NIS2 ist die EU-Richtlinie 2022/2555 für Cybersicherheit. Deutschland hat sie mit dem NIS2-Umsetzungsgesetz umgesetzt, das seit dem 6. Dezember 2025 gilt. Rund 29.500 Unternehmen aus 18 Sektoren müssen sich beim BSI registrieren, zehn Risikomanagementmaßnahmen umsetzen und Sicherheitsvorfälle binnen 24 Stunden melden. Bei Verstößen drohen Bußgelder bis 10 Millionen Euro.
NIS2 hat die Spielregeln für IT-Sicherheit in Europa neu geschrieben. Was früher nur Betreiber kritischer Infrastrukturen betraf, gilt jetzt für einen großen Teil des Mittelstands: Maschinenbauer, Lebensmittelhersteller, Logistiker, IT-Dienstleister und viele mehr. Seit dem 6. Dezember 2025 ist das deutsche Umsetzungsgesetz in Kraft — ohne Übergangsfrist. Viele Geschäftsführer wissen bis heute nicht, ob ihr Unternehmen dazugehört.
Dieser Artikel erklärt, was hinter der Richtlinie steckt, wer betroffen ist, welche Pflichten konkret gelten und was bei Verstößen droht. Sie erfahren außerdem, warum ein Managementsystem für Informationssicherheit der praktikabelste Weg ist, die Anforderungen strukturiert abzuarbeiten — und wo die Grenzen liegen.
Was bedeutet NIS2?
NIS steht für Network and Information Security — Netzwerk- und Informationssicherheit. NIS2 ist die Richtlinie (EU) 2022/2555, die zweite Auflage der europäischen Cybersicherheitsgesetzgebung. Sie ist am 16. Januar 2023 auf EU-Ebene in Kraft getreten und ersetzt die erste NIS-Richtlinie aus dem Jahr 2016.
Der Grund für die Neuauflage: Die erste Richtlinie erfasste zu wenige Unternehmen, wurde in den Mitgliedstaaten sehr unterschiedlich umgesetzt und hielt mit der Bedrohungslage nicht Schritt. Ransomware-Angriffe legen regelmäßig Kliniken, Verwaltungen und Produktionsbetriebe lahm — oft über Wochen. NIS2 reagiert darauf mit drei Hebeln:
- Mehr betroffene Unternehmen: Statt weniger kritischer Infrastrukturen erfasst NIS2 nun 18 Sektoren mit klaren Größenschwellen.
- Konkrete Mindestmaßnahmen: Zehn Pflichtbereiche des Risikomanagements, von der Backup-Strategie bis zur Lieferkettensicherheit.
- Persönliche Verantwortung: Die Geschäftsleitung muss die Maßnahmen billigen, überwachen und sich schulen lassen — und haftet bei Pflichtverletzungen.
Wichtig zu verstehen: Eine EU-Richtlinie wirkt nicht direkt auf Unternehmen. Sie muss von jedem Mitgliedstaat in nationales Recht übersetzt werden. In Deutschland ist das mit dem NIS2-Umsetzungsgesetz geschehen.
Seit wann gilt NIS2 in Deutschland?
Deutschland hat die Richtlinie mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) umgesetzt. Der Bundestag hat es am 13. November 2025 beschlossen, der Bundesrat am 20. November 2025 gebilligt. Verkündet wurde es am 5. Dezember 2025, in Kraft getreten am 6. Dezember 2025 — und zwar ohne Übergangsfrist. Die Pflichten gelten seitdem unmittelbar.
Das Gesetz schreibt kein eigenständiges „NIS2-Gesetz“, sondern novelliert vor allem das BSI-Gesetz (BSIG). Die zentralen Paragrafen, die Unternehmen kennen sollten:
- § 28 BSIG: Wer gilt als besonders wichtige oder wichtige Einrichtung?
- § 30 BSIG: Die zehn Risikomanagementmaßnahmen.
- § 32 BSIG: Meldepflichten bei erheblichen Sicherheitsvorfällen.
- § 33 BSIG: Registrierungspflicht beim BSI.
- § 38 BSIG: Pflichten und Haftung der Geschäftsleitung.
Zuständige Aufsichtsbehörde ist das Bundesamt für Sicherheit in der Informationstechnik (BSI). Dort mussten sich betroffene Unternehmen registrieren; das Meldeportal ist seit dem 6. Januar 2026 freigeschaltet. Die reguläre Registrierungsfrist von drei Monaten lief für Bestandsunternehmen am 6. März 2026 ab, das BSI hat Nachzüglern eine letzte Frist bis zum 31. Juli 2026 eingeräumt. Wer sich bis heute nicht registriert hat, sollte das unverzüglich nachholen (Stand: September 2026).
Wer ist von NIS2 betroffen?
Ob ein Unternehmen unter NIS2 fällt, entscheiden zwei Faktoren: der Sektor und die Unternehmensgröße. Das Gesetz unterscheidet zwei Kategorien mit unterschiedlich strenger Aufsicht:
| Kriterium | Besonders wichtige Einrichtung | Wichtige Einrichtung |
|---|---|---|
| Sektoren | Anlage 1 BSIG (11 Sektoren hoher Kritikalität, z. B. Energie, Transport, Gesundheit, digitale Infrastruktur) | Anlage 1 und Anlage 2 BSIG (zusätzlich 7 Sektoren, z. B. Chemie, Lebensmittel, verarbeitendes Gewerbe, Post) |
| Größenschwelle | Ab 250 Mitarbeitende oder über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme | Ab 50 Mitarbeitende oder über 10 Mio. € Umsatz und über 10 Mio. € Bilanzsumme |
| Sonderfälle ohne Größenschwelle | Betreiber kritischer Anlagen (KRITIS), qualifizierte Vertrauensdiensteanbieter, TLD-Registrare, DNS-Diensteanbieter | Vertrauensdiensteanbieter, bestimmte digitale Dienste |
| Aufsicht durch das BSI | Proaktiv — das BSI kann jederzeit Nachweise verlangen | Reaktiv — Prüfung bei Anhaltspunkten für Verstöße |
| Maximales Bußgeld | 10 Mio. € oder 2 % des weltweiten Jahresumsatzes | 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes |
Insgesamt schätzt das BSI die Zahl der betroffenen Unternehmen in Deutschland auf rund 29.500. Der größte Zuwachs gegenüber der alten Rechtslage betrifft den Mittelstand: Ein Maschinenbauer mit 60 Mitarbeitenden, ein Lebensmittelproduzent mit 12 Millionen Euro Umsatz oder ein IT-Dienstleister mit Managed Services können bereits erfasst sein. Die inhaltlichen Pflichten sind für beide Kategorien weitgehend identisch — der Unterschied liegt in Aufsicht und Bußgeldrahmen.
Welche Pflichten bringt NIS2 konkret?
Die Pflichten lassen sich in vier Blöcke gliedern:
- Registrierung: Betroffene Einrichtungen müssen sich beim BSI registrieren — mit Angaben zu Sektor, Größe, Kontaktdaten und IP-Adressbereichen. Die Registrierung ist eine Bringschuld: Das BSI verschickt keine Bescheide, jedes Unternehmen muss seine Betroffenheit selbst prüfen.
- Risikomanagement: § 30 BSIG verlangt zehn Maßnahmenbereiche, darunter Risikoanalysen, Umgang mit Sicherheitsvorfällen, Backup- und Krisenmanagement, Sicherheit der Lieferkette, Verschlüsselung, Zugriffskontrolle und Multi-Faktor-Authentifizierung. Die Maßnahmen müssen dem Stand der Technik entsprechen und verhältnismäßig zum Risiko sein.
- Meldepflichten: Erhebliche Sicherheitsvorfälle sind dem BSI in einem dreistufigen Verfahren zu melden — Frühwarnung binnen 24 Stunden, ausführliche Meldung binnen 72 Stunden, Abschlussbericht spätestens nach einem Monat.
- Geschäftsleiterpflichten: Die Geschäftsleitung muss die Risikomanagementmaßnahmen selbst billigen und ihre Umsetzung überwachen. Sie muss regelmäßig an Schulungen teilnehmen. Beide Pflichten sind nicht delegierbar — der Verweis auf den IT-Leiter genügt nicht.
Eine Zertifizierungspflicht enthält NIS2 dagegen nicht. Kein Unternehmen muss ein Zertifikat vorweisen, um die Anforderungen zu erfüllen. In der Praxis nutzen viele Betroffene dennoch die Struktur eines Managementsystems nach ISO 27001, weil dessen Systematik die geforderten Maßnahmen nahezu deckungsgleich abbildet.
Was droht bei Verstößen?
Der Bußgeldrahmen ist deutlich höher als im alten IT-Sicherheitsrecht: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen, bis zu 7 Millionen Euro oder 1,4 Prozent für wichtige Einrichtungen — maßgeblich ist jeweils der höhere Betrag.
Zur Einordnung: Das sind Obergrenzen für schwere Verstöße, keine Automatismen. Verhängte Bußgelder richten sich nach Schwere, Dauer und Verschulden. Realistischer als das Maximalbußgeld sind für die meisten Unternehmen andere Konsequenzen: verbindliche Anordnungen des BSI, verpflichtende Sicherheitsaudits auf eigene Kosten, die persönliche Haftung der Geschäftsleitung gegenüber der eigenen Gesellschaft — und der Reputationsschaden, wenn Kunden von Versäumnissen erfahren. Auch die fehlende Registrierung ist bereits bußgeldbewehrt, unabhängig davon, ob je ein Sicherheitsvorfall eintritt.
NIS2 und ISO 27001: Wie hängt das zusammen?
Die zehn Maßnahmenbereiche aus § 30 BSIG lesen sich wie das Inhaltsverzeichnis eines Informationssicherheits-Managementsystems (ISMS) nach ISO 27001: Risikoanalyse, Incident Management, Business Continuity, Lieferantensicherheit, Kryptografie, Zugriffskontrolle, Awareness-Schulungen. Das ist kein Zufall — die Richtlinie orientiert sich an etablierten Standards.
Wer ein funktionierendes ISMS betreibt, hat die inhaltlichen NIS2-Anforderungen damit weitgehend abgedeckt. Drei Dinge leistet die Norm allerdings nicht: Die Registrierung beim BSI, die gesetzlichen Meldefristen und die Geschäftsleiterschulung bleiben eigenständige Pflichten, die zusätzlich organisiert werden müssen. Und ein ISO-27001-Zertifikat ist kein gesetzlich vorgeschriebener Nachweis — es dokumentiert gegenüber Kunden und im Ernstfall gegenüber der Behörde aber, dass systematisch gearbeitet wird. Für kleinere Unternehmen kann auch eine Zertifizierung im nicht akkreditierten Bereich sinnvoll sein, um die Systematik mit vertretbarem Aufwand aufzubauen; als formaler Nachweis gegenüber Behörden oder in Ausschreibungen zählt jedoch nur ein akkreditiertes Zertifikat.
Erste Schritte: Was Sie jetzt tun sollten
Wenn Sie noch nicht geprüft haben, ob Ihr Unternehmen betroffen ist, empfiehlt sich folgende Reihenfolge:
- Betroffenheit klären: Prüfen Sie Sektor und Größenklasse. Das BSI stellt dafür eine Online-Betroffenheitsprüfung bereit. Denken Sie auch an Tochtergesellschaften und verbundene Unternehmen.
- Registrieren: Falls betroffen und noch nicht geschehen — die Fristen sind abgelaufen, jede weitere Verzögerung erhöht das Risiko.
- Bestandsaufnahme: Gleichen Sie Ihre vorhandenen Sicherheitsmaßnahmen mit den zehn Pflichtbereichen aus § 30 BSIG ab (Gap-Analyse). Meist existiert mehr, als dokumentiert ist.
- Meldeprozess aufsetzen: Legen Sie fest, wer einen Vorfall bewertet, wer meldet und wie die 24-Stunden-Frist auch am Wochenende eingehalten wird.
- Geschäftsleitung schulen: Die Schulungspflicht gilt persönlich. Dokumentieren Sie die Teilnahme.
- Systematisch nacharbeiten: Schließen Sie Lücken priorisiert nach Risiko — idealerweise in der Struktur eines ISMS, damit die Maßnahmen dauerhaft gelebt und nicht einmalig abgehakt werden.
Auch Unternehmen unterhalb der Schwellenwerte sollten das Thema nicht abhaken: Viele betroffene Einrichtungen geben die Anforderungen vertraglich an ihre Lieferanten weiter. Wer als Zulieferer Sicherheitsnachweise vorlegen kann, verschafft sich einen Vorteil.
Häufige Fragen
Ja. Das deutsche NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten — ohne Übergangsfrist. Registrierungs-, Risikomanagement- und Meldepflichten gelten seitdem unmittelbar für alle betroffenen Einrichtungen. Die Registrierungsfristen beim BSI sind bereits abgelaufen; wer sich noch nicht registriert hat, sollte das umgehend nachholen (Stand: September 2026).
NIS2 ist die EU-Richtlinie 2022/2555, die alle Mitgliedstaaten in nationales Recht umsetzen müssen. Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist die deutsche Umsetzung: Es ändert vor allem das BSI-Gesetz und legt fest, welche Unternehmen in Deutschland konkret welche Pflichten haben. Für deutsche Unternehmen zählt allein das deutsche Gesetz.
In der Regel nicht direkt: Die Untergrenze liegt bei 50 Mitarbeitenden oder über 10 Millionen Euro Jahresumsatz und Bilanzsumme. Ausnahmen gelten für bestimmte Dienste wie DNS-Anbieter oder Vertrauensdiensteanbieter, die unabhängig von der Größe erfasst sind. Indirekt trifft NIS2 aber viele kleine Firmen als Zulieferer, weil betroffene Kunden Sicherheitsnachweise verlangen.
Nein. NIS2 enthält keine Zertifizierungspflicht. Sie müssen die Maßnahmen umsetzen, sich beim BSI registrieren und Vorfälle melden — ein Zertifikat verlangt das Gesetz nicht. Ein ISO-27001-Zertifikat hilft trotzdem: Es strukturiert die Umsetzung und dient als Beleg gegenüber Kunden, ersetzt aber weder Registrierung noch Meldepflichten.
In Deutschland das Bundesamt für Sicherheit in der Informationstechnik (BSI). Besonders wichtige Einrichtungen beaufsichtigt es proaktiv und kann jederzeit Nachweise verlangen. Wichtige Einrichtungen werden reaktiv geprüft, also bei konkreten Anhaltspunkten für Verstöße. Für Finanzunternehmen gilt mit DORA ein eigenes Regime unter Aufsicht der BaFin.
Meldepflichtig sind erhebliche Sicherheitsvorfälle — solche, die schwerwiegende Betriebsstörungen oder finanzielle Verluste verursachen können oder andere mit erheblichem Schaden treffen können. Ein erfolgreicher Ransomware-Angriff gehört praktisch immer dazu, ein abgewehrter Phishing-Versuch in der Regel nicht. Die Frühwarnung muss binnen 24 Stunden nach Kenntnis beim BSI eingehen.
In 4–6 Wochen zum Zertifikat – zum Festpreis.
Kostenloses Erstgespräch: Wir sagen Ihnen ehrlich, ob eine nicht akkreditierte Zertifizierung für Ihren Fall reicht – oder eben nicht.
Erstgespräch vereinbaren
Thomas KowollInhaber und Leitung Zertifizierung bei KCERT. Auditiert Managementsysteme nach ISO 9001, 14001, 45001, 27001 und 50001. Mehr über KCERT