NIS-2: Welche Unternehmen betroffen sind und was jetzt zu tun ist
Viele Betriebe halten NIS-2 für ein Thema großer Konzerne. Das stimmt nicht mehr und die Registrierungsfrist ist bereits abgelaufen.
Das deutsche NIS-2-Umsetzungsgesetz (NIS2UmsuCG) ist am 6. Dezember 2025 in Kraft getreten, und zwar ohne Übergangsfrist. Betroffen sind rund 29.500 Unternehmen aus 18 Sektoren, in der Regel ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz. Die Frist zur Registrierung beim BSI lief am 6. März 2026 ab, wer sie versäumt hat, ist weiterhin verpflichtet und sollte die Anmeldung umgehend nachholen.
Zuvor unterlagen etwa 4.500 Unternehmen der BSI-Aufsicht. Die Zahl hat sich damit mehr als versechsfacht, und der Großteil der neu Betroffenen sind mittelständische Betriebe, die sich bislang nie mit IT-Regulierung befassen mussten.
Sind wir betroffen? Die Prüfung in zwei Schritten
Schritt 1: Gehört Ihr Betrieb zu einem der 18 Sektoren?
Das Gesetz unterscheidet zwischen Sektoren „hoher Kritikalität“ und „sonstigen kritischen Sektoren“. Dazu zählen unter anderem Energie, Verkehr, Bankwesen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, IT-Dienstleistungen, öffentliche Verwaltung und Weltraum sowie Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittelproduktion, verarbeitendes Gewerbe (darunter Maschinenbau und Medizinprodukte), digitale Dienste und Forschung.
Besonders relevant für den Mittelstand: Maschinenbau, Lebensmittelproduktion, Chemie, Logistik und IT-Dienstleistungen fallen mit darunter. Wer Zulieferer in diesen Bereichen ist, sollte genau hinsehen.
Schritt 2: Überschreiten Sie die Schwellenwerte?
Die Grundregel: ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme. Größere Einrichtungen ab 250 Beschäftigten oder 50 Millionen Euro Umsatz gelten als „besonders wichtige Einrichtungen“ mit strengeren Pflichten. Für Betreiber kritischer Anlagen gelten teils niedrigere Schwellen, unabhängig von der Größe.
Wichtig für kleinere Betriebe: Unter 50 Beschäftigten sind Sie in der Regel nicht direkt betroffen. Indirekt kann NIS-2 Sie trotzdem erreichen, über die Lieferkette. Betroffene Unternehmen müssen die Sicherheit ihrer Lieferanten prüfen und geben Anforderungen weiter. Wer als Dienstleister oder Zulieferer arbeitet, bekommt zunehmend Fragebögen und Vertragsklauseln zum Thema.
Die zehn Pflichtmaßnahmen nach § 30
Das Gesetz schreibt keine bestimmte Zertifizierung vor, sondern verlangt „geeignete, wirksame und verhältnismäßige“ Maßnahmen nach dem Stand der Technik. Konkret benennt § 30 zehn Bereiche:
- Konzepte für Risikoanalyse und Informationssicherheit
- Bewältigung von Sicherheitsvorfällen
- Aufrechterhaltung des Betriebs, Backup-Management und Krisenmanagement
- Sicherheit der Lieferkette
- Sicherheit bei Beschaffung, Entwicklung und Wartung von IT-Systemen
- Bewertung der Wirksamkeit der ergriffenen Maßnahmen
- Schulungen zur Cybersicherheit und grundlegende Cyberhygiene
- Einsatz von Kryptografie und Verschlüsselung
- Personalsicherheit, Zugriffskontrolle und Verwaltung von Assets
- Multi-Faktor-Authentifizierung und gesicherte Kommunikation
In der Praxis bedeutet das für die meisten Betriebe: ein Informationssicherheits-Managementsystem (ISMS) aufbauen, auch wenn das Gesetz den Begriff nicht verlangt. Ohne strukturierte Dokumentation lässt sich keine der zehn Anforderungen im Prüfungsfall nachweisen.
Meldepflichten: die 24-Stunden-Regel
Erhebliche Sicherheitsvorfälle müssen dem BSI in drei Stufen gemeldet werden:
- Binnen 24 Stunden: Frühwarnung mit erster Einschätzung
- Binnen 72 Stunden: ausführlichere Meldung mit Bewertung
- Binnen eines Monats: Abschlussbericht
Die 24 Stunden laufen ab Kenntnis des Vorfalls. Wer erst dann klärt, wer melden darf und über welchen Kanal, verliert wertvolle Zeit. Ein festgelegter Meldeprozess mit benannten Verantwortlichen gehört deshalb zu den ersten Schritten.
Bußgelder und persönliche Haftung
Besonders wichtige Einrichtungen riskieren bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent. Entscheidend ist jeweils der höhere Betrag.
Der Punkt, der in Geschäftsführungen für Aufmerksamkeit sorgt: § 38 nimmt die Leitungsebene ausdrücklich in die Pflicht. Sie muss die Maßnahmen billigen, ihre Umsetzung überwachen und sich regelmäßig schulen lassen. Bei grober Pflichtverletzung kommt persönliche Haftung in Betracht, das lässt sich nicht an die IT delegieren.
Was jetzt konkret zu tun ist
Wenn Sie noch nicht angefangen haben, in dieser Reihenfolge:
- Betroffenheit feststellen. Sektor und Schwellenwerte prüfen, Ergebnis dokumentieren, auch ein „nicht betroffen“ sollte schriftlich begründet sein.
- Registrierung beim BSI nachholen, falls betroffen. Die Registrierung läuft über das BSI-Portal und setzt ein ELSTER-Organisationszertifikat voraus.
- Gap-Analyse durchführen. Die zehn Bereiche aus § 30 durchgehen und ehrlich bewerten, was bereits vorhanden ist.
- Meldeprozess aufsetzen. Wer erkennt einen Vorfall, wer entscheidet über die Meldung, wer meldet, vor dem ersten Vorfall geklärt.
- Maßnahmenplan mit Budget und Terminen beschließen. Ein abgenommener Plan verbessert die Position in einer Prüfung erheblich, auch wenn noch nicht alles umgesetzt ist.
- Lieferkette einbeziehen. Dienstleister mit Zugriff auf Ihre Systeme gehören in die Bewertung.
Realistischer Zeitrahmen für Betriebe ohne bestehendes Sicherheitsmanagement: zwölf bis 24 Monate für ein vollständiges Programm. Das ist kein Grund zu warten, im Gegenteil, nachweisbarer Fortschritt zählt.
Die häufigsten Fehleinschätzungen
„Wir sind zu klein.“ Die Schwelle liegt bei 50 Beschäftigten, nicht bei 500. Viele mittelständische Betriebe liegen darüber, ohne es auf dem Schirm zu haben.
„Wir haben doch eine Firewall.“ NIS-2 verlangt Organisation, nicht nur Technik: Prozesse, Zuständigkeiten, Nachweise, Schulungen.
„Das macht unser IT-Dienstleister.“ Ein Dienstleister kann die Umsetzung übernehmen, die Verantwortung bleibt bei der Geschäftsleitung.
„Wir warten, bis sich das einspielt.“ Das Gesetz gilt seit Dezember 2025 ohne Übergangsfrist, erste BSI-Prüfungen rücken näher. Eine Schonfrist gibt es nicht.
Häufige Fragen
Seit wann gilt NIS-2 in Deutschland?
Das NIS-2-Umsetzungsgesetz (NIS2UmsuCG) ist am 6. Dezember 2025 in Kraft getreten, und zwar ohne Übergangsfrist. Betroffene Unternehmen mussten die Pflichten ab dem ersten Tag erfüllen.
Welche Unternehmen sind von NIS-2 betroffen?
Betroffen sind rund 29.500 Unternehmen aus 18 Sektoren, in der Regel ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz. Dazu zählen unter anderem Energie, Verkehr, Gesundheit, IT-Dienstleistungen, Maschinenbau, Chemie, Lebensmittelproduktion und Logistik.
Wie hoch sind die Bußgelder bei NIS-2?
Besonders wichtige Einrichtungen riskieren bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent. Zusätzlich kann die Geschäftsleitung bei grober Pflichtverletzung persönlich haften.
Was passiert, wenn wir die BSI-Registrierung verpasst haben?
Die Registrierungsfrist lief am 6. März 2026 ab. Die Pflicht besteht weiterhin, verspätete Registrierungen sind möglich. Wer noch nicht registriert ist, handelt in Verzug und sollte die Anmeldung über das BSI-Portal umgehend nachholen.
Sind kleine Unternehmen unter 50 Mitarbeitern von NIS-2 betroffen?
In der Regel nicht direkt. Indirekt können sie über die Lieferkette betroffen sein, weil NIS-2-pflichtige Unternehmen die Sicherheit ihrer Dienstleister und Zulieferer prüfen und entsprechende Anforderungen vertraglich weitergeben müssen.
