Mit dem NIS2-Umsetzungsgesetz ist die europäische NIS2-Richtlinie seit Dezember 2025 in Deutschland geltendes Recht. Der Kreis der betroffenen Unternehmen ist damit deutlich gewachsen: Das BSI geht von rund 29.000 Einrichtungen aus – viele davon mittelständische Betriebe, die bisher nie mit dem Bundesamt für Sicherheit in der Informationstechnik zu tun hatten. Dieser Beitrag fasst zusammen, wer betroffen ist, was verlangt wird und wie ein realistischer Einstieg aussieht.
Wer betroffen ist
Die Betroffenheit ergibt sich aus zwei Faktoren: dem Sektor und der Unternehmensgröße. Das Gesetz unterscheidet Sektoren mit hoher Kritikalität (Anhang I der Richtlinie, etwa Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur, IKT-Dienstleister) und sonstige kritische Sektoren (Anhang II, etwa Post, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste, Forschung).
| Einstufung | Sektor | Größe |
|---|---|---|
| Besonders wichtige Einrichtung | Anhang I | ab 250 Mitarbeitenden oder über 50 Mio. Euro Umsatz und 43 Mio. Euro Bilanzsumme |
| Wichtige Einrichtung | Anhang I | ab 50 Mitarbeitenden oder über 10 Mio. Euro Umsatz und Bilanzsumme |
| Wichtige Einrichtung | Anhang II | ab 50 Mitarbeitenden oder über 10 Mio. Euro Umsatz und Bilanzsumme |
Unabhängig von der Größe erfasst sind unter anderem Betreiber kritischer Anlagen (KRITIS), qualifizierte Vertrauensdiensteanbieter, DNS-Diensteanbieter, TLD-Registries und Anbieter öffentlicher Telekommunikationsnetze. Wichtig: Die Größe wird nach der KMU-Empfehlung der EU bestimmt – verbundene und Partnerunternehmen werden anteilig mitgezählt. Ein 40-Personen-Betrieb, der zu einer größeren Gruppe gehört, kann daher betroffen sein.
Ob Ihr Unternehmen betroffen ist, können Sie in zwei Minuten mit unserem NIS2-Selbstcheck prüfen.
Die fünf Kernpflichten
- Registrierung. Betroffene Einrichtungen müssen sich innerhalb von drei Monaten beim BSI registrieren – mit Kontaktdaten, Sektor und IP-Bereichen.
- Risikomanagement. Das Gesetz verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen nach dem Stand der Technik. Ausdrücklich genannt sind unter anderem Risikoanalyse, Vorfallbewältigung, Backup- und Notfallmanagement, Lieferkettensicherheit, sichere Entwicklung und Beschaffung, Schulungen, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung.
- Meldepflichten. Erhebliche Sicherheitsvorfälle sind dreistufig zu melden: Erstmeldung innerhalb von 24 Stunden, Folgemeldung innerhalb von 72 Stunden, Abschlussbericht spätestens einen Monat nach der Meldung.
- Pflichten der Geschäftsleitung. Geschäftsführer und Vorstände müssen die Risikomanagement-Maßnahmen billigen, ihre Umsetzung überwachen und selbst regelmäßig an Schulungen teilnehmen. Verstöße können zur persönlichen Haftung führen.
- Nachweise und Aufsicht. Besonders wichtige Einrichtungen unterliegen aktiver Aufsicht, wichtige Einrichtungen einer anlassbezogenen. KRITIS-Betreiber müssen die Umsetzung regelmäßig nachweisen.
Was das für die Geschäftsführung bedeutet
NIS2 ist kein reines IT-Thema. Die Verantwortung liegt ausdrücklich bei der Geschäftsleitung, und die Anforderungen betreffen Einkauf, Personal, Vertragsgestaltung und Notfallorganisation genauso wie Firewalls und Backups. Wer die Umsetzung vollständig an die IT-Abteilung oder den Systemhauspartner delegiert, erfüllt die Pflichten nicht.
Die gute Nachricht: Wer bereits nach ISO 27001 oder BSI IT-Grundschutz arbeitet, hat den größten Teil der Anforderungen abgedeckt. Für alle anderen ist NIS2 ein Anlass, Informationssicherheit endlich systematisch anzugehen – mit Maßnahmen, die auch ohne Gesetz sinnvoll wären.
Womit Sie anfangen sollten
- Betroffenheit klären und schriftlich dokumentieren – auch ein begründetes „nicht betroffen“ ist ein Ergebnis.
- Registrierung vorbereiten, falls betroffen: Ansprechpartner benennen, Sektor und Einrichtungsart festlegen.
- Ist-Zustand erheben: Welche Maßnahmen existieren bereits? Wo sind die Lücken gegenüber den gesetzlichen Anforderungen?
- Meldeprozess aufsetzen: Wer erkennt einen Vorfall, wer entscheidet, wer meldet innerhalb von 24 Stunden – auch am Wochenende?
- Priorisieren: Backups, Multi-Faktor-Authentifizierung, Patch-Management und Awareness senken das Risiko am schnellsten. Richtlinien und Dokumentation folgen.
Fazit
NIS2 verlangt nichts Unmögliches, aber es verlangt Struktur. Unternehmen, die jetzt beginnen, können die Anforderungen in drei bis zwölf Monaten erfüllen – und nebenbei ein Sicherheitsniveau erreichen, das Kunden, Versicherer und Banken zunehmend ohnehin voraussetzen. Wir unterstützen Sie mit einer Gap-Analyse, einem priorisierten Maßnahmenplan und auf Wunsch als externer Informationssicherheitsbeauftragter.