NIS2: Richtlinie, Umsetzungsgesetz und Pflichten für Unternehmen

NIS2 löst die erste NIS-Richtlinie von 2016 ab. Sie erfasst deutlich mehr Unternehmen als früher. Neben klassischen KRITIS-Betreibern gilt sie jetzt auch für viele Mittelständler aus Industrie, Logistik oder IT-Dienstleistung. Auf dieser Seite finden Sie die wichtigsten Punkte auf einen Blick. Am Ende verlinken wir vertiefende Artikel zu einzelnen Branchen und Fragen.

Was ist NIS2?

NIS steht für „Network and Information Security“. Die Richtlinie wurde Ende 2022 im EU-Amtsblatt veröffentlicht. Die Mitgliedstaaten mussten sie bis Oktober 2024 in nationales Recht umsetzen. Ziel ist ein einheitlich hohes Sicherheitsniveau für Netz- und Informationssysteme in der ganzen EU.

Gegenüber der ersten NIS-Richtlinie ändert sich vor allem dreierlei:

• Mehr Betroffene: Statt weniger Betreiber kritischer Infrastrukturen fallen jetzt ganze Sektoren ab einer bestimmten Unternehmensgröße darunter.
• Konkretere Pflichten: Die Richtlinie nennt Mindestmaßnahmen und feste Meldefristen.
• Verantwortung der Geschäftsleitung: Die Leitung muss die Maßnahmen umsetzen, überwachen und sich regelmäßig schulen lassen.

NIS2-Umsetzungsgesetz (NIS2UmsuCG) und neues BSIG

Deutschland hat NIS2 mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) umgesetzt. Es ist am 6. Dezember 2025 in Kraft getreten. Kern des Gesetzes ist ein neu gefasstes BSI-Gesetz (BSIG). Darin stehen die Pflichten für Unternehmen. Zuständige Aufsichtsbehörde ist das Bundesamt für Sicherheit in der Informationstechnik (BSI).

Wichtig für die Begriffe: Die EU-Richtlinie spricht von „wesentlichen“ und „wichtigen“ Einrichtungen. Das deutsche BSIG nennt sie „besonders wichtige Einrichtungen“ und „wichtige Einrichtungen“.

Wer ist von NIS2 betroffen?

Ob Ihr Unternehmen unter NIS2 fällt, hängt an zwei Fragen: In welchem Sektor sind Sie tätig, und wie groß ist Ihr Unternehmen? Die Sektoren stehen in Anlage 1 und Anlage 2 des BSIG.

Sektoren

• Anlage 1: Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur (dazu zählen auch Rechenzentren, Cloud- und Managed-Service-Anbieter) sowie Weltraum.
• Anlage 2: Transport und Verkehr (Post- und Kurierdienste), Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe (zum Beispiel Medizinprodukte, Elektronik, elektrische Ausrüstung, Maschinenbau und Fahrzeugbau), Anbieter digitaler Dienste sowie Forschung.

Größe: besonders wichtige und wichtige Einrichtungen

• Besonders wichtige Einrichtung: Unternehmen aus Anlage 1 mit mindestens 250 Beschäftigten oder mehr als 50 Mio. Euro Jahresumsatz und mehr als 43 Mio. Euro Jahresbilanzsumme. Dazu kommen unabhängig von der Größe Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Diensteanbieter.
• Wichtige Einrichtung: Unternehmen aus Anlage 1 oder 2 mit mindestens 50 Beschäftigten oder jeweils mehr als 10 Mio. Euro Jahresumsatz und Jahresbilanzsumme, sofern sie nicht schon besonders wichtig sind.

Einige Anbieter erfasst das BSIG unabhängig von ihrer Größe: Anbieter öffentlicher Telekommunikationsnetze und -dienste sind ab 50 Beschäftigten oder mehr als 10 Mio. Euro Umsatz und Bilanzsumme besonders wichtige, darunter wichtige Einrichtungen. Nicht qualifizierte Vertrauensdiensteanbieter sind immer wichtige Einrichtungen.

Für die Größe zählen nach der KMU-Empfehlung der EU grundsätzlich auch Partner- und verbundene Unternehmen mit. Das BSIG macht eine Ausnahme, wenn Ihr Unternehmen bei IT-Systemen und Prozessen tatsächlich unabhängig von ihnen ist. Prüfen Sie deshalb die ganze Unternehmensgruppe, nicht nur die einzelne Gesellschaft. Ob Sie besonders wichtig oder wichtig sind, bestimmt vor allem, wie streng das BSI aufsieht und wie hoch Bußgelder ausfallen können.

Welche Pflichten gelten?

Risikomanagement nach § 30 BSIG

Betroffene Einrichtungen müssen geeignete, verhältnismäßige technische und organisatorische Maßnahmen treffen. Das Gesetz nennt mindestens diese zehn Bereiche:

1. Konzepte für Risikoanalyse und Sicherheit in der Informationstechnik
2. Bewältigung von Sicherheitsvorfällen
3. Aufrechterhaltung des Betriebs: Backup-Management, Notfallwiederherstellung und Krisenmanagement
4. Sicherheit der Lieferkette, also der direkten Anbieter und Dienstleister
5. Sicherheit bei Beschaffung, Entwicklung und Wartung, einschließlich Umgang mit Schwachstellen
6. Verfahren, mit denen Sie die Wirksamkeit der Maßnahmen bewerten
7. Grundlegende Cyberhygiene und Schulungen
8. Konzepte für Kryptografie und Verschlüsselung
9. Personalsicherheit, Zugriffskontrolle und Verwaltung von IT-Systemen
10. Multi-Faktor-Authentifizierung sowie gesicherte Sprach-, Video- und Textkommunikation

Meldepflichten nach § 32 BSIG

Erhebliche Sicherheitsvorfälle melden Sie in festen Stufen an die gemeinsame Meldestelle von BSI und BBK:

• Frühe Erstmeldung: unverzüglich, spätestens 24 Stunden nach Kenntnis des Vorfalls
• Meldung: spätestens 72 Stunden nach Kenntnis, mit erster Bewertung von Schwere und Auswirkungen
• Zwischenmeldung: auf Anfrage des BSI
• Abschlussmeldung: spätestens einen Monat nach der 72-Stunden-Meldung. Läuft der Vorfall dann noch, folgt zunächst eine Fortschrittsmeldung.

Damit Sie diese Fristen halten, brauchen Sie einen eingeübten Incident-Response-Prozess mit klaren Zuständigkeiten.

Registrierung nach § 33 BSIG

Besonders wichtige und wichtige Einrichtungen müssen sich spätestens drei Monate, nachdem sie unter das Gesetz fallen, beim BSI registrieren. Für Unternehmen, die schon beim Inkrafttreten betroffen waren, endete diese Frist im März 2026. Die Registrierung läuft über das BSI-Portal mit „Mein Unternehmenskonto“. Anzugeben sind unter anderem Firma, Kontaktdaten, öffentliche IP-Adressbereiche, Sektor und die Mitgliedstaaten, in denen Sie tätig sind. Änderungen melden Sie innerhalb von zwei Wochen.

Pflichten der Geschäftsleitung nach § 38 BSIG

Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Verletzt sie diese Pflichten schuldhaft und entsteht dem Unternehmen dadurch ein Schaden, haftet sie nach dem jeweiligen Gesellschaftsrecht. Außerdem muss die Geschäftsleitung regelmäßig an Schulungen teilnehmen. Mehr dazu lesen Sie in unserem Artikel zur Haftung der Geschäftsleitung unter NIS2.

Bußgelder

§ 65 BSIG sieht für Verstöße gegen die Risikomanagement- und Meldepflichten hohe Geldbußen vor:

• Besonders wichtige Einrichtungen: bis zu 10 Mio. Euro, bei mehr als 500 Mio. Euro Gesamtumsatz bis zu 2 % des weltweiten Umsatzes
• Wichtige Einrichtungen: bis zu 7 Mio. Euro, bei mehr als 500 Mio. Euro Gesamtumsatz bis zu 1,4 % des weltweiten Umsatzes
• Fehlende oder verspätete Registrierung: bis zu 500.000 Euro

NIS2 umsetzen: Checkliste in sechs Schritten

1. Betroffenheit prüfen: Sektor und Größe der Unternehmensgruppe gegen Anlage 1 und 2 abgleichen. Ergebnis schriftlich festhalten.
2. Registrieren: Falls noch nicht geschehen, die Registrierung beim BSI sofort nachholen.
3. Gap-Analyse: Den heutigen Stand mit den zehn Bereichen aus § 30 vergleichen und Lücken priorisieren.
4. Meldeprozess aufsetzen: Wer erkennt einen Vorfall, wer bewertet ihn, wer meldet innerhalb von 24 Stunden? Rollen, Vorlagen und Erreichbarkeit festlegen.
5. Lieferkette erfassen: Kritische Dienstleister dokumentieren und Sicherheitsanforderungen in Verträge aufnehmen.
6. Geschäftsleitung einbinden: Maßnahmen beschließen lassen, regelmäßig berichten und Schulungen dokumentieren.

NIS2 und ISO 27001

Ein ISMS nach ISO/IEC 27001 deckt einen großen Teil der Maßnahmen aus § 30 ab, etwa Risikoanalyse, Zugriffskontrolle, Kryptografie und Notfallmanagement. Es ersetzt aber nicht alles. Registrierung, die gesetzlichen Meldefristen und die Pflichten der Geschäftsleitung müssen Sie zusätzlich regeln. Wie sich mehrere Regelwerke in einem System bündeln lassen, zeigt unser Artikel zu Multi-Framework-Compliance mit ISO 27001, NIS2 und BSI IT-Grundschutz.

Häufige Fragen zu NIS2

Gilt NIS2 auch für kleine Unternehmen?

In der Regel erst ab 50 Beschäftigten oder mehr als 10 Mio. Euro Umsatz und Bilanzsumme. Einige Einrichtungen fallen aber unabhängig von der Größe darunter, zum Beispiel DNS-Diensteanbieter oder Betreiber kritischer Anlagen. Kleinere Zulieferer betrifft NIS2 oft indirekt: Ihre Kunden müssen die Sicherheit der Lieferkette nachweisen und geben Anforderungen weiter.

Was ist der Unterschied zwischen KRITIS und NIS2?

KRITIS-Betreiber betreiben kritische Anlagen, deren Ausfall die Versorgung der Bevölkerung gefährden würde. Sie sind unter NIS2 automatisch besonders wichtige Einrichtungen und haben zusätzliche Pflichten. NIS2 erfasst zusätzlich viele Unternehmen, die keine KRITIS-Betreiber sind.

Wir haben die Registrierung verpasst. Was jetzt?

Holen Sie die Registrierung sofort nach. Eine fehlende Registrierung ist eine Ordnungswidrigkeit. Die übrigen Pflichten, etwa Risikomanagement und Meldungen, gelten unabhängig davon bereits.

Reicht eine ISO-27001-Zertifizierung für NIS2?

Sie ist eine sehr gute Grundlage, aber kein automatischer Nachweis. Prüfen Sie gezielt die NIS2-spezifischen Punkte: Meldefristen, Registrierung, Lieferkette und Pflichten der Geschäftsleitung.

Vertiefende Artikel zu NIS2

• Haftung der Geschäftsleitung unter NIS2
• NIS2 im Maschinenbau und Mittelstand (IEC 62443)
• Krankenhäuser zwischen KRITIS, B3S und NIS2
• NIS2 und KI-Systeme
• DORA, NIS2 und ISO 27001 gleichzeitig umsetzen
• NIS2-ready: Health-Monitoring, Audit-Log und Alert-Rules

Unterstützung bei der Umsetzung

Sie wollen wissen, ob NIS2 Ihr Unternehmen betrifft und was konkret zu tun ist? In unserer NIS2-Beratung prüfen wir die Betroffenheit, führen die Gap-Analyse durch und begleiten Sie bei Meldeprozess, Lieferkette und Schulung der Geschäftsleitung.