Security & Compliance

NIS2 (NIS-2-Richtlinie und NIS2UmsuCG)

Overview

Die NIS-2-Richtlinie (EU) 2022/2555 ersetzt seit 18. Oktober 2024 die erste NIS-Richtlinie und erweitert den Kreis der betroffenen Unternehmen erheblich. Die Mitgliedstaaten hätten sie bis 17. Oktober 2024 umsetzen müssen, Deutschland hat das mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) nachgeholt. Es wurde am 6. Dezember 2025 im Bundesgesetzblatt verkündet, gilt seitdem und fasst das BSI-Gesetz (BSIG) neu. Eine Übergangsfrist gibt es nicht.

Betroffen sind Unternehmen in den Sektoren der Anlagen 1 und 2 des BSIG, etwa Energie, Verkehr, Gesundheit, digitale Infrastruktur, IT-Dienstleistungen (Managed Services), Chemie, Lebensmittel, verarbeitendes Gewerbe, Post und Abfallwirtschaft. Wichtige Einrichtungen haben in der Regel mindestens 50 Beschäftigte oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme, besonders wichtige mindestens 250 Beschäftigte oder mehr als 50 Millionen Euro Umsatz und mehr als 43 Millionen Euro Bilanzsumme. Manche Anbieter (etwa DNS, TLD-Registries, Vertrauensdienste, KRITIS-Betreiber) sind unabhängig von der Größe erfasst. Laut Fachquellen betrifft das rund 29.500 Unternehmen.

Die Registrierung beim BSI war gesetzlich innerhalb von drei Monaten fällig, also bis 6. März 2026. Das BSI hat eine Nachfrist bis 31. Juli 2026 eingeräumt, die inzwischen abgelaufen ist. Laut BSI-Aussage vom August 2026 lagen gut 19.000 Registrierungen vor, die Pflicht gilt weiter und das BSI behält sich bußgeldbewehrte Schritte vor. Wer betroffen und noch nicht registriert ist, sollte das sofort nachholen.

How it works

Die Pflichten aus dem BSIG im Überblick:

  1. Betroffenheit prüfen (Sektor, Größe, Konzernzurechnung) und dokumentieren, das BSI prüft nicht von sich aus.
  2. Registrierung nach § 33 BSIG: zuerst Zugang über „Mein Unternehmenskonto“ (MUK) mit ELSTER-Organisationszertifikat, dann Registrierung im BSI-Portal. Jede juristische Person registriert sich separat.
  3. Risikomanagementmaßnahmen nach § 30 BSIG umsetzen, unter anderem Risikoanalyse, Vorfallbewältigung, Aufrechterhaltung des Betriebs mit Backup und Krisenmanagement, Sicherheit der Lieferkette, Schwachstellenmanagement, Kryptografie, Zugriffskontrolle, Schulungen und MFA.
  4. Erhebliche Sicherheitsvorfälle nach § 32 BSIG an das BSI melden: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussbericht nach einem Monat.
  5. Geschäftsleitung nach § 38 BSIG: Maßnahmen billigen, Umsetzung überwachen, regelmäßig an Schulungen teilnehmen. Bei Pflichtverletzung haftet sie gegenüber der Einrichtung.

Bußgelder nach § 65 BSIG: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes für besonders wichtige, bis zu 7 Millionen Euro oder 1,4 Prozent für wichtige Einrichtungen. Für Digitalanbieter wie Cloud- und Rechenzentrumsbetreiber gilt zusätzlich die Durchführungsverordnung (EU) 2024/2690.

Benefits

  • Einheitlicher Mindeststandard für Cybersicherheit, auch in der Lieferkette
  • Klare Verantwortung der Geschäftsleitung schafft Budget und Priorität für Sicherheit
  • Anlass, Notfallkonzepte, Backups, MFA und Zugriffsschutz systematisch zu verbessern
  • Vorteil bei Kunden und Ausschreibungen für Unternehmen, die Anforderungen belegen können

Practical example

Ein Hersteller von Maschinenbauteilen mit 180 Mitarbeitenden prüft seine Betroffenheit und stuft sich als wichtige Einrichtung ein. Er beantragt das ELSTER-Organisationszertifikat, registriert sich über MUK im BSI-Portal und benennt einen Informationssicherheitsbeauftragten. Eine Lückenanalyse gegen § 30 BSIG führt zu einem Maßnahmenplan mit MFA, unveränderlichem Backup, Meldeverfahren und Lieferantenbewertung. Die Geschäftsführung nimmt an einer Schulung teil und beschließt den Plan formell.

Things to keep in mind

  • Die Registrierungsfrist und die BSI-Nachfrist sind abgelaufen, fehlende Registrierungen sofort nachholen, weil sie selbst bußgeldbewehrt sind
  • Den Aktivierungscode für MUK schickt ELSTER per Brief an die hinterlegte Unternehmensadresse, interne Weiterleitung organisieren
  • Ein Meldeverfahren für 24 und 72 Stunden mit Zuständigkeit und Vertretung vorbereiten, bevor ein Vorfall eintritt
  • Lieferanten und IT-Dienstleister in das Risikomanagement einbeziehen und vertraglich verpflichten
  • Rechtliche Details der Betroffenheit und Haftung mit Fachleuten für IT-Recht klären

Conclusion

NIS2 ist in Deutschland seit Dezember 2025 geltendes Recht und betrifft deutlich mehr Unternehmen als bisher. Wer bereits nach ISO 27001 arbeitet, hat einen großen Teil abgedeckt, Registrierung, Meldeverfahren und Geschäftsleitungsschulung sind aber eigene Pflichten.

Further reading

Related articles