Was ist NIS2? Betroffene Unternehmen, Fristen und Bußgelder 2026

Was ist NIS2 und seit wann gilt sie in Deutschland?

NIS2 ist die Richtlinie (EU) 2022/2555 zur Cybersicherheit. In Deutschland wirkt sie über das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, das am 6. Dezember 2025 in Kraft getreten ist und das BSIG neu gefasst hat. Maßgeblich für Ihre Pflichten ist seitdem das BSIG, nicht die Richtlinie. Betroffen sind rund 30.000 Unternehmen.

Die Richtlinie wurde am 14. Dezember 2022 angenommen, trat am 16. Januar 2023 in Kraft und ist seit dem 18. Oktober 2024 anzuwenden (Richtlinie (EU) 2022/2555). Die Mitgliedstaaten hatten bis zum 17. Oktober 2024 Zeit für die Umsetzung. Deutschland hat diese Frist um gut 13 Monate überschritten: das NIS2UmsuCG wurde erst am 5. Dezember 2025 verkündet (OpenKRITIS). Diese Verzögerung hat bei vielen Unternehmen zu der Annahme geführt, das Thema habe noch Zeit. Seit dem Inkrafttreten stimmt das nicht mehr.

Der Vorgänger von 2016 erfasste im Wesentlichen Betreiber kritischer Infrastrukturen. NIS2 erweitert den Kreis auf 18 Sektoren, verteilt auf zwei Anlagen, vereinheitlicht die Bußgeldrahmen und nimmt die Geschäftsleitung ausdrücklich in die Pflicht. Zuständig ist das BSI, das nach §§ 61 und 62 BSIG die Aufsicht führt, Nachweise verlangen und Prüfungen anordnen kann. Eine behördliche Vorabprüfung Ihrer Betroffenheit gibt es nicht: die Einstufung ist Ihre Aufgabe, und genau dort beginnen die meisten Projekte.

Was NIS2 dagegen nicht ist: ein Zertifizierungsprogramm. Es gibt kein Siegel, das Sie erwerben, und keine Behörde, die Ihnen die Konformität bescheinigt. Das Gesetz beschreibt Pflichten, deren Erfüllung Sie belegen können müssen, wenn das BSI fragt. Diese Unterscheidung wirkt akademisch, entscheidet aber über den Zuschnitt des Projekts: Sie arbeiten auf Nachweisfähigkeit hin, nicht auf einen Prüftermin.

Wer fällt unter NIS2? Sektoren und Schwellenwerte

Zwei Bedingungen müssen zusammenkommen: Ihr Unternehmen gehört zu einem Sektor der Anlage 1 oder Anlage 2 des BSIG, und es erreicht die Größenschwellen des § 28 BSIG. Daraus ergeben sich zwei Kategorien, besonders wichtige und wichtige Einrichtungen, mit unterschiedlich strengen Pflichten und unterschiedlichen Bußgeldrahmen. Betreiber kritischer Anlagen sind unabhängig von der Größe erfasst.

Zwei Punkte werden dabei regelmäßig übersehen.

• Einige Anbieter fallen unabhängig von ihrer Größe unter § 28 Abs. 1 BSIG. Dazu zählen qualifizierte Vertrauensdiensteanbieter, TLD-Name-Registries und DNS-Dienstanbieter. Beschäftigtenzahl und Umsatz spielen dort keine Rolle.
• Die Zuordnung im Konzernverbund kippt mehr Selbsteinschätzungen als der Sektor. Rechnen Sie Beschäftigte und Umsatz nicht ohne Prüfung auf Ebene der einzelnen Gesellschaft zusammen, und lassen Sie das Ergebnis von Ihrer Rechtsabteilung bestätigen.

Für Kreditinstitute und Finanzmarktinfrastrukturen gilt parallel DORA, mit teils strengeren Anforderungen an das IKT-Risikomanagement. Und wenn Sie unterhalb der Schwellen liegen, sind Sie damit nicht aus dem Thema: § 30 BSIG verpflichtet betroffene Auftraggeber, die Sicherheit ihrer Lieferkette zu prüfen, und die Anforderungen kommen über Verträge zu Ihnen. Für die erste Einordnung nach § 28 BSIG brauchen Sie etwa zwei Minuten mit unserem NIS2-Betroffenheitstest.

Welche Fristen gelten 2026?

Die wichtigste Frist ist bereits abgelaufen: die Registrierung beim BSI innerhalb von drei Monaten nach § 33 Abs. 1 BSIG. Die Maßnahmen nach § 30 BSIG gelten seit dem Inkrafttreten am 6. Dezember 2025. Ein allgemeiner Auditturnus existiert in Deutschland nicht, wohl aber die Meldekette bei jedem erheblichen Sicherheitsvorfall.

Die Meldekette ist der Teil, der in Übungen am häufigsten scheitert. Binnen 24 Stunden verlangt § 32 BSIG eine frühe Erstmeldung, binnen 72 Stunden eine Meldung mit erster Bewertung, binnen eines Monats die Abschlussmeldung. Vorfälle beginnen selten dienstags um zehn. Wer die Zugänge zum BSI-Portal, die Rufbereitschaft und die Entscheidung über das Absenden nicht vorher festgelegt hat, verliert die erste Frist an der eigenen Organisation, nicht an der Technik.

Ausgelöst wird die Kette von einem erheblichen Sicherheitsvorfall. Wann ein Vorfall erheblich ist, entscheidet zuerst Ihr eigenes Haus, und diese Bewertung nachträglich zu treffen ist die schlechteste Variante. Legen Sie die Schwelle vorab fest, mit Beispielen aus Ihrem Betrieb und einer benannten Person, die im Zweifel meldet. Im Zweifel zu melden ist der günstigere Fehler.

Bei einem Ransomware-Vorfall mit Datenabfluss laufen zwei Uhren parallel, und sie laufen unterschiedlich schnell. Art. 33 DSGVO gibt Ihnen 72 Stunden für die Meldung an die Datenschutzaufsichtsbehörde (Verordnung (EU) 2016/679), § 32 BSIG nur 24 Stunden für die frühe Erstmeldung an das BSI. Wer beide Prozesse getrennt aufgesetzt hat, mit eigenen Verteilern und eigenen Vorlagen, verpasst im Ernstfall die kürzere Frist. Bewährt hat sich ein gemeinsames Vorfallformular, das beide Meldewege aus denselben Feldern bedient und die zwei Fristen getrennt quittiert. Der Aufwand dafür ist überschaubar, er muss nur vor dem Vorfall entstehen. Halten Sie dabei auch fest, wann Sie Kenntnis erlangt haben. Die 24 Stunden laufen ab Kenntnis vom Vorfall, nicht ab dem Beginn des Angriffs, und dieser Zeitpunkt lässt sich im Nachhinein kaum belegen, wenn ihn niemand notiert hat.

Wie hoch sind die Bußgelder, und haftet die Geschäftsleitung?

§ 65 BSIG setzt den Rahmen: bis zu 10 Mio. EUR oder bis zu 2 % des weltweiten Gesamtumsatzes bei besonders wichtigen Einrichtungen, bis zu 7 Mio. EUR oder bis zu 1,4 % bei wichtigen Einrichtungen. Welche Obergrenze greift, hängt vom konkreten Tatbestand ab. Die Geschäftsleitung trifft nach § 38 BSIG eine eigene Pflicht.

Quelle für die Rahmenwerte: § 65 BSIG, gesetze-im-internet.de.

Der zweite Punkt wiegt in der Praxis schwerer als die absolute Zahl. § 38 Abs. 1 BSIG verpflichtet die Geschäftsleitung, die Maßnahmen nach § 30 umzusetzen und ihre Umsetzung zu überwachen, § 38 Abs. 3 verlangt regelmäßige Schulungen der Geschäftsleitung selbst. Für Schäden aus Pflichtverletzungen haftet sie nach dem Gesellschaftsrecht ihrer Rechtsform. Cybersicherheit ist damit keine Angelegenheit allein der IT-Abteilung mehr: Beschluss, Schulungsnachweis und Berichtsweg gehören dokumentiert, mit Datum.

Wie streng die Behörden tatsächlich sanktionieren, wissen wir nicht. Zur Bußgeldpraxis unter dem neuen BSIG liegen uns keine belastbaren öffentlichen Zahlen vor, und wir nennen deshalb auch keine Schätzung. Der planbare Schaden entsteht ohnehin daneben: Betriebsunterbrechung, Wiederherstellung, die Frage Ihrer Kunden nach dem Warum.

Was verlangt § 30 BSIG konkret?

§ 30 BSIG verlangt Risikomanagementmaßnahmen nach dem Stand der Technik, verhältnismäßig zu Größe und Gefährdungslage. Das Gesetz zählt die Pflichtbereiche auf, von der Risikoanalyse bis zur Kryptografie, dazu Mehr-Faktor-Authentisierung und gesicherte Kommunikation. Für Betreiber kritischer Anlagen kommt nach § 31 BSIG die Angriffserkennung hinzu.

Die Formulierung nach dem Stand der Technik und verhältnismäßig zu Größe und Gefährdungslage wird oft als Unschärfe gelesen. Sie ist eher eine Erleichterung: ein Maschinenbauer mit 80 Beschäftigten schuldet nicht dasselbe wie ein Netzbetreiber mit 3.000. Was Sie dafür brauchen, ist eine begründete Ableitung. Warum diese Maßnahme hier ausreicht, warum jene aufgeschoben wurde, wer das wann entschieden hat. Als Orientierungsrahmen dienen in der Praxis der IT-Grundschutz des BSI und ISO 27001. Beide sind rechtlich nicht vorgeschrieben, decken aber einen großen Teil der Dokumentation ab, die Sie ohnehin erstellen.

Wie gehen Sie vor? Sechs Schritte zur Umsetzung

Die Umsetzung läuft in sechs Schritten: Betroffenheit klären, Registrierung beim BSI, Asset-Inventar und Risikoanalyse, Maßnahmen nach § 30 BSIG, Meldeprozess einüben, Geschäftsleitung einbinden und dokumentieren. Diese Reihenfolge hat sich bewährt, weil jeder Schritt die Grundlage für den nächsten liefert. Danach beginnt der laufende Betrieb, denn Compliance ist kein einmaliges Projekt.

1. Betroffenheit klären und schriftlich festhalten. Sektor, Beschäftigtenzahl, Umsatz, Bilanzsumme, Konzernbetrachtung, jeweils mit Stichtag. Eine Einschätzung ohne Dokumentation hilft bei einer Prüfung nicht. Startpunkt: Betroffenheitstest.
2. Registrierung beim BSI nachholen, falls sie fehlt. Sie brauchen ein ELSTER-Organisationszertifikat für den Zugang zum BSI-Portal. Wer hier zögert, verlängert nur den Zeitraum, in dem der Verstoß andauert.
3. Asset-Inventar aufbauen und daraus die Risikoanalyse ableiten. Systeme, Datenflüsse, Abhängigkeiten von Dienstleistern. Dieser Schritt wird gern übersprungen und rächt sich in jedem folgenden.
4. Maßnahmen nach § 30 BSIG priorisieren und umsetzen. Die Arbeitsliste dazu führen wir getrennt: NIS2-Checkliste für IT-Leiter.
5. Meldeprozess bauen und mindestens einmal proben. 24 Stunden, 72 Stunden, ein Monat, mit klarer Zuständigkeit und einem Textbaustein für die Erstmeldung. Ein Trockenlauf pro Jahr genügt als Nachweis der Wirksamkeit meist nicht, ist aber ein realistischer Anfang.
6. Geschäftsleitung einbinden und dokumentieren. Beschluss über die Maßnahmen, Schulungsnachweis nach § 38 Abs. 3 BSIG, fester Berichtsweg, jährliche Überprüfung.

Häufig blockiert ein Altsystem den fünften Schritt: keine Protokolle, keine Rollen, kein zweiter Faktor, kein Hersteller-Support mehr. Dann wird NIS2 zum Anlass für die Ablösung, und der Geschäftsfall lässt sich anhand der Bußgeldrahmen und der Ausfallkosten rechnen. Wie eine solche Ablösung technisch aussieht, beschreiben wir unter individuelle Softwareentwicklung.

Wie unterscheidet sich Deutschland von anderen Mitgliedstaaten?

NIS2 ist eine Richtlinie, kein unmittelbar geltendes Recht. Registrierung, Nachweise und Aufsicht regelt jeder Mitgliedstaat selbst, und die Fassungen gehen weit auseinander. Für Unternehmen mit Tochtergesellschaften im Ausland heißt das: dort gilt eine eigene Umsetzung mit eigenen Fristen. Ungarn zeigt die Spannweite.

Quellen zur Tabelle: BSIG · Gesetz LXIX/2024 · SZTFH zur ersten Auditrunde, 10.07.2026.

Wir arbeiten seit Jahren an ungarischen NIS2-Projekten und kennen diesen Unterschied aus der Praxis. Für deutsche Unternehmen mit einer Gesellschaft in Mittel- oder Osteuropa ist er ein blinder Fleck: die dortige Registrierungspflicht läuft unabhängig von der deutschen, und eine deutsche Konzernrichtlinie erfüllt sie nicht. Für Österreich und die Schweiz gelten wiederum eigene nationale Regeln, die wir hier bewusst nicht mitbehaupten, weil sie einer eigenen Prüfung bedürfen.

Was ist der nächste Schritt?

Der teuerste Fehler bei NIS2 ist das Warten. Die Registrierungsfrist ist verstrichen, die Maßnahmen sind durchsetzbar, und die Geschäftsleitung steht persönlich in der Pflicht. Der erste Schritt kostet nichts: der NIS2-Betroffenheitstest ordnet Sie in rund zwei Minuten nach § 28 BSIG ein und zeigt Ihren Reifegrad über fünf Dimensionen.

Wenn Sie betroffen sind, führt unser NIS2-Programm von der Gap-Analyse bis zur belastbaren Dokumentation für die Geschäftsleitung.

Wenn die Umsetzung Entwicklungsarbeit erfordert, etwa Rechteverwaltung, zentrale Protokollierung oder ein System, das den Meldeprozess trägt, dann fordern Sie ein Angebot an. In 30 Minuten ordnen wir ein, wo Sie stehen und was der kürzeste Weg ist. Wenn Sie zusätzlich KI-Systeme betreiben, überschneiden sich die Pflichten mit dem AI Act stärker, als es auf den ersten Blick aussieht. Wo genau, haben wir in NIS2 und EU AI Act im Vergleich aufgeschrieben.