Wie gut sind Sie auf NIS2 vorbereitet?

Kurz gesagt

NIS2 ist eine EU-Richtlinie für die Cybersicherheit. Deutschland hat sie mit einer Neufassung des BSI-Gesetzes (BSIG) umgesetzt, die am 6. Dezember 2025 in Kraft getreten ist, ohne Übergangsfrist. Seitdem müssen deutlich mehr Unternehmen als früher nachweisbar für IT-Sicherheit sorgen, nicht nur Konzerne und Betreiber kritischer Anlagen.

Wen betrifft das?

Es kommt auf Branche und Größe an. Das Gesetz kennt zwei Gruppen:

• Besonders wichtige Einrichtungen: große Unternehmen (ab 250 Beschäftigten oder mehr als 50 Mio. € Umsatz und mehr als 43 Mio. € Bilanzsumme) in den Sektoren der Anlage 1, etwa Energie, Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur. Dazu kommen einzelne Anbieter unabhängig von der Größe.
• Wichtige Einrichtungen: mittlere Unternehmen (ab 50 Beschäftigten oder mehr als 10 Mio. € Umsatz und Bilanzsumme) in den Sektoren der Anlage 1 und 2. Anlage 2 umfasst zum Beispiel Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, die Herstellung von Waren (Maschinen, Fahrzeuge, Elektronik) und digitale Dienste.

Auch wenn Sie selbst nicht erfasst sind, können Ihre Kunden Nachweise von Ihnen verlangen, weil sie ihre Lieferkette absichern müssen. Der Test fragt Größe und Sektor deshalb zuerst ab.

Was verlangt das Gesetz?

• Maßnahmen zum Risikomanagement (§ 30 BSIG): angemessene technische und organisatorische Vorkehrungen. Dazu gehören unter anderem eine Risikoanalyse, Umgang mit Sicherheitsvorfällen, Datensicherung und Notfallplanung, Sicherheit der Lieferkette, Schwachstellen- und Update-Management, Verschlüsselung, Zugriffskontrolle und Mehr-Faktor-Anmeldung.
• Meldepflichten (§ 32 BSIG): erhebliche Sicherheitsvorfälle sind dem BSI zu melden, als frühe Erstmeldung innerhalb von 24 Stunden, als Meldung innerhalb von 72 Stunden und als Abschlussbericht spätestens nach einem Monat.
• Registrierung beim BSI (§ 33 BSIG): betroffene Einrichtungen müssen sich registrieren, spätestens drei Monate nachdem sie unter das Gesetz fallen. Für Unternehmen, die schon bei Inkrafttreten erfasst waren, lief die Frist am 6. März 2026 ab.
• Pflichten der Geschäftsleitung (§ 38 BSIG): die Leitung muss die Risikomanagementmaßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Bei Pflichtverletzungen haftet sie der Einrichtung für einen schuldhaft verursachten Schaden, nach den Regeln des Gesellschaftsrechts.

Was droht bei Verstößen?

Bußgelder (§ 65 BSIG) können bei Verstößen gegen die Risikomanagement- und Meldepflichten bei besonders wichtigen Einrichtungen bis zu 10 Mio. € betragen, bei wichtigen Einrichtungen bis zu 7 Mio. €. Liegt der weltweite Gesamtumsatz über 500 Mio. €, gelten stattdessen bis zu 2 % beziehungsweise 1,4 % des Gesamtumsatzes. Verstöße gegen die Registrierungspflicht können bis zu 500.000 € kosten. Mehr dazu auf der Seite Pflichten und Fristen.

Was heißt das für Sie?

Sie müssen nicht gleich alles perfekt haben. Wichtig ist, dass Sie wissen, ob Sie betroffen sind, wo Sie stehen und was als Nächstes dran ist. Genau dafür ist der Kurztest: Die ersten drei Fragen klären die Betroffenheit, die zwölf Kernfragen zeigen den Stand bei den wichtigsten Maßnahmen.

Stand: Oktober 2026. Die Zusammenfassung ist eine verständliche Orientierung und keine Rechtsberatung. Maßgeblich ist der Gesetzestext. Für die verbindliche Einstufung Ihres Unternehmens wenden Sie sich an eine Rechtsberatung oder an uns.