NIS2 für Unternehmen: Pflichten, Betroffenheit und erste Umsetzungsschritte

Datenschutz & Compliance

Veröffentlicht am 6. März 2026

aktualisiert am 29. Oktober 2026

8 Min. Lesezeit

Inhalt

Seit dem 6. Dezember 2025 setzt Deutschland die europäische NIS2-Richtlinie mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) um. Kern ist ein neu gefasstes BSI-Gesetz (BSIG). Die NIS2-Pflichten für Unternehmen reichen von der Registrierung beim BSI über Meldefristen bei Sicherheitsvorfällen bis zu konkreten Risikomanagementmaßnahmen und einer persönlichen Verantwortung der Geschäftsleitung.

Nach Angaben des BSI vom 6. Januar 2026 fallen rund 29.500 Unternehmen in Deutschland sowie Institutionen der Bundesverwaltung unter die neuen Pflichten. Dieser Beitrag erklärt, woran sich die Betroffenheit festmacht, welche Pflichten gelten und wie Sie strukturiert beginnen. Stand der Angaben: 29. Oktober 2026. Der Beitrag ersetzt keine Rechtsberatung: Ob ein Unternehmen betroffen ist, hängt vom Einzelfall ab und sollte im Zweifel rechtlich geprüft werden.

Wer ist von NIS2 betroffen?

Die Einstufung regelt § 28 BSIG. Entscheidend sind immer zwei Kriterien zusammen: die Tätigkeit in einem der gesetzlich genannten Sektoren und die Unternehmensgröße. Eine Mitarbeiterzahl allein sagt also noch nichts über die Betroffenheit aus.

Sektoren nach Anlage 1 und 2 BSIG

  • Anlage 1 (Sektoren besonders wichtiger und wichtiger Einrichtungen): Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur, Weltraum
  • Anlage 2 (Sektoren wichtiger Einrichtungen): Transport und Verkehr (dort Post- und Kurierdienste), Abfallbewirtschaftung, Produktion, Herstellung und Handel mit chemischen Stoffen, Produktion, Verarbeitung und Vertrieb von Lebensmitteln, verarbeitendes Gewerbe/Herstellung von Waren, Anbieter digitaler Dienste, Forschung

Innerhalb der Sektoren nennen die Anlagen konkrete Einrichtungsarten. Ein Unternehmen aus dem verarbeitenden Gewerbe ist zum Beispiel nur dann erfasst, wenn es in einen der dort aufgeführten Bereiche fällt.

Größenschwellen

  • Besonders wichtige Einrichtungen: Einrichtungen nach Anlage 1 ab 250 Beschäftigten oder mit mehr als 50 Mio. € Jahresumsatz und mehr als 43 Mio. € Bilanzsumme
  • Wichtige Einrichtungen: Einrichtungen nach Anlage 1 oder 2 ab 50 Beschäftigten oder mit mehr als 10 Mio. € Jahresumsatz und Jahresbilanzsumme

Die Berechnung folgt der EU-Empfehlung 2003/361/EG zur KMU-Definition. Daten von Partner- oder verbundenen Unternehmen werden nach § 28 Abs. 4 BSIG nicht zugerechnet, wenn die Einrichtung bei ihren IT-Systemen unabhängig ist.

Ausnahmen und Sonderfälle

  • Unabhängig von der Größe gelten unter anderem Betreiber kritischer Anlagen (KRITIS), qualifizierte Vertrauensdiensteanbieter, Registries für Top-Level-Domains und DNS-Diensteanbieter als besonders wichtige Einrichtungen.
  • Für Anbieter von Telekommunikationsdiensten gelten eigene, niedrigere Schwellen.
  • Vernachlässigbare Geschäftstätigkeiten können bei der Zuordnung außer Betracht bleiben (§ 28 Abs. 3 BSIG). Ein Handelsunternehmen mit einer kleinen Nebentätigkeit in einem Sektor fällt also nicht automatisch unter NIS2; wie das im Einzelfall zu bewerten ist, sollte geprüft werden.
  • Finanzunternehmen, die unter die EU-Verordnung DORA fallen, sind unter anderem von den Pflichten nach §§ 30, 32 und 38 BSIG ausgenommen (§ 28 Abs. 6 BSIG); für sie gelten die Vorgaben von DORA.

Einen ersten Anhaltspunkt bietet die NIS-2-Betroffenheitsprüfung des BSI. Das Ergebnis ist eine Orientierung, keine verbindliche Feststellung.

Registrierung beim BSI: Frist verpasst, was nun?

Betroffene Einrichtungen müssen sich nach § 33 BSIG spätestens drei Monate nach Eintritt der Betroffenheit registrieren. Für Unternehmen, die schon beim Inkrafttreten betroffen waren, endete diese Frist am 6. März 2026. Das BSI weist auf seiner Informationsseite darauf hin, dass sie abgelaufen ist.

Wer die Registrierung versäumt hat, sollte sie umgehend nachholen. Das BSI fordert nicht registrierte Einrichtungen ausdrücklich dazu auf. Eine Nachfrist nennt es dort nicht (Stand: 29. Oktober 2026). Das Verfahren hat zwei Schritte:

  1. Anmeldung bei Mein Unternehmenskonto (MUK) mit einem ELSTER-Organisationszertifikat, das auch für die spätere Anmeldung im BSI-Portal gebraucht wird
  2. Registrierung im BSI-Portal

Änderungen der Angaben sind unverzüglich, spätestens binnen zwei Wochen zu melden (§ 33 Abs. 5 BSIG). Für Unternehmen, die erst durch Wachstum oder eine neue Tätigkeit betroffen werden, beginnt die Dreimonatsfrist ab diesem Zeitpunkt.

Meldepflichten bei erheblichen Sicherheitsvorfällen

Erhebliche Sicherheitsvorfälle müssen nach § 32 BSIG an eine gemeinsame Meldestelle von BSI und BBK gemeldet werden. Das Gesetz sieht ein gestuftes Verfahren vor:

Stufe Frist
Frühe Erstmeldung unverzüglich, spätestens 24 Stunden nach Kenntnis
Meldung spätestens 72 Stunden nach Kenntnis
Zwischenmeldung auf Ersuchen des BSI
Abschlussmeldung spätestens 1 Monat nach der Meldung; bei andauerndem Vorfall stattdessen eine Fortschrittsmeldung

Welche Angaben jede Stufe enthalten muss, regelt § 32 BSIG im Einzelnen.

24 Stunden sind kurz. Wer erst im Ernstfall klärt, wer meldet, über welchen Zugang und mit welchen Informationen, verliert wertvolle Zeit. Zusätzlich können andere Meldepflichten parallel laufen, etwa nach Art. 33 DSGVO, wenn personenbezogene Daten betroffen sind.

Risikomanagementmaßnahmen nach § 30 BSIG

§ 30 BSIG verpflichtet betroffene Einrichtungen zu geeigneten, verhältnismäßigen und wirksamen Maßnahmen. Maßstab sind unter anderem Risikoexposition, Unternehmensgröße, Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere möglicher Vorfälle. Die Maßnahmen sollen den Stand der Technik einhalten und einem gefahrenübergreifenden Ansatz folgen. Ihre Einhaltung ist zu dokumentieren.

Das Gesetz nennt zehn Mindestbereiche:

  1. Konzepte für Risikoanalyse und Sicherheit in der Informationstechnik
  2. Umgang mit Sicherheitsvorfällen
  3. Aufrechterhaltung des Betriebs (Backup, Notfallwiederherstellung, Krisenmanagement)
  4. Sicherheit der Lieferkette
  5. Sicherheit bei Beschaffung, Entwicklung und Wartung, einschließlich Umgang mit Schwachstellen
  6. Bewertung der Wirksamkeit der Maßnahmen
  7. Schulungen und Sensibilisierung
  8. Konzepte und Prozesse für kryptografische Verfahren
  9. Personalsicherheit, Zugriffskontrolle und Verwaltung von IKT-Systemen, -Produkten und -Prozessen
  10. Multi-Faktor- oder kontinuierliche Authentifizierung, gesicherte Kommunikation und gegebenenfalls Notfallkommunikation

Das Gesetz schreibt keine bestimmte Norm vor. Nach meiner Einschätzung ist ein Managementsystem für Informationssicherheit nach ISO/IEC 27001 oder dem BSI-Grundschutz eine gute Grundlage, um diese Bereiche strukturiert abzudecken und nachzuweisen. Wie schnell Schwachstellen ausgenutzt werden können, zeigt der Beitrag zu PHP2Shell.

Was die Geschäftsleitung nach § 38 BSIG verantwortet

NIS2 ist ausdrücklich Leitungsaufgabe. Nach § 38 Abs. 1 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Eine bloße Kenntnisnahme genügt nicht.

Verletzt die Geschäftsleitung schuldhaft diese Pflichten, haftet sie gegenüber der Einrichtung nach den Regeln des jeweiligen Gesellschaftsrechts (§ 38 Abs. 2 BSIG). Außerdem muss sie nach § 38 Abs. 3 BSIG regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagementpraktiken erkennen und bewerten zu können.

In der Praxis heißt das: Die Leitung braucht regelmäßige, verständliche Berichte zum Stand der Informationssicherheit, entscheidet über Ressourcen und Risikoakzeptanz und dokumentiert diese Entscheidungen.

NIS2-Pflichten nachweisen: Dokumentation und Bußgeldrahmen

Weil § 30 BSIG die Dokumentation der Maßnahmen verlangt, ist Nachweisführung kein Zusatz, sondern Teil der Pflicht. Typische Nachweise sind Risikoanalyse, Sicherheitsrichtlinien, Notfallkonzept, Schulungsnachweise, Lieferantenbewertungen, Protokolle von Wirksamkeitsprüfungen und Leitungsentscheidungen.

Bewährt hat sich, Nachweise nicht erst bei einer Anfrage der Behörde zusammenzustellen, sondern laufend zu pflegen. Eine einfache Zuordnung, welches Dokument welchen der zehn Bereiche abdeckt, wer es verantwortet und wann es zuletzt geprüft wurde, zeigt Lücken früh. Sie hilft auch der Geschäftsleitung, ihre Überwachungspflicht nach § 38 BSIG nachvollziehbar wahrzunehmen.

Typische Lücken sind ein fehlender oder nie geübter Notfallplan, unklare Zuständigkeiten für Meldungen, fehlende Bewertungen wichtiger Dienstleister und Backups, deren Wiederherstellung nie getestet wurde. Diese Punkte lassen sich oft mit überschaubarem Aufwand schließen und sollten früh auf die Maßnahmenliste.

Für Verstöße gegen Kernpflichten, etwa fehlende Risikomanagementmaßnahmen, fehlende Dokumentation oder versäumte Meldungen, sieht § 65 BSIG Bußgelder vor: bei besonders wichtigen Einrichtungen bis 10 Mio. € oder, bei mehr als 500 Mio. € Jahresumsatz, bis 2 % des weltweiten Umsatzes. Bei wichtigen Einrichtungen liegt die Obergrenze bei 7 Mio. € bzw. 1,4 %. Für andere Verstöße gelten niedrigere Stufen.

Erste Schritte: Was Sie jetzt tun können

  1. Betroffenheit klären: Sektorzuordnung und Größe prüfen, die BSI-Betroffenheitsprüfung nutzen und das Ergebnis dokumentieren. Bei Unsicherheit rechtlich prüfen lassen.
  2. Registrierung nachholen, falls noch nicht erfolgt: ELSTER-Organisationszertifikat, MUK, BSI-Portal.
  3. Meldeprozess festlegen: Zuständigkeiten, Vertretungen, Zugang zum Portal und eine Vorlage für die 24-Stunden-Meldung.
  4. Gap-Analyse gegen die zehn Bereiche des § 30 BSIG durchführen und Maßnahmen nach Risiko priorisieren.
  5. Leitung einbinden: Schulung der Geschäftsleitung planen und regelmäßiges Reporting einführen.
  6. Nachweise aufbauen, idealerweise in einem Managementsystem, das auch andere Anforderungen aufnimmt.

Das BSI stellt mit den #nis2know-Infopaketen Material zu Registrierung, Meldungen und Risikomanagement bereit. Wer die Umsetzung mit externer Hilfe angehen möchte, findet Unterstützung bei der NIS2-Umsetzung, von der Gap-Analyse bis zum Meldeprozess.

Wie sich NIS2 mit DSGVO und AI Act in einem gemeinsamen Steuerungsrahmen verbinden lässt, beschreibt der Beitrag zur integrierten Governance. Einen Überblick über weitere EU-Rechtsakte gibt die Übersicht zur EU-Digitalregulierung.

Fazit

NIS2 ist in Deutschland seit dem 6. Dezember 2025 geltendes Recht. Ob ein Unternehmen betroffen ist, hängt von Sektor und Größe zusammen ab, nicht von einem einzelnen Merkmal. Wer betroffen ist, sollte die Registrierung nachholen, falls sie noch fehlt, einen belastbaren Meldeprozess einrichten und die Maßnahmen nach § 30 BSIG schrittweise und dokumentiert umsetzen. Die Verantwortung dafür liegt bei der Geschäftsleitung.

Quellen

Beitrag teilen

LinkedIn
XING
E-Mail

Weitere Beiträge zum Thema