NIS2 in Deutschland: Pflichten für Unternehmen und welche Hilfe Dienstleister leisten können

Das deutsche Gesetz zur Umsetzung der EU-Richtlinie NIS 2 (NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz) ist nach unserem Kenntnisstand seit Dezember 2025 in Kraft und hat das BSI-Gesetz grundlegend erweitert. Betroffen sind deutlich mehr Unternehmen als zuvor, nämlich mittlere und große Einrichtungen in bestimmten Sektoren. Sie müssen Risikomanagement-Maßnahmen umsetzen, Sicherheitsvorfälle melden und sich beim BSI registrieren. Die Geschäftsleitung trägt Verantwortung. Prüfen Sie Stichtage, Schwellenwerte und Einzelheiten stets im aktuellen Gesetzestext und auf den Seiten des BSI, da Auslegungshinweise laufend ergänzt werden.

Wer ist betroffen?

Die Betroffenheit ergibt sich aus drei Fragen:

Sektor: Gehört Ihr Unternehmen zu den im Gesetz genannten Sektoren? Dazu zählen unter anderem Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur, IT- und Telekommunikationsdienste, Finanzwesen, Abfallwirtschaft, Lebensmittel, bestimmte Industriezweige wie Maschinenbau, Fahrzeugbau und Elektronik, Post- und Kurierdienste, digitale Anbieter sowie Forschung.
Größe: Als Faustregel erfasst das Gesetz grundsätzlich mittlere Unternehmen und größere, das heißt solche ab etwa 50 Beschäftigten oder mit Jahresumsatz und Bilanzsumme oberhalb bestimmter Schwellen. Die genaue Berechnung ist im Gesetz geregelt und folgt den EU-Regeln für Unternehmensgrößen, einschließlich verbundener Unternehmen.
Einstufung: Das Gesetz unterscheidet besonders wichtige Einrichtungen und wichtige Einrichtungen. Für beide gelten ähnliche Pflichten, aber die Aufsicht und die Bußgeldrahmen unterscheiden sich.

Kleine Unternehmen sind nicht automatisch frei von Anforderungen. Wer Betreiber oder Großkunden beliefert, spürt die Pflichten mittelbar über Lieferkettenanforderungen und Vertragsklauseln.

Zentrale Pflichten im Überblick

Pflicht	Inhalt	Wo Dienstleister helfen können
Registrierung	Meldung der Einrichtung bei der zuständigen Stelle des Bundes über ein Portal des BSI	Betroffenheitsprüfung, Datenzusammenstellung
Risikomanagement-Maßnahmen	Technische, operative und organisatorische Maßnahmen nach dem Stand der Technik	Gap-Analyse, ISMS-Aufbau, Maßnahmenplanung
Meldepflichten	Erhebliche Sicherheitsvorfälle stufenweise melden: frühe Erstmeldung, Folgemeldung, Abschlussbericht	Vorfallprozess, Incident Response, Meldevorlagen
Geschäftsleitung	Billigung und Überwachung der Maßnahmen, regelmäßige Schulung	Schulungen für Führungskräfte
Lieferkette	Sicherheit gegenüber Zulieferern und Dienstleistern berücksichtigen	Lieferantenbewertung, Vertragsklauseln
Nachweise	Je nach Einstufung Nachweise und Prüfungen gegenüber der Behörde	Vorbereitung auf Prüfungen

Die Fristen und Inhalte der Meldungen sind im Gesetz geregelt. Nach der Richtlinie ist eine erste Meldung innerhalb von 24 Stunden vorgesehen, eine ausführlichere nach 72 Stunden und ein Abschlussbericht nach einem Monat. Prüfen Sie die konkrete deutsche Ausgestaltung im Gesetzestext.

Risikomanagement-Maßnahmen konkret

Das Gesetz nennt Themenbereiche, die Ihre Maßnahmen abdecken sollten, darunter:

Konzepte für Risikoanalyse und Informationssicherheit
Bewältigung von Sicherheitsvorfällen
Aufrechterhaltung des Betriebs, Backup-Management und Krisenmanagement
Sicherheit der Lieferkette
Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen, einschließlich Schwachstellenmanagement
Bewertung der Wirksamkeit von Maßnahmen
Cyberhygiene und Schulungen
Kryptografie und Verschlüsselung
Zugriffskontrolle und Management von Anlagen
Mehr-Faktor-Authentifizierung und gesicherte Kommunikation

Ein Informationssicherheits-Managementsystem nach ISO 27001 oder BSI IT-Grundschutz kann diese Themen strukturieren. Es ersetzt aber nicht automatisch den Nachweis gegenüber der Behörde. Mehr zum Aufwand finden Sie im Beitrag ISO 27001 Beratung: Aufwand und Kosten.

Verantwortung der Geschäftsleitung

Die Leitung muss die Risikomanagement-Maßnahmen billigen und überwachen und sich regelmäßig schulen lassen. Bei Pflichtverletzungen kann sie nach den Vorgaben des Gesetzes haftbar gemacht werden. Eine Delegation an IT oder externe Dienstleister entbindet nicht von dieser Verantwortung. Ein externer Sicherheitsbeauftragter kann unterstützen, die Entscheidung bleibt bei der Leitung, siehe Externer Informationssicherheitsbeauftragter und vCISO.

Praktisches Vorgehen in fünf Schritten

Betroffenheit prüfen: Sektor, Größe, Konzernverbund. Zweifelsfälle rechtlich klären.
Registrierung vornehmen: Gegebenenfalls fristgerecht im Portal des BSI.
Bestandsaufnahme: Gap-Analyse gegen die Anforderungen, Risiken bewerten.
Maßnahmenplan umsetzen: Priorisieren nach Risiko, Verantwortliche und Termine festlegen.
Vorfallprozess üben: Meldewege, Ansprechpartner und Vorlagen testen, zum Beispiel mit einer Übung.

Worauf Sie bei Dienstleistern achten sollten

Keine Zertifikatsversprechen: Es gibt kein Siegel, das NIS2-Konformität garantiert. Misstrauen Sie Angeboten mit solchen Aussagen.
Nachweis eigener Kompetenz: Erfahrung mit ISMS, Meldeprozessen und Audits.
Eigene Lieferkettenrolle: Auch Ihr Dienstleister kann von NIS2 betroffen sein oder von Ihren Kunden gebunden werden. Fragen Sie nach seinen Nachweisen.
Vertragsklauseln: Meldepflichten gegenüber Ihnen im Vorfall, Mitwirkung bei Audits, Unterauftragnehmer.

Aufsicht und Bußgelder

Das Gesetz sieht Aufsichtsmaßnahmen des BSI sowie Bußgelder bei Verstößen vor. Nach der EU-Richtlinie liegen die Höchstbeträge für besonders wichtige Einrichtungen bei mindestens 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, für wichtige Einrichtungen bei mindestens 7 Millionen Euro oder 1,4 Prozent. Die genauen deutschen Regelungen, Übergangsfristen und die Frage, wann welche Maßnahme droht, sollten Sie im aktuellen Gesetzestext nachlesen. In der Praxis ist wichtiger als die Höhe der Bußgelder, dass die Leitung nachweisen kann, Risiken erkannt, Maßnahmen beschlossen und deren Umsetzung überwacht zu haben.

Häufige Fehler

Betroffenheit nur anhand der Beschäftigtenzahl prüfen, ohne Konzernverbund oder Umsatzgrenzen zu betrachten.
Auf Zertifikate verlassen und Wirksamkeit nicht überprüfen.
Meldeprozess nicht üben, sodass im Ernstfall die Fristen reißen.
Geschäftsleitung nicht einbinden.

Wann Sie sich beraten lassen sollten

Die Einstufung und die Auslegung von Pflichten sind rechtlich anspruchsvoll. Lassen Sie Betroffenheit und Fristen von einer spezialisierten Rechtsberatung oder von Ihrem Verband prüfen und nutzen Sie die Informationen des BSI.

Häufige Fragen

Gilt NIS2 auch für kleine Unternehmen?

Grundsätzlich richtet sich das Gesetz an mittlere und große Einrichtungen in bestimmten Sektoren. Kleine Unternehmen können mittelbar betroffen sein, wenn sie Betroffene beliefern.

Muss ich ein Zertifikat vorlegen?

Eine generelle Zertifizierungspflicht für alle gibt es nicht. Nachweise und Prüfungen richten sich nach Einstufung und Aufsicht. Prüfen Sie die aktuellen Anforderungen.

Wer ist die zuständige Behörde?

In Deutschland ist das Bundesamt für Sicherheit in der Informationstechnik die zentrale Stelle. Für bestimmte Sektoren können weitere Behörden eine Rolle spielen.

Quellen und weiterführende Stellen

Bundesamt für Sicherheit in der Informationstechnik (BSI) — Informationen zur Betroffenheit, Registrierung und Meldung
Bundesministerium des Innern — Hintergrund zum Gesetzgebungsverfahren
Gesetze im Internet — Aktueller Gesetzestext des BSI-Gesetzes