NIS2-Richtlinie Zusammenfassung: Das Wichtigste auf einer Seite

Sie brauchen den NIS2-Überblick ohne 50 Seiten Lektüre? Diese Zusammenfassung bündelt alles Wesentliche: wer betroffen ist, was zu tun ist, welche Fristen gelten, was bei Verstößen droht und wie der Gesetzesstand in Deutschland ist — auf einer Seite, mit Stand September 2026. Für jedes Thema verweisen wir auf die vertiefenden Artikel.

Die Seite eignet sich auch als Briefing-Grundlage: Wenn Sie die Betroffenheit Ihres Unternehmens in der Geschäftsführung oder im Beirat vorstellen müssen, finden Sie hier die belastbaren Zahlen und die Reihenfolge der nächsten Schritte.

NIS2 in 90 Sekunden

Die Kernfakten im Schnelldurchlauf:

• Was: NIS2 (Richtlinie (EU) 2022/2555) ist das europäische Cybersicherheitsrecht für kritische und wichtige Wirtschaftssektoren. Es löst die erste NIS-Richtlinie von 2016 ab und erweitert deren Anwendungsbereich massiv.
• Seit wann: In Deutschland umgesetzt durch das NIS2-Umsetzungsgesetz (NIS2UmsuCG), in Kraft seit dem 6. Dezember 2025 — ohne Übergangsfrist. Das Gesetz novelliert im Kern das BSI-Gesetz (BSIG).
• Wer: Rund 29.500 Unternehmen in Deutschland aus 18 Sektoren — von Energie und Gesundheit über Maschinenbau und Lebensmittel bis zu IT-Dienstleistern. Untergrenze in der Regel: 50 Mitarbeitende oder über 10 Millionen Euro Umsatz und Bilanzsumme.
• Was zu tun ist: Registrierung beim BSI, zehn Risikomanagementmaßnahmen nach § 30 BSIG, dreistufige Vorfallsmeldung (24 h / 72 h / 1 Monat), Billigungs-, Überwachungs- und Schulungspflicht der Geschäftsleitung.
• Was droht: Bußgelder bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, BSI-Anordnungen und die persönliche Haftung der Geschäftsleitung gegenüber der eigenen Gesellschaft.
• Was nicht gilt: Eine Zertifizierungspflicht gibt es nicht — ISO 27001 ist das gängigste Werkzeug zur Umsetzung, aber keine gesetzliche Voraussetzung.

Die vier häufigsten Missverständnisse

Bevor es in die Details geht, vier Klarstellungen, die in Beratungsgesprächen am häufigsten nötig sind:

• „NIS2 betrifft nur kritische Infrastruktur“ — falsch. KRITIS ist eine Teilmenge. Die Masse der 29.500 Betroffenen sind normale mittelständische Unternehmen in den 18 Sektoren, vom Maschinenbauer bis zum Logistiker.
• „Das BSI meldet sich, wenn wir dran sind“ — falsch. Betroffenheitsprüfung und Registrierung sind Bringschulden. Es gibt keine Bescheide.
• „Wir brauchen ein Zertifikat“ — falsch. NIS2 kennt keine Zertifizierungspflicht. Verlangt sind umgesetzte, nachweisbare Maßnahmen; ein ISMS-Zertifikat ist ein sinnvolles Werkzeug, keine Pflicht.
• „Ohne deutsches Gesetz galt nichts“ — inzwischen irrelevant, aber lehrreich: Seit dem 6. Dezember 2025 gilt das Gesetz vollständig, ohne Übergangsfrist. Wer auf weitere Verzögerungen gesetzt hat, ist seither im Verzug.

Zahlen, Daten, Fristen auf einen Blick

Die wichtigsten Eckwerte in der Übersicht:

Wer ist betroffen?

Die Betroffenheit ergibt sich aus Sektor plus Größe. Anlage 1 des BSIG erfasst elf Sektoren hoher Kritikalität: Energie, Transport und Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienstleistungsmanagement, öffentliche Verwaltung des Bundes und Weltraum. Anlage 2 ergänzt sieben weitere: Post und Kurier, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe (unter anderem Maschinenbau, Fahrzeugbau, Elektronik, Medizinprodukte), digitale Dienste und Forschung.

Erfasst ist, wer in diesen Sektoren mindestens 50 Mitarbeitende beschäftigt oder die Umsatz- und Bilanzschwellen überschreitet. Einige Anbieter — etwa DNS-Dienste, TLD-Registrare, qualifizierte Vertrauensdiensteanbieter und Betreiber kritischer Anlagen — sind unabhängig von ihrer Größe betroffen. Wichtig: Es gibt keinen Behördenbescheid. Jedes Unternehmen muss die eigene Betroffenheit selbst prüfen und dokumentieren; das BSI stellt dafür eine Online-Betroffenheitsprüfung bereit. Zulieferer unterhalb der Schwellen werden häufig indirekt über die Lieferkettenanforderungen ihrer Kunden einbezogen.

Die Pflichten kompakt

Vier Pflichtenblöcke gelten für alle betroffenen Einrichtungen:

1. Registrierung (§ 33 BSIG): Anmeldung über das BSI-Portal mit Stammdaten, Sektor und Kontaktstelle — binnen drei Monaten ab Erfüllen der Kriterien.
2. Risikomanagement (§ 30 BSIG): Zehn Maßnahmenbereiche: Risikoanalyse und Sicherheitskonzepte, Bewältigung von Sicherheitsvorfällen, Betriebskontinuität mit Backup- und Krisenmanagement, Lieferkettensicherheit, sichere Beschaffung und Entwicklung inklusive Schwachstellenmanagement, Wirksamkeitsbewertung, Cyberhygiene und Schulungen, Kryptografie, Personalsicherheit mit Zugriffskontrolle sowie Multi-Faktor-Authentifizierung und gesicherte Kommunikation — verhältnismäßig zum Risiko, nach Stand der Technik.
3. Meldepflichten (§ 32 BSIG): Erhebliche Sicherheitsvorfälle sind dem BSI dreistufig zu melden: Frühwarnung binnen 24 Stunden, bewertende Meldung binnen 72 Stunden, Abschlussbericht spätestens nach einem Monat.
4. Geschäftsleitung (§ 38 BSIG): Die Leitungsebene muss die Maßnahmen billigen, die Umsetzung überwachen und regelmäßig an Schulungen teilnehmen — höchstpersönlich und nicht delegierbar; bei Pflichtverletzung haftet sie der Gesellschaft für Schäden.

Betreiber kritischer Anlagen tragen Zusatzpflichten, insbesondere Systeme zur Angriffserkennung und turnusmäßige Nachweise gegenüber dem BSI.

Sanktionen und Aufsicht kompakt

Das BSI beaufsichtigt besonders wichtige Einrichtungen proaktiv — es kann jederzeit Nachweise und Prüfungen verlangen — und wichtige Einrichtungen reaktiv bei Anhaltspunkten für Verstöße. Der Bußgeldrahmen reicht bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes (besonders wichtige Einrichtungen) beziehungsweise 7 Millionen Euro oder 1,4 Prozent (wichtige Einrichtungen); für einzelne Verstöße wie die unterlassene Registrierung gelten abgestufte Rahmen. Bußgeldbewehrt sind auch Formalverstöße — Registrierung und Meldefristen — unabhängig von einem Schadenseintritt.

Realistisch betrachtet sind die Höchstbeträge Obergrenzen für schwere Fälle. Die im ersten Jahr erkennbare BSI-Praxis setzt auf Kooperation und Nachbesserung vor Sanktion (Stand: September 2026). Das eigentliche wirtschaftliche Risiko liegt für viele Unternehmen in der Kombination aus Vorfallskosten, Vertragsfolgen bei Kunden, Versicherungsfragen und der persönlichen Haftung der Geschäftsleitung — nicht allein im Bußgeldbescheid.

NIS2 im Regulierungsumfeld: DORA, CRA, DSGVO

NIS2 steht nicht allein. Drei verwandte Regelwerke sollten Entscheider einordnen können:

• DORA: Die EU-Verordnung für digitale operationale Resilienz im Finanzsektor gilt seit dem 17. Januar 2025 unmittelbar. Für Banken, Versicherungen und die meisten Finanzunternehmen geht DORA als Spezialregelung den NIS2-Pflichten vor; Aufsicht führt die BaFin.
• Cyber Resilience Act (CRA): Regelt die Sicherheit von Produkten mit digitalen Elementen — von der Smart-Home-Kamera bis zur Industriesteuerung. Er verpflichtet Hersteller, nicht Betreiber, und ergänzt NIS2 auf der Produktebene; die Hauptpflichten greifen gestaffelt bis Ende 2027.
• DSGVO: Läuft parallel weiter. Ein Sicherheitsvorfall mit Personenbezug löst zusätzlich zur BSI-Meldung die 72-Stunden-Meldung an die Datenschutzaufsicht aus — zwei getrennte Meldewege, die im Incident-Prozess koordiniert gehören.

Wer die eigene Sicherheitsorganisation als Managementsystem aufbaut — etwa nach ISO 27001 —, bedient alle diese Regelwerke aus einer Struktur heraus, statt für jedes ein eigenes Projekt zu starten. Details zur Abgrenzung von DORA und NIS2 finden Sie im entsprechenden Vergleichsartikel.

Checkliste: Die nächsten Schritte

Wenn NIS2 für Ihr Unternehmen relevant sein könnte, arbeiten Sie diese Punkte in dieser Reihenfolge ab:

1. Betroffenheit prüfen und dokumentieren — Sektor, Größenklasse, Sonderfälle, verbundene Unternehmen.
2. Beim BSI registrieren, falls betroffen und noch nicht geschehen — die Fristen sind abgelaufen, Nachholen zählt.
3. Gap-Analyse entlang der zehn Maßnahmenbereiche: Was existiert, was fehlt, was ist nicht dokumentiert?
4. Sofortmaßnahmen umsetzen: Multi-Faktor-Authentifizierung, Offline-Backups, Patch-Prozess, Meldekette mit BSI-Portalzugang.
5. Geschäftsleitung schulen und die Maßnahmen förmlich billigen lassen — protokolliert.
6. Systematik aufbauen: Risikoanalyse, Leitlinien, Lieferantenmanagement und Wirksamkeitsprüfung dauerhaft verankern, idealerweise als ISMS.
7. Jährlich überprüfen: Betroffenheit, Risiken und Maßnahmen mindestens einmal pro Jahr und bei wesentlichen Änderungen neu bewerten.

Damit ist NIS2 kein Schreckgespenst mehr, sondern ein abarbeitbares Programm — und nebenbei ein Sicherheitsniveau, das sich auch ohne gesetzlichen Zwang lohnt: Die meisten der geforderten Maßnahmen schützen zuerst das eigene Unternehmen vor Ausfällen und Erpressung.

Häufige Fragen

Begriffe in diesem Artikel

Verwandte Beiträge