NIS2: Betroffene Unternehmen, Pflichten und Fristen

Stand: Oktober 2026

Die Richtlinie ersetzt die erste NIS-Richtlinie von 2016 und erweitert den Kreis der Verpflichteten erheblich. In Deutschland ist das Umsetzungsgesetz am 6. Dezember 2025 in Kraft getreten und hat das BSI-Gesetz grundlegend geändert. Viele mittelständische Betriebe, die bisher nie als reguliert galten, fallen nun darunter.

Diese Seite erklärt die Systematik, hilft bei der ersten Einordnung und zeigt, welche Pflichten typischerweise anfallen. Sie ist keine Rechtsberatung. Maßgeblich sind Richtlinientext, Gesetz und Hinweise des BSI.

Praktisch gilt: Prüfen Sie zuerst Ihre Betroffenheit, dokumentieren Sie das Ergebnis und leiten Sie erst dann Maßnahmen ab. Viele Unternehmen sparen sich so Aufwand, weil sie nur die Pflichten angehen, die tatsächlich für sie gelten.

Was NIS2 regelt

Die Richtlinie (EU) 2022/2555 verfolgt ein hohes gemeinsames Cybersicherheitsniveau in der Union. Sie verpflichtet Mitgliedstaaten zu nationalen Strategien und Aufsichtsbehörden und verpflichtet Einrichtungen zu Risikomanagement, Meldungen und Verantwortlichkeit der Leitung. Die Frist zur Umsetzung in nationales Recht endete am 17. Oktober 2024.

Deutschland hat die Richtlinie mit dem NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz umgesetzt. Es ist am 6. Dezember 2025 in Kraft getreten und ändert vor allem das BSI-Gesetz. Zuständige Behörde ist das Bundesamt für Sicherheit in der Informationstechnik (BSI).

Betroffene Unternehmen: Wer fällt darunter?

Drei Fragen entscheiden: Gehören Sie zu einem erfassten Sektor? Erreichen Sie die Größenschwelle? Erbringen Sie die erfasste Tätigkeit? Die Richtlinie nennt in Anhang I elf Sektoren mit hoher Kritikalität, etwa Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trink- und Abwasser, digitale Infrastruktur, IKT-Dienstleistungsmanagement für Unternehmen, öffentliche Verwaltung und Weltraum. Anhang II ergänzt sieben sonstige kritische Sektoren: Post- und Kurierdienste, Abfallwirtschaft, Chemikalien, Lebensmittel, verarbeitendes Gewerbe (zum Beispiel Maschinen, Elektronik, Fahrzeuge), digitale Anbieter und Forschung.

Größenmäßig sind mindestens mittlere Unternehmen erfasst. Als Faustregel gelten rund 50 Beschäftigte oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme. Verbundene Unternehmen und Partnerunternehmen können mitzählen. Für einzelne Dienste, etwa DNS-Anbieter oder Domain-Registries, gelten Sonderregeln unabhängig von der Größe. Das BSI bietet eine Betroffenheitsprüfung an, die Sie vor jeder Entscheidung nutzen sollten.

Besonders wichtige und wichtige Einrichtungen

Das Gesetz unterscheidet zwei Kategorien, die sich in der Aufsicht unterscheiden.

Die genaue Einordnung folgt aus dem Gesetz. Für Ihre erste Einschätzung genügt die Frage, ob Sie überhaupt erfasst sind; die Kategorie klären Sie dann mit der Betroffenheitsprüfung des BSI.

Beispiele für die Einordnung

Ein Maschinenbauer mit 120 Beschäftigten liegt im verarbeitenden Gewerbe (Anhang II) und ist mittelgroß. Er kann damit als wichtige Einrichtung erfasst sein, sofern er Tätigkeiten in einem der erfassten Fertigungsbereiche ausübt. Ein regionaler Energieversorger mit mehr als 250 Beschäftigten gehört zu Anhang I und gilt als große Einrichtung.

Ein IT-Dienstleister, der für andere Unternehmen Managed Services erbringt, kann je nach Größe und Tätigkeit ebenfalls erfasst sein. Kleine Unternehmen unter den Schwellen sind grundsätzlich nicht erfasst, können aber als Lieferanten betroffener Kunden vertragliche Anforderungen erhalten. Prüfen Sie jede Einstufung anhand des Gesetzes und der Betroffenheitsprüfung des BSI.

Pflichten im Überblick

Das Gesetz verlangt geeignete, verhältnismäßige technische, operative und organisatorische Maßnahmen zum Management von Cyberrisiken. Die Richtlinie nennt Mindestbereiche, die in der Praxis als Prüfliste dienen:

• Konzepte zur Risikoanalyse und zur Sicherheit von Informationssystemen
• Bewältigung von Sicherheitsvorfällen
• Betriebskontinuität, Backup-Management und Krisenmanagement
• Sicherheit der Lieferkette einschließlich Beziehungen zu Dienstleistern
• Sicherheit bei Beschaffung, Entwicklung und Wartung, Umgang mit Schwachstellen
• Verfahren zur Bewertung der Wirksamkeit von Maßnahmen
• Cyberhygiene und Schulungen
• Konzepte für Kryptografie und Verschlüsselung
• Personalsicherheit, Zugriffskontrolle und Asset-Management
• Multi-Faktor-Authentisierung und gesicherte Kommunikation, wo angemessen

Die Maßnahmen müssen dem Stand der Technik entsprechen, die Risiken berücksichtigen und verhältnismäßig sein. Ein kleineres Unternehmen darf daher einfachere Verfahren nutzen als ein Konzern, muss aber begründen können, warum sie ausreichen. Entscheidend ist die dokumentierte Risikobetrachtung als Grundlage der Maßnahmenwahl.

Ergänzend gelten für bestimmte digitale Dienste direkt anwendbare Vorgaben der EU. Die Durchführungsverordnung (EU) 2024/2690 konkretisiert Mindestanforderungen unter anderem für Cloud-Anbieter, Rechenzentren und Managed-Service-Provider.

Verantwortung der Geschäftsleitung

Die Leitung trägt die Verantwortung für die Cybersicherheit. Sie muss Risikomanagementmaßnahmen billigen, deren Umsetzung überwachen und an Schulungen teilnehmen. Nach den Erläuterungen des Beratungshauses usd haftet die Geschäftsleitung bei grober Verletzung persönlich; das BSI verweist auf eine eigene Veröffentlichung zur Schulung der Leitungsebene. Delegation an die IT-Abteilung entbindet daher nicht von der Verantwortung.

Praktisch bedeutet das: Berichtswege zur Leitung, dokumentierte Freigaben und regelmäßige Schulungen. Vermerken Sie die Teilnahme der Leitung nachvollziehbar.

Meldepflichten bei erheblichen Sicherheitsvorfällen

Erhebliche Sicherheitsvorfälle sind zu melden. Nach § 32 des BSI-Gesetzes gilt ein mehrstufiges Verfahren:

Bereiten Sie dazu ein Verfahren vor: wer entscheidet, was erheblich ist, wer meldet, wie wird dokumentiert. Die Pflicht greift mit Einrichtung des Meldewegs durch das BSI.

Ein Vorfall ist nicht automatisch meldepflichtig. Maßgeblich ist, ob er erheblich ist. Halten Sie interne Kriterien schriftlich fest und üben Sie die Entscheidung an Beispielen, etwa Ransomware, Ausfall eines Kernsystems oder Datenabfluss. Die 24-Stunden-Frist beginnt mit Kenntnis, nicht mit dem Ende der Analyse; eine erste Meldung darf daher unvollständig sein und wird später ergänzt.

Registrierung beim BSI

Betroffene Einrichtungen müssen sich beim BSI registrieren und Änderungen mitteilen. Die Registrierung erfolgt in zwei Schritten: zunächst ein ELSTER-Organisationszertifikat über „Mein Unternehmenskonto“, dann die Registrierung im BSI-Portal. Rechtsgrundlage ist § 33 Absatz 6 BSIG.

Das BSI erklärt auf seiner Seite, die gesetzliche Registrierungsfrist sei abgelaufen, und fordert nicht registrierte Einrichtungen auf, dies umgehend nachzuholen. Wer sich unsicher ist, ob er betroffen ist, sollte die Betroffenheit zügig klären, denn Verstöße sind bußgeldbewehrt.

Aktualisieren Sie Angaben, wenn sich Ansprechpersonen, Adressen oder Tätigkeiten ändern. Verfügen Sie über mehrere Gesellschaften, klären Sie, welche Einheit welche Tätigkeit ausübt und ob mehrere Registrierungen nötig sind.

Lieferkette: Auswirkungen auf kleinere Unternehmen

Auch wer selbst nicht erfasst ist, spürt NIS2 oft über Kunden. Betroffene Einrichtungen müssen Lieferketten- und Dienstleisterrisiken berücksichtigen und geben Anforderungen weiter, etwa in Fragebögen, Verträgen oder Nachweisen zu Zertifikaten. Das betrifft IT-Dienstleister, Cloud-Anbieter, Hersteller und Wartungsfirmen.

Wer vorbereitet sein möchte, hält eine kurze Übersicht seiner Sicherheitsmaßnahmen bereit: Verantwortlichkeiten, Richtlinien, Notfallkonzept, Meldeprozess, Schulungen. Ein vorhandenes ISMS nach ISO 27001 macht diese Antwort leichter.

Sanktionen

Die Richtlinie sieht bei Verstößen Höchstbeträge von mindestens 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes für wesentliche Einrichtungen sowie 7 Millionen Euro oder 1,4 Prozent für wichtige Einrichtungen vor. In Berichten zur deutschen Umsetzung ist von Bußgeldern in dieser Größenordnung die Rede. Prüfen Sie die konkreten Bußgeldtatbestände im Gesetzestext.

Neben Bußgeldern kann das BSI Anordnungen treffen, Nachweise verlangen und bei Verstößen Maßnahmen gegen die Leitungsebene ergreifen. Wichtiger als jede Zahl ist die Vermeidung von Vorfällen und die Fähigkeit, ihr Management nachzuweisen.

Praktisch relevant ist auch der Schutz vor Folgeschäden. Ein Vorfall kann Vertragsstrafen, Haftungsfragen und Vertrauensverlust nach sich ziehen, auch wenn keine Behörde einschreitet. Wer Prävention, Erkennung und Reaktion strukturiert betreibt, reduziert diese Risiken unabhängig von der Rechtslage.

Dokumentation, die Sie vorhalten sollten

Für Aufsicht und Kunden zählt Nachweisbarkeit. Sinnvoll sind eine Betroffenheitsdokumentation mit Datum und Begründung, ein Registrierungsnachweis, ein Risikomanagementkonzept, ein Vorfallhandbuch mit Meldewegen, Schulungsnachweise für die Leitung, Verträge mit kritischen Dienstleistern sowie Berichte über Tests, Übungen und interne Audits.

Legen Sie Zuständigkeiten für die Pflege fest und prüfen Sie die Unterlagen mindestens jährlich. Veraltete Notfallpläne, in denen ausgeschiedene Personen stehen, sind eine häufige und leicht vermeidbare Schwäche.

NIS2 und ISO 27001

Ein Managementsystem nach ISO 27001 deckt viele geforderte Themen ab: Risikoanalyse, Vorfallmanagement, Lieferantensteuerung, Zugriffskontrolle und Verbesserung. Das BSI stellt auf seiner NIS-2-Seite selbst ein Informationsblatt zu ISO 27001 bereit. Dennoch ist ein Zertifikat kein automatischer Nachweis der gesetzlichen Pflichten, weil Geltungsbereich und Anforderungen abweichen können.

Wer bereits ein ISMS betreibt, ergänzt es meist um Melde- und Registrierungsprozesse, Leitungsschulungen und eine Betroffenheitsdokumentation. Im Automobilumfeld kommt TISAX hinzu, das eigene Anforderungen setzt.

Erste Schritte in der Praxis

1. Sektor und Größe prüfen, Ergebnis dokumentieren. Hilfe bietet der Ratgeber NIS2-Betroffenheit prüfen.
2. Bei Betroffenheit registrieren, Ansprechpersonen benennen.
3. Lückenanalyse gegen die Maßnahmenbereiche durchführen.
4. Vorfall- und Meldeprozess mit 24-, 72-Stunden- und Monatsfrist testen.
5. Leitung schulen, Verantwortlichkeiten festhalten.
6. Lieferketten- und Dienstleisterverträge anpassen.
7. Wirksamkeit regelmäßig überprüfen, etwa durch interne Audits.