NIS-2 einfach erklärt: Wer ist betroffen, welche Pflichten, welche Fristen
NIS-2 einfach erklärt: Sektoren, Größenschwellen, Pflichten, Fristen und die Haftung der Geschäftsleitung — plus kostenloser Betroffenheits-Check in 2 Minuten.
NIS-2 ist die EU-Richtlinie zur Cybersicherheit, die in Deutschland seit Dezember 2025 geltendes Recht ist. Das BSI beaufsichtigt seither rund 29.500 Einrichtungen — vor NIS-2 waren es etwa 4.500. Wer NIS-2 nicht kennt, unterschätzt meist zwei Dinge: wie viele Branchen erfasst sind (18 Sektoren, weit über die klassischen KRITIS-Betreiber hinaus) und wie unmittelbar die Geschäftsleitung in der Pflicht steht. Dieser Beitrag ordnet NIS-2 kompakt ein — Sektoren, Schwellenwerte, Pflichten, Fristen und der Umsetzungsstand in Deutschland.
Ziel der Richtlinie
NIS-2 ist die Richtlinie (EU) 2022/2555 vom 14. Dezember 2022 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union. Sie löst die erste NIS-Richtlinie von 2016 ab, die sich in der Praxis als zu eng gefasst und zu uneinheitlich umgesetzt erwiesen hatte.
Der Grundgedanke: Cyberangriffe auf ein Unternehmen wirken selten isoliert — sie treffen Lieferketten, Kundinnen und Kunden, teils die Versorgung. NIS-2 erweitert deshalb den Kreis regulierter Organisationen erheblich, vereinheitlicht die Mindestanforderungen an das Risikomanagement EU-weit und verankert eine ausdrückliche Verantwortung der Unternehmensleitung.
Anders als der Cyber Resilience Act, der als Verordnung unmittelbar gilt, ist NIS-2 eine Richtlinie — sie musste erst in nationales Recht überführt werden. In Deutschland geschah das über das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), das vor allem das BSI-Gesetz (BSIG) neu gefasst hat. Für die Praxis gilt deshalb: Maßgeblich ist das BSIG, die Richtlinie ist die Auslegungsgrundlage. Aufbau und die für Unternehmen wichtigen Paragraphen erklärt unser Beitrag Das BSI-Gesetz (BSIG) erklärt.
Ein Begriff zur Vorsicht: Die Richtlinie spricht von wesentlichen und wichtigen Einrichtungen. Das deutsche BSIG nennt die obere Kategorie „besonders wichtige Einrichtungen” (§ 28 Abs. 1 BSIG). Gemeint ist dasselbe — in Behördenschreiben und Formularen begegnet Ihnen die deutsche Bezeichnung.
Sektoren: Wer ist grundsätzlich betroffen?
Ob Sie erfasst sind, ergibt sich aus der Kombination von Sektor und Größe. Die Sektoren stehen in den Anlagen 1 und 2 des BSIG (entsprechend Anhang I und II der Richtlinie):
| Anlage | Sektoren |
|---|---|
| Anlage 1 — Sektoren mit hoher Kritikalität | Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten (B2B), öffentliche Verwaltung, Weltraum |
| Anlage 2 — Sonstige kritische Sektoren | Post- und Kurierdienste, Abfallbewirtschaftung, Produktion und Handel mit Chemikalien, Produktion und Vertrieb von Lebensmitteln, verarbeitendes Gewerbe (u. a. Medizinprodukte, Datenverarbeitungsgeräte, elektronische und optische Erzeugnisse, elektrische Ausrüstungen, Maschinenbau, Fahrzeugbau), Anbieter digitaler Dienste, Forschung |
Zusätzlich gelten bestimmte Einrichtungen unabhängig von ihrer Größe als besonders wichtige Einrichtung (§ 28 Abs. 1 Nr. 1 und 2 BSIG): Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Name-Registries und DNS-Diensteanbieter. Welche Anlagen als kritisch gelten, bestimmt die BSI-Kritisverordnung mit Anlagenkategorien und Schwellenwerten. Für Anbieter von Telekommunikationsdiensten und -netzen gelten eigene, abweichende Schwellen (§ 28 Abs. 1 Nr. 3, Abs. 2 Nr. 2 BSIG).
Ein Detail, das in der Praxis oft entscheidet: Nach § 28 Abs. 3 BSIG dürfen Geschäftstätigkeiten unberücksichtigt bleiben, die im Verhältnis zur gesamten Geschäftstätigkeit vernachlässigbar sind. Eine kleine Nebentätigkeit in einem erfassten Sektor zieht ein Unternehmen also nicht automatisch in den Anwendungsbereich — die Einordnung will begründet und dokumentiert werden.
Eine sektorbezogene Einordnung finden Sie in unserer Sektorenübersicht.
Größenschwellen: Ab wann zählt mein Unternehmen?
| Einrichtungstyp | Schwellenwerte | Voraussetzung |
|---|---|---|
| Besonders wichtige Einrichtung (in der Richtlinie: wesentliche Einrichtung) | ab 250 Mitarbeitenden oder über 50 Mio. € Jahresumsatz und über 43 Mio. € Jahresbilanzsumme | Einrichtungsart nach Anlage 1 |
| Wichtige Einrichtung | ab 50 Mitarbeitenden oder jeweils über 10 Mio. € Jahresumsatz und Jahresbilanzsumme | Einrichtungsart nach Anlage 1 oder 2 |
| Besonders wichtig unabhängig von der Größe | keine Mindestgröße | Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, TLD-Registries, DNS-Diensteanbieter |
| Nicht betroffen | unter 50 Mitarbeitende und unter 10 Mio. € | sofern kein Sonderfall greift |
Achten Sie auf die Verknüpfung: Bei den Finanzkriterien müssen Umsatz und Bilanzsumme zusammen überschritten werden; die Mitarbeiterzahl genügt dagegen für sich allein. Für die Berechnung gilt die KMU-Empfehlung 2003/361/EG — mit einer wichtigen deutschen Besonderheit: Daten von Partner- oder verbundenen Unternehmen werden nicht hinzugerechnet, wenn das Unternehmen mit Blick auf Beschaffenheit und Betrieb seiner IT-Systeme tatsächlich unabhängig ist (§ 28 Abs. 4 BSIG). Konzerntöchter mit eigener IT können dadurch aus dem Anwendungsbereich fallen — oder eben nicht. Das ist eine Prüfung, keine Faustregel.
Laut BSI sind in Deutschland rund 29.500 Einrichtungen erfasst. Über Lieferketten- und Kundenbeziehungen erreichen die Anforderungen faktisch ein Vielfaches davon: Wer an eine betroffene Einrichtung liefert, wird deren Lieferkettenanforderungen vertraglich zu spüren bekommen, auch ohne selbst unter NIS-2 zu fallen.
Die zehn Mindestmaßnahmen (Art. 21 NIS-2 / § 30 BSIG)
Kernstück ist der risikobasierte Maßnahmenkatalog: „geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen”, die nach § 30 Abs. 2 BSIG mindestens umfassen müssen:
- Konzepte für Risikoanalyse und Sicherheit in der Informationstechnik
- Bewältigung von Sicherheitsvorfällen
- Aufrechterhaltung des Betriebs — Backup-Management, Wiederherstellung, Krisenmanagement
- Sicherheit der Lieferkette, einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern
- Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung — einschließlich Management und Offenlegung von Schwachstellen
- Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen
- Grundlegende Schulungen und Sensibilisierungsmaßnahmen
- Konzepte und Prozesse für kryptographische Verfahren
- Sicherheit des Personals, Zugriffskontrolle und Verwaltung von IKT-Systemen, -Produkten und -Prozessen
- Multi-Faktor- oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikation
Der Katalog ist technologieoffen: Es sind keine Produkte vorgeschrieben, verlangt wird ein dokumentierter, risikobasierter Prozess. Und die Dokumentation ist keine Nebensache — § 30 Abs. 1 Satz 3 BSIG macht sie zur eigenständigen Pflicht, deren Verletzung eigens bußgeldbewehrt ist. Was Sie nicht belegen können, gilt gegenüber der Aufsicht als nicht getan.
Wie sich der Katalog in ein Arbeitsprogramm übersetzt — je Punkt mit Prüffrage und typischem Nachweis —, zeigt unsere Checkliste zu den NIS-2-Anforderungen.
Meldepflichten
Bei erheblichen Sicherheitsvorfällen gilt nach § 32 BSIG ein gestaffelter Meldeprozess an die gemeinsame Meldestelle von BSI und BBK:
| Frist | Meldung | Inhalt |
|---|---|---|
| 24 Stunden | Frühe Erstmeldung | Angabe, ob der Verdacht auf rechtswidrige oder böswillige Handlungen besteht und ob grenzüberschreitende Auswirkungen möglich sind |
| 72 Stunden | Vorfallmeldung | Bestätigung oder Aktualisierung der Erstmeldung, erste Bewertung von Schweregrad und Auswirkungen, gegebenenfalls Kompromittierungsindikatoren |
| auf Ersuchen | Zwischenmeldung | relevante Statusaktualisierungen, wenn das BSI sie anfordert |
| 1 Monat | Abschlussmeldung | ausführliche Beschreibung, Ursache, getroffene und laufende Abhilfemaßnahmen, grenzüberschreitende Auswirkungen |
Zwei Feinheiten, die im Ernstfall zählen: Die Uhr läuft ab Kenntniserlangung — nicht ab Geschäftsöffnungszeit, sondern rund um die Uhr, auch an Wochenenden und Feiertagen. Und dauert der Vorfall nach einem Monat noch an, tritt zunächst eine Fortschrittsmeldung an die Stelle der Abschlussmeldung; die Abschlussmeldung folgt nach Bearbeitung (§ 32 Abs. 2 BSIG).
Details zum Ablauf: Meldepflichten in 24 und 72 Stunden.
Registrierung beim BSI
Betroffene Einrichtungen müssen sich selbst registrieren — spätestens drei Monate, nachdem sie erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gelten (§ 33 Abs. 1 BSIG). Zu übermitteln sind unter anderem Name und Rechtsform, Anschrift und Kontaktdaten inklusive öffentlicher IP-Adressbereiche, der relevante Sektor nach Anlage 1 oder 2, die EU-Mitgliedstaaten, in denen Dienste erbracht werden, und die zuständigen Aufsichtsbehörden. Ändern sich diese Angaben, sind sie binnen zwei Wochen nachzuziehen (§ 33 Abs. 5 BSIG).
Das BSI stellt dafür seit Januar 2026 ein webbasiertes Registrierungs- und Meldeportal bereit; der Zugang läuft über ELSTER-Zertifikat oder BundID. Eine automatische Benachrichtigung betroffener Unternehmen gibt es nicht — die Feststellung der eigenen Betroffenheit ist Ihre Aufgabe.
Schritt für Schritt: BSI-Registrierung.
Geschäftsleitung: die persönliche Dimension
§ 38 BSIG adressiert die Leitungsorgane direkt — Geschäftsführung bei der GmbH, Vorstand bei der AG, persönlich haftende Gesellschafter bei der KG:
- Umsetzen und überwachen (Abs. 1): Die Geschäftsleitung ist verpflichtet, die Risikomanagementmaßnahmen nach § 30 umzusetzen und ihre Umsetzung zu überwachen. Die Richtlinie spricht in Art. 20 von „billigen” — das BSIG geht darüber hinaus: Ein einmaliges Abzeichnen genügt nicht.
- Haftung (Abs. 2): Verletzt die Geschäftsleitung diese Pflichten, haftet sie ihrer eigenen Einrichtung für schuldhaft verursachte Schäden — und zwar nach den für die Rechtsform geltenden gesellschaftsrechtlichen Regeln (etwa § 43 GmbHG, § 93 AktG). Das BSIG selbst greift nur, wenn das Gesellschaftsrecht keine Haftungsregel bereithält. Es handelt sich also um Innenhaftung, nicht um eine Haftung gegenüber Dritten.
- Schulung (Abs. 3): Die Geschäftsleitung muss regelmäßig selbst an Schulungen teilnehmen, um Risiken und Risikomanagementpraktiken erkennen und bewerten zu können. Diese Pflicht trifft die Leitung persönlich und lässt sich nicht an die IT-Leitung delegieren.
Fachliche Arbeit lässt sich delegieren, die Aufsichtspflicht nicht. Mehr dazu: Haftung der Geschäftsleitung, der Kompakt-Überblick für Geschäftsführer und, zur Schulungspflicht aus Abs. 3, unser Beitrag zur NIS-2-Schulungspflicht.
Bußgeldrahmen
§ 65 BSIG staffelt die Bußgelder nach Einrichtungstyp und Verstoß:
| Fall | Rahmen |
|---|---|
| Verstöße gegen Risikomanagement-, Melde- und Dokumentationspflichten bei besonders wichtigen Einrichtungen | bis 10 Mio. € |
| dieselben Verstöße bei wichtigen Einrichtungen | bis 7 Mio. € |
| Alternative bei Gesamtumsatz über 500 Mio. € | bis 2 % (besonders wichtig) bzw. 1,4 % (wichtig) des Gesamtumsatzes |
| Versäumte oder unrichtige Registrierung | bis 500.000 € |
Ein Detail mit Entlastungswirkung: Hat eine Datenschutzaufsichtsbehörde für dasselbe Verhalten schon ein DSGVO-Bußgeld verhängt, darf für den daraus folgenden BSIG-Verstoß kein weiteres Bußgeld verhängt werden (§ 65 Abs. 11 BSIG).
Stand der deutschen Umsetzung
Die Umsetzung erfolgte mit deutlicher Verzögerung gegenüber der EU-Frist (17.10.2024):
| Datum | Ereignis |
|---|---|
| 13.11.2025 | Der Bundestag beschließt das NIS2UmsuCG; das BSI beziffert die künftig beaufsichtigten Einrichtungen auf rund 29.500 (vorher etwa 4.500) |
| 21.11.2025 | Der Bundesrat billigt das Gesetz |
| 05.12.2025 | Verkündung im Bundesgesetzblatt |
| 06.12.2025 | Inkrafttreten — ohne allgemeine Übergangsfrist |
| Januar 2026 | Das BSI schaltet das Registrierungs- und Meldeportal frei |
| 06.03.2026 | Ende der gesetzlichen Registrierungsfrist für die zum Inkrafttreten betroffenen Einrichtungen (drei Monate, § 33 Abs. 1 BSIG) |
| 31.07.2026 | Ende der Vollzugskulanz des BSI — kein gesetzlicher Termin, sondern eine befristete Zurückhaltung bei der Durchsetzung |
Für die Praxis heißt das: Die gesetzliche Pflicht besteht seit Dezember 2025, und die Kulanzphase bei der Durchsetzung ist seit Ende Juli 2026 vorbei. Wer sich bis heute nicht registriert hat, ist nicht „noch früh dran”, sondern im Verzug — mit einem Verstoß, der eigenständig bußgeldbewehrt ist.
Was jetzt zu tun ist
- Betroffenheit klären — Sektor, Mitarbeiterzahl, Umsatz und Bilanzsumme gegen § 28 BSIG spiegeln. Am schnellsten mit unserem kostenlosen NIS-2-Check. Das Ergebnis schriftlich festhalten: Auch ein begründetes „nicht betroffen” ist ein Prüfergebnis, das Sie vorlegen können sollten.
- Registrieren, sofern betroffen und noch nicht erfolgt — und dabei die Zwei-Wochen-Frist für Änderungsmeldungen einplanen.
- Ist-Zustand gegen § 30 spiegeln: Welche der zehn Maßnahmenfelder sind dokumentiert, welche nur gelebt, welche offen?
- Meldeprozess aufsetzen, der 24 Stunden, 72 Stunden und einen Monat auch nachts und am Wochenende tragen kann — mit benannten Rollen und geübtem Ablauf.
- Geschäftsleitung einbinden: Umsetzung und Überwachung dokumentieren, Pflichtschulung terminieren.
- Lieferkette prüfen: Sicherheitsanforderungen an direkte Zulieferer und Dienstleister vertraglich verankern — siehe NIS-2 in der Lieferkette.
- Regelmäßig nachprüfen: Betroffenheit ist kein Status, sondern eine Momentaufnahme. Wachstum, neue Geschäftsfelder oder Zukäufe können die Einstufung ändern.
Auch relevant: der Cyber Resilience Act
NIS-2 reguliert Ihre Organisation als Betreiber. Stellen Sie zusätzlich vernetzte Hardware oder Software her, importieren oder vertreiben Sie sie, greift ein zweites Regelwerk: der Cyber Resilience Act (Verordnung (EU) 2024/2847), der am Produkt ansetzt. Die erste operative Frist dort ist der 11. September 2026 — die 24-Stunden-Meldepflicht für aktiv ausgenutzte Schwachstellen.
Beide Regelwerke greifen bei vielen Mittelständlern gleichzeitig, und sie greifen ineinander: Was der CRA Ihren Zulieferern vorschreibt, wird für Sie zum Prüfkriterium im Lieferkettenrisikomanagement. Der Einstieg dazu: Cyber Resilience Act — bin ich betroffen? Und für Hersteller die konkrete Fristenkette: CRA-Meldepflicht für Hersteller.
Klarheit in zwei Minuten
Die Einordnung hängt an mehreren Kriterien gleichzeitig — Sektor, Größe, Sonderfälle. Statt Anlage 1 und 2 manuell durchzugehen, beantwortet unser NIS-2-Betroffenheits-Check die Frage in vier kurzen Angaben: Sektor, Mitarbeiterzahl, Umsatz und Art der Tätigkeit. Der Check läuft vollständig in Ihrem Browser, braucht keine Anmeldung und liefert sofort ein Ergebnis — besonders wichtige Einrichtung, wichtige Einrichtung oder nicht betroffen.
Häufige Fragen
Was ist der Unterschied zwischen NIS-1 und NIS-2? NIS-2 löst die erste NIS-Richtlinie von 2016 ab, erweitert den Kreis der erfassten Sektoren erheblich, verschärft die Mindestanforderungen an das Risikomanagement und verpflichtet erstmals ausdrücklich die Unternehmensleitung. In Deutschland stieg die Zahl der beaufsichtigten Einrichtungen laut BSI von rund 4.500 auf rund 29.500.
Bin ich als kleines Unternehmen automatisch nicht betroffen? Nicht zwangsläufig. In der Regel greift die Schwelle ab 50 Mitarbeitenden oder ab jeweils über 10 Mio. Euro Jahresumsatz und Jahresbilanzsumme. Bestimmte Einrichtungen gelten aber unabhängig von ihrer Größe als besonders wichtig — etwa Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries und DNS-Diensteanbieter (§ 28 Abs. 1 BSIG).
Muss ich mich selbst registrieren, oder macht das jemand für mich? Sie müssen sich selbst registrieren. Eine automatische Benachrichtigung oder Registrierung durch das BSI gibt es nicht. Das BSI kann eine Einrichtung zwar von Amts wegen eintragen, wenn sie ihre Pflicht nicht erfüllt (§ 33 Abs. 3 BSIG) — darauf zu warten ist aber kein Weg, die Pflicht zu erfüllen.
Was passiert, wenn ich NIS-2-Pflichten ignoriere? Neben aufsichtsrechtlichen Maßnahmen drohen Bußgelder: bis zu 10 Mio. Euro bei besonders wichtigen und bis zu 7 Mio. Euro bei wichtigen Einrichtungen, bei einem Gesamtumsatz über 500 Mio. Euro alternativ bis zu 2 Prozent bzw. 1,4 Prozent des Gesamtumsatzes (§ 65 BSIG). Eine versäumte Registrierung ist mit bis zu 500.000 Euro bewehrt. Zusätzlich haftet die Geschäftsleitung nach § 38 Abs. 2 BSIG der eigenen Einrichtung für schuldhaft verursachte Schäden.
Reicht eine ISO-27001-Zertifizierung, um NIS-2 zu erfüllen? ISO 27001 deckt viele der zehn Mindestmaßnahmen ab und ist eine sinnvolle Grundlage, ersetzt aber nicht die NIS-2-spezifischen Pflichten — Registrierung, gesetzliche Meldefristen, Dokumentation und die Schulungspflicht der Geschäftsleitung. Eine 1:1-Übertragung sollte im Einzelfall geprüft werden. Mehr dazu: NIS-2 und ISO 27001.
Quellen
- Richtlinie (EU) 2022/2555 (NIS-2), Volltext: eur-lex.europa.eu/eli/dir/2022/2555
- BSI-Gesetz (BSIG) in der Fassung des NIS2UmsuCG, insbesondere §§ 28, 30, 32, 33, 38, 65: gesetze-im-internet.de/bsig_2025
- BSI, Pressemitteilung vom 13.11.2025 zur Verabschiedung des NIS-2-Umsetzungsgesetzes (Quelle der Zahl „rund 29.500 Einrichtungen”): bsi.bund.de
- BSI, Informationen für NIS-2-regulierte Unternehmen: bsi.bund.de/NIS-2-regulierte-Unternehmen
Dieser Beitrag bietet eine erste Orientierung zum Rechtsstand 3. September 2026 und ersetzt keine Rechtsberatung. Die verbindliche Feststellung der Betroffenheit nehmen wir auf Wunsch im Anschluss vor.