NIS2 ist eine EU-Richtlinie zur Cybersicherheit, die in Deutschland durch das NIS-2-Umsetzungsgesetz in nationales Recht überführt wurde. Das Gesetz trat am 6. Dezember 2025 in Kraft und erweitert den Kreis der regulierten Unternehmen von etwa 4.500 auf rund 29.500. Betroffene Einrichtungen müssen sich beim BSI registrieren, erhebliche Sicherheitsvorfälle melden und Maßnahmen zum Risikomanagement umsetzen.
Rechtsstand
NIS2 steht für die zweite Richtlinie über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union. Sie ist nicht unmittelbar anwendbar, sondern wurde in nationales Recht überführt.
| Punkt | Stand | Quelle |
|---|---|---|
| Gesetz | NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, ändert das BSIG | Bundesgesetzblatt 2025 Nr. 301 |
| In Kraft seit | 6. Dezember 2025 | BSI |
| Betroffene Einrichtungen | rund 29.500 Unternehmen zuzüglich Bundesverwaltung | BSI |
| Kategorien | wichtige und besonders wichtige Einrichtungen | BSIG |
| Größeneinstufung | orientiert sich an der KMU-Definition der Empfehlung 2003/361/EG | BSI |
| Registrierung | nach § 33 Abs. 1 BSIG spätestens drei Monate, nachdem eine Einrichtung erstmals oder erneut als betroffen gilt | BSI |
| Registrierungsportal | seit dem 1. Juni 2026 freigeschaltet | BSI-Pressemitteilung vom 01.06.2026 |
| Meldung von Vorfällen | unverzüglich; das BSI stellt ausdrücklich Schnelligkeit vor Vollständigkeit, unvollständige Erstmeldungen sind zulässig | BSI |
Zu den in der Presse verbreiteten Schwellenwerten und Stundenfristen: In vielen Beiträgen kursieren feste Zahlen, etwa „ab 50 Mitarbeitende" oder eine Meldekette aus 24 Stunden, 72 Stunden und einem Monat. Auf den von uns geprüften Seiten des BSI sind diese Werte nicht in dieser Form belegt. Wir nennen sie deshalb hier nicht als Fakt. Maßgeblich ist der Gesetzestext und die Prüfung Ihres Einzelfalls.
Wer betroffen ist
Die Betroffenheit ergibt sich aus zwei Merkmalen, die zusammen betrachtet werden:
- Sektor. Das Gesetz benennt Sektoren, in denen Einrichtungen erfasst werden. Dazu zählen unter anderem Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur, öffentliche Verwaltung, aber auch Bereiche wie das verarbeitende Gewerbe in bestimmten Ausprägungen sowie Post- und Kurierdienste.
- Größe. Die Einstufung orientiert sich an der KMU-Definition der EU-Kommission. Kleinstunternehmen fallen in der Regel heraus, größere Einrichtungen werden je nach Sektor als wichtig oder besonders wichtig eingestuft.
Für ein produzierendes Unternehmen im Lahn-Dill-Kreis oder im Siegerland heißt das konkret: Die Frage ist nicht abstrakt zu beantworten, sondern anhand des eigenen Tätigkeitsprofils. Das BSI stellt dafür eine Betroffenheitsprüfung bereit.
Der unterschätzte Weg: die Lieferkette
Die praktisch häufigste Berührung mit NIS2 verläuft nicht über die eigene Einstufung, sondern über Kunden.
Betroffene Einrichtungen müssen die Sicherheit ihrer Lieferkette berücksichtigen. Sie geben Anforderungen deshalb an Zulieferer und Dienstleister weiter, in Form von Fragebögen, Vertragsklauseln oder Nachweispflichten. Ein Zulieferer, der selbst nicht reguliert ist, bekommt die Anforderungen dann trotzdem, nur eben als Geschäftsbedingung statt als Gesetz.
Für eine Region mit dieser Dichte an Industriezulieferern ist das der relevantere Weg. Wer die üblichen Fragen nicht beantworten kann, verliert im Zweifel nicht wegen einer Behörde, sondern wegen eines Kunden.
Welche Pflichten gelten
Die Anforderungen sind Managementanforderungen. Sie lassen sich nicht durch den Kauf eines Produkts erfüllen. Der Katalog umfasst im Kern:
- Konzepte für Risikoanalyse und Informationssicherheit
- Bewältigung von Sicherheitsvorfällen
- Aufrechterhaltung des Betriebs, einschließlich Backup-Management, Wiederherstellung und Krisenmanagement
- Sicherheit der Lieferkette
- Sicherheit bei Beschaffung, Entwicklung und Wartung von Systemen
- Bewertung der Wirksamkeit der eigenen Maßnahmen
- Schulung und grundlegende Cyberhygiene
- Konzepte für Kryptografie und Verschlüsselung
- Personalsicherheit, Zugriffskontrolle und Verwaltung von Anlagen
- Absicherung der Kommunikation, unter anderem durch Mehr-Faktor-Authentisierung
Dazu kommen die Registrierung beim BSI und die Meldung erheblicher Sicherheitsvorfälle. Bemerkenswert an der Meldepflicht ist die ausdrückliche Haltung des BSI, dass Geschwindigkeit vor Vollständigkeit geht: Eine Erstmeldung mit unvollständigen Informationen ist zulässig und erwünscht.
Was jetzt sinnvoll ist
Unabhängig davon, ob Sie am Ende als betroffen gelten, sind diese Schritte in jedem Fall nützlich, weil sie ohnehin zum Stand der Technik gehören:
- Betroffenheit prüfen und das Ergebnis dokumentieren. Auch das Ergebnis „nicht betroffen" ist ein Ergebnis, das aufgeschrieben gehört.
- Sicherung und Wiederanlauf prüfen. Nicht ob gesichert wird, sondern ob zurückgespielt werden kann und wie lange das dauert.
- Zugänge von außen absichern. Alle von außen erreichbaren Zugänge mit einem zweiten Faktor versehen.
- Meldeweg festlegen. Wer entscheidet im Ereignisfall, wer meldet, wer informiert Kunden?
- Lieferantenfragen vorbereiten. Die Antworten brauchen Sie ohnehin, spätestens beim nächsten Audit eines Kunden.
- Geschäftsleitung einbinden. Die Verantwortung liegt ausdrücklich dort und lässt sich nicht in die IT delegieren.
Häufige Fragen
Seit wann gilt das NIS2-Umsetzungsgesetz?
Das Gesetz zur Umsetzung der NIS-2-Richtlinie trat am 6. Dezember 2025 in Kraft. Es ändert unter anderem das BSI-Gesetz. Das Bundesamt für Sicherheit in der Informationstechnik beziffert die Zahl der neu erfassten Unternehmen auf rund 29.500, zuvor waren es im Rahmen der KRITIS-Regulierung etwa 4.500.
Wie erfahre ich, ob wir betroffen sind?
Die Betroffenheit ergibt sich aus zwei Merkmalen: dem Sektor, in dem ein Unternehmen tätig ist, und seiner Größe, wobei sich die Größeneinstufung an der KMU-Definition der EU-Empfehlung 2003/361/EG orientiert. Das BSI stellt dafür eine Betroffenheitsprüfung bereit. Eine belastbare Einstufung sollte rechtlich abgesichert werden; eine Selbsteinschätzung ersetzt sie nicht.
Was passiert, wenn wir nichts tun?
Die Registrierung ist eine gesetzliche Pflicht, keine Empfehlung. Verstöße gegen die Pflichten aus dem BSIG können mit Bußgeldern belegt werden, und die Geschäftsleitung trägt eine ausdrückliche Verantwortung für die Umsetzung der Risikomanagementmaßnahmen. Für die konkrete Bewertung Ihres Falls ist rechtlicher Rat erforderlich.
Wir sind nicht betroffen. Können wir das Thema ignorieren?
Nur teilweise. Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette berücksichtigen. Praktisch heißt das: Wer als Zulieferer oder Dienstleister für ein betroffenes Unternehmen arbeitet, bekommt dessen Anforderungen als Vertragsbedingung. In einer Region mit dieser Dichte an Industriezulieferern ist das der häufigere Weg, auf dem NIS2 ankommt.
Reicht es, eine Firewall und ein Virenschutzprogramm zu haben?
Nein. Die Anforderungen sind Managementanforderungen, keine Produktliste. Verlangt werden unter anderem ein Konzept für Risikoanalyse und Informationssicherheit, die Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs einschließlich Backup-Management und Wiederherstellung, Sicherheit der Lieferkette, Schulung sowie Konzepte für Verschlüsselung und Zugriffskontrolle. Technik ist dabei ein Teil, nicht das Ganze.
Was hat NIS2 mit der DSGVO zu tun?
Beide verlangen technische und organisatorische Maßnahmen, verfolgen aber unterschiedliche Zwecke: Die DSGVO schützt personenbezogene Daten, NIS2 die Verfügbarkeit und Integrität der Systeme selbst. In der Praxis überschneiden sich viele Maßnahmen, die Meldewege und Fristen sind aber verschieden. Wer beides gleichzeitig behandelt, spart Aufwand, darf die Unterschiede aber nicht verwischen.
Quellen: Bundesamt für Sicherheit in der Informationstechnik, Informationen und FAQ zu NIS-2 sowie Pressemitteilung vom 1. Juni 2026; Bundesgesetzblatt Teil I, 2025 Nr. 301. Abgerufen am 31.07.2026. Dieser Beitrag ist eine Orientierungshilfe und keine Rechtsberatung.
Wenn Sie die technische Seite angehen wollen, ist IT-Sicherheit der passende Einstieg. Für die laufende Umsetzung im Betrieb siehe Managed IT und Betreuung. Für öffentliche Stellen gelten zusätzlich eigene Anforderungen, siehe Bürgerportal und eGovernment. Oder fragen Sie direkt.