Veröffentlicht: 6. August 2026

NIS2-Richtlinie: Was Unternehmen jetzt wissen müssen

Die NIS2-Richtlinie verpflichtet deutlich mehr Unternehmen als bisher zu Cybersicherheitsmaßnahmen, Meldeprozessen und einer Registrierung beim BSI. Seit dem 6. Dezember 2025 gilt das deutsche Umsetzungsgesetz NIS2UmsuCG, und zwar ohne allgemeine Übergangsfristen. Dieser Überblick zeigt, wer betroffen ist, welche Pflichten gelten, welche Bußgelder drohen und welche Fristen Sie kennen sollten. Stand: August 2026.

Das Wichtigste in Kürze

• Die NIS2-Richtlinie (EU) 2022/2555 ist seit dem 16. Januar 2023 in Kraft. Deutschland hat sie mit dem NIS2-Umsetzungsgesetz (NIS2UmsuCG) umgesetzt, das seit dem 6. Dezember 2025 gilt.
• Laut BSI steigt die Zahl der beaufsichtigten Einrichtungen von rund 4.500 auf etwa 29.500. Betroffen sind Unternehmen aus 18 Sektoren ab 50 Mitarbeitern oder 10 Millionen Euro Jahresumsatz und Bilanzsumme.
• Zu den Pflichten zählen Risikomanagement nach § 30 BSIG, die Registrierung beim BSI und die Meldung erheblicher Sicherheitsvorfälle innerhalb von 24 Stunden.
• Bußgelder erreichen bis zu 10 Millionen Euro, bei Einrichtungen mit mehr als 500 Millionen Euro Jahresumsatz bis zu 2 Prozent des weltweiten Umsatzes. Die Geschäftsleitung muss die Umsetzung persönlich überwachen und haftet bei schuldhaften Pflichtverletzungen.
• Allgemeine Übergangsfristen sieht das Gesetz nicht vor. Wer betroffen ist und sich noch nicht registriert hat, sollte das jetzt nachholen.

Was ist die NIS2-Richtlinie?

NIS2 steht für die zweite EU-Richtlinie zur Netzwerk- und Informationssicherheit. Die Richtlinie (EU) 2022/2555 ist am 16. Januar 2023 in Kraft getreten und löst die erste NIS-Richtlinie aus dem Jahr 2016 ab. Ihr Ziel ist ein einheitlich hohes Cybersicherheitsniveau in der gesamten Europäischen Union.

Gegenüber der Vorgängerrichtlinie erweitert NIS2 den Anwendungsbereich erheblich. Sie erfasst mehr Sektoren, senkt die Größenschwellen und vereinheitlicht Meldepflichten, Aufsicht und Sanktionen. Neu ist außerdem die ausdrückliche Verantwortung der Leitungsorgane: Geschäftsführungen und Vorstände müssen Cybersicherheitsmaßnahmen billigen, deren Umsetzung überwachen und sich regelmäßig schulen lassen.

Die Mitgliedstaaten mussten die Richtlinie bis zum 17. Oktober 2024 in nationales Recht überführen. Deutschland hat diese Frist verpasst und die Umsetzung erst Ende 2025 abgeschlossen. Für betroffene Unternehmen zählt seitdem allein das deutsche Umsetzungsgesetz, denn die Richtlinie selbst begründet keine unmittelbaren Pflichten für Unternehmen.

NIS2UmsuCG: Das deutsche Umsetzungsgesetz gilt seit Dezember 2025

Der Bundestag hat das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) am 13. November 2025 beschlossen. Nach der Verkündung im Bundesgesetzblatt am 5. Dezember 2025 gilt es laut BSI seit dem 6. Dezember 2025. Kern des Gesetzes ist eine umfassende Neufassung des BSI-Gesetzes (BSIG), die Anforderungen, Meldewege und Aufsicht regelt.

Wichtig für die Praxis: Das Gesetz sieht keine allgemeinen Übergangsfristen vor. Die Pflichten zu Risikomanagement, Registrierung und Meldung gelten seit dem Inkrafttreten. Das BSI ist die zentrale Aufsichtsbehörde und stellt dafür ein eigenes Portal sowie eine Betroffenheitsprüfung bereit.

Das BSIG unterscheidet zwei neue Kategorien: besonders wichtige Einrichtungen und wichtige Einrichtungen. Betreiber kritischer Anlagen (KRITIS) bleiben eine eigene Gruppe mit zusätzlichen Anforderungen, etwa regelmäßigen Nachweisprüfungen. Laut BSI wächst der Kreis der beaufsichtigten Einrichtungen damit von rund 4.500 auf etwa 29.500.

Wer ist betroffen? Sektoren und Größenschwellen

Ob ein Unternehmen unter das BSIG fällt, hängt von zwei Faktoren ab: dem Sektor und der Unternehmensgröße. Die Anlagen 1 und 2 des BSIG listen insgesamt 18 Sektoren. Dazu zählen unter anderem Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Trinkwasser und Abwasser, digitale Infrastruktur, öffentliche Verwaltung, Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, das verarbeitende Gewerbe sowie Anbieter digitaler Dienste und Forschungseinrichtungen.

Einige Einrichtungen fallen unabhängig von ihrer Größe unter das Gesetz, darunter qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries und DNS-Diensteanbieter. Für Anbieter öffentlicher Telekommunikationsdienste gelten abweichende Schwellen. Das BSI bietet auf seiner Website eine kostenlose Betroffenheitsprüfung an, mit der Sie Ihre Einstufung anhand eines Fragenkatalogs ermitteln können.

Pflichten im Überblick: Risikomanagement, Registrierung, Meldung

Kernstück ist § 30 BSIG. Er verpflichtet betroffene Einrichtungen zu geeigneten, verhältnismäßigen und wirksamen technischen und organisatorischen Maßnahmen. Das Gesetz nennt dafür einen Mindestkatalog:

• Risikoanalyse und Sicherheitskonzepte für Informationssysteme
• Bewältigung von Sicherheitsvorfällen
• Backup-Management, Wiederherstellung und Krisenmanagement
• Sicherheit der Lieferkette einschließlich direkter Anbieter und Dienstleister
• Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen
• Konzepte zur Bewertung der Wirksamkeit der Maßnahmen
• Cyberhygiene und Schulungen
• Kryptografie und Verschlüsselung
• Personalsicherheit, Zugriffskontrolle und Anlagenmanagement
• Multi-Faktor-Authentifizierung und gesicherte Kommunikation

Eine detaillierte Aufschlüsselung aller Maßnahmen finden Sie in unserem Beitrag zu den NIS2-Anforderungen und Pflichtmaßnahmen. Die Anforderungen an Dienstleister und Zulieferer behandelt der Beitrag zur NIS2-Lieferkettensicherheit. Hinzu kommen die Registrierungspflicht beim BSI und die mehrstufige Meldepflicht für erhebliche Sicherheitsvorfälle nach § 32 BSIG:

Bußgelder und Geschäftsleitungshaftung

Der Bußgeldkatalog in § 65 BSIG staffelt die Sanktionen nach Kategorie und Schwere des Verstoßes. Für besonders wichtige Einrichtungen reicht der Rahmen bis zu 10 Millionen Euro, für wichtige Einrichtungen bis zu 7 Millionen Euro. Übersteigt der weltweite Jahresumsatz 500 Millionen Euro, sind bis zu 2 Prozent beziehungsweise 1,4 Prozent dieses Umsatzes möglich. Auch Verstöße gegen die Registrierungs- und Meldepflichten sind bußgeldbewehrt.

§ 38 BSIG nimmt die Geschäftsleitung persönlich in die Pflicht. Geschäftsleitungen müssen die Risikomanagementmaßnahmen nach § 30 BSIG umsetzen und ihre Umsetzung überwachen. Die operative Arbeit können Fachabteilungen und Dienstleister übernehmen, die Überwachung bleibt jedoch Aufgabe der Geschäftsleitung. Verletzen ihre Mitglieder diese Pflichten schuldhaft, haften sie der Einrichtung gegenüber nach den anwendbaren gesellschaftsrechtlichen Regeln auf Schadensersatz.

Hinzu kommt eine persönliche Schulungspflicht: Mitglieder der Geschäftsleitung müssen regelmäßig an Cybersicherheitsschulungen teilnehmen, um Risiken bewerten und Maßnahmen beurteilen zu können. Cybersicherheit ist damit rechtlich verankerte Leitungsaufgabe. Für die Praxis bedeutet das: Die Geschäftsführung braucht eine belastbare, nachvollziehbare Datengrundlage über die eigene Risikolage, um ihrer Überwachungspflicht nachzukommen.

Zeitplan und Fristen: BSI-Registrierung nicht aufschieben

Betroffene Einrichtungen müssen sich innerhalb von drei Monaten nach Erfüllen der Kriterien beim BSI registrieren. Für Unternehmen, die bereits beim Inkrafttreten unter das Gesetz fielen, lief diese Frist am 6. März 2026 ab. Die Registrierung erfolgt über das BSI-Portal in Verbindung mit dem Organisationskonto „Mein Unternehmenskonto“, das ein ELSTER-Zertifikat voraussetzt.

Die Resonanz blieb hinter den Erwartungen zurück. Das BSI hatte eine kulante Nachfrist bis zum 31. Juli 2026 eingeräumt. Laut heise online hatten sich bis zu diesem Datum 18.845 Einrichtungen registriert, davon 6.490 besonders wichtige und 12.355 wichtige, erwartet waren rund 29.500. Wer betroffen ist und sich noch nicht registriert hat, sollte das umgehend nachholen, denn die Pflicht besteht fort und Verstöße können als Ordnungswidrigkeit geahndet werden.

Unabhängig von der Registrierung gelten die materiellen Pflichten bereits. Prüfungen der Umsetzung durch das BSI sind bei besonders wichtigen Einrichtungen jederzeit möglich, bei wichtigen Einrichtungen anlassbezogen. Ein dokumentierter Umsetzungsstand ist deshalb auch ohne konkrete Prüfungsankündigung sinnvoll.

Wie Unternehmen jetzt vorgehen

Ein pragmatischer Einstieg folgt vier Schritten. Erstens: Betroffenheit klären, etwa mit der Betroffenheitsprüfung des BSI, und die Registrierung abschließen. Zweitens: den Ist-Zustand erheben. Dazu gehört eine Risikoanalyse der eigenen IT, denn § 30 BSIG stellt die Risikoanalyse an den Anfang aller Maßnahmen. Drittens: Lücken priorisieren und schließen, von Backup-Konzepten über Verschlüsselung bis zur Multi-Faktor-Authentifizierung. Viertens: Meldewege und Zuständigkeiten festlegen, damit die 24-Stunden-Frist im Ernstfall haltbar ist.

Für den zweiten Schritt liefert External Attack Surface Management (EASM) eine Faktenbasis aus der Außenperspektive: Es zeigt ohne Agenten-Installation, welche Systeme, Dienste und Software-Komponenten Ihres Unternehmens aus dem Internet erreichbar sind und wo Angriffsflächen bestehen. Ein KPI-basiertes Security Rating macht den Stand messbar und für die Geschäftsleitung nachvollziehbar, auch als wiederkehrender Nachweis gegenüber der Überwachungspflicht aus § 38 BSIG.

Bei der Priorisierung neuer Schwachstellen zählt auch die Aktualität der Datengrundlage. Mit Preemptive Intelligence gleicht LocateRisk Hinweise aus mehreren Quellen bereits vor einer abschließenden NVD-Bewertung mit der sichtbaren Angriffsfläche ab. Solche Hinweise ergänzen die Risikoanalyse, ersetzen aber nicht die technische Verifikation auf dem betroffenen System.

Zur Einordnung: Eine Außenanalyse ersetzt kein Informationssicherheits-Managementsystem und erkennt nicht in jedem Fall, ob eine konkret eingesetzte Softwareversion verwundbar ist. Sie zeigt jedoch, welche Systeme exponiert sind und wo eine tiefere Prüfung ansetzen sollte. Für die Lieferkettenpflichten aus § 30 BSIG eignet sich ergänzend ein Vendor-Risk-Management, das Dienstleister und Zulieferer systematisch bewertet.

Häufige Fragen

---

Gilt NIS2 auch für kleine Unternehmen unter 50 Mitarbeitern?

In der Regel nicht direkt. Ausnahmen gelten unter anderem für qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Diensteanbieter, die unabhängig von ihrer Größe erfasst sind. Mittelbar betrifft NIS2 aber viele kleinere Firmen: Regulierte Kunden müssen die Sicherheit ihrer Lieferkette bewerten und geben Anforderungen an ihre Dienstleister weiter.

---

Was passiert, wenn sich ein betroffenes Unternehmen nicht registriert?

Die Registrierungspflicht nach § 33 BSIG bleibt bestehen, auch wenn Fristen verstrichen sind. Ein Verstoß kann als Ordnungswidrigkeit mit Bußgeld geahndet werden. Zudem verpasst das Unternehmen Informationen des BSI, etwa Warnungen und Lageinformationen, die über die hinterlegten Kontaktdaten laufen.

---

Reicht eine ISO-27001-Zertifizierung für die NIS2-Konformität?

Eine ISO-27001-Zertifizierung deckt viele Anforderungen des § 30 BSIG strukturell ab und ist eine gute Grundlage. Sie ersetzt jedoch weder die Registrierung noch die Meldepflichten mit ihren konkreten Fristen. Prüfen Sie den Geltungsbereich des Zertifikats: Er muss die relevanten Systeme und Prozesse tatsächlich umfassen.

---

Wie finde ich heraus, ob mein Unternehmen betroffen ist?

Das BSI stellt online eine Betroffenheitsprüfung mit einem Fragenkatalog bereit, der sich an § 28 BSIG und den Anlagen 1 und 2 orientiert. Maßgeblich sind Sektor, Mitarbeiterzahl, Jahresumsatz und Bilanzsumme. Bei Konzernstrukturen und Grenzfällen empfiehlt sich eine ergänzende juristische Einschätzung.

---

Welche Fristen gelten bei einem Sicherheitsvorfall?

Erhebliche Sicherheitsvorfälle melden Sie dem BSI unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis. Innerhalb von 72 Stunden folgt eine Meldung mit erster Bewertung, spätestens einen Monat später die Abschlussmeldung. Dauert der Vorfall an, tritt an ihre Stelle zunächst eine Fortschrittsmeldung.

Fazit: Jetzt Klarheit über die eigene Risikolage schaffen

NIS2 ist in Deutschland geltendes Recht, ohne allgemeine Übergangsfristen und mit persönlicher Verantwortung der Geschäftsleitung. Der erste belastbare Schritt ist eine ehrliche Bestandsaufnahme der eigenen Angriffsfläche. LocateRisk analysiert Ihre von außen sichtbare IT ohne Agenten-Installation und liefert innerhalb von 48 Stunden eine KPI-basierte Bewertung, DSGVO-konform und gehostet in zertifizierten deutschen Rechenzentren. Starten Sie mit einer IT-Risikoanalyse für Ihr Unternehmen und schaffen Sie die Datengrundlage für Ihre NIS2-Umsetzung.