NIS2 in Deutschland: Pflichten nach dem BSIG seit 6. Dezember 2025

Mit dem am 13. November 2025 im Bundestag beschlossenen NIS-2-Umsetzungsgesetz ist die europäische Cybersicherheitsrichtlinie in der nationalen Realität angekommen. Das Gesetz ist am 6. Dezember 2025 in Kraft getreten (BGBl. 2025 I Nr. 301). Eine Übergangsfrist für die wesentlichen Pflichten gibt es nicht. Für viele Unternehmen bedeutet dies einen tiefgreifenden Wandel, der weit über klassische IT-Themen hinausreicht und unmittelbar Governance, Organisation und Geschäftsprozesse berührt. Die Bedrohungslage durch zunehmend professionelle Cyberangriffe wächst parallel zu den gesetzlichen Anforderungen: Cybersicherheit wird zu einem zentralen Baustein der Zukunftsfähigkeit.

Wer ist von NIS 2 betroffen?

Die Richtlinie richtet sich an „wesentliche“ und „wichtige“ Einrichtungen aus insgesamt 18 Sektoren; das deutsche BSIG spricht von „besonders wichtigen“ und „wichtigen“ Einrichtungen. Dazu zählen Energie, Transport, Gesundheitswesen, Trinkwasser- und Abwasserinfrastruktur, öffentliche Verwaltung (in Deutschland nach dem BSIG nur die Bundesverwaltung), Post- und Kurierdienste, digitale Dienste, Abfallwirtschaft, Produktion und weitere wirtschaftlich bedeutende Bereiche. Die Zugehörigkeit zum Sektor allein entscheidet jedoch nicht über die Betroffenheit. Ausschlaggebend ist zusätzlich die Größe: Wichtige Einrichtungen haben mindestens 50 Beschäftigte oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils mehr als 10 Mio. Euro; besonders wichtige Einrichtungen mindestens 250 Beschäftigte oder mehr als 50 Mio. Euro Umsatz und mehr als 43 Mio. Euro Bilanzsumme (§ 28 BSIG). Einige Einrichtungen, etwa Betreiber kritischer Anlagen, sind unabhängig von ihrer Größe erfasst.

Damit steigt die Zahl der verpflichteten Organisationen deutlich. In Deutschland fallen nach Angaben des BSI rund 29.500 Unternehmen unter die neuen Pflichten, viele von ihnen mit bislang geringer Erfahrung im regulatorischen Cybersicherheitsumfeld. Sie müssen ihre Rolle nach dem Gesetz präzise bestimmen und ihre Prozesse an die neue Rechtslage anpassen.

Wie Unternehmen feststellen, ob sie unter NIS 2 fallen

Bevor konkrete Maßnahmen umgesetzt werden, ist eine systematische Betroffenheitsprüfung notwendig. Unternehmen müssen klären, ob sie als „besonders wichtige“ oder „wichtige“ Einrichtung einzustufen sind und welche Tätigkeiten dafür maßgeblich sind. Geschäftstätigkeiten, die im Hinblick auf die gesamte Geschäftstätigkeit vernachlässigbar sind, können bei der Zuordnung unberücksichtigt bleiben (§ 28 Abs. 3 BSIG). Davon sollte nur sorgfältig begründet Gebrauch gemacht werden. Angreifer orientieren sich nicht an juristischen Abgrenzungen, sondern an Schwachstellen im System.

Eine nachvollziehbare, dokumentierte Betroffenheitsprüfung bildet daher das Fundament aller weiteren Schritte. Sie schafft Klarheit über Pflichten, Verantwortlichkeiten und den Umfang der organisatorischen und technischen Maßnahmen, die einzuhalten sind.

Erste Orientierung: Die Betroffenheitsprüfung des BSI

Das Bundesamt für Sicherheit in der Informationstechnik bietet mit seiner NIS-2-Betroffenheitsprüfung ein niedrigschwelliges, anonymes Online-Tool, das Unternehmen eine erste Einschätzung liefert. Die enthaltenen Leitfragen ermöglichen einen schnellen Überblick über mögliche Betroffenheit. Diese Orientierung ersetzt allerdings nicht die verbindliche Selbsteinschätzung, für die jedes Unternehmen selbst verantwortlich ist. Link siehe unten.

Die Ergebnisse des Tools sollten daher als Ausgangspunkt für eine vertiefte rechtliche Prüfung und eine organisationsinterne Auseinandersetzung genutzt werden.

Umsetzungspflichten: Was Unternehmen konkret erwartet

Nach der Feststellung der Betroffenheit beginnt die eigentliche Umsetzung. Das BSIG verlangt ein höheres, messbares und dokumentiertes Sicherheitsniveau, das organisatorische wie technische Maßnahmen umfasst.

Registrierungspflicht

Besonders wichtige und wichtige Einrichtungen müssen sich spätestens drei Monate nach erstmaliger oder erneuter Betroffenheit über die gemeinsame Registrierungsmöglichkeit von BSI und BBK registrieren (§ 33 BSIG). Dafür ist seit dem 6. Januar 2026 das BSI-Portal freigeschaltet; vorgeschaltet ist die Anmeldung über „Mein Unternehmenskonto“. Für Einrichtungen, die schon bei Inkrafttreten betroffen waren, lief die gesetzliche Frist am 6. März 2026 ab. Wer die Registrierung versäumt hat, sollte sie unverzüglich nachholen. Betreiber kritischer Anlagen müssen zusätzliche Angaben machen (§ 33 Abs. 2 BSIG), für bestimmte Anbieter digitaler Dienste gilt eine besondere Registrierungspflicht (§ 34 BSIG). Die Registrierung dient der zentralen Erfassung und der Schaffung eines direkten Kommunikationskanals mit dem BSI.

Meldepflicht bei Sicherheitsvorfällen

Ein zentrales Element der Regulierung sind die Meldepflichten. Unternehmen müssen erhebliche Sicherheitsvorfälle an die gemeinsame Meldestelle von BSI und BBK melden, insbesondere solche mit schwerwiegenden Betriebsstörungen, finanziellen Verlusten oder erheblichen Schäden für Dritte. Die Meldefristen sind in § 32 BSIG klar definiert:

• unverzüglich, spätestens 24 Stunden nach Kenntnis: frühe Erstmeldung,
• unverzüglich, spätestens 72 Stunden nach Kenntnis: Meldung mit erster Bewertung,
• auf Ersuchen des BSI: Zwischenmeldung,
• spätestens einen Monat nach der Meldung: Abschlussmeldung (dauert der Vorfall noch an, zunächst eine Fortschrittsmeldung).

Die Meldungen müssen unter anderem eine Bewertung des Vorfalls, eine Beschreibung der Auswirkungen, gegebenenfalls Kompromittierungsindikatoren und Angaben zu Ursache und Abhilfemaßnahmen enthalten. Damit schafft das Gesetz eine einheitliche Meldekultur, die der übergreifenden Resilienz des europäischen Cyberraums dient.

Risikomanagement: Dokumentiert, wirksam und verhältnismäßig

Unternehmen müssen ein umfassendes Risikomanagement etablieren, das alle Systeme und Prozesse einschließt, die für die Dienstbereitstellung wesentlich sind. Die Maßnahmen sollen dem Stand der Technik entsprechen und müssen auf einem gefahrenübergreifenden Ansatz beruhen (§ 30 BSIG). Dazu gehören regelmäßige Risikoanalysen, das Management von Sicherheitsvorfällen, Backup- und Wiederherstellungsstrategien, die Sicherheit der Lieferkette sowie klare Anforderungen an Entwicklung, Erwerb und Wartung von IT-Systemen.

Ebenso verlangt das Gesetz, Beschäftigte systematisch zu schulen und zu sensibilisieren. Zu den Mindestmaßnahmen gehören außerdem Multi-Faktor- oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikation (§ 30 Abs. 2 Nr. 10 BSIG).

Risiken bei Nichteinhaltung: Sichtbare und kostspielige Folgen

NIS 2 verschärft die Konsequenzen für Organisationen, die ihre Pflichten nicht erfüllen. Für schwere Verstöße gegen Risikomanagement- und Meldepflichten reichen die Geldbußen bis 10 Mio. Euro (besonders wichtige Einrichtungen) bzw. 7 Mio. Euro (wichtige Einrichtungen); bei einem Gesamtumsatz von mehr als 500 Mio. Euro bis 2 % bzw. 1,4 % des weltweiten Umsatzes (§ 65 BSIG). Das BSI kann zudem Anordnungen treffen. Kommt eine besonders wichtige Einrichtung ihnen trotz Fristsetzung nicht nach, kann die zuständige Aufsichtsbehörde als letztes Mittel unzuverlässigen Geschäftsleitungen die Tätigkeit vorübergehend untersagen (§ 61 Abs. 9 BSIG).

Besonders folgenschwer sind mögliche Reputationsschäden durch öffentliche Warnungen sowie operative Verluste, etwa durch längere Ausfallzeiten oder steigende Versicherungsanforderungen. Untätigkeit wird damit nicht nur teuer, sondern auch sichtbar – intern wie extern.

Ausblick: geplante Änderungen auf EU-Ebene

Die Europäische Kommission hat am 20. Januar 2026 gezielte Änderungen der NIS-2-Richtlinie vorgeschlagen (COM(2026) 13), unter anderem zur Klarstellung des Anwendungsbereichs und zu zertifizierungsbasierten Nachweiswegen. Der Vorschlag wird derzeit im Europäischen Parlament und im Rat beraten; an den geltenden Pflichten nach dem BSIG ändert er derzeit nichts.

Jetzt Orientierung schaffen und aktiv handeln

Unternehmen, die zügig mit der Umsetzung beginnen, können die Regulierung als strategische Chance nutzen. Ein hohes Sicherheitsniveau stärkt die Resilienz, verbessert Governance-Strukturen und erhöht die Glaubwürdigkeit gegenüber Kunden und Partnern.

Das BSI stellt umfangreiche Hilfsmaterialien bereit, darunter Infopakete mit Schritt-für-Schritt-Anleitungen, Checklisten und kompakten Übersichten zu Registrierung und Meldepflichten. Webinare und Veranstaltungen unterstützen zusätzlich beim Einstieg in die Anforderungen.

NIS 2 ist damit nicht nur ein regulatorischer Meilenstein, sondern auch ein Weckruf. Wer jetzt strukturiert handelt, stellt sein Unternehmen widerstandsfähiger und verantwortungsbewusster auf.

Prüfen Sie Ihren Status hier:

https://betroffenheitspruefung-nis-2.bsi.de/

Bei weiteren Fragen stehen wir Ihnen gerne zur Verfügung.

Dr. Spörrer und Team