NIS2-Umsetzungsgesetz: Was Firmen jetzt tun müssen
Das NIS2-Umsetzungsgesetz ist in Kraft, die BSI-Registrierungsfrist läuft. Pflichten, Fristen, Bußgelder und ein 5-Schritte-Plan für den Mittelstand.
- Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist seit dem 6. Dezember 2025 in Kraft; das BSI-Registrierungsportal ist seit Januar 2026 freigeschaltet.
- Die Registrierungsfrist beim BSI wurde verlängert – betroffene Unternehmen sollten sich umgehend registrieren, da die Registrierungspflicht bereits gilt.
- Bei Verstößen drohen Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes nach § 65 BSIG.
- Die Geschäftsleitung haftet persönlich: § 38 BSIG verpflichtet sie, Risikomanagement zu billigen, zu überwachen und selbst an Schulungen teilzunehmen – nicht delegierbar.
- Zu den Kernpflichten gehören Risikomanagement, eine gestufte Meldepflicht (Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden) und die Absicherung der Lieferkette.
Lange war NIS2 eine Ankündigung. Seit dem 6. Dezember 2025 ist es geltendes Recht: Das NIS2-Umsetzungsgesetz hat die europäische Richtlinie in deutsches Recht überführt, das BSI-Registrierungsportal ist offen, und die ersten Fristen laufen. Die Frage lautet damit nicht mehr „kommt da was?”, sondern „was muss ich jetzt konkret tun?”. Dieser Beitrag beantwortet genau das – Pflichten, Fristen, Bußgelder und ein pragmatischer Fahrplan für den Mittelstand. Ob Sie überhaupt betroffen sind, klären wir vorab kurz und verweisen für die Detailprüfung auf den passenden Check.
Worum es bei NIS2 geht
NIS2 ist der Nachfolger der ersten europäischen Richtlinie zur Netz- und Informationssicherheit und verfolgt ein klares Ziel: ein EU-weit einheitliches, hohes Niveau der Cybersicherheit – vor allem für Betreiber kritischer Infrastrukturen und wirtschaftlich bedeutende Unternehmen. Statt Informationssicherheit dem Zufall zu überlassen, verpflichtet das Gesetz die betroffenen Einrichtungen zu einem systematischen Informationssicherheitsmanagement mit nachweisbaren Maßnahmen, klaren Meldewegen und der Einhaltung überprüfbarer Vorgaben.
Neu ist dabei weniger die einzelne Maßnahme als die Verbindlichkeit: Was vorher gute Praxis war, wird zur Pflicht – flankiert von echten Sanktionen und der persönlichen Verantwortung der Leitung. Einige besonders weitreichende Pflichten, etwa rund um kritische Komponenten, greifen erst gestuft in den Jahren nach Inkrafttreten. Der Kern gilt jedoch sofort.
Der Stand: in Kraft, Portal offen, Frist läuft
Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) gilt seit dem 6. Dezember 2025. Das Registrierungsportal des Bundesamts für Sicherheit in der Informationstechnik (BSI) ist seit Januar 2026 freigeschaltet. Betroffene Unternehmen müssen sich dort selbst registrieren – eine Behörde kommt nicht auf Sie zu.
Weil sich bislang deutlich weniger Unternehmen registriert haben als erwartet, hat das BSI die Registrierungsfrist verlängert. Das ist aber keine Entwarnung: Die Registrierungspflicht gilt bereits, und wer sie versäumt, riskiert ein Bußgeld. Die verlängerte Frist ist eine letzte Kulanz, kein Aufschub der Pflicht.
Der rechtliche Hintergrund in Kürze
Der sperrige offizielle Name lautet „Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung” – kurz NIS2UmsuCG. Es überführt die europäische NIS-2-Richtlinie (Richtlinie (EU) 2022/2555), die bereits bis Oktober 2024 hätte umgesetzt sein müssen, mit Verspätung in deutsches Recht. Der Bundestag verabschiedete das Gesetz im November 2025, im Dezember 2025 wurde es im Bundesgesetzblatt verkündet und trat zum 6. Dezember 2025 in Kraft.
Rechtlich ist es vor allem eine umfassende Modernisierung des Cybersicherheitsrechts: Es ändert in erster Linie das BSI-Gesetz (BSIG) und erweitert dessen Anforderungen an das Informationssicherheitsmanagement deutlich – sowohl für Unternehmen als auch für die öffentliche Verwaltung. Für den Finanzsektor gilt mit der DORA-Verordnung eine vorrangige Spezialregelung.
Bin ich überhaupt betroffen?
NIS2 unterscheidet zwei Kategorien betroffener Unternehmen, jeweils anhand von Sektor, Mitarbeiterzahl und Umsatz:
- Besonders wichtige Einrichtungen: ab 250 Beschäftigten oder mehr als 50 Millionen Euro Jahresumsatz und mehr als 43 Millionen Euro Bilanzsumme – in den Kernsektoren wie Energie, Verkehr, Gesundheit, Trinkwasser, digitale Infrastruktur oder Finanzwesen.
- Wichtige Einrichtungen: ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz – in einem breiteren Kreis von Sektoren, darunter das verarbeitende Gewerbe (etwa Maschinen-, Fahrzeug- und Medizinproduktebau), Chemie, Lebensmittel, Post- und Kurierdienste, Abfallwirtschaft und digitale Dienste.
Unabhängig von der Größe gelten die Pflichten für Betreiber kritischer Anlagen (KRITIS). Der Unterschied zwischen den beiden Kategorien betrifft nicht nur die Schwelle, sondern auch Aufsicht und Bußgeldrahmen:
| Merkmal | Besonders wichtige Einrichtungen | Wichtige Einrichtungen |
|---|---|---|
| Schwelle | ab 250 Beschäftigte oder > 50 Mio. € Umsatz | ab 50 Beschäftigte oder > 10 Mio. € Umsatz |
| Aufsicht durch das BSI | proaktiv (auch ohne Anlass) | reaktiv (bei Hinweisen/Vorfällen) |
| Bußgeldrahmen | bis 10 Mio. € oder 2 % Weltumsatz | bis 7 Mio. € oder 1,4 % Weltumsatz |
Die genaue Zuordnung hat Tücken – etwa über die Lieferkette, Tochtergesellschaften oder die Einordnung einzelner Sektoren. Weil die Betroffenheitsprüfung ein Thema für sich ist, haben wir sie in einem eigenen Ratgeber, dem NIS2-Check für den Mittelstand, ausführlich behandelt. Eine schnelle Ersteinschätzung liefert der kostenlose NIS2-Check in wenigen Fragen.
Selbst wenn Sie formal nicht direkt betroffen sind, lohnt Weiterlesen: Viele nicht regulierte Unternehmen in Deutschland werden über die Lieferkette faktisch mitverpflichtet, weil ihre NIS2-pflichtigen Kunden Nachweise über ihre Informationssicherheit verlangen.
Die Kernpflichten im Überblick
Wer betroffen ist, muss vier Dinge liefern. Sie hängen zusammen, lassen sich aber getrennt angehen.
1. Registrierung beim BSI
Die formale Anmeldung im BSI-Portal mit Angaben zum Unternehmen und einer Kontaktstelle. Der einfachste Schritt – und trotzdem der, an dem es aktuell am häufigsten hakt.
2. Risikomanagement nach § 30 BSIG
Das inhaltliche Herzstück: technische und organisatorische Maßnahmen auf dem Stand der Technik. § 30 BSIG listet dafür einen konkreten Katalog auf, den betroffene Einrichtungen umsetzen müssen – unter anderem Risikoanalyse und Sicherheitskonzepte, Vorfallsbehandlung, Business Continuity und Backup, Sicherheit der Lieferkette, Zugriffskontrolle und Multi-Faktor-Authentifizierung, Verschlüsselung, Patch-Management sowie Awareness-Schulungen. Der Maßstab ist die Verhältnismäßigkeit: Eine kleine wichtige Einrichtung muss weniger stemmen als ein großer KRITIS-Betreiber. Vieles davon deckt eine solide IT-Sicherheitsgrundlage bereits ab – unsere IT-Sicherheits-Checkliste für den Mittelstand zeigt, wo die typischen Lücken sitzen.
3. Meldepflichten mit Uhr
NIS2 schreibt eine gestufte Meldung erheblicher Sicherheitsvorfälle an das BSI vor: eine Frühwarnung binnen 24 Stunden, eine ausführlichere Meldung binnen 72 Stunden mit einer ersten Bewertung des Vorfalls und einen Abschlussbericht nach spätestens einem Monat. Das setzt voraus, dass die Einrichtung einen Vorfall überhaupt bemerkt und weiß, wer wann was meldet – Vorfallserkennung und ein klarer Meldeweg gehören also vorab geklärt, nicht erst im Ernstfall improvisiert.
4. Absicherung der Lieferkette
Sie sind auch für die Sicherheit Ihrer Dienstleister und Software-Lieferanten mitverantwortlich. Das bedeutet in der Praxis: Anforderungen in Verträge schreiben und die wichtigsten Zulieferer prüfen. Für Betreiber kritischer Anlagen kommt hinzu, dass der Einsatz bestimmter kritischer Komponenten anzeigepflichtig sein kann.
Über allem steht die Nachweispflicht: Jede Maßnahme muss dokumentiert und gegenüber dem BSI belegbar sein. Ein gutes Risikomanagement, das nicht dokumentiert ist, zählt im Zweifel wie keines – bei NIS2 ist der Nachweis Teil der Pflicht, nicht die Kür.
Bußgelder und persönliche Haftung
Der Punkt, der Geschäftsführungen wachrüttelt: NIS2 macht die Leitungsebene persönlich verantwortlich. Nach § 65 BSIG sind Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes möglich – die Übersicht bei openKRITIS ordnet die Bußgeldstufen ein.
Entscheidend ist § 38 BSIG: Die Geschäftsleitung muss die Risikomanagement-Maßnahmen billigen, ihre Umsetzung überwachen und selbst an Schulungen teilnehmen. Diese Pflicht ist ausdrücklich nicht vollständig delegierbar. Wer sie ignoriert, haftet persönlich – bis hin zum Privatvermögen. Das Thema Geschäftsführer-Haftung bei IT-Sicherheit ist so zentral geworden, dass wir es an anderer Stelle vertiefen.
Fünf Schritte, mit denen Sie jetzt starten
- Betroffenheit klären. Prüfen Sie mit dem NIS2-Check, ob und als welche Kategorie Sie erfasst sind. Ohne diese Einordnung ist jeder weitere Schritt Raten.
- Registrieren. Melden Sie sich im BSI-Portal an, sobald die Betroffenheit feststeht. Das ist schnell erledigt und nimmt Druck von der Frist.
- Ist-Zustand aufnehmen. Gleichen Sie Ihre bestehende IT-Sicherheit gegen den Maßnahmenkatalog aus § 30 ab. Eine Gap-Analyse zeigt, wo Sie stehen und was fehlt.
- Meldeweg und Notfallplan festlegen. Wer erkennt einen Vorfall, wer meldet binnen 24/72 Stunden, wer entscheidet? Das gehört vor den Ernstfall auf Papier.
- Lücken schließen und dokumentieren. Priorisiert abarbeiten – und alles nachweisbar dokumentieren. Der Nachweis ist bei NIS2 genauso wichtig wie die Maßnahme selbst.
Für den Datenschutz-Teil dieser Pflichten – und die enge Verzahnung von NIS2 mit der DSGVO – ist unser Partnerprojekt fraghugo.de eine gute Anlaufstelle.
Fazit: aus der Pflicht eine Grundlage machen
NIS2 wirkt auf den ersten Blick wie ein weiterer Compliance-Berg. Bei nüchterner Betrachtung ist es vor allem eine strukturierte Checkliste für IT-Sicherheit, die ohnehin sinnvoll ist – nur eben jetzt mit gesetzlichem Nachdruck und persönlicher Haftung. Wer die Betroffenheit klärt, sich registriert und sein Risikomanagement sauber aufsetzt, erfüllt nicht nur das Gesetz, sondern schützt sein Unternehmen real. Wie kjello diese Maßnahmen als betreute IT abbildet, zeigt der Bereich Sicherheit & Compliance.
Geschrieben von
Jens Hagel
Gründer & Geschäftsführer
Jens Hagel gründete 2004 das Systemhaus hinter kjello und betreut mit seinem Team über 150 mittelständische Unternehmen. Er schreibt über das, was er in echten Firmen erlebt – praxisnah, ehrlich und ohne Fachchinesisch.
Häufige Fragen
Seit wann gilt das NIS2-Umsetzungsgesetz?
Bis wann muss ich mich beim BSI registrieren?
Welche Strafen drohen bei Verstößen gegen NIS2?
Reicht eine ISO-27001-Zertifizierung für NIS2 aus?
Wer haftet bei einem NIS2-Verstoß im Unternehmen?
In 2 Minuten prüfen: Bin ich von NIS2 betroffen?
Der kostenlose NIS2-Check zeigt Ihnen anhand weniger Fragen, ob Ihr Unternehmen unter die Richtlinie fällt – der erste Schritt vor allem Weiteren.
