Seit dem 06.12.2025 ist das NIS2-Umsetzungsgesetz in Deutschland in Kraft. Damit sind Cybersicherheits-Maßnahmen und Meldepflichten für tausende Unternehmen keine Option mehr, sondern eine verbindliche gesetzliche Anforderung.
Unsere FAQ dienen als neutraler Wissensbereich, um Ihnen den Weg durch die regulatorischen Anforderungen zu ebnen. Wir haben die komplexen Vorgaben der EU-Richtlinie in praxisnahe Antworten übersetzt, damit Sie sich auf das Wesentliche konzentrieren können: die Resilienz Ihres Unternehmens.
NIS2 (EU-Richtlinie 2022/2555) ist das überarbeitete europäische Regelwerk für Cybersicherheit in kritischen Sektoren. Es ersetzt die NIS-Richtlinie von 2016 und erweitert sowohl den betroffenen Unternehmenskreis als auch die inhaltlichen Anforderungen erheblich. In Deutschland trat das Umsetzungsgesetz (NIS2UmsuCG) am 06. Dezember 2025 in Kraft – schätzungsweise 30.000 Unternehmen in 18 Sektoren sind betroffen.
Die Richtlinie verpflichtet betroffene Organisationen zu zwei Kernbereichen: erstens zur Umsetzung konkreter Risikomanagementmaßnahmen nach Art. 21 (darunter Incident Handling, Supply-Chain-Sicherheit, MFA und Business Continuity) und zweitens zu gestuften Meldepflichten nach Art. 23 – Frühwarnung binnen 24 Stunden, vollständige Meldung binnen 72 Stunden, Abschlussbericht nach einem Monat.
Das Besondere gegenüber NIS1: Verantwortung liegt explizit beim Management – Geschäftsführung und Vorstand können für Verstöße persönlich haftbar gemacht werden. Bußgelder für wesentliche Einrichtungen erreichen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes.
Typischerweise sind mittlere und große Unternehmen betroffen, wenn sie in einem der 18 NIS2-Sektoren tätig sind. Als mittleres Unternehmen gilt, wer mindestens 50 Mitarbeitende beschäftigt oder mindestens 10 Mio. EUR Jahresumsatz erzielt. Als großes Unternehmen gilt, wer mindestens 250 Mitarbeitende hat oder mindestens 50 Mio. EUR Umsatz bei über 43 Mio. EUR Bilanzsumme.
Darüber hinaus gibt es Einrichtungen, die unabhängig von ihrer Größe unter NIS2 fallen – etwa qualifizierte Vertrauensdiensteanbieter, TLD-Registries, DNS-Resolver-Betreiber und öffentliche Kommunikationsnetze.
Für Konzernstrukturen gilt: Tochterunternehmen werden in der Regel eigenständig bewertet. Eine belastbare Einordnung erfordert: (1) Sektor-Abgleich, (2) Größen- und Konzernlogik, (3) nationale Sonderregelungen. Das BSI stellt eine kostenlose Betroffenheitsprüfung bereit. Nachregistrierungen nach Ablauf der Erstfrist sind weiterhin möglich.
NIS2 erfasst insgesamt 18 Sektoren in zwei Anhängen mit unterschiedlichen Aufsichtsregimen.
Annex I (11 Sektoren, höhere Kritikalität): Energie (Strom, Fernwärme/Fernkälte, Öl, Gas, Wasserstoff), Transport (Luft, Schiene, Wasser, Straße), Banken, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur (z. B. IXP, DNS, TLD, Cloud, Rechenzentren, CDN, Trust Services, Telekommunikation), ICT Service Management B2B (insbesondere MSP und MSSP), öffentliche Verwaltung sowie Weltraum.
Annex II (7 Sektoren, weitere kritische Sektoren): Post und Kurierdienste, Abfallwirtschaft, Chemikalien, Lebensmittel, verarbeitendes Gewerbe (u. a. Medizinprodukte, Computer/Elektronik, Maschinenbau, Kraftfahrzeuge), digitale Anbieter (Online-Marktplätze, Suchmaschinen, soziale Netzwerke) sowie Forschungseinrichtungen.
Annex-I-Einrichtungen unterliegen strengerer Aufsicht und höheren Bußgeldrahmen. Für bestimmte digitale Infrastruktur-Anbieter gilt NIS2 unabhängig von der Unternehmensgröße. Allein die Sektorzugehörigkeit genügt nicht – Größenschwellen und Sonderregeln müssen immer separat geprüft werden.
NIS2 teilt betroffene Organisationen in zwei Kategorien ein, die sich im Bußgeldrahmen und in der Aufsichtsintensität unterscheiden.
Wesentliche Einrichtungen sind in der Regel große Unternehmen ab 250 Mitarbeitenden (oder ab 50 Mio. EUR Jahresumsatz und über 43 Mio. EUR Bilanzsumme) in Annex-I-Sektoren sowie bestimmte Einrichtungen unabhängig von der Größe – etwa qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Resolver-Betreiber. Für sie gilt proaktive Aufsicht: Das BSI kann Prüfungen und Nachweise jederzeit einfordern.
Wichtige Einrichtungen sind typischerweise mittlere Unternehmen (50–249 Mitarbeitende oder 10–50 Mio. EUR Umsatz) in Annex-I-Sektoren sowie große Unternehmen in Annex-II-Sektoren. Für sie gilt reaktive Aufsicht – das BSI handelt in der Regel erst bei konkreten Hinweisen auf Verstöße.
Bußgeldrahmen: Wesentliche Einrichtungen bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes; wichtige Einrichtungen bis zu 7 Mio. EUR oder 1,4 %. Jeweils gilt der höhere Betrag.
Für Unternehmen mit ca. 50–500 Mitarbeitenden ist die wichtigste erste Frage: Fallen wir wegen unserer Tätigkeit/Branche in einen NIS2-Sektor und erfüllen wir die Größenlogik? Die kritischen Schwellenwerte: mittlere Unternehmen ab 50 Mitarbeitenden oder ab 10 Mio. EUR Umsatz; große Unternehmen ab 250 Mitarbeitenden oder ab 50 Mio. EUR Umsatz.
Eine pragmatische Vorgehensweise: (1) Tätigkeit und angebotene Dienste mit den NIS2-Sektoren abgleichen, (2) Unternehmensgröße und ggf. Konzern-/Gruppenlogik prüfen – Tochterunternehmen müssen in der Regel eigenständig geprüft werden, (3) klären, ob das Unternehmen als kritischer Digitaldienst/ICT-Dienstleister oder als Teil einer kritischen Wertschöpfungskette erfasst sein könnte, (4) das Ergebnis intern dokumentieren (Datum, Annahmen, Quellen).
Das BSI stellt eine kostenlose Betroffenheitsprüfung bereit, die eine erste Orientierung liefert, aber die rechtlich verbindliche Selbst-Einordnung nicht ersetzt. Empfehlung: Das Prüfergebnis schriftlich dokumentieren und einmal jährlich auf Aktualität prüfen. Unternehmen, die die Erstfrist verpasst haben, sollten die Registrierung umgehend nachholen.
Der Kern besteht aus drei untrennbaren Bereichen:
Ohne Governance keine Prioritäten, ohne Maßnahmen keine Resilienz, ohne Reporting kein fristgerechter Umgang mit Vorfällen.
Art. 21 NIS2 definiert zehn Mindestbereiche für Risikomanagementmaßnahmen, die verhältnismäßig zum Risiko und zur Unternehmensgröße umzusetzen sind:
Der Schlüsselbegriff ist Verhältnismäßigkeit: Die geforderte Tiefe richtet sich nach Risiko, Unternehmensgröße und möglichen Auswirkungen eines Ausfalls. Ausgangspunkt ist immer eine dokumentierte Risikoanalyse – sie bestimmt, welche Bereiche sofort angegangen werden müssen und wo ein schrittweiser Aufbau vertretbar ist. Typischerweise starten Unternehmen mit drei Prioritäten: einer dokumentierten Risikoanalyse, einem getesteten Incident-Prozess und einer funktionierenden Backup-Wiederherstellung. Diese Bereiche bilden die Basis und sind bei realen Sicherheitsvorfällen am häufigsten ausschlaggebend.
NIS2 schreibt keine ISO 27001-Zertifizierung als Pflicht vor, sondern fordert angemessene und verhältnismäßige Sicherheitsmaßnahmen. Unternehmen können sich an anerkannten Standards wie ISO 27001, BSI IT-Grundschutz, SOC 2 oder NIST CSF orientieren – eine Zertifizierungspflicht besteht nicht.
In der Praxis kann eine ISO-27001-Zertifizierung dennoch nützlich sein: Sie strukturiert den Umsetzungsprozess, liefert einen auditfähigen Nachweis und erleichtert die Kommunikation gegenüber Kunden, Lieferanten und Behörden.
Entscheidend ist die reale Wirksamkeit der Maßnahmen und eine funktionierende Governance – nicht das Zertifikat. Bereits ISO-27001-zertifizierte Unternehmen haben eine gute Ausgangsbasis, müssen aber prüfen, ob NIS2-spezifische Anforderungen – insbesondere Meldefristen und Lieferkettensicherheit – vollständig abgedeckt sind. Wer noch nicht zertifiziert ist, sollte pragmatisch starten und die Zertifizierung als mittelfristiges Ziel einplanen. Eine dokumentierte Auswahlbegründung erhöht dabei die Auditfähigkeit erheblich.
NIS2 fordert angemessene, verhältnismäßige Maßnahmen. Das heißt: Risiko, Unternehmensgröße, Eintrittswahrscheinlichkeit und potenzieller Schaden beeinflussen, wie tief und breit Maßnahmen umgesetzt werden.
Praktisch ist Proportionalität eine Dokumentations- und Entscheidungslogik: Warum priorisieren wir X vor Y, welche Risiken akzeptieren wir temporär, welche müssen sofort mitigiert werden.
Ein Vorfall gilt nach NIS2 als erheblich, wenn er schwerwiegende betriebliche Störungen verursacht oder verursachen kann, erhebliche finanzielle Verluste zur Folge hat oder andere Personen und Organisationen erheblich schädigt. Entscheidend ist nicht allein ein Datenleck, sondern die Auswirkung auf die Verfügbarkeit, Integrität oder Vertraulichkeit der Dienstleistung.
Die EU-Durchführungsverordnung 2024/2690 präzisiert für bestimmte Sektoren zusätzliche Kriterien – etwa Anzahl betroffener Nutzer, Ausfalldauer und geografische Verbreitung des Vorfalls.
In der Praxis müssen Unternehmen eine interne Klassifizierungslogik entwickeln: Wer entscheidet, ob ein Vorfall meldepflichtig ist? Auf Basis welcher Kriterien? Diese Entscheidung muss vor dem Vorfall getroffen sein – denn die 24-Stunden-Frist beginnt mit dem Zeitpunkt der Kenntnis zu laufen, nicht erst nach interner Abklärung. Ein bewährtes Werkzeug ist eine vorab definierte Schwellentabelle mit Beispielszenarien und klaren Entscheidungspfaden. Diese Tabelle sollte mindestens einmal jährlich auf Aktualität geprüft werden.
NIS2 schreibt für erhebliche Sicherheitsvorfälle einen gestuften Meldeprozess an die zuständige Behörde vor – in Deutschland das BSI (Bundesamt für Sicherheit in der Informationstechnik). Die Fristen laufen ab dem Zeitpunkt, zu dem das Unternehmen Kenntnis von dem Vorfall erlangt:
Voraussetzung für Fristentreue ist Vorbereitung: Wer Rollen, Eskalationswege und Minimal-Templates nicht vorab definiert, kann die Fristen im Ernstfall kaum einhalten. In Deutschland sind Meldungen über das BSI-Portal einzureichen; betroffene Einrichtungen sollten die Zugangsdaten und den Meldeprozess bereits im Regelbetrieb eingerichtet haben.
Die Frühwarnung ist nicht der finale Detailbericht. Sie soll der zuständigen Stelle früh signalisieren, dass ein erheblicher Vorfall vorliegen könnte, inkl. Hinweis auf mögliche Ursachen und potenziellen grenzüberschreitenden Impact.
In der Praxis hilft ein vorbereitetes Minimal-Template: Zeitpunkt/Entdeckung, betroffene Services, erste Auswirkungen, erste Hypothese, Kontaktperson, nächste Updates.
Der Final Report (spätestens nach einem Monat) beinhaltet:
Das erfordert, dass während des Incidents ein „Logbuch" geführt wird, sonst ist es später schwer rekonstruierbar.
NIS2 und DSGVO sind zwei eigenständige Regelwerke mit unterschiedlichen Schutzzielen, die bei Sicherheitsvorfällen gleichzeitig greifen können. Die DSGVO schützt personenbezogene Daten und verlangt eine Meldung an die Datenschutzaufsichtsbehörde binnen 72 Stunden. NIS2 fokussiert auf Verfügbarkeit und Integrität von Systemen und verlangt bereits eine Frühwarnung binnen 24 Stunden.
Bei einem Ransomware-Angriff, der Systeme lahmlegt und Daten abfließen lässt, laufen beide Meldepflichten parallel – mit unterschiedlichen Fristen und an unterschiedliche Behörden. NIS2 sieht vor, dass zuständige Behörden und Datenschutzaufsichtsbehörden zusammenarbeiten, wenn ein Vorfall beide Bereiche betrifft.
In der Praxis: Der Incident-Response-Prozess muss von Anfang an prüfen, ob DSGVO-Meldepflichten parallel ausgelöst werden, damit beide Meldewege und Fristen synchronisiert ablaufen. Empfehlung: Im Incident-Log festhalten, welche Meldepflichten geprüft und welche Entscheidungen mit welcher Begründung getroffen wurden. So lässt sich lückenlos belegen, dass alle Fristen eingehalten wurden.
Supply-Chain-Security nach NIS2 (Art. 21 Abs. 2 lit. d) bedeutet, dass betroffene Einrichtungen die Cybersicherheitsrisiken ihrer direkten Lieferanten und Dienstleister systematisch bewerten und steuern müssen – nicht nur einmalig, sondern als wiederholbaren Prozess. Dazu gehören mindestens:
Besonders relevant: Ist ein kritischer Lieferant selbst Opfer eines Angriffs, muss die eigene Einrichtung einschätzen können, ob daraus eine eigene Meldepflicht entsteht. Praktisch beginnen die meisten Unternehmen mit einer Kritikalitätsliste ihrer zehn wichtigsten Lieferanten. Für Hochrisiko-Lieferanten empfiehlt sich zusätzlich ein Vor-Ort-Audit oder erweiterter Fragebogen.
NIS2 nennt sichere Beschaffung/Entwicklung/Wartung inkl. Umgang mit Schwachstellen und deren Behandlung/Offenlegung. Praktisch umfasst das:
Ohne diese Struktur entstehen Backlogs, die Audit- und Incident-Risiko erhöhen.
NIS2 verankert Cybersicherheit explizit auf Governance-Ebene: Nach Art. 20 NIS2 müssen Leitungsorgane – Geschäftsführung, Vorstand oder vergleichbare Gremien – Cybersicherheitsmaßnahmen genehmigen, deren Umsetzung überwachen und können bei Pflichtverletzungen persönlich haftbar gemacht werden. Das ist eine zentrale Neuerung gegenüber NIS1.
Konkret bedeutet das drei Pflichten für das Management:
Für KMU bedeutet das: Die Geschäftsführung muss NIS2 aktiv in die Unternehmensführung integrieren. Eine reine Delegation an die IT-Abteilung ohne eigene Governance-Beteiligung schützt nicht vor persönlicher Haftung. Empfehlung: Einen jährlichen Management-Review einführen, der dokumentiert, dass Maßnahmen genehmigt, umgesetzt und überprüft wurden. Dieses Protokoll dient im Prüfungsfall als Nachweis der Governance-Pflicht.
Für Verstöße gegen NIS2-Pflichten sieht die Richtlinie bindende Mindest-Bußgeldrahmen vor, die Mitgliedstaaten nicht unterschreiten dürfen. In Deutschland setzt das NIS2UmsuCG diese Rahmen verbindlich um. Die Richtlinie nennt als Mindest-Strafen:
Es gilt jeweils der höhere Betrag. Bußgelder sind jedoch nicht das einzige Sanktionsinstrument: Für wesentliche Einrichtungen kann das BSI bei schwerwiegenden Verstößen auch die Tätigkeit von Führungspersonen vorübergehend untersagen.
Hinzu kommt die persönliche Managementhaftung nach Art. 20 NIS2: Leitungsorgane müssen Cybersicherheitsmaßnahmen genehmigen und überwachen – bei nachgewiesener Pflichtverletzung können Mitglieder der Geschäftsleitung persönlich haftbar gemacht werden. Die tatsächliche Sanktionshöhe hängt von Schwere, Dauer und Kooperationsbereitschaft ab. Behörden können zudem anordnen, dass Einrichtungen öffentlich über Sicherheitsverstöße informieren, wenn dies im öffentlichen Interesse liegt.
NIS2 ist nicht nur „IT-Aufgabe", sondern verlangt klare Governance. Für KMU funktioniert ein Minimum-Rollenmodell:
Zuständigkeiten schriftlich fixieren, Eskalation klar machen – dann erst Controls ausrollen.
NIS2 wird durch Leitlinien, nationale Auslegung und Anpassungsvorschläge weiter präzisiert. Best Practice ist daher:
Ein „Letztes Update"-Datum und kurze Änderungsnotizen erhöhen Transparenz gegenüber Behörden und Auditoren.
Excel kann für KMU am Anfang helfen (Inventar, Maßnahmenliste, Zuständigkeiten) – aber NIS2 verlangt mehr als „eine Liste": wiederholbare Prozesse, fristfähiges Melden, Lieferketten-Kontrollen und Wirksamkeitsnachweise.
Spätestens wenn Sie mehrere Standorte, viele Systeme oder häufige Changes haben, wird Excel schwierig: Versionschaos, fehlender Audit-Trail, unklare Ownership, manuelle Erinnerungen, brüchige Nachweise.
Empfehlung: Starten Sie pragmatisch, definieren Sie aber früh ein Zielbild, damit Sie nicht in Insellösungen festlaufen.
Das Umsetzungsgesetz zur NIS-2-Richtlinie in Deutschland ist am 06.12.2025 in Kraft getreten. Damit gelten verbindliche Anforderungen, u. a. Sicherheitsanforderungen und Meldepflichten.
Für die praktische Umsetzung gilt eine Registrierungsfrist von drei Monaten nach Inkrafttreten – praktisch also bis 06.03.2026.
Zuerst: Betroffenheit bestätigen. Fällt das Unternehmen nach Sektor und Größe unter NIS2? Das BSI stellt hierzu eine kostenlose Online-Betroffenheitsprüfung bereit. Ist die Betroffenheit bestätigt, empfiehlt sich ein pragmatischer 5-Schritte-Start:
Diese fünf Schritte schaffen eine handlungsfähige Ausgangsbasis, bevor der vollständige Maßnahmenaufbau nach Art. 21 beginnt. Zeitplan: Betroffenheit und Registrierung in den ersten vier Wochen; Schritte 4 und 5 können parallel in Woche 2–8 laufen. Parallel sollte die erste Risikoanalyse erstellt werden – sie bildet die Grundlage für alle weiteren Maßnahmen nach Art. 21.
Die Registrierung ist zweistufig: Zuerst Anmeldung über Mein Unternehmenskonto (MUK) als Identitätsdienst, anschließend die eigentliche Registrierung im BSI-Portal.
Planen Sie Vorlauf ein: Für MUK wird in der Regel ein ELSTER-Organisationszertifikat benötigt – Bestellung und Erhalt erfordern zusätzliche Zeit.
Im Portal werden Stammdaten, Einordnung/Angaben zur Einrichtung sowie Kontaktangaben hinterlegt. Legen Sie intern fest, wer administriert und wer als NIS-2-Kontaktstelle fungiert.
Das BSI stellt eine Schritt-für-Schritt-Anleitung bereit.
Registrierung: Innerhalb von 3 Monaten nach Inkrafttreten (06.12.2025), praktisch bis 06.03.2026.
Vorfallmeldungen (gestuft):
Fristen sind nur haltbar, wenn Rollen, Kommunikationswege und Minimal-Templates vorab definiert sind.
Offizielle Stellen geben keine pauschalen Kosten an, weil NIS2 risikobasiert und verhältnismäßig umzusetzen ist. Typische Kostentreiber im KMU:
Wichtig: Eine finanzielle Förderung durch den Bund ist laut BSI derzeit nicht vorgesehen. Sinnvoll ist, Aufwand in Wellen zu planen: erst Mindest-Fähigkeiten, dann schrittweise Reifegraderhöhung.
Drei besonders hilfreiche offizielle Wege:
Tipp: Legen Sie intern eine „NIS2-Quellenliste" an (BSI-Seiten, Gesetz, IHK-Hinweise) und prüfen Sie diese quartalsweise.
Von der ersten Bestandsaufnahme bis zur Absicherung Ihrer Lieferkette – strukturiert und realistisch.
Die wichtigsten Fachbegriffe rund um NIS2 kompakt erklärt.
Compliance Compass automatisiert alle NIS2-Anforderungen – von der Risikoanalyse bis zur Meldepflicht. In 2–4 Wochen compliant.