NIS2 umsetzen: Was Unternehmen jetzt tun müssen
Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz. Rund 29.500 Unternehmen müssen ihre IT-Sicherheit seitdem nachweisbar organisieren, Vorfälle melden und sich beim BSI registrieren. Eine Übergangsfrist gibt es nicht.
Was ist NIS2?
NIS2 ist eine EU-Richtlinie für mehr Cybersicherheit (Richtlinie (EU) 2022/2555). Deutschland hat sie mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz umgesetzt. Kern ist ein neu gefasstes BSI-Gesetz (BSIG). Es trifft nicht mehr nur KRITIS-Betreiber, sondern auch viele mittelständische Unternehmen.
Zuständige Aufsicht ist das Bundesamt für Sicherheit in der Informationstechnik (BSI). Für Banken und Versicherungen gilt vorrangig die EU-Verordnung DORA.
Wer ist von NIS2 betroffen?
Betroffen ist, wer in einem regulierten Sektor tätig ist und eine Größenschwelle erreicht. Gezählt wird nach der EU-Mittelstandsempfehlung, verbundene Unternehmen also mit, wenn die IT nicht unabhängig betrieben wird.
Besonders wichtige Einrichtung
Ab 250 Beschäftigten oder über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme, in einem Sektor aus Anlage 1 BSIG.
Wichtige Einrichtung
Ab 50 Beschäftigten oder über 10 Mio. € Umsatz und Bilanzsumme, in einem Sektor aus Anlage 1 oder 2 BSIG.
Ohne Größenschwelle
Betreiber kritischer Anlagen, qualifizierte Vertrauensdienste sowie DNS- und TLD-Anbieter fallen unabhängig von ihrer Größe darunter.
Anlage 1 (hohe Kritikalität): Energie, Transport und Verkehr, Finanz- und Versicherungswesen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, Weltraum.
Anlage 2 (sonstige kritische Sektoren): Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe (unter anderem Maschinenbau, Elektrotechnik, Medizinprodukte, Fahrzeugbau), digitale Dienste, Forschung.
Auch nicht direkt Betroffene merken NIS2. Regulierte Kunden müssen ihre Lieferkette absichern. Sie verlangen deshalb von Zulieferern und Dienstleistern Nachweise zu Backup, Zugriffsschutz und Notfallplanung.
Unsicher, ob Sie darunter fallen? In der NIS2-Beratung prüfen wir das mit Ihnen anhand von Sektor, Größe und Konzernstruktur.
Fristen: Wo NIS2 heute steht
Bis zur gesetzlichen Frist im März 2026 hatten sich nur rund 11.500 von etwa 29.500 betroffenen Unternehmen registriert. Wer noch nicht registriert ist, sollte das sofort nachholen.
6. Dezember 2025
Das NIS2-Umsetzungsgesetz tritt in Kraft. Die Pflichten gelten sofort.
6. Januar 2026
Das BSI-Portal für Registrierung und Meldungen ist online.
6. März 2026
Gesetzliche Frist für die Registrierung beim BSI.
31. Juli 2026
Ende der Nachfrist, die das BSI aus Kulanz gewährt hat.
Laufend
Wer neu unter NIS2 fällt, registriert sich innerhalb von drei Monaten.
Die vier Pflichten im Überblick
Für alle betroffenen Unternehmen gelten dieselben vier Pflichten. Sie unterscheiden sich vor allem in der Aufsicht und der Höhe möglicher Bußgelder.
Registrierung beim BSI
Über das BSI-Portal. Voraussetzung ist ein „Mein Unternehmenskonto“ mit ELSTER-Organisationszertifikat. Das Zertifikat braucht einige Tage Vorlauf, ändern sich Ihre Angaben, aktualisieren Sie die Registrierung.
Risikomanagement nach § 30 BSIG
Geeignete technische und organisatorische Maßnahmen in zehn Mindestbereichen, von Backup über Lieferkette bis Multi-Faktor-Authentifizierung.
Zu den zehn BereichenMeldepflichten nach § 32 BSIG
Erhebliche Sicherheitsvorfälle gehen in drei Stufen an das BSI: nach 24 Stunden, nach 72 Stunden und nach einem Monat.
Zu den MeldefristenVerantwortung der Geschäftsleitung
Nach § 38 BSIG billigt die Geschäftsleitung die Maßnahmen, überwacht ihre Umsetzung und nimmt regelmäßig an Schulungen teil. Das lässt sich nicht delegieren, bei schuldhafter Verletzung haftet sie gegenüber dem Unternehmen.
Risikomanagement: die zehn Bereiche nach § 30 BSIG
Das Gesetz verlangt geeignete, verhältnismäßige technische und organisatorische Maßnahmen. Diese zehn Bereiche gelten als Mindestumfang:
- Konzepte für Risikoanalyse und Sicherheit der IT-Systeme
- Bewältigung von Sicherheitsvorfällen
- Aufrechterhaltung des Betriebs: Backup, Wiederherstellung, Krisenmanagement
- Sicherheit der Lieferkette
- Sicherheit bei Beschaffung, Entwicklung und Wartung, inklusive Umgang mit Schwachstellen
- Bewertung, ob die Maßnahmen wirken
- Cyberhygiene und Schulungen
- Kryptografie und Verschlüsselung
- Personalsicherheit, Zugriffskontrolle und Verwaltung der IT-Werte
- Multi-Faktor-Authentifizierung, gesicherte Kommunikation und Notfallkommunikation
Ein ISO-27001-Zertifikat ist nicht vorgeschrieben. Es ist aber ein anerkannter Weg, die Anforderungen strukturiert zu erfüllen und gegenüber Kunden nachzuweisen.
Meldepflichten: drei Stufen an das BSI
Erhebliche Sicherheitsvorfälle melden Sie über das BSI-Portal. Die Uhr läuft ab dem Zeitpunkt, an dem Sie vom Vorfall erfahren.
Sind personenbezogene Daten betroffen, kommt die Meldung nach DSGVO an die Datenschutzbehörde hinzu. Ohne vorbereiteten Notfallablauf sind 24 Stunden kaum zu schaffen.
Frühe Erstmeldung
Innerhalb von 24 Stunden: was passiert ist und ob ein Angriff oder grenzüberschreitende Folgen vermutet werden.
Meldung mit Bewertung
Innerhalb von 72 Stunden: erste Bewertung, Schweregrad, Auswirkungen und eingeleitete Gegenmaßnahmen.
Abschlussmeldung
Spätestens einen Monat nach der Erstmeldung: Ursache, Folgen und dauerhafte Maßnahmen.
Was bei Verstößen droht
Die Prozentwerte greifen bei großen Unternehmen, wenn sie höher liegen als der Festbetrag. Das BSI kann außerdem Anordnungen erlassen und Nachweise verlangen.
Besonders wichtige Einrichtung
Bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes.
Wichtige Einrichtung
Bis 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes.
Fehlende Registrierung
Bis 500.000 €. Die Pflicht zur Registrierung entfällt mit dem Fristablauf nicht.
NIS2 umsetzen in sechs Schritten
Registrierung und Bestandsaufnahme sind in wenigen Wochen erledigt. Die Maßnahmen laufen je nach Ausgangsstand über mehrere Monate.
Betroffenheit klären
Sektor, Größe und Konzernstruktur prüfen, Einstufung schriftlich festhalten.
Registrieren
ELSTER-Zertifikat und Unternehmenskonto beantragen, im BSI-Portal registrieren.
Bestand aufnehmen
Systeme, Zugänge, Dienstleister und vorhandene Schutzmaßnahmen erfassen.
Lücken bewerten
Die zehn Bereiche aus § 30 BSIG mit dem Ist-Stand abgleichen und Risiken priorisieren.
Maßnahmen umsetzen
Zuerst die großen Hebel: MFA, Backup mit Wiederherstellungstest, Endpoint-Schutz, Notfall- und Meldeablauf.
Betreiben und nachweisen
Maßnahmen dokumentieren, Wirksamkeit regelmäßig prüfen, Geschäftsleitung schulen.
Welche IT-Maßnahmen NIS2 konkret abdeckt
Viele Anforderungen aus § 30 BSIG sind klassische IT-Sicherheit. Technik allein reicht aber nicht: NIS2 verlangt auch Zuständigkeiten, Dokumentation und Nachweise.
Vorfälle erkennen und bewältigen
Überwachung rund um die Uhr, damit Angriffe früh erkannt und die Meldefristen eingehalten werden.
Zu Managed Detection and ResponseSchwachstellen und Cyberhygiene
Schutz für Notebooks, PCs und Server, dazu Patch- und Update-Management.
Zu Endpoint SecurityNetzwerk absichern
Firewall mit gepflegten Regeln und Updates als Grundschutz für Netz und Standorte.
Zur Sophos FirewallBetrieb aufrechterhalten
Backup mit Veeam, überwachte Sicherungen und regelmäßig getestete Wiederherstellung.
Zu Managed BackupSichere Zugänge
Multi-Faktor-Authentifizierung und Zugriff nur für geprüfte Nutzer und Geräte.
Zu Sophos ZTNAHäufige Fragen zu NIS2
Diese Seite gibt einen Überblick und ersetzt keine Rechtsberatung. Stand: Oktober 2026.
Gilt NIS2 auch für kleine Unternehmen?
In der Regel erst ab 50 Beschäftigten oder 10 Mio. € Umsatz und Bilanzsumme in einem regulierten Sektor. Kleinere Firmen sind meist indirekt betroffen, weil regulierte Kunden Nachweise verlangen.
Wir haben die Registrierungsfrist verpasst. Was jetzt?
Sofort registrieren. Die Pflicht entfällt mit dem Fristablauf nicht, eine fehlende Registrierung kann mit bis zu 500.000 € geahndet werden.
Brauchen wir eine ISO-27001-Zertifizierung?
Nein, das Gesetz schreibt sie nicht vor. Sie hilft aber, die Anforderungen geordnet umzusetzen und gegenüber Kunden nachzuweisen.
Sind IT-Dienstleister selbst betroffen?
Ja, die Verwaltung von IKT-Diensten steht in Anlage 1. Managed-Service-Anbieter ab der Größenschwelle fallen direkt unter NIS2.
Kann die Geschäftsführung NIS2 an die IT abgeben?
Die Umsetzung ja, die Verantwortung nein. Billigung, Überwachung und Schulung bleiben Pflicht der Geschäftsleitung.
Wie unterstützt LTmemory bei NIS2?
Von der Betroffenheitsprüfung über die Gap-Analyse bis zur Umsetzung und dem laufenden Betrieb. Alles dazu in der NIS2-Beratung.
NIS2 mit Ihnen besprechen
Wir klären, ob NIS2 für Sie gilt, wo Ihre IT heute steht und welche Maßnahmen zuerst kommen. Unverbindlich und persönlich, vor Ort oder per Remote-Termin.