Was ist NIS-2?

Einfach erklärt

NIS-2 ist eine EU-Richtlinie für mehr IT-Sicherheit in wichtigen Bereichen der Wirtschaft. In Deutschland gilt sie seit dem 6. Dezember 2025 über das neu gefasste BSI-Gesetz. Betroffene Unternehmen müssen sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren, ihre IT nach festen Vorgaben absichern und erhebliche Sicherheitsvorfälle binnen 24 Stunden melden. Es geht um die Sicherheit von Systemen und Diensten, nicht in erster Linie um personenbezogene Daten. Man kann es sich wie Brandschutzvorschriften vorstellen: Sie gelten nicht für jedes Gebäude gleich, sondern je nach Nutzung und Größe.

Wen es betrifft

Betroffen sind Unternehmen aus den im Gesetz genannten Branchen ab 50 Beschäftigten oder mit mehr als 10 Millionen Euro Jahresumsatz und zugleich mehr als 10 Millionen Euro Bilanzsumme. Zu den Branchen gehören etwa Energie, Transport und Verkehr, Gesundheit, Wasser, Abfallbewirtschaftung, Lebensmittel, Chemie, Teile des verarbeitenden Gewerbes und IT-Dienstleister, die für andere Unternehmen IT betreiben.

Kleinere Betriebe sind in der Regel nicht direkt betroffen. Ausnahmen gibt es für wenige Sonderfälle wie DNS-Dienste oder Vertrauensdienste. Indirekt kann NIS-2 aber auch kleine Betriebe erreichen: Betroffene Kunden müssen die Sicherheit ihrer Lieferanten und Dienstleister berücksichtigen und fragen deshalb nach.

Was Sie tun können

Prüfen Sie zuerst, ob Ihr Betrieb betroffen ist, etwa mit dem NIS-2-Betroffenheits-Check oder der Prüfung des BSI. Für Unternehmen, die schon seit Dezember 2025 betroffen sind, ist die Frist zur Registrierung abgelaufen. Wer sich noch nicht registriert hat, soll das nach Angaben des BSI sofort nachholen. Die Geschäftsführung muss die Sicherheitsmaßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen.

Einordnung: Die Einstufung hängt an Tätigkeit, Größe und Unternehmensverbund. Im Grenzfall klären Sie sie mit einem Anwalt. Stand dieses Eintrags: 28. Oktober 2026.

Rechtsgrundlage und Stand

• Richtlinie (EU) 2022/2555 vom 14. Dezember 2022, Umsetzungsfrist 17. Oktober 2024 (Art. 41).
• Deutschland: Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung (NIS2UmsuCG) vom 2. Dezember 2025, verkündet am 5. Dezember 2025 (BGBl. 2025 I Nr. 301), in Kraft seit 6. Dezember 2025. Kern ist das neu gefasste BSIG.
• Stand 28. Oktober 2026: Die gesetzliche Registrierungsfrist ist laut BSI abgelaufen. Betroffene, die noch nicht registriert sind, sollen das sofort nachholen.

Einstufung nach § 28 BSIG

Besonders wichtig   Anlage 1, mind. 250 Beschäftigte
                    oder Umsatz > 50 Mio. € und Bilanzsumme > 43 Mio. €
Wichtig             Anlage 1 oder 2, mind. 50 Beschäftigte
                    oder Umsatz und Bilanzsumme je > 10 Mio. €
Ohne Schwellenwert  u. a. Betreiber kritischer Anlagen, qualifizierte
                    Vertrauensdiensteanbieter, TLD-Registries, DNS-Diensteanbieter

Für IT-Dienstleister wichtig: Managed Services Provider und Managed Security Services Provider stehen in Anlage 1 (Nr. 6.1.10 und 6.1.11, Sektor digitale Infrastruktur). Die Größe bestimmt sich nach der EU-Empfehlung 2003/361/EG, verbundene und Partnerunternehmen können mitzählen (§ 28 Abs. 4). Vernachlässigbare Geschäftstätigkeiten bleiben bei der Zuordnung außer Betracht (§ 28 Abs. 3).

Pflichten im Überblick

• § 30: geeignete, verhältnismäßige und wirksame Risikomanagementmaßnahmen in zehn Mindestbereichen, darunter Bewältigung von Vorfällen, Backup und Notfallwiederherstellung, Sicherheit der Lieferkette, Umgang mit Schwachstellen, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung. Die Einhaltung ist zu dokumentieren.
• § 32: Meldung erheblicher Sicherheitsvorfälle an die gemeinsame Meldestelle von BSI und BBK: frühe Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung spätestens einen Monat danach.
• § 33: Registrierung spätestens drei Monate, nachdem die Einrichtung erstmals oder erneut als solche gilt. Sie läuft laut BSI in zwei Schritten: ELSTER-Organisationszertifikat über „Mein Unternehmenskonto“, dann Registrierung im BSI-Portal.
• § 38: Die Geschäftsleitung setzt die Maßnahmen um, überwacht sie, haftet bei schuldhafter Pflichtverletzung und nimmt regelmäßig an Schulungen teil.
• § 65: Bußgelder bis 10 Mio. € für besonders wichtige und bis 7 Mio. € für wichtige Einrichtungen, bei mehr als 500 Mio. € Gesamtumsatz für bestimmte Verstöße bis 2 beziehungsweise 1,4 Prozent davon.

Typische Fehler

• Branche statt Tätigkeit. Maßgeblich ist die Einrichtungsart nach den Anlagen, auch für Nebentätigkeiten, die nicht vernachlässigbar sind.
• Konzern übersehen. Beschäftigte und Umsatz verbundener Unternehmen können mitzählen.
• Meldeweg nicht vorbereitet. Die 24-Stunden-Frist läuft auch am Wochenende.
• Lieferkette unterschätzt. Auch nicht betroffene Dienstleister bekommen Anforderungen ihrer betroffenen Kunden, abgeleitet aus § 30 Abs. 2 Nr. 4.

Prüfen

Vorprüfung mit der BSI-Betroffenheitsprüfung↗ (öffnet in einem neuen Tab) oder dem NIS-2-Betroffenheits-Check. Beide ersetzen keine verbindliche Einstufung. Grundlage ist § 28 BSIG mit den Anlagen 1 und 2. Typische Maßnahmen wie Backup und Zwei-Faktor-Authentifizierung erklären eigene Einträge.