Die NIS2-Umsetzung hat Cybersicherheit in Deutschland endgültig zur Aufgabe der Geschäftsführung gemacht. Seit dem 6. Dezember 2025 gilt das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, das das BSI-Gesetz grundlegend neu fasst. Nach Schätzungen des Bundesamts für Sicherheit in der Informationstechnik fallen rund 29.500 Unternehmen unter die neuen Regeln, die meisten davon Mittelständler.
Viele Betriebe haben das Thema dennoch vertagt. Die gesetzliche Registrierungsfrist endete am 6. März 2026, das BSI nahm Registrierungen nach eigenen Angaben noch bis zum 31. Juli 2026 entgegen. Inzwischen ist auch dieses Zeitfenster geschlossen, und die Aufsicht schaut genauer hin.
Dieser Ratgeber zeigt dir, ob du betroffen bist, welche Pflichten konkret gelten und wie du die Umsetzung strukturiert und mit vertretbarem Aufwand angehst.
NIS2-Umsetzung kurz erklärt: Was das Gesetz verlangt
Kurz gesagt: Die NIS2-Umsetzung überträgt die europäische NIS-2-Richtlinie in deutsches Recht. Sie verpflichtet Unternehmen bestimmter Sektoren ab einer Größe von 50 Beschäftigten oder 10 Millionen Euro Umsatz, sich beim BSI zu registrieren, angemessene Sicherheitsmaßnahmen umzusetzen, erhebliche Vorfälle fristgerecht zu melden und die Geschäftsleitung persönlich in die Verantwortung zu nehmen.
Neu ist vor allem die Breite. Früher betrafen die strengen IT-Sicherheitsregeln fast nur Betreiber kritischer Infrastrukturen. Jetzt gelten sie für Speditionen, Lebensmittelhersteller, Maschinenbauer, Chemiebetriebe oder Entsorger mittlerer Größe, die sich bisher kaum mit Aufsichtsbehörden auseinandersetzen mussten.
Bin ich betroffen? Sektoren und Schwellenwerte
Ob dein Unternehmen unter die NIS2-Umsetzung fällt, hängt von zwei Fragen ab: In welchem Sektor bist du tätig, und wie groß ist dein Unternehmen? Das Gesetz unterscheidet zwei Kategorien:
Besonders wichtige Einrichtungen: mindestens 250 Beschäftigte oder mehr als 50 Millionen Euro Jahresumsatz und mehr als 43 Millionen Euro Bilanzsumme in einem Sektor mit hoher Kritikalität, etwa Energie, Verkehr, Gesundheit oder digitale Infrastruktur. Betreiber kritischer Anlagen gehören unabhängig von ihrer Größe dazu.
Wichtige Einrichtungen: mindestens 50 Beschäftigte oder jeweils mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme. Hierzu zählen auch Sektoren wie Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel und Teile des verarbeitenden Gewerbes.
Sonderfälle: Einige Anbieter, etwa bestimmte Vertrauensdienste oder DNS-Dienste, sind größenunabhängig erfasst.
Achtung bei Konzernstrukturen: Bei verbundenen Unternehmen können Beschäftigte und Umsätze zusammengerechnet werden. Eine erste Orientierung bietet die Betroffenheitsprüfung, die das BSI auf seiner NIS-2-Informationsseite verlinkt. Bei Grenzfällen solltest du die Einordnung juristisch prüfen lassen und das Ergebnis dokumentieren.
Indirekt betroffen über die Lieferkette
Auch wenn du selbst nicht reguliert bist, kommst du an der NIS2-Umsetzung kaum vorbei. Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette berücksichtigen und geben die Anforderungen an Zulieferer und Dienstleister weiter, etwa per Fragebogen, Vertragsklausel oder Audit. Gerade wer Lieferketten im Zuge von Nearshoring und kürzeren Lieferwegen neu ordnet, sollte IT-Sicherheit zum Auswahlkriterium für Partner machen.
Registrierung beim BSI: Frist verpasst, was nun?
Die Registrierungspflicht ist unabhängig von allen anderen Maßnahmen zu erfüllen, und sie ist der Punkt, an dem die Aufsicht am leichtesten erkennt, wer untätig geblieben ist. Das BSI weist selbst darauf hin, dass die gesetzliche Frist abgelaufen ist und nicht registrierte Einrichtungen dies umgehend nachholen sollen. So gehst du vor:
1.
ELSTER-Organisationszertifikat beantragen: Der Zugang läuft über Mein Unternehmenskonto. Der Aktivierungscode kommt per Post, plane dafür einige Werktage ein.
2.
Im BSI-Portal registrieren: Mit dem Zertifikat legst du dein Unternehmen im Portal an. Jede juristische Person registriert sich separat.
3.
Pflichtangaben bereithalten: Dazu gehören unter anderem Kontaktdaten, Sektorzuordnung, Ansprechpartner und öffentliche IP-Adressbereiche.
4.
Erreichbarkeit sicherstellen: Hinterlege eine Kontaktstelle, die auch bei Warnungen des BSI kurzfristig reagiert.
5.
Änderungen nachpflegen: Ändern sich Angaben, musst du sie im Portal aktualisieren.
Rechne damit, dass das BSI nach der Registrierung über das Portal mit dir kommuniziert, etwa mit Warnungen zu aktuellen Schwachstellen. Prüfe deshalb, wer die Nachrichten liest und wie sie intern weitergegeben werden.
Wichtig: Die Registrierung ist nur der Einstieg. Sie beweist der Aufsicht, dass du die NIS2-Umsetzung ernst nimmst, ersetzt aber keine einzige Schutzmaßnahme.
Zugriffskontrolle und Multi-Faktor-Authentifizierung gehören zu den Mindestmaßnahmen nach dem neuen BSI-Gesetz.
Die Pflichten im Überblick: Risikomanagement und Meldewege
Herzstück des Gesetzes sind die Risikomanagementmaßnahmen nach Paragraf 30 BSI-Gesetz. Sie müssen geeignet, verhältnismäßig und wirksam sein und sich am Stand der Technik orientieren. Ein kleiner Logistiker muss also nicht dasselbe Niveau erreichen wie ein Energieversorger, wohl aber nachvollziehbar begründen, warum seine Maßnahmen angemessen sind.
Zehn Mindestmaßnahmen nach dem BSI-Gesetz
Konzepte zur Risikoanalyse und Sicherheit der IT-Systeme
Bewältigung von Sicherheitsvorfällen
Aufrechterhaltung des Betriebs mit Backup-Management, Wiederherstellung und Krisenmanagement
Sicherheit der Lieferkette einschließlich der Beziehungen zu Dienstleistern
Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen, inklusive Schwachstellenmanagement
Bewertung der Wirksamkeit der Maßnahmen
Grundlegende Cyberhygiene und Schulungen
Einsatz von Kryptografie und Verschlüsselung
Personalsicherheit, Zugriffskontrolle und Management von Anlagen
Multi-Faktor-Authentifizierung und gesicherte Kommunikation, auch für Notfälle
Was als erheblicher Sicherheitsvorfall gilt
Nicht jede Phishing-Mail löst eine Meldepflicht aus. Erheblich ist ein Vorfall, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht oder verursachen kann oder Dritte erheblich materiell oder immateriell schädigt. Ein verschlüsselter Server, der die Produktion stoppt, fällt klar darunter, ein abgewehrter Angriffsversuch in der Regel nicht.
Im Zweifel gilt: lieber früh melden und später präzisieren. Die gestufte Struktur der Meldepflicht ist genau dafür gedacht, dass du nicht schon nach wenigen Stunden ein vollständiges Lagebild liefern musst.
Meldefristen bei erheblichen Vorfällen
Kommt es zu einem erheblichen Sicherheitsvorfall, läuft die Uhr. Paragraf 32 BSI-Gesetz sieht ein gestuftes Verfahren vor:
Innerhalb von 24 Stunden: frühe Erstmeldung, ob ein rechtswidriger Angriff vermutet wird oder grenzüberschreitende Auswirkungen möglich sind
Innerhalb von 72 Stunden: Meldung mit erster Bewertung von Schweregrad und Auswirkungen
Nach einem Monat: Abschlussmeldung oder, falls der Vorfall andauert, eine Fortschrittsmeldung
Diese Fristen schaffst du nur mit einem eingeübten Ablauf. Lege fest, wer einen Vorfall bewertet, wer meldet und wer intern sowie gegenüber Kunden kommuniziert. Ein Notfallhandbuch auf Papier gehört dazu, denn bei einem Ransomware-Angriff sind digitale Dokumente oft nicht erreichbar.
Geschäftsleitung in der Pflicht: Haftung, Schulung, Bußgelder
Die NIS2-Umsetzung macht klar, wer verantwortlich ist. Nach Paragraf 38 BSI-Gesetz muss die Geschäftsleitung die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Verletzt sie diese Pflichten schuldhaft, haftet sie der Gesellschaft für den Schaden nach den Regeln des jeweiligen Gesellschaftsrechts.
Hinzu kommt eine Schulungspflicht: Geschäftsleiter müssen regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagementpraktiken in der IT-Sicherheit erkennen und bewerten zu können. Das BSI stellt dafür ein Curriculum für Geschäftsleitungsschulungen bereit.
Cybersicherheit lässt sich delegieren, die Verantwortung dafür nicht.
Bei Verstößen sieht Paragraf 65 BSI-Gesetz empfindliche Geldbußen vor:
Besonders wichtige Einrichtungen: bis zu 10 Millionen Euro, bei mehr als 500 Millionen Euro Umsatz bis zu 2 Prozent des weltweiten Jahresumsatzes
Wichtige Einrichtungen: bis zu 7 Millionen Euro, bei mehr als 500 Millionen Euro Umsatz bis zu 1,4 Prozent des weltweiten Jahresumsatzes
Für Mittelständler ist das Bußgeld oft nicht einmal das größte Risiko. Schwerer wiegen Betriebsunterbrechungen nach einem Angriff, Vertragsstrafen gegenüber Kunden und steigende Prämien bei der Cyberversicherung. Auch bei der Unternehmensnachfolge prüfen Käufer zunehmend, ob die IT-Sicherheit einer Due Diligence standhält.
Die Geschäftsleitung muss Sicherheitsmaßnahmen umsetzen, überwachen und sich regelmäßig schulen lassen.
NIS2-Umsetzung in der Praxis: Fahrplan in sechs Schritten
Das BSI empfiehlt, die Umsetzung als Projekt mit klaren Phasen aufzusetzen. Für mittelständische Unternehmen hat sich folgende Reihenfolge bewährt:
1.
Betroffenheit klären und registrieren: Ergebnis dokumentieren, Registrierung sofort nachholen.
2.
Verantwortung festlegen: Geschäftsleitung benennt eine verantwortliche Person für Informationssicherheit und gibt Budget frei.
3.
Bestandsaufnahme durchführen: Welche Systeme, Daten und Dienstleister sind geschäftskritisch? Wo liegen die größten Lücken?
4.
Sofortmaßnahmen umsetzen: Multi-Faktor-Authentifizierung, getrennte Backups, Patch-Management und Notfallkontakte bringen schnell viel Schutz.
5.
Managementsystem aufbauen: Ein ISMS nach ISO 27001 oder IT-Grundschutz strukturiert Richtlinien, Risiken und Nachweise.
6.
Üben und verbessern: Teste Meldewege und Wiederanlauf regelmäßig und schule Belegschaft und Führung.
Rechne für die NIS2-Umsetzung realistisch mit mehreren Monaten, bis ein belastbares Managementsystem steht. Entscheidend ist, dass du sichtbare Fortschritte dokumentierst: einen genehmigten Maßnahmenplan, Protokolle von Schulungen und Übungen sowie eine aktuelle Risikoanalyse. Diese Unterlagen sind im Ernstfall dein wichtigstes Argument gegenüber der Aufsicht.
Ein Tipp aus der Praxis: Verzahne die NIS2-Umsetzung mit laufenden Digitalisierungsprojekten. Wer gerade KI im Mittelstand einführt, sollte Zugriffsrechte, Datenflüsse und Anbieterprüfung direkt nach den neuen Sicherheitsanforderungen gestalten, statt später nachzubessern.
Für Investitionen in Sicherheitstechnik und Beratung lohnt ein Blick auf die Förderprogramme 2027 von Bund und Ländern. Viele Unternehmen empfinden die neuen Nachweispflichten als zusätzliche Last, ein Thema, das auch die Debatte um den Bürokratieabbau prägt.
Fazit: Die NIS2-Umsetzung ist eine Chance für robustere Betriebe
Die NIS2-Umsetzung verlangt dem Mittelstand einiges ab: Registrierung, Risikomanagement, Meldewege und eine persönlich verantwortliche Geschäftsleitung. Wer die Fristen verpasst hat, sollte jetzt handeln, statt auf Nachsicht der Aufsicht zu hoffen.
Gleichzeitig zwingt das Gesetz zu einer Disziplin, die sich ohnehin auszahlt. Unternehmen mit eingeübten Notfallplänen, sauberen Backups und geschulten Teams überstehen Angriffe schneller und gewinnen Vertrauen bei Kunden, Banken und Versicherern. So wird aus der Pflicht ein echter Wettbewerbsvorteil.
Häufige Fragen zu NIS2-Umsetzung
Wer ist von der NIS2-Umsetzung in Deutschland betroffen?
Betroffen sind Unternehmen aus 18 Sektoren, etwa Energie, Transport, Gesundheit, digitale Dienste, Abfallwirtschaft, Lebensmittel oder Teile des verarbeitenden Gewerbes, wenn sie mindestens 50 Beschäftigte haben oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme erreichen. Einige Einrichtungen fallen unabhängig von ihrer Größe darunter. Die Betroffenheitsprüfung des BSI liefert eine erste Einschätzung.
Was passiert, wenn ich die Registrierung beim BSI verpasst habe?
Die gesetzliche Frist ist abgelaufen, die Pflicht bleibt aber bestehen. Registriere dich deshalb umgehend über Mein Unternehmenskonto mit ELSTER-Organisationszertifikat und anschließend im BSI-Portal. Eine fehlende Registrierung ist bußgeldbewehrt. Wer jetzt zügig handelt und die übrigen Pflichten dokumentiert angeht, steht gegenüber der Aufsicht deutlich besser da.
Wie schnell muss ein Sicherheitsvorfall gemeldet werden?
Für erhebliche Sicherheitsvorfälle gilt ein dreistufiges Verfahren: eine frühe Erstmeldung spätestens 24 Stunden nach Kenntnis, eine ausführlichere Meldung mit erster Bewertung spätestens nach 72 Stunden und eine Abschlussmeldung spätestens einen Monat danach. Dauert der Vorfall noch an, reichst du stattdessen zunächst eine Fortschrittsmeldung ein.
Haftet die Geschäftsführung persönlich für Verstöße gegen NIS2?
Ja, die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen. Verletzt sie diese Pflicht schuldhaft, haftet sie der Gesellschaft für den entstandenen Schaden nach den gesellschaftsrechtlichen Regeln. Zudem muss sie regelmäßig an Schulungen teilnehmen. Eine pauschale Delegation an die IT-Abteilung entlastet nicht.
Welche Bußgelder drohen bei Verstößen?
Besonders wichtigen Einrichtungen drohen Bußgelder bis zu 10 Millionen Euro, wichtigen Einrichtungen bis zu 7 Millionen Euro. Bei Unternehmen mit mehr als 500 Millionen Euro Umsatz kann sich der Rahmen auf bis zu 2 beziehungsweise 1,4 Prozent des weltweiten Jahresumsatzes erhöhen. Für andere Verstöße, etwa bei der Registrierung, gelten niedrigere Obergrenzen.
Lohnt sich ein ISMS nach ISO 27001 für die NIS2-Umsetzung?
Für viele Unternehmen ja. Ein Informationssicherheits-Managementsystem nach ISO 27001 oder IT-Grundschutz deckt einen großen Teil der geforderten Maßnahmen ab und schafft eine nachvollziehbare Dokumentation. Eine Zertifizierung ist für die meisten Einrichtungen nicht vorgeschrieben, erleichtert aber den Nachweis gegenüber Aufsicht, Kunden und Versicherern erheblich.
