Was regelt NIS2?
NIS2 steht für die zweite EU-Richtlinie zur Netz- und Informationssicherheit, die Richtlinie (EU) 2022/2555. In Deutschland gilt sie über das NIS-2-Umsetzungsgesetz, das das BSI-Gesetz (BSIG) neu gefasst hat. Es ist seit dem 6. Dezember 2025 in Kraft, eine Übergangsfrist gibt es nicht.[1] Ziel ist ein einheitliches Mindestniveau an Cybersicherheit in Unternehmen, auf die Wirtschaft und Gesellschaft angewiesen sind.
Für wen gilt NIS2?
Ob ein Unternehmen betroffen ist, hängt von zwei Fragen ab: Gehört es zu einem Sektor aus Anlage 1 oder 2 des BSIG? Und erreicht es die Größenschwellen?[2] In Anlage 1 stehen unter anderem Energie und digitale Infrastruktur. Zur digitalen Infrastruktur zählen auch Managed Service Provider, also IT-Dienstleister, die Systeme ihrer Kunden betreiben.[3]
| Einstufung | Schwellenwerte | Höchstes Bußgeld bei Verstößen gegen Maßnahmen- oder Meldepflichten |
|---|---|---|
| Besonders wichtige Einrichtung | Sektor aus Anlage 1 und mindestens 250 Beschäftigte oder mehr als 50 Mio. € Jahresumsatz und mehr als 43 Mio. € Bilanzsumme | 10 Mio. €, bei mehr als 500 Mio. € Gesamtumsatz bis zu 2 % davon |
| Wichtige Einrichtung | Sektor aus Anlage 1 oder 2 und mindestens 50 Beschäftigte oder jeweils mehr als 10 Mio. € Jahresumsatz und Bilanzsumme | 7 Mio. €, bei mehr als 500 Mio. € Gesamtumsatz bis zu 1,4 % davon |
Die Schwellen stehen in § 28 BSIG[2], die Bußgelder in § 65 BSIG.[4] Einige Einrichtungen sind unabhängig von ihrer Größe erfasst, etwa Betreiber kritischer Anlagen; sie gelten immer als besonders wichtige Einrichtung.[2]
Ob ein Unternehmen betroffen ist, muss es selbst prüfen; eine Mitteilung der Behörden gibt es nicht. Das BSI bietet dazu eine Online-Betroffenheitsprüfung an. Sie gibt Orientierung, ist aber nicht verbindlich.[5]
Welche Pflichten haben betroffene Unternehmen?
Registrieren. Betroffene Einrichtungen müssen sich spätestens drei Monate, nachdem sie erstmals als Einrichtung gelten, beim BSI registrieren. Anzugeben sind unter anderem Kontaktdaten, öffentliche IP-Adressbereiche und der Sektor; Änderungen sind binnen zwei Wochen zu melden.[6] Für Unternehmen, die schon mit Inkrafttreten des Gesetzes betroffen waren, lief die Frist am 6. März 2026 ab.[5]
Sicherheitsmaßnahmen umsetzen. § 30 BSIG verlangt verhältnismäßige Maßnahmen in zehn Bereichen: Risikoanalyse und Sicherheitskonzepte, Bewältigung von Sicherheitsvorfällen, Backup und Notfallwiederherstellung, Sicherheit der Lieferkette, sichere Beschaffung und Wartung, Prüfung der Wirksamkeit, Schulungen, Kryptografie, Zugriffskontrolle sowie Multi-Faktor-Authentifizierung und gesicherte Kommunikation.[7] Verhältnismäßig heißt: Größe, Risiko und Kosten dürfen berücksichtigt werden.[7]
Erhebliche Sicherheitsvorfälle melden. Gemeldet wird an eine gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz.[8]
| Meldung | Frist | Inhalt |
|---|---|---|
| Frühe Erstmeldung | spätestens 24 Stunden nach Kenntnis | Verdacht auf Angriff, mögliche grenzüberschreitende Auswirkungen |
| Meldung | spätestens 72 Stunden nach Kenntnis | erste Bewertung mit Schweregrad und Auswirkungen |
| Abschlussmeldung | spätestens einen Monat nach der Meldung | Ursache, Maßnahmen, Auswirkungen; dauert der Vorfall an, zunächst eine Fortschrittsmeldung |
Geschäftsleitung in der Pflicht. Die Geschäftsleitung muss die Maßnahmen umsetzen und ihre Umsetzung überwachen. Sie muss regelmäßig an Schulungen teilnehmen und haftet bei schuldhaften Pflichtverletzungen nach dem Gesellschaftsrecht ihrer Rechtsform.[9]
Beispiel aus der Praxis
Ein IT-Dienstleister mit 60 Beschäftigten betreut die Server und Arbeitsplätze mittelständischer Kunden. Als Managed Service Provider fällt er unter Anlage 1[3]; mit mehr als 50 Beschäftigten, aber weniger als 250, ist er eine wichtige Einrichtung.[2] Er muss sich registrieren, die zehn Maßnahmenbereiche abdecken und Vorfälle melden.
Ein Bauunternehmen mit 30 Beschäftigten ist dagegen nicht selbst erfasst. Es baut aber für einen regionalen Energieversorger, der als besonders wichtige Einrichtung seine Lieferkette absichern muss.[7] Der Versorger verlangt deshalb vertraglich Multi-Faktor-Anmeldung für den Zugang zu seinem Projektportal und einen festen Ansprechpartner für Sicherheitsvorfälle. So kommt NIS2 auch bei kleineren Betrieben an.
NIS2 und KRITIS
| Betreiber kritischer Anlagen (KRITIS) | Übrige NIS2-Einrichtungen | |
|---|---|---|
| Einstufung | immer besonders wichtige Einrichtung, unabhängig von der Größe[2] | nach Sektor, Beschäftigten, Umsatz und Bilanzsumme[2] |
| Registrierung | über das KRITIS-Dachgesetz[6] | beim BSI nach § 33 BSIG[6] |
| Zusätzliche Meldeangaben | betroffene Anlage und kritische Dienstleistung[8] | keine |
Kurz gesagt
NIS2 ist die EU-Vorgabe für Cybersicherheit, die in Deutschland seit Dezember 2025 über das BSI-Gesetz gilt. Erfasst sind Unternehmen bestimmter Sektoren ab 50 Beschäftigten oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme. Sie müssen sich registrieren, Sicherheitsmaßnahmen umsetzen und Vorfälle innerhalb fester Fristen melden. Kleinere Betriebe erreicht NIS2 oft über die Anforderungen ihrer Kunden.
Weiterlesen: IT-Sicherheitskonzept für den Mittelstand, IT-Risikoanalyse richtig planen, Leitfaden für IT-Notfallübungen
Dieser Beitrag ersetzt keine Rechtsberatung.