NIS-2 verstehen: Pflichten für Unternehmen einfach erklärt

NIS-2 ist die EU-Richtlinie zur Cybersicherheit in kritischen und wichtigen Sektoren. In Deutschland gilt sie über das NIS2-Umsetzungsgesetz seit dem 6. Dezember 2025 ohne Übergangsfrist. Sie verpflichtet betroffene Unternehmen zu Risikomanagement, technischen und organisatorischen Sicherheitsmaßnahmen, Meldepflichten bei Sicherheitsvorfällen sowie zu nachweisbarer Dokumentation. Die Geschäftsleitung trägt persönliche Verantwortung.

Das deutsche NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist am 6. Dezember 2025 in Kraft getreten – ohne Übergangsfrist. Wer betroffen ist, muss seit diesem Datum compliant sein. Die Registrierung beim BSI muss innerhalb von drei Monaten nach Inkrafttreten erfolgen, also bis März 2026. Das BSI-Meldeportal für Sicherheitsvorfälle ist seit dem 6. Januar 2026 freigeschaltet.

Betroffen sind Unternehmen, die zwei Bedingungen gleichzeitig erfüllen: Sie sind in einem der 18 regulierten Sektoren tätig (Energie, Verkehr, Bankwesen, Gesundheit, digitale Infrastruktur, IT-Dienste, öffentliche Verwaltung, Lebensmittel, Chemie, Post u. a.) UND sie haben mindestens 50 Mitarbeitende oder einen Jahresumsatz von 10 Millionen Euro. Schätzungen gehen von rund 29.500 betroffenen Unternehmen in Deutschland aus.

Der Unterschied liegt in der Größe und damit in der Aufsichtstiefe. Ab 250 Mitarbeitenden oder 50 Millionen Euro Umsatz gilt ein Unternehmen als 'besonders wichtig' und unterliegt proaktiver BSI-Aufsicht sowie höheren Bußgeldrahmen (bis 10 Mio. Euro). 'Wichtige' Einrichtungen werden anlassbezogen geprüft, der Bußgeldrahmen liegt bei bis zu 7 Millionen Euro. Die inhaltlichen Pflichten sind für beide Kategorien identisch.

Besonders wichtige Einrichtungen riskieren bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes – je nachdem, was höher ist. Wichtige Einrichtungen riskieren bis zu 7 Millionen Euro oder 1,4 Prozent des Umsatzes. Hinzu kommt die persönliche Haftung der Geschäftsleitung mit dem Privatvermögen bei grober Pflichtverletzung. Behördliche Anordnungen, Reputationsschäden und der Verlust von Ausschreibungen können die finanziellen Folgen weiter erhöhen.

Das NIS2-Umsetzungsgesetz fordert zehn konkrete Risikomanagement-Maßnahmen: 1) Risikoanalyse und Sicherheitskonzepte, 2) Bewältigung von Sicherheitsvorfällen, 3) Business Continuity, 4) Lieferkettensicherheit, 5) Sicherheit bei Beschaffung, Entwicklung und Wartung, 6) Wirksamkeitsprüfung, 7) Cyberhygiene und Schulungen, 8) Kryptographie, 9) Personalsicherheit und Zugriffskontrollen, 10) Multi-Faktor-Authentifizierung. Alle Maßnahmen müssen dokumentiert und nachweisbar umgesetzt sein.

NIS-2 sieht ein dreistufiges Meldesystem ans BSI vor: Eine Frühwarnung muss innerhalb von 24 Stunden erfolgen, eine ausführliche Meldung innerhalb von 72 Stunden, der Abschlussbericht innerhalb eines Monats. Meldepflichtig sind 'erhebliche' Sicherheitsvorfälle mit schwerwiegenden Betriebsstörungen, finanziellen Verlusten oder Schäden für Dritte. Die Meldung erfolgt über das BSI-Meldeportal, das seit dem 6. Januar 2026 freigeschaltet ist.

Nein. NIS-2 fordert konkrete Maßnahmen, keine Zertifikate. Das BSI prüft, ob die Anforderungen erfüllt sind, nicht ob ein bestimmtes Zertifikat vorliegt. Ein bestehendes Informationssicherheits-Managementsystem nach ISO 27001 kann die Umsetzung erleichtern, ist aber keine Voraussetzung. Der direkte Weg über NIS-2-spezifische Maßnahmen ist häufig schneller und kostengünstiger als der Umweg über eine Zertifizierung.