Mit der deutschen Umsetzung der NIS2-Richtlinie gelten seit dem 6. Dezember 2025 für zahlreiche Unternehmen neue Anforderungen an Cybersicherheit, Risikomanagement, Meldeprozesse, Registrierung und die Verantwortung der Geschäftsleitung.
NIS2 betrifft dabei längst nicht nur klassische Kritische Infrastrukturen. Auch viele mittelständische Unternehmen, IT-Dienstleister und Unternehmen des verarbeitenden Gewerbes müssen prüfen, ob sie als wichtige oder besonders wichtige Einrichtung unter das BSI-Gesetz fallen.
Dieser Überblick zeigt, welche Unternehmen betroffen sein können, welche Pflichten gelten und wie sich die Umsetzung sinnvoll strukturieren lässt.
Das Wichtigste in Kürze
- NIS2 gilt in Deutschland seit dem 6. Dezember 2025. Betroffene Unternehmen müssen die Anforderungen des neuen BSI-Gesetzes bereits erfüllen.
- Ob ein Unternehmen betroffen ist, hängt insbesondere von Tätigkeit, Sektor und Unternehmensgröße ab. Auch Konzernstrukturen und Sonderregelungen können entscheidend sein.
- Zu den zentralen Pflichten gehören Cybersicherheits-Risikomanagement, Registrierung und die Meldung erheblicher Sicherheitsvorfälle.
- Die Geschäftsleitung trägt eigene Verantwortung. Sie muss die erforderlichen Risikomanagementmaßnahmen umsetzen und überwachen sowie regelmäßig an Schulungen teilnehmen.
NIS2-Themen im Überblick
Von der Betroffenheitsprüfung bis zur Geschäftsleiterhaftung: Hier finden Sie die wichtigsten NIS2-Themen und weiterführende Beiträge im Überblick.
Bin ich von NIS2 betroffen?
Branche, Schwellenwerte, Unternehmensgruppen und typische Sonderfälle systematisch prüfen.
NIS2 für mittelständische Unternehmen
Wann der Mittelstand betroffen ist und welche Anforderungen in der Praxis besonders relevant sind.
Welche NIS2-Pflichten gelten?
Risikomanagement, Notfallvorsorge, Lieferkette, Zugriffsschutz und weitere Pflichtfelder.
NIS2-Meldepflicht
Wann ein Vorfall meldepflichtig ist und was innerhalb von 24 Stunden, 72 Stunden und einem Monat zu tun ist.
Geschäftsleitung und Haftung
Welche Verantwortung Geschäftsführer und Vorstände bei der Umsetzung und Überwachung von NIS2 tragen.
Bußgelder bei NIS2-Verstößen
Welche Sanktionen das BSI-Gesetz vorsieht und warum auch die Dokumentation der Umsetzung wichtig ist.
Was ist NIS2?
Die NIS2-Richtlinie soll das Cybersicherheitsniveau innerhalb der Europäischen Union erhöhen. Sie erweitert den Kreis regulierter Unternehmen erheblich und stellt konkrete Anforderungen an den Umgang mit Cyberrisiken und Sicherheitsvorfällen.
In Deutschland wurden die Vorgaben insbesondere durch eine Neufassung des BSI-Gesetzes umgesetzt. Für betroffene Unternehmen wird Informationssicherheit damit zu einer verbindlichen organisatorischen Aufgabe.
Im Kern müssen Unternehmen drei Fragen beantworten:
- Welche Cyberrisiken bestehen für Systeme, Dienste und Geschäftsprozesse?
- Welche technischen und organisatorischen Maßnahmen sind erforderlich, um diese Risiken angemessen zu beherrschen?
- Wie erkennt, bewertet und meldet das Unternehmen einen erheblichen Sicherheitsvorfall innerhalb der gesetzlichen Fristen?
Ein systematisches Informationssicherheits-Managementsystem kann dabei helfen, Verantwortlichkeiten, Maßnahmen und Nachweise dauerhaft zu organisieren.
Mehr zur praktischen Umsetzung finden Sie auf unserer Seite Informationssicherheit & NIS2.
Wer ist von NIS2 betroffen?
Ob ein Unternehmen unter NIS2 fällt, lässt sich nicht allein anhand der Mitarbeiterzahl feststellen. Entscheidend ist zunächst, ob das Unternehmen einer im BSI-Gesetz erfassten Einrichtungsart beziehungsweise einem relevanten Sektor zugeordnet werden kann.
Dazu zählen beispielsweise Unternehmen aus Bereichen wie:
- Energie,
- Verkehr und Transport,
- Gesundheit,
- Wasser und Abwasser,
- digitale Infrastruktur,
- bestimmte IT- und digitale Dienste,
- Abfallwirtschaft,
- Lebensmittel,
- Post- und Kurierdienste,
- bestimmte Bereiche des verarbeitenden Gewerbes sowie
- Forschung.
Hinzu kommen unterschiedliche Größen- und Sonderkriterien. Für viele wichtige Einrichtungen ist eine Schwelle von mindestens 50 Mitarbeitenden oder ein Jahresumsatz und eine Jahresbilanzsumme von jeweils mehr als 10 Millionen Euro relevant.
Bei zahlreichen Einrichtungsarten aus besonders kritischen Sektoren gelten für die Einordnung als besonders wichtige Einrichtung höhere Schwellen: insbesondere mindestens 250 Mitarbeitende oder ein Jahresumsatz von mehr als 50 Millionen Euro und zugleich eine Jahresbilanzsumme von mehr als 43 Millionen Euro.
Diese Werte dürfen jedoch nicht isoliert betrachtet werden. Das BSI-Gesetz verweist bei der Größenbestimmung grundsätzlich auf die europäische KMU-Empfehlung. Deshalb können bei Partnerunternehmen, verbundenen Unternehmen und Unternehmensgruppen weitere Werte zu berücksichtigen sein. Gleichzeitig enthält das Gesetz hierfür besondere Ausnahmen.
Praxisproblem: Ein Unternehmen kann daher trotz weniger als 50 eigener Beschäftigter prüfpflichtig sein, wenn Konzern- oder Beteiligungsstrukturen zu berücksichtigen sind. Umgekehrt bedeutet die bloße Zugehörigkeit zu einem Konzern nicht automatisch, dass sämtliche Konzernwerte hinzugerechnet werden müssen.
Eine detaillierte Prüfung finden Sie im Beitrag Bin ich von NIS2 betroffen? Betroffenheitscheck für Unternehmen.
Sonderfall Finanzunternehmen: NIS2 und DORA
Für zahlreiche Unternehmen des Finanzsektors ist zusätzlich die EU-Verordnung DORA relevant. Bei den von DORA erfassten Finanzunternehmen haben die DORA-Vorgaben insbesondere zum IKT-Risikomanagement und zur Meldung schwerwiegender IKT-Vorfälle grundsätzlich Anwendungsvorrang gegenüber den entsprechenden NIS2-Vorgaben.
Das bedeutet allerdings nicht, dass jede Gesellschaft einer Finanzgruppe automatisch ausschließlich nach DORA zu beurteilen ist. Insbesondere bei Gruppengesellschaften und IT-Dienstleistern muss der jeweilige Anwendungsbereich gesondert betrachtet werden.
Welche Pflichten müssen NIS2-Unternehmen erfüllen?
Wichtige und besonders wichtige Einrichtungen müssen geeignete, verhältnismäßige und wirksame technische und organisatorische Risikomanagementmaßnahmen umsetzen. Die konkrete Ausgestaltung richtet sich unter anderem nach Risikoexposition, Unternehmensgröße, Umsetzungskosten sowie Eintrittswahrscheinlichkeit und möglichen Auswirkungen von Sicherheitsvorfällen.
Das BSI-Gesetz nennt insbesondere folgende Pflichtfelder:
- Risikoanalyse und Informationssicherheitskonzepte
- Bewältigung von Sicherheitsvorfällen
- Business Continuity, Backup, Wiederherstellung und Krisenmanagement
- Sicherheit der Lieferkette und relevanter Dienstleister
- Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen einschließlich Schwachstellenmanagement
- Verfahren zur Überprüfung der Wirksamkeit von Sicherheitsmaßnahmen
- Schulungen und Sensibilisierung zur Informationssicherheit
- Kryptografische Verfahren
- Personalsicherheit, Zugriffskontrolle und Verwaltung von IKT-Systemen
- Multi-Faktor-Authentifizierung und sichere Kommunikationslösungen, soweit erforderlich
Die Einhaltung der Risikomanagementpflichten muss dokumentiert werden. Es genügt deshalb nicht, einzelne technische Maßnahmen einzuführen. Unternehmen müssen nachvollziehbar darstellen können, welche Risiken erkannt wurden, welche Maßnahmen bestehen, wer verantwortlich ist und wie deren Wirksamkeit überprüft wird.
Ein Informationssicherheits-Managementsystem (ISMS) kann hierfür einen geeigneten organisatorischen Rahmen bilden. Standards wie ISO/IEC 27001 oder der BSI IT-Grundschutz können als Orientierung dienen. Eine ISO-27001-Zertifizierung ist durch NIS2 jedoch nicht pauschal für jedes betroffene Unternehmen vorgeschrieben.
Lieferketten und Dienstleister gehören zum NIS2-Risikomanagement
NIS2 endet nicht an der eigenen Unternehmensgrenze. Das BSI-Gesetz verlangt ausdrücklich, auch sicherheitsbezogene Aspekte der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern in das Risikomanagement einzubeziehen.
Besonders relevant sind beispielsweise:
- Cloud- und Hosting-Anbieter,
- Managed Service Provider,
- Softwareanbieter,
- externe Administratoren und Wartungsdienstleister,
- kritische Zulieferer sowie
- konzerninterne IT-Dienstleister.
Sicherheitsanforderungen sollten deshalb auch vertraglich abgebildet werden. Dazu können unter anderem konkrete Melde- und Eskalationswege, Anforderungen an Zugriffsschutz und Unterauftragnehmer sowie Regelungen zum Schwachstellenmanagement und zur Unterstützung bei Sicherheitsvorfällen gehören.
Praxisbeispiel: Ein Unternehmen kann seine eigene 24-Stunden-Meldefrist kaum zuverlässig einhalten, wenn ein zentraler IT-Dienstleister einen Sicherheitsvorfall erst mehrere Tage später weitergibt.
Registrierung und Meldepflichten: Welche Fristen gelten?
NIS2 enthält mehrere Pflichten, bei denen Unternehmen selbst aktiv werden müssen. Besonders relevant sind die Registrierung und das mehrstufige Meldeverfahren bei erheblichen Sicherheitsvorfällen.
Registrierung beim BSI
Wichtige und besonders wichtige Einrichtungen müssen sich grundsätzlich spätestens drei Monate, nachdem sie erstmals oder erneut als solche gelten, registrieren.
Für Unternehmen, die bereits mit Inkrafttreten der deutschen NIS2-Regelungen am 6. Dezember 2025 betroffen waren, ist diese reguläre Dreimonatsfrist inzwischen abgelaufen. Noch nicht registrierte betroffene Unternehmen sollten die Registrierung deshalb nicht weiter aufschieben.
Das BSI stellt hierfür das BSI-Portal zur Verfügung.
Bei der Registrierung werden unter anderem Informationen zur Einrichtung, Kontaktdaten, der relevante Sektor sowie gegebenenfalls weitere aufsichtsbezogene Angaben benötigt. Änderungen registrierter Angaben müssen ebenfalls innerhalb der gesetzlich vorgesehenen Fristen aktualisiert werden.
Erhebliche Sicherheitsvorfälle melden
Bei einem erheblichen Sicherheitsvorfall beginnt ein gestuftes Meldeverfahren. Entscheidend ist der Zeitpunkt, zu dem das Unternehmen Kenntnis von dem erheblichen Sicherheitsvorfall erhält.
Frühe Erstmeldung
Aktualisierte Meldung und erste Bewertung
Abschlussmeldung nach der 72-Stunden-Meldung
Dauert der Sicherheitsvorfall zum Zeitpunkt der vorgesehenen Abschlussmeldung noch an, kann zunächst eine Fortschrittsmeldung erforderlich sein. Zusätzlich kann das BSI eine Zwischenmeldung mit aktuellen Informationen verlangen.
Unternehmen sollten die erforderlichen Abläufe deshalb vor einem Ernstfall festlegen: Wer bewertet einen Vorfall? Wer informiert die Geschäftsleitung? Wer entscheidet über die Meldung? Wer übermittelt die Informationen an das BSI?
Ausführlich behandeln wir das Verfahren im Beitrag NIS2-Meldepflicht: Was muss bei einem Sicherheitsvorfall gemeldet werden?
NIS2 und DSGVO können gleichzeitig gelten
Betrifft ein Cyberangriff auch personenbezogene Daten, können neben den NIS2- beziehungsweise BSIG-Pflichten zusätzlich die Melde- und Benachrichtigungspflichten der DSGVO relevant werden.
Vorfallprozesse sollten deshalb Informationssicherheit und Datenschutz miteinander verbinden. Insbesondere IT, Informationssicherheit, Datenschutz, Geschäftsleitung und gegebenenfalls Kommunikation müssen im Ernstfall schnell zusammenarbeiten können.
Welche Verantwortung hat die Geschäftsleitung?
NIS2 macht Informationssicherheit ausdrücklich zu einer Aufgabe der Unternehmensleitung. Geschäftsleitungen wichtiger und besonders wichtiger Einrichtungen müssen die nach dem BSI-Gesetz erforderlichen Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen.
Darüber hinaus müssen Mitglieder der Geschäftsleitung regelmäßig an Schulungen teilnehmen, damit sie Cyberrisiken und Risikomanagementmaßnahmen angemessen beurteilen können.
Die technische Umsetzung einzelner Maßnahmen kann selbstverständlich durch interne oder externe Fachstellen erfolgen. Die Steuerungs- und Überwachungsverantwortung der Geschäftsleitung verschwindet dadurch jedoch nicht.
Geschäftsführung und Vorstand sollten deshalb insbesondere klären:
- Welche Gesellschaften des Unternehmens oder der Gruppe sind von NIS2 betroffen?
- Wer trägt intern die operative Verantwortung für die Umsetzung?
- Welche wesentlichen Sicherheitslücken und Restrisiken bestehen?
- Funktionieren Eskalations- und Meldewege im Ernstfall tatsächlich?
- Werden Entscheidungen, Maßnahmen, Schulungen und Kontrollen nachvollziehbar dokumentiert?
Pflichtverletzungen können zudem Haftungsfolgen nach den jeweils anwendbaren gesellschaftsrechtlichen Regeln auslösen.
Mehr dazu im Beitrag NIS2-Haftung: Pflichten für Geschäftsführer und Vorstände.
Welche Bußgelder drohen bei NIS2-Verstößen?
Verstöße gegen zentrale NIS2-Pflichten können erhebliche Bußgelder auslösen. Das betrifft beispielsweise Verstöße gegen Risikomanagement-, Dokumentations- oder Meldepflichten.
Für bestimmte zentrale Verstöße sieht das BSI-Gesetz bei besonders wichtigen Einrichtungen grundsätzlich Bußgelder von bis zu 10 Millionen Euro und bei wichtigen Einrichtungen von bis zu 7 Millionen Euro vor.
Bei besonders wichtigen Einrichtungen mit einem Gesamtumsatz von mehr als 500 Millionen Euro kann für bestimmte Verstöße stattdessen eine Geldbuße von bis zu 2 Prozent des weltweiten Gesamtumsatzes maßgeblich sein. Bei wichtigen Einrichtungen mit einem Gesamtumsatz von mehr als 500 Millionen Euro beträgt diese Obergrenze bis zu 1,4 Prozent des weltweiten Gesamtumsatzes.
Daneben verfügt das BSI über Aufsichts- und Durchsetzungsinstrumente. Unternehmen sollten deshalb nicht nur wirksame Sicherheitsmaßnahmen umsetzen, sondern auch ihre Entscheidungen, Kontrollen und Nachweise strukturiert dokumentieren.
Weitere Einzelheiten finden Sie im Beitrag NIS2-Bußgelder: Welche Strafen drohen Unternehmen bei Verstößen?.
NIS2 in fünf Schritten umsetzen
Eine wirksame NIS2-Umsetzung beginnt nicht mit einem möglichst langen Maßnahmenkatalog. Entscheidend ist ein strukturiertes Vorgehen, das Betroffenheit, Risiken, Verantwortlichkeiten und vorhandene Sicherheitsmaßnahmen zusammenführt.
-
Betroffenheit und Scope klären
Einrichtungsart, Tätigkeit, Unternehmensgröße, Konzernstruktur und mögliche Sonderregelungen prüfen. -
Governance festlegen
Verantwortlichkeiten bestimmen, Geschäftsleitung einbinden und erforderliche Registrierung organisieren. -
Gap-Analyse durchführen
Bestehende Sicherheitsmaßnahmen mit den NIS2-Anforderungen abgleichen und wesentliche Lücken identifizieren. -
Maßnahmen priorisieren
Technische und organisatorische Maßnahmen risikoorientiert umsetzen und Dienstleister sowie Lieferketten einbeziehen. -
Prozesse testen und dokumentieren
Melde- und Notfallprozesse erproben, Wirksamkeit kontrollieren und Entscheidungen sowie Maßnahmen nachvollziehbar dokumentieren.
NIS2-Beratung für Unternehmen
NIS2-Betroffenheit und Handlungsbedarf klären
Wir unterstützen Sie dabei, Ihre NIS2-Betroffenheit einzuordnen, bestehende Sicherheitsmaßnahmen zu bewerten und die nächsten Schritte strukturiert zu priorisieren.
NIS2-Ersteinschätzung anfragen
Unverbindlich · Persönliche Ersteinschätzung · Praxisorientierte Handlungsempfehlungen
Häufige Fragen zu NIS2
Gilt NIS2 in Deutschland bereits?
Ja. Die deutschen NIS2-Regelungen gelten seit dem 6. Dezember 2025. Unternehmen sollten deshalb nicht mehr nur Vorbereitungsmaßnahmen planen, sondern prüfen, ob sie bereits konkrete Pflichten nach dem BSI-Gesetz erfüllen müssen.
Welche Unternehmen sind von NIS2 betroffen?
Entscheidend sind insbesondere Einrichtungsart beziehungsweise Sektor, konkrete Tätigkeit und Unternehmensgröße. Für zahlreiche Unternehmen spielen Schwellenwerte ab 50 Mitarbeitenden beziehungsweise bestimmte Umsatz- und Bilanzsummen eine Rolle. Daneben bestehen Sonderregelungen, weshalb die Betroffenheit im Einzelfall genauer geprüft werden sollte.
Muss sich jedes NIS2-betroffene Unternehmen registrieren?
Wichtige und besonders wichtige Einrichtungen unterliegen grundsätzlich einer Registrierungspflicht. Die Registrierung muss spätestens drei Monate erfolgen, nachdem das Unternehmen erstmals oder erneut als entsprechende Einrichtung gilt. Für bestimmte Einrichtungsarten und Sonderfälle bestehen ergänzende Regelungen.
Welche Meldefristen gelten bei Sicherheitsvorfällen?
Bei einem erheblichen Sicherheitsvorfall ist grundsätzlich innerhalb von 24 Stunden eine frühe Erstmeldung und innerhalb von 72 Stunden eine weitere Meldung erforderlich. Spätestens einen Monat nach der 72-Stunden-Meldung folgt grundsätzlich die Abschlussmeldung. Bei noch andauernden Vorfällen gelten ergänzende Vorgaben.
Braucht jedes NIS2-Unternehmen eine ISO-27001-Zertifizierung?
Nein. Das BSI-Gesetz verlangt geeignete, verhältnismäßige und wirksame Risikomanagementmaßnahmen, schreibt aber nicht für jedes Unternehmen pauschal eine ISO-27001-Zertifizierung vor. Ein ISMS und Standards wie ISO/IEC 27001 können jedoch eine geeignete Grundlage für die strukturierte Umsetzung bilden.
Welche Verantwortung trägt die Geschäftsleitung?
Die Geschäftsleitung muss die erforderlichen Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen. Außerdem besteht eine regelmäßige Schulungspflicht. Informationssicherheit kann deshalb nicht vollständig als rein operative Aufgabe an die IT-Abteilung delegiert werden.
Hinweis
Dieser Beitrag bietet eine allgemeine Orientierung und ersetzt keine rechtliche oder technische Einzelfallprüfung. Ob und in welchem Umfang ein Unternehmen von NIS2 betroffen ist, hängt insbesondere von Tätigkeit, Einrichtungsart, Größe, Konzernstruktur und möglichen Sonderregelungen ab.
Weiterführende offizielle Informationen zu NIS2, Registrierung und Meldepflichten stellt das Bundesamt für Sicherheit in der Informationstechnik (BSI) bereit.