NIS-2 ist in Kraft: Was Unternehmen jetzt tun müssen

Seit dem 6. Dezember 2025 ist NIS-2 deutsches Recht: Das neue BSI-Gesetz setzt die Richtlinie um, rund 29.500 Unternehmen fallen darunter. Die Registrierung beim BSI musste bis zum 31. Juli 2026 erfolgen — diese Frist ist abgelaufen. Wer sie versäumt hat, holt sie jetzt nach: Allein dafür sieht § 65 BSIG Bußgelder bis zu 500.000 € vor. Dieser Artikel zeigt, was gilt und in welcher Reihenfolge Sie vorgehen.

Was seit dem 6. Dezember 2025 gilt

Aus „irgendwann“ ist geltendes Recht geworden. Vier Pflichten stehen im Gesetz:

1. Registrierung beim BSI. In zwei Schritten: erst „Mein Unternehmenskonto“, dann das BSI-Portal. Ursprünglich war der 6. März 2026 die Frist, das BSI hat sie auf den 31. Juli 2026 verlängert. Wer erst später unter NIS-2 fällt, hat dafür drei Monate ab dem Zeitpunkt der Betroffenheit.
2. Risikomanagement. Zehn Mindestmaßnahmen nach § 30 Abs. 2 BSIG — von der Risikoanalyse bis zur Mehr-Faktor-Authentifizierung.
3. Meldepflichten. Bei erheblichen Vorfällen 24 Stunden, 72 Stunden, 30 Tage (§ 32 BSIG).
4. Pflichten der Geschäftsleitung. Sie muss die Maßnahmen billigen, ihre Umsetzung überwachen und sich schulen lassen (§ 38 BSIG). Das ist keine Aufgabe, die man an die IT delegiert.

Wer noch nicht angefangen hat, hat kein Zeitproblem mehr, sondern ein Rechtsproblem. Die gute Nachricht: Die Reihenfolge ist klar, und der erste Schritt dauert Minuten statt Monate.

Schritt 1: Prüfen Sie Ihre Betroffenheit

Bevor Sie irgendetwas investieren, klären Sie die wichtigste Frage: Sind Sie von NIS-2 betroffen?

Drei Faktoren entscheiden das:

A. Sektor

Das BSIG unterscheidet zwei Gruppen. Besonders wichtige Einrichtungen (Anlage 1) unterliegen strengerer Aufsicht — Energie, Transport, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser/Abwasser, Digitale Infrastruktur (DNS, Cloud, Rechenzentren), IKT-Dienstleistungsmanagement, Öffentliche Verwaltung, Raumfahrt.

Wichtige Einrichtungen (Anlage 2) haben etwas leichtere Pflichten — Post-/Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, produzierendes Gewerbe (Medizinprodukte, Elektrotechnik, Maschinenbau, Automotive u.v.m.), digitale Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke), Forschung.

Wichtig: Die Schwellenwerte zur Abgrenzung haben sich gegenüber NIS-1 stark erweitert. Das BSI rechnet mit rund 29.500 betroffenen Unternehmen allein in Deutschland.

B. Unternehmensgröße

Die Grundregel: mittlere Unternehmen und größer. Konkret:

• Wichtige Einrichtung: ab 50 Mitarbeitenden — oder mehr als 10 Mio. € Jahresumsatz und mehr als 10 Mio. € Bilanzsumme
• Besonders wichtige Einrichtung: ab 250 Mitarbeitenden — oder mehr als 50 Mio. € Jahresumsatz und mehr als 43 Mio. € Bilanzsumme

Unterhalb dieser Schwellen sind Sie typischerweise nicht betroffen — es sei denn, Sie gehören zu einer Sonderkategorie (DNS-Anbieter, TLD-Registries, qualifizierte Vertrauensdienste etc.), die unabhängig von der Größe NIS-2-pflichtig ist.

C. Indirekte Betroffenheit über die Lieferkette

Auch wenn Sie formal nicht unter NIS-2 fallen: Ihre Großkunden werden die Anforderungen vertraglich an Sie weiterreichen. „Lieferketten-Sicherheit“ ist eine der zehn Pflichtmaßnahmen für betroffene Unternehmen — diese müssen ihre Zulieferer prüfen und binden.

Konkret: Ein Maschinenbauer mit 80 Mitarbeitern, der an einen Automobilhersteller liefert, wird zu NIS-2-Konformität verpflichtet, auch wenn er selbst nicht direkt im Anwendungsbereich ist.

Unklar, ob Sie betroffen sind? Prüfen Sie das in 3 Minuten mit dem NIS-2 Betroffenheitscheck.

Schritt 2: Verstehen Sie die 10 Pflichtmaßnahmen

§ 30 Abs. 2 BSIG — im EU-Recht Artikel 21 der Richtlinie — definiert zehn Mindestmaßnahmen, die jedes betroffene Unternehmen umsetzen muss. Viele davon sind aus bestehenden Sicherheitsframeworks bekannt — aber das „Pflicht“-Wort macht den Unterschied.

1. Risikoanalyse und Sicherheitspolitiken für Informationssysteme
2. Bewältigung von Sicherheitsvorfällen (Incident Handling)
3. Aufrechterhaltung des Betriebs: Backup, Wiederherstellung, Krisenmanagement
4. Sicherheit der Lieferkette, inkl. Beziehungen zu Anbietern
5. Sicherheit bei Erwerb, Entwicklung und Wartung von Informationssystemen inkl. Schwachstellenmanagement
6. Konzepte zur Wirksamkeitsbewertung der Cybersicherheitsmaßnahmen
7. Grundlegende Cyber-Hygiene und Cybersicherheits-Schulungen
8. Kryptografie und Verschlüsselung
9. Personalsicherheit, Zugriffskontrolle, Asset Management
10. Mehr-Faktor-Authentifizierung oder kontinuierliche Authentifizierung, sichere Kommunikation

Wer bereits ISO 27001 implementiert hat, erfüllt ca. 60-80 Prozent dieser Anforderungen bereits.

Schritt 3: Die Meldefristen — das größte Risiko

Bei „erheblichen“ Sicherheitsvorfällen verlangt § 32 BSIG eine dreistufige Meldung an das BSI:

• 24 Stunden — frühe Erstmeldung
• 72 Stunden — Meldung mit erster Bewertung
• 30 Tage — Abschlussmeldung

Das ist die härteste Anforderung von NIS-2. Warum? Die meisten Unternehmen haben heute keinen eingeübten 24-Stunden-Meldeprozess. Wenn nachts um 2 Uhr ein Vorfall passiert, wer meldet? An wen? Wie?

Praxistipp: Legen Sie ein konkretes Playbook an. Wer ist Incident-Owner? Wer eskaliert an die Geschäftsführung? Welches Template nutzen Sie fürs BSI? Üben Sie mit Tabletop-Simulationen mindestens einmal jährlich.

Schritt 4: Plan für die nächsten 6 Monate

Die Registrierung steht jetzt am Anfang, nicht am Ende — sie ist überfällig und in Stunden erledigt, während der Aufbau Monate dauert. Ein realistischer Zeitplan:

Schritt 5: Die 10 häufigsten Fehler vermeiden

Aus den Projekten, die wir begleiten, kennen wir die typischen Stolpersteine:

1. Auf das Gesetz warten — es gilt seit Dezember 2025. Wer noch wartet, wartet auf nichts.
2. Registrierung versäumt — die Frist lief am 31. Juli 2026 ab. Nachholen, nicht aussitzen: § 65 BSIG sieht bis zu 500.000 € vor.
3. Nachweise unterschätzt — das BSI verlangt belastbare Dokumentation, keine Absichtserklärungen.
4. Lieferanten ignoriert — mehrere der zehn Pflichtmaßnahmen betreffen die Lieferkette.
5. Meldeprozess nicht eingeübt — 24 Stunden sind schnell vorbei, wenn niemand weiß, wer meldet.
6. NIS-2 als reines IT-Projekt behandelt — es betrifft HR, Einkauf, Recht, Vertrieb und die Geschäftsführung.
7. Management-Schulung vergessen — § 38 BSIG macht sie zur Pflicht der Geschäftsleitung.
8. Klassifikation von Vorfällen fehlerhaft — „erheblich“ ist nicht einfach definiert.
9. Einstufung nicht belegt — wer nicht dokumentiert, warum er nicht betroffen ist, diskutiert das später unter Zeitdruck.
10. Billiganbieter gewählt — „NIS-2 ready in 4 Wochen“ ist unrealistisch.

Was kostet die NIS-2-Umsetzung?

Unsere Festpreise für die Begleitung bis zur Umsetzung, gestaffelt nach Unternehmensgröße:

• bis 5 Mitarbeitende: ab 4.900 €
• 6-50 Mitarbeitende: ab 9.800 €
• 51-100 Mitarbeitende: ab 16.300 €
• über 100 Mitarbeitende: individuelles Angebot

Wer bereits ISO 27001 betreibt, spart deutlich — Kontext, Risikoprozess, Vorfallmanagement und Lieferantensteuerung stehen dann schon. Eine Einschätzung für Ihre Größe und Ausgangslage gibt der Sofort-Check auf unserer NIS-2-Seite. Das verbindliche Angebot folgt nach einem kostenlosen Erstgespräch.

Fazit: Was Sie jetzt konkret tun sollten

Drei sofortige Schritte:

1. Betroffenheit klären und belegen — NIS-2 Betroffenheitscheck (3 Minuten)
2. Registrierung beim BSI prüfen — und, falls sie fehlt, sofort nachholen
3. Umsetzung planen — NIS-2 Leitfaden als PDF (18 Seiten, kostenlos) oder direkt ein Erstgespräch

Die Uhr tickt nicht mehr — sie hat geschlagen. Wer jetzt anfängt, arbeitet die Pflichten in einem halben Jahr ordentlich ab. Wer auf eine Prüfung wartet, verhandelt unter Zeitdruck.