Welche Fristen laufen aktuell?

Die Registrierung beim BSI muss nach § 33 Abs. 1 BSIG innerhalb von drei Monaten nach Eintritt der Betroffenheit erfolgen. Das BSI schreibt auf seiner Seite für NIS-2-regulierte Unternehmen, dass die gesetzliche Registrierungsfrist bereits abgelaufen ist (Abruf 14.08.2026). Die Meldefristen nach § 32 BSIG laufen fallbezogen: 24 Stunden für die frühe Erstmeldung, 72 Stunden für die Meldung mit erster Bewertung, ein Monat für die Abschlussmeldung. Betreiber kritischer Anlagen haben zusätzlich den Drei-Jahres-Turnus der Nachweispflicht nach § 39 BSIG.

Was gehört in die Erstmeldung nach 24 Stunden?

Wenig, aber schnell. § 32 BSIG verlangt binnen 24 Stunden nach Kenntniserlangung eine frühe Erstmeldung mit der Angabe, ob der erhebliche Sicherheitsvorfall auf rechtswidrige Handlungen zurückgehen könnte und ob grenzüberschreitende Auswirkungen möglich sind. Die inhaltliche Bewertung folgt in der 72-Stunden-Meldung, die Ursachenanalyse in der Abschlussmeldung nach einem Monat. Wer erst bei Vorfall Nummer eins herausfindet, wer meldeberechtigt ist und über welches Portal, verliert die ersten zwölf Stunden mit Organisation.

Wie unterscheiden sich besonders wichtige und wichtige Einrichtungen?

Der Unterschied liegt in der Aufsicht und im Bußgeldrahmen, nicht im Maßnahmenkatalog. Besonders wichtige Einrichtungen nach § 28 Abs. 1 BSIG unterliegen der proaktiven Aufsicht des BSI (§ 61 BSIG) und einem Rahmen bis zehn Millionen Euro. Wichtige Einrichtungen nach § 28 Abs. 2 BSIG werden anlassbezogen geprüft (§ 62 BSIG), der Rahmen liegt bei sieben Millionen Euro. Die Maßnahmen aus § 30 BSIG sind für beide Kategorien dieselben, nur der Verhältnismäßigkeitsmaßstab unterscheidet sich.

Reicht ISO 27001 für NIS2?

Nein, aber es verkürzt den Weg erheblich. Ein ISO-27001-ISMS liefert Risikoanalyse, Sicherheitsleitlinie, Asset-Inventar, Zugriffskontrolle, Lieferantensteuerung und interne Audits, also den Großteil dessen, was § 30 BSIG verlangt. Was ISO 27001 nicht abdeckt, sind die gesetzlichen Meldewege nach § 32 BSIG, die Registrierung nach § 33 BSIG und die Schulungs- und Überwachungspflicht der Geschäftsleitung nach § 38 BSIG. Eine formale Vermutungswirkung gibt es nicht.

Was muss die Geschäftsleitung nachweisen können?

Drei Dinge. Erstens die Billigung der Risikomanagementmaßnahmen, dokumentiert mit Datum und Beschluss. Zweitens die Überwachung der Umsetzung, also einen wiederkehrenden Berichtsweg mit Kennzahlen statt eines einmaligen Projektabschlusses. Drittens die eigene Schulung nach § 38 Abs. 3 BSIG, nachweisbar mit Teilnehmerliste und Inhaltsübersicht. Die Haftung richtet sich nach dem Gesellschaftsrecht der jeweiligen Rechtsform. Wie weit sie im Einzelfall reicht, klären Sie mit Ihrem Rechtsbeistand.

Wir liefern nur Software an ein betroffenes Unternehmen. Was kommt auf uns zu?

Sicherheitsanforderungen im Vertrag. § 30 BSIG nennt die Sicherheit der Lieferkette als eigenen Pflichtbereich, deshalb geben betroffene Auftraggeber die Anforderungen an ihre Dienstleister weiter. Erwarten Sie einen Sicherheitsfragebogen, Meldepflichten für Vorfälle mit kurzen Fristen, ein Auditrecht, eine Liste der Unterauftragnehmer und Aussagen zum sicheren Entwicklungsprozess. Diese Unterlagen einmal sauber zu erstellen ist günstiger, als sie in jeder Ausschreibung neu zusammenzusuchen.

Was kostet ein NIS2-Projekt?

Gap-Audit und Roadmap: 4 bis 6 Wochen, 7.800 bis 18.200 EUR. Vollständiges Programm bei 50 bis 249 Beschäftigten: 4 bis 7 Monate, 47.000 bis 117.000 EUR. Ab 250 Beschäftigten oder in einem Sektor der Anlage 1: 6 bis 12 Monate, 91.000 bis 234.000 EUR. Laufende Betreuung mit Wirksamkeitsprüfung und Penetrationstest: 2.100 bis 6.500 EUR pro Monat. Die Beträge stammen aus unseren dokumentierten HUF-Spannen, umgerechnet zum Kurs 385 HUF/EUR, und sind unverbindlich.

BSIG · NIS2UmsuCG · in Kraft seit 06.12.2025

NIS2-Checkliste für IT-Leiter entlang der Paragrafen des BSIG

In Kraft seit06.12.2025
Meldekette24 h / 72 h / 1 Monat
Gap-Audit4 bis 6 Wochen

Das NIS2-Umsetzungsgesetz hat das BSIG neu gefasst. Für Ihre Arbeit heißt das: Die Pflichten stehen in den §§ 28 bis 39 BSIG, nicht in den Artikeln der Richtlinie. Diese Seite ordnet die zehn Pflichtbereiche aus § 30, die Meldekette aus § 32, die Registrierung aus § 33 und die Leitungspflichten aus § 38 zu einer Arbeitsliste mit 17 Schritten. Stand 14.08.2026.

Gap-Audit anfragen

Betroffenheit prüfen

Kurzfassung

NIS2UmsuCG verkündet am 05.12.2025, in Kraft seit dem 06.12.2025. Maßgeblich ist das BSIG.
Nach der Auswertung von OpenKRITIS fallen rund 30.000 Unternehmen darunter, etwa 8.250 als besonders wichtige und etwa 21.600 als wichtige Einrichtungen.
Registrierung beim BSI binnen drei Monaten (§ 33 BSIG). Das BSI weist darauf hin, dass die gesetzliche Frist bereits abgelaufen ist.
Meldekette nach § 32 BSIG: 24 Stunden, 72 Stunden, ein Monat.
Bußgeldrahmen nach § 65 BSIG: bis zehn Millionen Euro beziehungsweise bis sieben Millionen Euro, für einen Teil der Tatbestände umsatzbezogen bis 2 % oder 1,4 %.
Turnusmäßige Nachweispflicht nur für Betreiber kritischer Anlagen, alle drei Jahre (§ 39 BSIG). Keine flächendeckende Auditpflicht.

Anlage 1 und Anlage 2: welche Sektoren erfasst sind

Anlage 1: Sektoren hoher Kritikalität

· Energie
· Transport und Verkehr
· Finanz- und Versicherungswesen
· Gesundheit
· Trinkwasser und Abwasser
· Digitale Infrastruktur
· Verwaltung von IKT-Diensten
· Weltraum

Große Unternehmen aus diesen Sektoren sind besonders wichtige Einrichtungen (§ 28 Abs. 1 BSIG).

Anlage 2: sonstige kritische Sektoren

· Post- und Kurierdienste
· Abfallbewirtschaftung
· Produktion und Handel mit chemischen Stoffen
· Produktion, Verarbeitung und Vertrieb von Lebensmitteln
· Verarbeitendes Gewerbe (Medizinprodukte, Elektronik, Maschinenbau, Fahrzeuge)
· Anbieter digitaler Dienste (Marktplatz, Suchmaschine, soziale Netzwerke)
· Forschung

Unternehmen ab der Schwelle des § 28 Abs. 2 BSIG sind wichtige Einrichtungen.

Quelle: BSIG, Anlagen 1 und 2, sowie die Auswertung von OpenKRITIS. Die Zuordnung einzelner Tätigkeiten zu einer Anlage gehört in die juristische Prüfung, nicht in eine Checkliste.

§ 28 BSIG: Schwellenwerte und Kategorien

Kategorie	Beschäftigte	Umsatz und Bilanzsumme	Aufsicht
Besonders wichtig (Anlage 1)	ab 250	> 50 Mio. EUR und > 43 Mio. EUR	proaktiv (§ 61 BSIG)
Wichtig (Anlage 1 und 2)	ab 50	jeweils > 10 Mio. EUR	anlassbezogen (§ 62 BSIG)
Größenunabhängig	ohne Schwelle	ohne Schwelle	Vertrauensdienste, TLD-Registries, DNS

Für Betreiber öffentlicher Telekommunikationsnetze und Anbieter öffentlich zugänglicher Telekommunikationsdienste gilt eine eigene, niedrigere Schwelle. Die Berechnung im Konzern ist der Punkt, an dem Selbsteinschätzungen am häufigsten scheitern.

§ 30 BSIG: die zehn Pflichtbereiche

Die Maßnahmen müssen dem Stand der Technik entsprechen und verhältnismäßig zu Größe, Risikoexposition und möglichem Schaden sein. Mehr-Faktor-Authentisierung und gesicherte Kommunikation nennt das Gesetz zusätzlich.

1.
Risikoanalyse und Sicherheitskonzepte
Risikoregister nach anerkannter Methodik, Sicherheitsleitlinie von der Geschäftsleitung gebilligt.
2.
Bewältigung von Sicherheitsvorfällen
Notfallhandbuch, Rollen, Eskalation, Meldeweg zum BSI, Kontaktkette außerhalb der Bürozeiten.
3.
Business Continuity und Backup-Management
Wiederanlaufplan mit RTO- und RPO-Werten, Rücksicherungstest mit Protokoll, Krisenmanagement.
4.
Sicherheit der Lieferkette
Bewertung der direkten Dienstleister, Sicherheitsklauseln, Auditrecht, Verzeichnis der Unterauftragnehmer.
5.
Sicherheit bei Entwicklung, Beschaffung und Wartung
Sicherer Entwicklungsprozess, Code-Review, statische und dynamische Prüfung, Änderungsmanagement.
6.
Umgang mit Schwachstellen
Verfolgung veröffentlichter Schwachstellen, Patch-Fristen je Kritikalität, Meldeweg für Hinweisgeber.
7.
Bewertung der Wirksamkeit
Kennzahlen, interne Prüfung, Notfallübung am Tisch, Penetrationstest im vereinbarten Turnus.
8.
Cyberhygiene und Schulung
Jährliche Pflichtschulung, Phishing-Simulation, rollenspezifische Inhalte für Administratoren.
9.
Kryptografie und Verschlüsselung
TLS 1.2 oder höher im Transport, AES-256 für ruhende Daten, dokumentierte Schlüsselverwaltung.
10.
Personalsicherheit, Zugriffskontrolle, Asset-Management
Rollenbasierte Rechte, Ein- und Austrittsprozess, Geräteverzeichnis, Regeln für private Geräte.

Betreiber kritischer Anlagen erfüllen zusätzlich die besonderen Anforderungen aus § 31 BSIG, insbesondere den Einsatz von Systemen zur Angriffserkennung.

§ 32 BSIG: die Meldekette

24 Stunden

Frühe Erstmeldung

Unverzüglich nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, mit der Angabe, ob rechtswidrige Handlungen in Betracht kommen und ob grenzüberschreitende Auswirkungen möglich sind.

72 Stunden

Meldung mit erster Bewertung

Bestätigung oder Aktualisierung der Erstmeldung, dazu eine erste Bewertung des Vorfalls einschließlich Schweregrad und Auswirkungen.

Ein Monat

Abschlussmeldung

Schweregrad, Art der Bedrohung, Ursachen, ergriffene Abhilfemaßnahmen und grenzüberschreitende Auswirkungen. Bei noch laufenden Vorfällen tritt an ihre Stelle zunächst eine Fortschrittsmeldung.

§ 35 BSIG regelt daneben, wann Sie Ihre Kunden über einen Vorfall unterrichten müssen. Diese Pflicht wird regelmäßig übersehen, weil sie in einem anderen Paragrafen steht als die Meldung an das Bundesamt.

§ 65 BSIG: Bußgeldrahmen

Einrichtung	Obergrenze	Umsatzbezogen
Besonders wichtig (§ 28 Abs. 1 Satz 1)	10 Mio. EUR	bis 2 % des weltweiten Gesamtumsatzes
Wichtig (§ 28 Abs. 2 Satz 1)	7 Mio. EUR	bis 1,4 % des weltweiten Gesamtumsatzes

Welche Obergrenze greift, hängt vom konkreten Tatbestand ab. Die umsatzbezogene Variante gilt nur für einen Teil der Ordnungswidrigkeiten. Zur Bußgeldpraxis der Behörden liegen uns keine belastbaren öffentlichen Zahlen vor, wir nennen deshalb keine.

Registrierung, Leitungspflichten, Nachweise

§ 33 BSIG

Registrierung beim BSI binnen drei Monaten nach Eintritt der Betroffenheit. Zugang über ein ELSTER-Organisationszertifikat und das BSI-Portal. Gemeldet werden unter anderem Name, Rechtsform, Kontaktdaten, IP-Adressbereiche, Sektor und die Mitgliedstaaten, in denen Sie tätig sind. § 34 BSIG enthält eine besondere Registrierungspflicht für bestimmte Einrichtungsarten.

§ 38 BSIG

Die Geschäftsleitung setzt die Maßnahmen nach § 30 um und überwacht ihre Umsetzung. Sie muss regelmäßig an Schulungen teilnehmen. Für Schäden aus Pflichtverletzungen haftet sie nach den gesellschaftsrechtlichen Regeln ihrer Rechtsform. Beschluss, Berichtsweg und Schulungsnachweis gehören dokumentiert.

§ 39 BSIG

Betreiber kritischer Anlagen weisen die Erfüllung ihrer Pflichten alle drei Jahre nach. Für besonders wichtige und wichtige Einrichtungen sieht das Gesetz keine turnusmäßige Vorlage vor. Das BSI kann Nachweise nach §§ 61 und 62 BSIG verlangen.

17 Schritte in der Reihenfolge, in der sie sinnvoll sind

01.
Betroffenheit feststellen
Sektor gegen Anlage 1 und Anlage 2, Größe gegen § 28 BSIG, Konzernstruktur mit der Rechtsabteilung klären.
Woche 1
02.
Registrierung beim BSI
ELSTER-Organisationszertifikat beantragen, im BSI-Portal registrieren. Nach § 33 BSIG binnen drei Monaten, die gesetzliche Frist ist abgelaufen.
Woche 1 bis 2
03.
Besondere Registrierung prüfen
§ 34 BSIG gilt für bestimmte Einrichtungsarten, unter anderem DNS und TLD. Prüfen, ob Sie darunter fallen.
Woche 2
04.
Asset- und Datenlandkarte
Systeme, Datenflüsse, Schnittstellen und Abhängigkeiten aufnehmen. Ohne diese Grundlage ist alles Weitere Schätzung.
Woche 3
05.
Risikoanalyse
Risikoregister aufbauen, Bedrohungen und Auswirkungen bewerten, Maßnahmen priorisieren.
Woche 4 bis 5
06.
Sicherheitsleitlinie und Billigung
Leitlinie schreiben und von der Geschäftsleitung förmlich billigen lassen, mit Datum und Beschluss.
Woche 6
07.
Notfallhandbuch und Meldeprozess
Ablauf für 24 Stunden, 72 Stunden und einen Monat festlegen, Zuständigkeiten und Zugänge benennen.
Woche 7 bis 8
08.
Backup und Wiederanlauf testen
RTO- und RPO-Ziele festlegen, Rücksicherung tatsächlich durchführen und protokollieren.
Woche 8
09.
Lieferkette bewerten
Dienstleister einstufen, Sicherheitsfragebogen versenden, Vertragsklauseln nachziehen.
Woche 9 bis 10
10.
Sicherer Entwicklungsprozess
Code-Review, automatisierte Prüfungen, Patch-Fristen je Kritikalität festlegen.
Woche 10
11.
Kryptografie und Schlüsselverwaltung
Transport- und Datenverschlüsselung vereinheitlichen, Schlüsselrotation dokumentieren.
Woche 11
12.
Zugriffskontrolle und Ein-/Austritt
Rollenmodell, Berechtigungsprüfung, Rückgabe von Geräten und Zugängen.
Woche 12
13.
Mehr-Faktor-Authentisierung ausrollen
Zuerst administrative Zugänge und Fernzugriff, danach die Fläche.
Woche 12 bis 13
14.
Schulung der Geschäftsleitung
§ 38 Abs. 3 BSIG verlangt regelmäßige Teilnahme. Termin, Inhalte und Teilnehmerliste dokumentieren.
Woche 14
15.
Angriffserkennung bei kritischen Anlagen
Nur für Betreiber kritischer Anlagen nach § 31 BSIG: Protokollierung, Auswertung, Alarmverfahren.
Woche 14 bis 16
16.
Interne Prüfung und Notfallübung
Prüfung am Tisch, mit simulierter Rückfrage des BSI und einer echten Stoppuhr für die 24 Stunden.
Woche 17
17.
Wirksamkeit dauerhaft bewerten
Kennzahlen, Quartalsbericht an die Leitung, Aktualisierung bei Systemänderungen. Betreiber kritischer Anlagen: Nachweis nach § 39 BSIG alle drei Jahre.
laufend

Was ein NIS2-Projekt kostet

· Gap-Audit und Roadmap: 4 bis 6 Wochen, 7.800 bis 18.200 EUR
· Vollständiges Programm bei 50 bis 249 Beschäftigten: 4 bis 7 Monate, 47.000 bis 117.000 EUR
· Ab 250 Beschäftigten oder in einem Sektor der Anlage 1: 6 bis 12 Monate, 91.000 bis 234.000 EUR
· Laufende Betreuung mit Wirksamkeitsprüfung und Penetrationstest: 2.100 bis 6.500 EUR pro Monat

Die Beträge stammen aus unseren dokumentierten Projektspannen in HUF, umgerechnet zum Kurs 385 HUF/EUR. Sie sind unverbindlich. Den verbindlichen Preis nennen wir nach einem 30-minütigen Scoping-Gespräch.

Direkt sprechen

Telefon +36 30 098 0767, E-Mail balint@appforge.hu. Vertragspartner ist eine ungarische Gesellschaft innerhalb der EU, ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist ohne Drittlandtransfer möglich.

Büro Budapest: Szabadság tér 7., 1054 Budapest (Bank Center), 2. Stock, Büro 217. Montag bis Freitag 9:00 bis 18:00 Uhr nach Vereinbarung.

Quellen

Stand 14.08.2026. Diese Seite ersetzt keine Rechtsberatung. Zur Einordnung im Konzern, zur Auslegung der Anlagen und zu den Folgen einer verspäteten Registrierung wenden Sie sich an eine auf das BSIG spezialisierte Kanzlei.

Häufige Fragen

NIS2-Checkliste: was IT-Leiter am häufigsten fragen

Für Sie gilt das BSIG. Die Richtlinie (EU) 2022/2555 richtet sich an die Mitgliedstaaten, nicht an Unternehmen. Deutschland hat sie mit dem NIS2UmsuCG umgesetzt, verkündet am 05.12.2025, in Kraft seit dem 06.12.2025. Für die Praxis heißt das: Die Pflichten zitieren Sie aus den §§ 28 bis 39 BSIG, nicht aus den Artikeln der Richtlinie. Wer in einer deutschen Ausschreibung mit Artikel 21 Abs. 2 argumentiert statt mit § 30 BSIG, wirkt schlecht vorbereitet.

Passend dazu

Gap-Audit gegen § 30 BSIG

Ein 30-minütiges Gespräch klärt Ihre Einstufung und den Zuschnitt des Audits. Danach bekommen Sie eine Lückenliste, eine Roadmap und ein Budget.

Gap-Audit anfragen →30 Minuten Erstgespräch