Muss mein Unternehmen NIS2 umsetzen?
NIS2.
Cybersicherheit wird Chefsache. Was das deutsche NIS2-Gesetz von Unternehmen verlangt, in klaren Schritten.
In 60 Sekunden
- Seit 6. Dezember 2025 gilt NIS2 in Deutschland für deutlich mehr Unternehmen.
- 10 Maßnahmen, Registrierung beim BSI und Meldefristen von 24 Stunden, 72 Stunden und einem Monat.
- Die Geschäftsleitung ist verantwortlich und kann haften.
Kurz erklärt.#
Was ist NIS2?
Eine EU-Richtlinie (2022/2555) für ein hohes Cybersicherheitsniveau. In Deutschland gilt sie über das NIS2-Umsetzungsgesetz und das neu gefasste BSI-Gesetz, seit dem 6. Dezember 2025 und ohne Übergangsfrist.
Wen betrifft es?
Deutlich mehr Unternehmen als vorher. Schätzungen gehen von rund 29.500 Einrichtungen aus, in 18 Sektoren, ab mittlerer Unternehmensgröße.
Was ist neu?
Die Geschäftsleitung ist verantwortlich, Unternehmen müssen sich beim BSI registrieren, Sicherheitsvorfälle schnell melden und mit hohen Bußgeldern rechnen.
Bin ich betroffen?#
2 Fragen entscheiden: Sektor und Größe.
Sektoren mit hoher Kritikalität
Energie, Transport und Verkehr, Bank- und Finanzwesen, Gesundheit, Trink- und Abwasser, digitale Infrastruktur und IT-Dienstleistungen für Unternehmen, öffentliche Verwaltung, Weltraum.
Weitere kritische Sektoren
Post und Kurier, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe (zum Beispiel Maschinenbau, Elektronik, Fahrzeuge), digitale Dienste wie Marktplätze oder Suchmaschinen, Forschung.
Größe
Im Kern betroffen sind mittlere und große Unternehmen, also ab 50 Beschäftigten oder mehr als 10 Mio. € Jahresumsatz und Bilanzsumme. Ausnahmen für kleinere Einrichtungen gibt es in Sonderfällen.
| Besonders wichtige Einrichtungen | Wichtige Einrichtungen | |
|---|---|---|
| Wer | Große Unternehmen in Sektoren mit hoher Kritikalität, außerdem weitere Einrichtungen wie Betreiber kritischer Anlagen | Mittlere Unternehmen dort sowie mittlere und große Unternehmen in den weiteren kritischen Sektoren |
| Aufsicht | Das BSI kann auch ohne konkreten Anlass prüfen | Das BSI greift vor allem nach Hinweisen oder Vorfällen ein |
| Bußgeld bis | 10 Mio. € oder 2 % des weltweiten Jahresumsatzes | 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes |
Das BSI bietet eine Online-Betroffenheitsprüfung an. Im Zweifel lass die Einstufung fachlich oder rechtlich prüfen. Grobe Orientierung, keine Rechtsberatung.
Betroffenheits-Assistent.#
2 Fragen, eine grobe Einordnung.
Grobe Einordnung ohne Rechtsberatung. Entscheidend sind genaue Tätigkeit, Konzernstruktur und Ausnahmen. Das BSI bietet ein eigenes Prüfwerkzeug.
10 Maßnahmen, die gelten.#
Das Gesetz verlangt ein wirksames Risikomanagement. Praktisch heißt das:
| Maßnahme | Praktisch heißt das | Mehr dazu |
|---|---|---|
| Risikoanalyse und Sicherheitskonzepte | Risiken systematisch bewerten und ein dokumentiertes Konzept haben | IT-Security |
| Umgang mit Sicherheitsvorfällen | Vorfälle erkennen, melden und bewältigen, mit Rollen und Übung | Krisenmanagement |
| Betriebskontinuität | Backups, Wiederherstellung und Krisenmanagement | Krisenmanagement |
| Sicherheit der Lieferkette | Lieferanten und Dienstleister bewerten und vertraglich einbinden | Glossar |
| Beschaffung, Entwicklung, Wartung | Schwachstellen managen, Systeme patchen, sicher entwickeln | Monitoring |
| Wirksamkeit prüfen | Tests, Audits, Kennzahlen und Penetrationstests | Monitoring |
| Schulung und Cyberhygiene | Mitarbeitende und Geschäftsleitung regelmäßig schulen | Basis-Check |
| Kryptografie und Verschlüsselung | Konzepte für Verschlüsselung von Daten und Verbindungen | Hochsichere Netzwerke |
| Personal, Zugriff, Asset-Management | Rechte, Zutritt und Inventar im Griff haben | Zutrittskontrolle |
| MFA und gesicherte Kommunikation | Mehrfaktor-Anmeldung und geschützte Notfallkommunikation | IT-Security |
NIS2, ISO 27001 und IT-Grundschutz.#
Gesetz, Norm und Methode im direkten Vergleich.
| NIS2 (BSI-Gesetz) | ISO/IEC 27001 | BSI IT-Grundschutz | |
|---|---|---|---|
| Was ist es? | Gesetz mit Pflichten zur Cybersicherheit | Internationale Norm für ein Managementsystem für Informationssicherheit (ISMS) | Methode des BSI mit Standards 200-1 bis 200-3 und dem IT-Grundschutz-Kompendium |
| Pflicht? | Ja, für betroffene Einrichtungen | Freiwillig, oft von Kunden verlangt | Freiwillig, verbreitet in Behörden und bei Dienstleistern der Verwaltung |
| Schwerpunkt | Risikomanagement, Meldepflichten, Registrierung, Verantwortung der Geschäftsleitung | Risikobasierter Aufbau eines ISMS, 93 Maßnahmen im Anhang A | Konkrete Bausteine und Anforderungen je System und Prozess |
| Nachweis | Nachweise auf Verlangen des BSI, für Betreiber kritischer Anlagen regelmäßig | Zertifikat einer akkreditierten Stelle, 3 Jahre gültig mit jährlichem Überwachungsaudit | ISO-27001-Zertifikat auf Basis von IT-Grundschutz, erteilt vom BSI |
| Aufwand | Abhängig von Größe und Sektor | Mittel, gut skalierbar | Hoch, dafür sehr konkret |
Wie hängt das zusammen?
Die Regelwerke ergänzen sich. Wer ein ISMS nach ISO 27001 oder IT-Grundschutz betreibt, deckt viele NIS2-Maßnahmen bereits ab. Meldepflichten, Registrierung und die Pflichten der Geschäftsleitung kommen trotzdem dazu.
Orientierung, keine Rechtsberatung.
Meldefristen bei Vorfällen.#
Die Uhr beginnt mit der Kenntnis eines erheblichen Vorfalls.
Frühwarnung nach 24 Stunden
Kurze erste Information: Vorfall erkannt, Verdacht auf rechtswidrige Ursache oder grenzüberschreitende Wirkung?
Meldung nach 72 Stunden
Erste Bewertung des Vorfalls, seines Schweregrads, seiner Auswirkungen und, soweit bekannt, der Ursache.
Abschlussbericht nach einem Monat
Ausführliche Beschreibung, Ursache, ergriffene Maßnahmen und Auswirkungen.
Fristenrechner.#
Wann laufen die Meldefristen ab?
Orientierung ohne Rechtsberatung. Maßgeblich sind das BSI-Gesetz und die Vorgaben des BSI zur Meldung.
Verantwortung der Geschäftsleitung.#
Billigen und überwachen
Die Geschäftsleitung muss die Risikomanagementmaßnahmen freigeben und ihre Umsetzung überwachen. Delegieren geht, Verantwortung abgeben nicht.
Wissen aufbauen
Geschäftsleiter sollen regelmäßig an Schulungen teilnehmen, um Risiken und Maßnahmen beurteilen zu können.
Haftung
Bei Pflichtverletzungen kann die Geschäftsleitung persönlich haftbar gemacht werden. Dokumentation schützt.
Fahrplan zur Umsetzung.#
6 Schritte, die sich bewährt haben.
Betroffenheit prüfen
Sektor und Größe prüfen. Das BSI bietet dafür ein Werkzeug.
Registrieren
Betroffene Einrichtungen melden sich über das BSI-Portal an.
Lücken erkennen
Risikoanalyse und Bestandsaufnahme gegen die 10 Maßnahmen abgleichen.
Maßnahmen priorisieren
Zuerst MFA, Backups, Patches, Notfallplan, dann Tiefe.
Meldeprozess üben
Wer meldet was in 24 Stunden? Einmal durchspielen.
Nachweisen und wiederholen
Dokumentieren, regelmäßig prüfen und aktualisieren.
Häufige Fragen.#
Trifft NIS2 auch meine Zulieferer?
Indirekt ja. Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette berücksichtigen und geben Anforderungen vertraglich weiter. Auch kleinere Zulieferer bekommen deshalb Fragebögen und Nachweisforderungen.
Reicht eine ISO-27001-Zertifizierung?
Sie deckt viele technische und organisatorische Anforderungen ab, ersetzt aber nicht Registrierung, Meldepflichten und Verantwortung der Geschäftsleitung.
Was ist mit kritischen Infrastrukturen?
Betreiber kritischer Anlagen unterliegen zusätzlich strengeren Regeln. Für den physischen Schutz gilt seit 17. März 2026 das KRITIS-Dachgesetz, mehr dazu bei Geschützte Infrastruktur.
Gibt es weitere Regeln, die ich kennen sollte?
Ja. Der EU Cyber Resilience Act bringt Pflichten für Hersteller vernetzter Produkte, darunter Meldepflichten. Welche Regeln für dich gelten, hängt vom Geschäftsmodell ab.
Stand: November 2026. Grundlage: Gesetz zur Umsetzung der NIS-2-Richtlinie (BGBl. 2025 I Nr. 301) mit neu gefasstem BSI-Gesetz. Orientierung, keine Rechtsberatung. Aktuelle Details und das Portal findest du beim BSI: bsi.bund.de.
Fragen zur Umsetzung?
Schreib mir, welcher Punkt bei dir offen ist, dann ergänzen wir ihn.