Was ist NIS2 – und warum betrifft es viel mehr Unternehmen als NIS1?
NIS2 (Network and Information Security Directive 2) ist die überarbeitete EU-Cybersicherheitsrichtlinie. Deutschland hat sie mit dem NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) umgesetzt, das am 6. Dezember 2025 in Kraft getreten ist – rund ein Jahr nach Ablauf der EU-Frist im Oktober 2024. Kern ist das neu gefasste BSI-Gesetz (BSIG). Der Kreis der regulierten Unternehmen wächst damit erheblich: Rund 29.500 Unternehmen fallen nun unter die Regeln, viele davon erstmals.
Stand: November 2026. Dieser Beitrag ersetzt keine Rechtsberatung.
Das BSI stuft niemanden automatisch ein: Jedes Unternehmen muss selbst prüfen, ob es betroffen ist, und sich dann im BSI-Portal registrieren. Für bereits betroffene Unternehmen endete diese Frist am 6. März 2026. Alle übrigen Pflichten gelten seit Inkrafttreten. Wer noch nicht registriert ist, sollte das umgehend nachholen.
Bin ich von NIS2 betroffen? Die Betroffenheitsprüfung
NIS2 betrifft Sie in der Regel, wenn beide der folgenden Bedingungen erfüllt sind (§ 28 BSIG):
Größe (mindestens eines davon):
- mindestens 50 Mitarbeitende, ODER
- Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. €
UND tätig in einem der 18 Sektoren der Anlagen 1 und 2 zum BSIG, zum Beispiel:
Wichtige oder besonders wichtige Einrichtung?
- Besonders wichtig: Unternehmen aus Anlage-1-Sektoren mit mindestens 250 Mitarbeitenden oder über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme sowie Betreiber kritischer Anlagen. Sie unterliegen einer proaktiven Aufsicht durch das BSI.
- Wichtig: alle übrigen Unternehmen ab 50 Mitarbeitenden bzw. über 10 Mio. € Umsatz und Bilanzsumme in Anlage-1- und Anlage-2-Sektoren. Das BSI wird hier anlassbezogen tätig.
- Größenunabhängig erfasst sind einzelne Anbieter, etwa DNS-Diensteanbieter oder qualifizierte Vertrauensdiensteanbieter.
Bei Konzernstrukturen sind Zahlen verbundener Unternehmen grundsätzlich mitzurechnen; Geschäftstätigkeiten, die im Verhältnis zur Gesamttätigkeit vernachlässigbar sind, können unberücksichtigt bleiben. Für eine erste Einordnung bietet das BSI auf seiner Website eine NIS-2-Betroffenheitsprüfung an.
Auch Zulieferer von NIS2-pflichtigen Unternehmen sind häufig indirekt betroffen – durch Lieferketten-Anforderungen ihrer Kunden.
Was NIS2 konkret von Ihnen verlangt
Betroffene Unternehmen müssen sich über „Mein Unternehmenskonto“ im BSI-Portal registrieren und Kontaktdaten, Sektor und eine erreichbare Kontaktstelle hinterlegen. Die Frist dafür beträgt drei Monate ab Betroffenheit – für Unternehmen, die schon bei Inkrafttreten betroffen waren, endete sie am 6. März 2026. Änderungen sind dem BSI mitzuteilen.
Das Gesetz verlangt geeignete, verhältnismäßige technische und organisatorische Maßnahmen auf Basis einer Risikoanalyse. Zum Mindestumfang gehören unter anderem:
- Konzepte für Risikoanalyse und Informationssicherheit
- Bewältigung von Sicherheitsvorfällen (Incident Response)
- Backup, Wiederherstellung und Krisenmanagement – regelmäßig getestet
- Sicherheit der Lieferkette und der Dienstleister
- Schwachstellen- und Patch-Management
- Zugriffskontrolle, Asset-Management und Multi-Faktor-Authentifizierung
- Kryptografie und Verschlüsselung
- Cyberhygiene und Schulungen sowie Wirksamkeitsprüfung der Maßnahmen
Erhebliche Sicherheitsvorfälle sind dem BSI gestuft zu melden (§ 32 BSIG): eine Frühwarnung innerhalb von 24 Stunden, eine Meldung mit erster Bewertung innerhalb von 72 Stunden und spätestens einen Monat danach eine Abschlussmeldung.
Die Geschäftsleitung muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und regelmäßig selbst an Schulungen teilnehmen. Diese Pflichten lassen sich nicht delegieren. Bei schuldhafter Verletzung haftet die Geschäftsleitung dem Unternehmen gegenüber für den entstandenen Schaden.
NIS2-Umsetzungs-Checkliste
- Betroffenheit geprüft – wichtige oder besonders wichtige Einrichtung? Konzernzahlen berücksichtigt?
- Beim BSI registriert – Mein Unternehmenskonto angelegt, Registrierung im BSI-Portal abgeschlossen
- Risikoanalyse durchgeführt – IT-Risiken identifiziert, bewertet und priorisiert
- Maßnahmen nach § 30 BSIG umgesetzt – u. a. MFA, Patch-Management, getestete Backups, Verschlüsselung
- Meldeprozess definiert – wer meldet wann was ans BSI – 24 h, 72 h, 1 Monat?
- Geschäftsleitung geschult – Maßnahmen gebilligt, Umsetzung überwacht, Schulung dokumentiert
- Lieferkette geprüft – Dienstleister und Zulieferer auf Sicherheitsanforderungen bewertet