NIS-2 in Deutschland: Betrifft das mein Unternehmen?

Das Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung (NIS2UmsuCG) ist am 6. Dezember 2025 in Kraft getreten. Es enthält ein grundlegend überarbeitetes BSI-Gesetz (BSIG) und gilt ohne Übergangsfrist.

Wer ist betroffen?

Ob ein Unternehmen unter NIS-2 fällt, hängt von zwei Fragen ab:

1. Sektor: Ist das Unternehmen in einem der im Gesetz genannten Sektoren tätig? Dazu gehören unter anderem Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur, IT-Dienstleistungen (Managed Services), Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe (z. B. Maschinenbau, Elektronik, Fahrzeugbau) sowie Anbieter digitaler Dienste.
2. Größe: In der Regel sind mittlere und große Unternehmen betroffen – also ab 50 Beschäftigten oder mit mehr als 10 Mio. € Jahresumsatz und Jahresbilanzsumme.

Einige Einrichtungen fallen unabhängig von ihrer Größe unter das Gesetz, etwa bestimmte Anbieter von Vertrauens- oder DNS-Diensten. Je nach Sektor und Größe unterscheidet das Gesetz zwischen „besonders wichtigen“ und „wichtigen“ Einrichtungen.

Welche Pflichten gelten?

• Registrierung beim BSI: Betroffene Einrichtungen müssen sich beim BSI registrieren. Die reguläre Frist von drei Monaten nach Inkrafttreten ist bereits abgelaufen – wer betroffen ist und sich noch nicht registriert hat, sollte das umgehend nachholen.
• Risikomanagement: Angemessene technische und organisatorische Maßnahmen, u. a. zu Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Backup und Notfallmanagement, Sicherheit der Lieferkette, Schwachstellenmanagement, Schulungen, Kryptografie, Zugriffskontrolle und Mehr-Faktor-Authentifizierung.
• Meldepflichten: Erhebliche Sicherheitsvorfälle werden gestuft gemeldet – eine frühe Erstmeldung binnen 24 Stunden, eine Meldung binnen 72 Stunden und ein Abschlussbericht nach einem Monat.
• Verantwortung der Geschäftsleitung: Die Geschäftsleitung muss die Maßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Bei Pflichtverletzungen kann sie persönlich haften.

Verstöße können mit empfindlichen Bußgeldern geahndet werden.

„Wir sind zu klein“ – und trotzdem betroffen?

Auch wenn Ihr Unternehmen selbst nicht unter das Gesetz fällt, kann NIS-2 Sie erreichen: Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette berücksichtigen. In der Praxis bedeutet das, dass Zulieferer und Dienstleister zunehmend Fragebögen ausfüllen, Nachweise vorlegen oder vertragliche Sicherheitszusagen machen müssen. Wer hier gut vorbereitet ist, verschafft sich einen echten Wettbewerbsvorteil.

Unsere Empfehlung: Mit den Grundlagen anfangen

Ob verpflichtet oder nicht – die Maßnahmen von NIS-2 entsprechen dem, was ohnehin zu einer soliden IT-Sicherheit gehört:

• Betroffenheit prüfen und Ergebnis dokumentieren
• Verantwortlichkeiten in der Geschäftsleitung festlegen
• Risikoanalyse durchführen und Maßnahmen priorisieren
• Backup, Mehr-Faktor-Anmeldung und Patchmanagement umsetzen
• Notfall- und Meldeprozess aufsetzen
• Dienstleister und Lieferanten bewerten
• Mitarbeitende und Geschäftsleitung schulen

Gern unterstützen wir Sie bei der technischen Umsetzung – und bei rechtlichen Fragen gemeinsam mit unserem Partner DATASEC.

Hinweis: Dieser Ratgeber dient der allgemeinen Information und ersetzt keine Rechtsberatung. Rechtliche Angaben entsprechen dem Stand der letzten Aktualisierung.