Hinweis: Dieser Beitrag gibt einen Überblick über den Stand des Gesetzes und ersetzt keine Rechtsberatung. Für die verbindliche Einordnung Ihres Unternehmens ist die Betroffenheitsprüfung des BSI beziehungsweise eine rechtliche Bewertung maßgeblich.
Das deutsche NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten, veröffentlicht im Bundesgesetzblatt am 5. Dezember 2025. Damit gelten für einen deutlich größeren Kreis von Unternehmen als bisher verbindliche Anforderungen an die IT-Sicherheit – und die Registrierungsfrist beim BSI ist inzwischen abgelaufen. Wenn Sie bis hier nichts unternommen haben, ist das der Anlass, es jetzt zu tun. Dieser Beitrag klärt zwei Fragen: Sind Sie betroffen? Und wenn ja, was ist zu tun?
Betroffenheit entsteht nicht durch Größe allein und nicht durch Branche allein. Beides muss zutreffen.
Ihr Unternehmen muss einer der Einrichtungsarten aus den Anlagen 1 und 2 des BSI-Gesetzes zuzuordnen sein. Dazu gehören unter anderem Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, IT. Dienstleistungsverwaltung, öffentliche Verwaltung, Weltraum – sowie in der zweiten Kategorie Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe (darunter Maschinenbau, Fahrzeugbau, Medizinprodukte, Elektronik), digitale Dienste und Forschung. Die Liste ist breiter, als viele erwarten. Besonders das verarbeitende Gewerbe bringt viele klassische Mittelständler in den Anwendungsbereich, die sich bisher nicht als kritische Infrastruktur verstanden haben.Nicht erfasst sind unter anderem Kultur und Medien, der öffentliche Nahverkehr und der Medizingroßhandel.
Für Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, DNS-Dienste, TLD-Registries und Telekommunikationsanbieter gelten abweichende, teils niedrigere Schwellen – dort kann Betroffenheit unabhängig von der Größe entstehen.
Der praktische Kern: Ab 50 Mitarbeitenden in einem der genannten Sektoren sind Sie voraussichtlich betroffen. Unter 50 Mitarbeitenden und unter 10 Millionen Euro Umsatz sind Sie es in der Regel nicht –zumindest nicht direkt. Was das „nicht direkt" bedeutet, steht im nächsten Abschnitt.
Das BSI stellt für die verbindliche Einordnung eine Betroffenheitsprüfung unter betroffenheitspruefungnis-2.bsi.de bereit. Nutzen Sie diese, statt zu schätzen.
Auch wenn Sie mit 30 Mitarbeitenden nicht unter das Gesetz fallen, kann NIS2 Sie treffen – über Ihre Kunden.
Eine der Pflichten für betroffene Unternehmen ist die Sicherheit der Lieferkette. Betroffene Unternehmen müssen die Sicherheitsqualität ihrer Dienstleister und Zulieferer bewerten und in Verträge einbeziehen. In der Praxis heißt das: Ihr großer Kunde schickt Ihnen einen Fragebogen, verlangt Nachweise über Ihr Sicherheitsniveau oder ergänzt den Rahmenvertrag um Sicherheitsanforderungen und Meldepflichten.
Wer darauf nicht antworten kann, verliert im schlechtesten Fall den Auftrag. Das ist der Grund, warum das Thema derzeit auch bei Unternehmen ankommt, die formal nichts tun müssten. Für Zulieferer im Maschinenbau, in der Elektronik und in der Logistik ist dieser Weg oft der erste Kontakt mit NIS2.
Wenn Sie in dieser Situation sind: Sie brauchen keine vollständige NIS2-Compliance, aber Sie brauchen belastbare Antworten auf die üblichen Fragen – Backup-Konzept, Zugriffsverwaltung, Mehr-Faktor-Authentifizierung, Notfallplan, Meldeweg bei Vorfällen. Genau das sind die Punkte aus der folgenden Liste.
Betroffene Einrichtungen müssen sich beim BSI registrieren. Die allgemeine gesetzliche Frist ist bereits abgelaufen – wer noch nicht registriert ist, sollte das unverzüglich nachholen. Der Ablauf hat zwei Stufen, und die erste dauert länger, als man denkt: Sie benötigen ein ELSTER-Organisationszertifikat, mit dem Sie sich anschließend im BSI-Portal registrieren. Planen Sie für die Beschaffung des Zertifikats Vorlauf ein, wenn Ihr Unternehmen es nicht ohnehin für steuerliche Zwecke besitzt.
Das Gesetz verlangt technische und organisatorische Maßnahmen nach dem Stand der Technik.
Die Mindestbestandteile sind:
Sie müssen dafür kein ISO-27001-Zertifikat vorlegen. Sie müssen aber nachweisen können, dass Sie diese Punkte bearbeitet haben – was praktisch bedeutet: dokumentiert.
Bei einem erheblichen Sicherheitsvorfall gilt ein dreistufiges Verfahren:
Dauert der Vorfall über den Monat hinaus an, wird zunächst eine Fortschrittsmeldung eingereicht; die Abschlussmeldung folgt nach Bearbeitung. Zwischendurch kann das BSI jederzeit Statusaktualisierungen anfordern.
Die 24-Stunden-Frist ist die eigentliche organisatorische Herausforderung. Sie beginnt mit der Kenntnisnahme – auch nachts, auch am Wochenende. Wer im Ernstfall erst klären muss, wer meldeberechtigt ist und über welchen Kanal gemeldet wird, verliert diese Frist. Legen Sie vorher fest: Wer entscheidet, ob ein Vorfall erheblich ist? Wer meldet? Wer ist Vertretung? Das gehört auf eine Seite Papier, die auch offline verfügbar ist.
Die Geschäftsleitung muss die Risikomanagementmaßnahmen billigen und deren Umsetzung überwachen. Sie ist außerdem verpflichtet, sich regelmäßig schulen zu lassen. Ein Verstoß kann eine persönliche Haftung nach sich ziehen.
Das ist die Neuerung, die in Geschäftsführungen für Aufmerksamkeit sorgt: IT-Sicherheit ist keine Aufgabe, die man vollständig an die IT oder an einen Dienstleister abgibt. Sie können den Betrieb auslagern, die Verantwortung nicht.
Bei Unternehmen mit mehr als 500 Millionen Euro Gesamtumsatz treten umsatzbezogene Obergrenzen hinzu: bis zu 2 Prozent des Gesamtumsatzes bei besonders wichtigen, bis zu 1,4 Prozent bei wichtigen Einrichtungen.
Die Zahlen sind Höchstbeträge, nicht Regelbeträge. Der realistischere Schaden für einen Mittelständler liegt ohnehin woanders: im Betriebsausfall nach einem Angriff und im Verlust von Aufträgen, weil Nachweise fehlen.
Für ein Unternehmen mit 50 bis 250 Mitarbeitenden, das noch am Anfang steht:
Schritt 1 – Betroffenheit feststellen (1 Tag). Betroffenheitsprüfung des BSI durchlaufen, Ergebnis dokumentieren. Auch ein negatives Ergebnis ist ein Ergebnis, das Sie festhalten sollten.
Schritt 2 – Registrierung anstoßen (2–6 Wochen). ELSTER-Organisationszertifikat beschaffen, dann im BSI-Portal registrieren. Früh beginnen, das Zertifikat ist der Engpass.
Schritt 3 – Bestandsaufnahme (2 – 4 Wochen). Welche Systeme, Daten und Dienstleister haben Sie? Wo liegen Backups, wann wurde zuletzt eine Wiederherstellung getestet? Wer hat administrative Rechte? Diese Aufnahme deckt in der Praxis die Hälfte der Lücken bereits auf.
Schritt 4 – Die schnellen Maßnahmen (4–8 Wochen). Mehr-Faktor-Authentifizierung für alle externen Zugänge und Administratorkonten. Getestete Backups mit einer Kopie, die vom Netz getrennt ist. Aufräumen der Zugriffsrechte. Ein Notfallplan auf zwei Seiten mit Meldeweg und Erreichbarkeiten. Diese vier Punkte bringen den größten Sicherheitsgewinn pro investiertem Euro.
Schritt 5 – Meldeprozess festlegen (1 Woche). Zuständigkeiten, Entscheidungskriterium für „erheblich“, Meldekanal, Vertretungsregelung. Einmal im Trockenlauf durchspielen.
Schritt 6 – Dokumentation und Turnus (laufend). Sicherheitskonzept schriftlich, Schulungen für Mitarbeitende und Geschäftsleitung, jährliche Überprüfung der Wirksamkeit.
Realistischer Zeitrahmen für die Schritte 1 bis 5: drei bis vier Monate. Ohne eigene IT-Abteilung ist das ohne externe Unterstützung schwer zu leisten – nicht wegen der Komplexität, sondern wegen der Personenzeit.
Seit wann gilt NIS2 in Deutschland? Das NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten. Die EU-Richtlinie selbst stammt von 2022, die Umsetzungsfrist lief im Oktober 2024 ab –Deutschland hat verzögert umgesetzt.
Ab wie vielen Mitarbeitern gilt NIS2? Ab 50 Mitarbeitenden gelten Sie als wichtige Einrichtung, ab 250 als besonders wichtige – jeweils nur, wenn Ihr Unternehmen zusätzlich einem der Sektoren aus den Anlagen 1 und 2 des BSI-Gesetzes zuzuordnen ist. Alternativ greifen Umsatz- und Bilanzschwellen von 10 beziehungsweise 50 Millionen Euro.
Gilt NIS2 für kleine Unternehmen? Direkt in der Regel nicht. Indirekt sehr wohl: Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette bewerten und geben Anforderungen an Zulieferer und Dienstleister weiter – per Fragebogen oder Vertragsklausel.
Was passiert, wenn ich die Registrierung versäumt habe? Die Registrierungspflicht bleibt bestehen,und Versäumnisse sind bußgeldbewehrt. Sinnvoll ist, die Registrierung unverzüglich nachzuholen und die Umsetzung der Maßnahmen parallel zu dokumentieren.
Brauche ich für NIS2 eine ISO-27001-Zertifizierung? Nein. Das Gesetz verlangt keine Zertifizierung,sondern angemessene Maßnahmen nach dem Stand der Technik und den Nachweis, dass sie umgesetzt sind. ISO 27001 oder BSI-Grundschutz sind hilfreiche Rahmenwerke und in Lieferkettenprüfungen ein Vorteil, aber keine Pflicht.
Wie lange dauert die Umsetzung? Für die Registrierung und die wesentlichen technischen Maßnahmen rechnen Sie mit drei bis vier Monaten. Dokumentation, Schulungen und die Wirksamkeitsprüfung sind laufende Aufgaben, keine Projekte mit Enddatum.
Wer haftet bei Verstößen? Das Unternehmen über Bußgelder – und die Geschäftsleitung persönlich,wenn sie ihre Pflicht zur Billigung und Überwachung der Maßnahmen verletzt hat. Diese Verantwortunglässt sich nicht auf die IT-Abteilung oder einen Dienstleister übertragen.
NIS2 ist seit Dezember 2025 geltendes Recht, und die Registrierungsfrist ist abgelaufen. Der erste Schritt kostet einen Tag: Betroffenheitsprüfung durchlaufen und das Ergebnis festhalten. Falls Sie betroffen sind, beginnen Sie mit dem ELSTER-Zertifikat, weil es der zeitliche Engpass ist. FallsSie nicht betroffen sind, bereiten Sie trotzdem Antworten auf die Lieferkettenfragen Ihrer Kunden vor –Mehr-Faktor-Authentifizierung, getestete Backups, saubere Zugriffsrechte und ein Notfallplan. Diese vierPunkte sind ohnehin die Maßnahmen mit dem besten Verhältnis von Aufwand zu Wirkung, mit oder ohne Gesetz.
%402x.svg){kind=icon}
