, industrielle Produktion) |
| Wasser (Trinkwasser, Abwasser) | Verarbeitendes Gewerbe: Medizinprodukte und In-vitro-Diagnostika, Datenverarbeitungsgeräte und Elektronik, elektrische Ausrüstung, Maschinenbau, Kraftwagen und -teile, sonstiger Fahrzeugbau |
| Digitale Infrastruktur, z. B. Cloud-Computing, Rechenzentren, Content Delivery Networks, Managed Services Provider, Managed Security Services Provider | Anbieter digitaler Dienste: Online-Marktplätze, Online-Suchmaschinen, Plattformen sozialer Netzwerke |
| Weltraum (Bodeninfrastruktur) | Forschungseinrichtungen |
Quellen: Anlage 1 BSIG, Anlage 2 BSIG. Im verarbeitenden Gewerbe richtet sich die Zuordnung nach den NACE-Codes (Abteilungen 26 bis 30). Prüfen Sie daher Ihren Wirtschaftszweig-Code.
Für IT-Dienstleister wichtig: Managed Services Provider und Managed Security Services Provider stehen in Anlage 1 und können damit auch besonders wichtige Einrichtungen sein.
So zählen Sie Mitarbeiter und Umsatz
- Grundlage ist die KMU-Empfehlung der EU-Kommission (2003/361/EG) (§ 28 Abs. 4 BSIG). Daten von Partner- und verbundenen Unternehmen werden grundsätzlich mitgezählt. Eine Tochter mit 40 Mitarbeitern kann also über die Konzernzahlen betroffen sein.
- Ausnahme bei IT-Unabhängigkeit: Die Daten verbundener Unternehmen werden nicht hinzugerechnet, wenn Ihr Unternehmen bei Beschaffenheit und Betrieb seiner IT-Systeme, Komponenten und Prozesse rechtlich, wirtschaftlich und tatsächlich unabhängig ist (§ 28 Abs. 4 Satz 2 BSIG).
- Vernachlässigbare Nebentätigkeiten dürfen bei der Sektorzuordnung unberücksichtigt bleiben (§ 28 Abs. 3 BSIG).
Ausnahmen
- DORA-Finanzunternehmen: Für Finanzunternehmen nach der Verordnung (EU) 2022/2554 (DORA) gelten die §§ 30, 31, 32, 35, 36, 38 und 39 BSIG nicht (§ 28 Abs. 6 BSIG). Für sie hat DORA Vorrang.
- Telekommunikations- und Energienetzbetreiber: Für sie gelten Sonderregeln im Telekommunikations- beziehungsweise Energiewirtschaftsrecht statt zentraler BSIG-Pflichten, mit Rückausnahmen für weitere Tätigkeiten (§ 28 Abs. 5 BSIG).
Nicht betroffen – aber Zulieferer?
Auch Unternehmen, die nicht unter § 28 BSIG fallen, spüren NIS2 oft über ihre Kunden. Betroffene Einrichtungen müssen nach § 30 Abs. 2 Nr. 4 BSIG die Sicherheit ihrer Lieferkette steuern. Das BSI stellt klar, dass sich das BSIG dadurch „mittelbar auch auf nicht von NIS-2 betroffene Unternehmen auswirken“ kann (BSI-FAQ). Die Gesetzesbegründung nennt als Beispiele vertragliche Vereinbarungen zu Risikomanagement, Vorfallbewältigung und Patchmanagement.
In der Praxis erhalten Zulieferer Sicherheitsfragebögen, Vertragsklauseln und Nachweisanforderungen.
Selbstcheck: die BSI-Betroffenheitsprüfung
Der erste Schritt ist die frei zugängliche NIS-2-Betroffenheitsprüfung des BSI. Das Ergebnis ist laut BSI eine „automatisierte Ersteinschätzung“, keine verbindliche Feststellung; eine verbindliche Mitteilung der Betroffenheit durch das BSI erfolgt nicht (BSI-FAQ). Dokumentieren Sie Ihre Antworten und die Begründung – auch wenn das Ergebnis „nicht betroffen“ lautet.
4. Welche Pflichten gelten? NIS2-Anforderungen im Überblick
Die vier Kernpflichten nach NIS2 sind Registrierung, Risikomanagement, Meldung erheblicher Vorfälle und die Verantwortung der Geschäftsleitung. Das NIS2-Umsetzungsgesetz sieht keine allgemeine Übergangsfrist vor; betroffene Unternehmen müssen diese Pflichten grundsätzlich seit Inkrafttreten erfüllen (BSI-FAQ).
Registrierung (§ 33 BSIG)
Besonders wichtige und wichtige Einrichtungen müssen sich spätestens drei Monate, nachdem sie erstmals als solche gelten, beim BSI registrieren (§ 33 Abs. 1 BSIG). Anzugeben sind:
- Name, Rechtsform und gegebenenfalls Handelsregisternummer,
- Anschrift und aktuelle Kontaktdaten, einschließlich E-Mail-Adresse, öffentlicher IP-Adressbereiche und Telefonnummern,
- der relevante Sektor beziehungsweise die Branche nach Anlage 1 oder 2,
- die EU-Mitgliedstaaten, in denen Sie entsprechende Dienste erbringen,
- die zuständigen Aufsichtsbehörden des Bundes und der Länder.
Ändern sich diese Angaben, müssen Sie das BSI spätestens binnen zwei Wochen informieren (§ 33 Abs. 5 BSIG). Erfüllt ein Unternehmen seine Pflicht nicht, kann das BSI die Registrierung auch selbst vornehmen (§ 33 Abs. 3 BSIG).
Die Registrierung läuft in zwei Stufen: zuerst über „Mein Unternehmenskonto“ (MUK), das auf dem ELSTER-Organisationszertifikat aufbaut, dann im BSI-Portal (BSI-FAQ). Die verbindlichen Details regelt das BSI im Dokument „Einzelheiten zur Ausgestaltung des Registrierungsverfahrens“ (BSI – Registrierungspflicht).
Risikomanagement (§ 30 BSIG): die 10 Mindestmaßnahmen
Betroffene Einrichtungen müssen „geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen“ ergreifen (§ 30 Abs. 1 BSIG). Die Maßnahmen sollen den Stand der Technik einhalten und müssen auf einem gefahrenübergreifenden Ansatz beruhen (§ 30 Abs. 2 Satz 1 BSIG). Nach § 30 Abs. 2 Satz 2 BSIG umfassen sie mindestens (EU-Grundlage: Art. 21 NIS2-Richtlinie):
- Konzepte zur Risikoanalyse und zur Sicherheit in der Informationstechnik,
- Bewältigung von Sicherheitsvorfällen,
- Aufrechterhaltung des Betriebs, etwa Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement,
- Sicherheit der Lieferkette, einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern,
- Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen, einschließlich Management und Offenlegung von Schwachstellen,
- Konzepte und Verfahren zur Bewertung der Wirksamkeit der Maßnahmen,
- grundlegende Schulungen und Sensibilisierung,
- Konzepte und Prozesse für den Einsatz von Kryptografie,
- Sicherheit des Personals, Zugriffskontrolle und Verwaltung von IKT-Systemen, -Produkten und -Prozessen,
- Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikation.
Zwei Punkte werden oft übersehen. Erstens: Die Einhaltung ist zu dokumentieren (§ 30 Abs. 1 Satz 3 BSIG) – fehlende Dokumentation ist selbst ein Bußgeldtatbestand (§ 65 Abs. 2 Nr. 3 BSIG). Zweitens: Verhältnismäßigkeit bemisst sich an Risikoexposition, Unternehmensgröße, Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere möglicher Vorfälle. Jede der zehn Maßnahmen muss dennoch begründet adressiert werden.
Meldepflichten (§ 32 BSIG)
Ein erheblicher Sicherheitsvorfall muss dem BSI spätestens 24 Stunden nach Kenntniserlangung gemeldet werden (§ 32 Abs. 1 BSIG). Die Meldung geht an die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK). Das dreistufige Schema stammt aus Art. 23 NIS2-Richtlinie.
| Stufe | Frist | Inhalt |
|---|---|---|
| Frühe Erstmeldung | unverzüglich, spätestens 24 Stunden | Besteht Verdacht auf rechtswidrige oder böswillige Handlungen? Sind grenzüberschreitende Auswirkungen möglich? |
| Meldung | unverzüglich, spätestens 72 Stunden | Bestätigung oder Aktualisierung, erste Bewertung von Schweregrad und Auswirkungen, gegebenenfalls Kompromittierungsindikatoren |
| Zwischenmeldung | auf Ersuchen des BSI | relevante Statusaktualisierungen |
| Abschlussmeldung | spätestens 1 Monat nach der 72-Stunden-Meldung | ausführliche Beschreibung, Ursache, Abhilfemaßnahmen, grenzüberschreitende Auswirkungen |
Dauert der Vorfall nach einem Monat noch an, reichen Sie statt der Abschlussmeldung eine Fortschrittsmeldung ein; die Abschlussmeldung folgt nach Abschluss der Bearbeitung (§ 32 Abs. 2 BSIG).
Praxistipp: Legen Sie vorab fest, wer die zwei Einschätzungen der Erstmeldung trifft und wer meldet. Gemeldet wird über das BSI-Portal. Wer betroffen, aber noch nicht im BSI-Portal registriert ist, meldet einen erheblichen Sicherheitsvorfall über ein Online-Formular im Melde- und Informationsportal (MIP) (BSI-Infopaket Meldepflicht). Betreiber kritischer Anlagen können übergangsweise weiterhin das etablierte Meldeverfahren MIP-2 nutzen (BSI-FAQ). Weitere Hinweise gibt das BSI-Infopaket Meldepflicht.
Pflichten der Geschäftsleitung (§ 38 BSIG)
Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1 BSIG). Verletzt sie diese Pflicht, haftet sie ihrer Einrichtung für schuldhaft verursachte Schäden nach den Regeln des Gesellschaftsrechts (§ 38 Abs. 2 BSIG).
Außerdem muss die Geschäftsleitung regelmäßig an Schulungen teilnehmen (§ 38 Abs. 3 BSIG; EU-Grundlage: Art. 20 Abs. 2 NIS2-Richtlinie). Das Gesetz selbst nennt weder Intervall noch Dauer. Nach der Gesetzesbegründung gelten Schulungen als „regelmäßig“, „die mindestens alle drei Jahre angeboten werden“; das BSI geht davon aus, dass dieses Mindestintervall „in den seltensten Fällen ausreichend ist“. Die oft genannten vier Stunden sind laut BSI „keine Empfehlung, sondern eine Annahme aus der Gesetzesbegründung zur durchschnittlichen Dauer von Schulungen“; in den allermeisten Fällen werde eine vierstündige Schulung nicht ausreichen (BSI-FAQ). Die Schulungspflicht gilt für jedes Mitglied der Geschäftsleitung. Am 28. Oktober 2026 hat das BSI ein Beispielcurriculum für NIS2-Geschäftsleitungsschulungen vorgestellt, ergänzt durch eine Checkliste der Gesellschaft für Informatik (BSI-Meldung).
Nachweise und Zertifikate
Unternehmen, die keine kritischen Anlagen betreiben, müssen die Umsetzung nur auf Anordnung des BSI nachweisen (BSI-FAQ). Betreiber kritischer Anlagen erbringen Nachweise regelmäßig.
Eine Zertifizierung nach ISO/IEC 27001 oder BSI-IT-Grundschutz kann den Nachweis erleichtern. Sie muss aber laut BSI mit dem gesetzlichen Maßnahmenkatalog abgeglichen und gegebenenfalls ergänzt werden. Das BSI stellt klar: „Ein allgemeines Zertifikat zum Nachweis der Anforderungen gibt es nicht.“
Förderung
Eine finanzielle Förderung des Bundes für die NIS2-Umsetzung ist laut BSI „derzeit nicht vorgesehen“ (BSI-FAQ).
5. Bußgelder: Was droht bei Verstößen? (§ 65 BSIG)
Besonders wichtigen Einrichtungen drohen Bußgelder bis 10 Mio. Euro oder 2 % des weltweiten Umsatzes (§ 65 Abs. 5 und 6 BSIG); wichtigen Einrichtungen bis 7 Mio. Euro oder 1,4 % (§ 65 Abs. 5 und 7 BSIG). Diese Werte entsprechen den Mindest-Höchstbeträgen aus Art. 34 Abs. 4 und 5 NIS2-Richtlinie. Die Höhe hängt vom Verstoß und von der Kategorie ab.
| Verstoß | Besonders wichtige Einrichtung | Wichtige Einrichtung |
|---|---|---|
| Risikomanagement nicht oder nicht richtig umgesetzt, fehlende Dokumentation, Melde- und Abschlussmeldepflichten verletzt | bis 10 Mio. Euro; bei mehr als 500 Mio. Euro Gesamtumsatz bis 2 % des weltweiten Gesamtumsatzes | bis 7 Mio. Euro; bei mehr als 500 Mio. Euro Gesamtumsatz bis 1,4 % des weltweiten Gesamtumsatzes |
| Registrierungsangaben nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermittelt (§ 65 Abs. 2 Nr. 6) | bis 500.000 Euro | bis 500.000 Euro |
| bestimmte Auskunfts-, Vorlage- und Zutrittspflichten gegenüber dem BSI verletzt (§ 65 Abs. 2 Nr. 1 Buchst. b und Nr. 17) | bis 100.000 Euro | bis 100.000 Euro |
Hinzu kommt die mögliche Haftung der Geschäftsleitung gegenüber der eigenen Einrichtung nach § 38 Abs. 2 BSIG. Das sind Höchstbeträge; die tatsächliche Höhe legt die Behörde im Einzelfall fest.
6. NIS2-Checkliste: In 10 Schritten zur Umsetzung
Die Checkliste ordnet die Pflichten in eine sinnvolle Reihenfolge und ersetzt keine Rechtsberatung.
- 1. Betroffenheit prüfen und dokumentieren. Nutzen Sie die BSI-Betroffenheitsprüfung. Berücksichtigen Sie Konzernstruktur, verbundene Unternehmen und Ihren NACE-Code.
- 2. Kategorie bestimmen. Besonders wichtige oder wichtige Einrichtung? Die Einordnung bestimmt Aufsicht und Bußgeldrahmen.
- 3. Registrieren – falls noch nicht geschehen, sofort. ELSTER-Organisationszertifikat und MUK einrichten, dann im BSI-Portal registrieren. Änderungen künftig binnen zwei Wochen melden.
- 4. Verantwortung festlegen und Geschäftsleitung schulen. Benennen Sie Verantwortliche für Informationssicherheit. Planen Sie die Schulung der Geschäftsleitung, etwa entlang des BSI-Beispielcurriculums.
- 5. Assets und Risiken erfassen. Welche Systeme, Daten und Dienstleister tragen die Dienste, die Ihr Unternehmen erbringt? Bewerten Sie die Risiken.
- 6. Gap-Analyse gegen die 10 Maßnahmen aus § 30 Abs. 2 BSIG. Gleichen Sie den Ist-Zustand ab, etwa mit einem Mapping auf ISO/IEC 27001 oder IT-Grundschutz.
- 7. Meldeprozess einrichten und üben. Rollen, Kontakte und Entscheidungswege für 24 Stunden, 72 Stunden und einen Monat festlegen; mit einer Tabletop-Übung testen.
- 8. Lieferkette steuern. Kritische Dienstleister identifizieren, Sicherheitsanforderungen in Verträge aufnehmen, Nachweise anfordern.
- 9. Technische Grundlagen absichern. Multi-Faktor-Authentifizierung, getestete Backups, Schwachstellen- und Patchmanagement, Penetrationstest der wichtigsten Systeme.
- 10. Dokumentieren und regelmäßig überprüfen. Wirksamkeit der Maßnahmen bewerten (§ 30 Abs. 2 Nr. 6 BSIG) und Dokumentation aktuell halten.
7. Typische Fehler bei der NIS2-Umsetzung
- „Wir sind zu klein.“ Ohne Prüfung der Konzernzahlen ist diese Aussage riskant. Nach § 28 Abs. 4 BSIG zählen verbundene Unternehmen grundsätzlich mit.
- „Wir haben ISO 27001, also sind wir fertig.“ Das BSI sagt ausdrücklich, dass ein Zertifikat gegen den Katalog des § 30 BSIG geprüft und gegebenenfalls ergänzt werden muss.
- Registrierung vergessen. Die Registrierung ist eine eigene Pflicht nach § 33 BSIG. Fehlende oder falsche Angaben können mit bis zu 500.000 Euro geahndet werden (§ 65 Abs. 2 Nr. 6 i. V. m. Abs. 5 Satz 1 Nr. 5 BSIG).
- Meldeprozess nur auf Papier. Wer die 24-Stunden-Frist aus § 32 BSIG nie geübt hat, verliert im Ernstfall wertvolle Stunden.
- Lieferkette ignoriert. § 30 Abs. 2 Nr. 4 BSIG verlangt die Steuerung von Risiken bei unmittelbaren Anbietern und Dienstleistern.
- Geschäftsleitung delegiert vollständig. Aufgaben lassen sich delegieren, die Pflicht zur Umsetzung und Überwachung nach § 38 Abs. 1 BSIG aber nicht.
8. NIS2, DORA, CRA, ISO 27001: Wie hängt das zusammen?
| Regelwerk | Gegenstand | Für wen | Pflicht oder freiwillig |
|---|---|---|---|
| NIS2 / BSIG | Cybersicherheit von Einrichtungen und ihren Diensten | Unternehmen der Anlagen 1 und 2 BSIG ab den Schwellen des § 28 | gesetzliche Pflicht |
| DORA, Verordnung (EU) 2022/2554 | digitale operationale Resilienz | Finanzunternehmen | gesetzliche Pflicht; hat für diese Unternehmen Vorrang vor großen Teilen der §§ 30 ff. BSIG (§ 28 Abs. 6) |
| Cyber Resilience Act (CRA), Verordnung (EU) 2024/2847 | Sicherheit von Hard- und Softwareprodukten mit digitalen Elementen (Europäische Kommission) | vor allem Hersteller solcher Produkte, mit Pflichten entlang der Lieferkette | gesetzliche Pflicht, aber produktbezogen statt unternehmensbezogen |
| ISO/IEC 27001 | Managementsystem für Informationssicherheit | jede Organisation | freiwilliger Standard; nützlicher Baustein für NIS2, aber kein Ersatz |
9. Wie UnFoldMart Sie bei NIS2 unterstützt
UnFoldMart bietet NIS2-Gap-Review und Cyber-Security-Beratung für Unternehmen ohne eigene Security-Spezialisten. Das Angebot erstellen wir individuell nach einem kurzen Briefing.
Was wir konkret tun:
- EU-Compliance-Gap-Review: Abgleich Ihres Ist-Zustands mit den Maßnahmen aus § 30 BSIG sowie bei Bedarf mit DORA, Cyber Resilience Act und DSGVO. Der Bericht enthält ein Mapping auf ISO/IEC 27001 und weitere Rahmenwerke.
- Sicherheitsbewertung von Anwendungen, Infrastruktur, Zugängen und Prozessen.
- Penetrationstests für Web, APIs, Mobile Apps, Netzwerke, Cloud und Container.
- Incident-Readiness: Notfallplan, Rollen und Tabletop-Übung, damit die 24-Stunden-Meldung im Ernstfall funktioniert.
- Unterstützung beim Beheben und ein kostenloser Retest mit Retest-Bestätigung für Kunden und Prüfer.
- Angrenzend: Backups, Logging und Härtung über unsere Cloud- und DevOps-Beratung; sichere Entwicklung und Schwachstellenmanagement in der App-Entwicklung und der Webentwicklung.
So läuft es ab (typische Spannen, keine Garantie; Ihr Angebot legt den tatsächlichen Zeitplan fest):
- Gespräch – rund 30 Minuten: Was soll geschützt werden, bis wann? Das kostenlose 30-minütige Erstgespräch findet per Video auf Englisch statt.
- Scope und Freigabe – etwa eine Woche, schriftlich.
- Prüfung – ein bis vier Wochen; kritische Funde melden wir sofort.
- Bericht und Besprechung – mit Management-Zusammenfassung, CVSS-Bewertung und Empfehlungen.
- Beheben und kostenloser Retest – sobald Ihre Korrekturen bereit sind.
Klare Grenzen – bitte beachten:
- UnFoldMart ist kein Auditor und keine Zertifizierungsstelle. Wir zertifizieren oder auditieren keine Unternehmen und stellen keine NIS2-, ISO-27001-, SOC-2- oder PCI-DSS-Zertifikate aus.
- UnFoldMart erbringt keine Rechtsberatung. Ob NIS2 für Ihr Unternehmen gilt und in welcher Kategorie, klären Sie verbindlich mit Ihrer Rechtsberatung.
- Die Registrierung beim BSI nehmen Sie als Unternehmen selbst vor. Wir können Sie bei der Vorbereitung der technischen Angaben unterstützen.
Kostenloses 30-Minuten-Gespräch buchen (per Video, auf Englisch): Wir sagen Ihnen ehrlich, wo Sie bei NIS2 stehen und welche Lücken zuerst geschlossen werden sollten. Jetzt Termin vereinbaren
Tags:
web development
FAQs
Noch Fragen? Hier sind die Antworten – klar, einfach und auf den Punkt.
Bin ich als Zulieferer von NIS2 betroffen?
Nicht direkt, wenn Sie selbst nicht unter § 28 BSIG fallen. Ihre Kunden müssen jedoch die Sicherheit ihrer Lieferkette steuern (§ 30 Abs. 2 Nr. 4 BSIG) und fordern deshalb häufig Nachweise, Fragebögen oder Vertragsklauseln von Zulieferern.
Gibt es Fördergeld für die NIS2-Umsetzung?
Nein. Laut BSI ist eine finanzielle Förderung des Bundes für die Umsetzung des NIS2-Umsetzungsgesetzes derzeit nicht vorgesehen.
Reicht eine ISO-27001-Zertifizierung für NIS2?
Nein, allein nicht. Laut BSI kann eine ISO-27001-Zertifizierung den Nachweis erleichtern, muss aber mit dem Maßnahmenkatalog des § 30 BSIG abgeglichen und gegebenenfalls ergänzt werden. Ein allgemeines NIS2-Zertifikat gibt es nicht.
Haftet die Geschäftsführung bei NIS2 persönlich?
Ja. Geschäftsleitungen, die ihre Pflichten zur Umsetzung und Überwachung verletzen, haften ihrer Einrichtung für schuldhaft verursachte Schäden nach Gesellschaftsrecht (§ 38 Abs. 2 BSIG). Zusätzlich müssen sie regelmäßig an Schulungen teilnehmen.
Welche Meldefristen gelten bei einem Sicherheitsvorfall?
Bei einem erheblichen Sicherheitsvorfall gilt: frühe Erstmeldung spätestens nach 24 Stunden, Meldung mit erster Bewertung spätestens nach 72 Stunden und Abschlussmeldung spätestens einen Monat danach (§ 32 BSIG).
Ist die NIS2-Registrierungsfrist abgelaufen – was jetzt?
Ja. Die gesetzliche Frist von drei Monaten ab Inkrafttreten am 6. Dezember 2025 ist Anfang März 2026 abgelaufen. Das BSI fordert betroffene Unternehmen, die noch nicht registriert sind, auf, sich umgehend im BSI-Portal zu registrieren. Fehlende Registrierungsangaben können mit bis zu 500.000 Euro geahndet werden.
Wie finde ich heraus, ob mein Unternehmen von NIS2 betroffen ist?
Prüfen Sie, ob Ihre Tätigkeit in Anlage 1 oder 2 BSIG genannt ist und ob Sie die Größenschwellen nach § 28 BSIG erreichen, in der Regel 50 Mitarbeiter oder mehr als 10 Mio. Euro Umsatz und Bilanzsumme. Die frei zugängliche BSI-Betroffenheitsprüfung gibt eine erste, unverbindliche Einschätzung.
Seit wann gilt NIS2 in Deutschland?
Seit dem 6. Dezember 2025. Das NIS2-Umsetzungsgesetz wurde am 5. Dezember 2025 im Bundesgesetzblatt (BGBl. 2025 I Nr. 301) verkündet und sieht keine allgemeine Übergangsfrist vor.