NIS2 Pflichten für Unternehmen: Was das neue BSIG jetzt von Ihnen verlangt

Lesezeit ca. 9 Minuten

1. Rechtsstand: Seit wann NIS2 in Deutschland gilt

Die europäische NIS2-Richtlinie (EU) 2022/2555 wurde in Deutschland mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz umgesetzt. Der Bundestag beschloss das Gesetz am 13. November 2025, der Bundesrat stimmte am 21. November 2025 zu. Die Verkündung im Bundesgesetzblatt erfolgte am 5. Dezember 2025; seit dem 6. Dezember 2025 gilt das neugefasste BSI-Gesetz (BSIG).

Entscheidend für die Praxis: Eine allgemeine Übergangsfrist existiert nicht. Wer die Umsetzung aufgeschoben hat, weil das Gesetzgebungsverfahren jahrelang stockte, befindet sich heute nicht in einer Schonfrist, sondern im Rückstand. Für Einrichtungen, die bereits am 6. Dezember 2025 in den Anwendungsbereich fielen, lief die Registrierungsfrist des § 33 BSIG bereits Anfang März 2026 ab.

• 06.12.2025: Neugefasstes BSIG in Kraft – Pflichten gelten unmittelbar
• Anfang März 2026: Ablauf der Drei-Monats-Frist für die Registrierung beim BSI (Bestandsfälle)
• Laufend: Individuelle Dreimonatsfrist bei erstmaligem Eintritt in den Anwendungsbereich (z. B. durch Wachstum, Zukauf, neues Geschäftsfeld)
• Parallel: KRITIS-Dachgesetz zur physischen Resilienz kritischer Anlagen

2. Betroffenheitsprüfung: „wichtige“ oder „besonders wichtige“ Einrichtung?

Die Einstufung nach § 28 BSIG entscheidet über Pflichtenumfang, Aufsichtsintensität und Bußgeldrahmen. Sie folgt zwei Kriterien: Sektorzugehörigkeit (18 Sektoren nach den Anlagen 1 und 2 BSIG) und Unternehmensgröße.

Unterschätzt wird die Reichweite regelmäßig im industriellen Mittelstand: Maschinenbau, Elektronik, Fahrzeugbau, Chemie, Lebensmittelproduktion, Abfallwirtschaft, Post- und Kurierdienste sowie IT-Dienstleister und Managed Service Provider fallen über Anlage 2 BSIG in den Anwendungsbereich, obwohl sie sich nie als „kritische Infrastruktur“ verstanden haben. Auch die Konzernbetrachtung ist fehleranfällig: Verbundene Unternehmen können bei der Schwellenwertberechnung zusammenzurechnen sein, und jede rechtlich selbstständige Einheit ist gesondert zu bewerten.

3. Die zentralen NIS2 Pflichten nach §§ 30 ff. BSIG

§ 30 BSIG verlangt geeignete, verhältnismäßige und dokumentierte technische und organisatorische Maßnahmen nach dem Stand der Technik. Das Gesetz benennt dafür einen verbindlichen Maßnahmenkatalog, der weit über klassische IT-Sicherheit hinausreicht:

• Risikoanalyse und Sicherheitskonzepte für Informationssysteme
• Bewältigung von Sicherheitsvorfällen inklusive definierter Prozesse und Zuständigkeiten
• Business Continuity: Backup-Management, Wiederherstellung, Krisenmanagement
• Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern und Dienstleistern
• Sicherheit in Beschaffung, Entwicklung und Wartung, inklusive Schwachstellenmanagement
• Wirksamkeitsprüfung der Risikomanagementmaßnahmen
• Cyberhygiene und Schulungen für Beschäftigte
• Kryptografie und Verschlüsselung nach klaren internen Vorgaben
• Personalsicherheit, Zugriffskontrolle und Asset-Management
• Multi-Faktor-Authentifizierung und gesicherte Kommunikation im Notfall

Aus anwaltlicher Sicht ist die Nachweisbarkeit der kritische Punkt. Gelebte Praxis ohne Dokumentation ist im Aufsichtsverfahren wertlos. Jede Maßnahme benötigt eine verabschiedete Richtlinie, einen Umsetzungsnachweis und eine nachvollziehbare Wirksamkeitskontrolle. Zertifizierungen nach ISO/IEC 27001 oder BSI IT-Grundschutz erleichtern den Nachweis erheblich, ersetzen aber die spezifisch regulatorischen Pflichten – Registrierung, Meldewesen, Leitungsverantwortung – nicht.

4. Meldepflichten: 24 Stunden, 72 Stunden, ein Monat

Erhebliche Sicherheitsvorfälle sind dem BSI nach § 32 BSIG in einem dreistufigen Verfahren zu melden:

Die 24-Stunden-Frist läuft ab Kenntnis – auch an Wochenenden und Feiertagen. Wer keine Rufbereitschaft, keine Eskalationsmatrix und keine vorbereiteten Meldetexte hat, verliert die Frist regelmäßig in der Abstimmung. Ergänzend ist zu klären, ob parallel eine Meldung nach Art. 33 DSGVO an die Datenschutzaufsicht erforderlich ist; beide Meldewege verfolgen unterschiedliche Zwecke und dürfen nicht vermengt werden, weil Meldeinhalte später in Haftungs- und Bußgeldverfahren gegen das Unternehmen verwendet werden können.

5. Geschäftsführerhaftung nach § 38 BSIG

Der größte Kulturbruch gegenüber dem bisherigen Recht liegt in § 38 BSIG. Die Geschäftsleitung muss die Risikomanagementmaßnahmen selbst billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Eine Delegation an CIO, CISO oder externe Dienstleister entlastet die Leitungsebene nicht von der Überwachungsverantwortung.

Bei schuldhafter Pflichtverletzung kommt zusätzlich eine Innenhaftung nach allgemeinen gesellschaftsrechtlichen Maßstäben in Betracht – etwa nach § 43 GmbHG oder § 93 AktG. Praktisch bedeutet das: Der Beschluss über das Sicherheitskonzept gehört protokolliert in die Geschäftsführungssitzung, Schulungsnachweise gehören archiviert, und der Zuschnitt der D&O-Versicherung sollte auf die neue Pflichtenlage überprüft werden.

6. NIS2 in der Lieferkette – auch ohne eigene Betroffenheit

Selbst wer nicht unmittelbar reguliert ist, spürt NIS2 über Verträge. Regulierte Kunden müssen die Sicherheit ihrer Lieferkette adressieren und geben die Anforderungen weiter: Sicherheitsanhänge, Audit- und Informationsrechte, Meldefristen von wenigen Stunden, Subunternehmerkontrolle, Nachweispflichten und Vertragsstrafen. Wer solche Klauseln ungeprüft akzeptiert, übernimmt regulatorische Risiken seines Kunden zu eigenen Konditionen.

Umgekehrt gilt für regulierte Einrichtungen: Bestehende Rahmen-, IT-, Cloud- und Wartungsverträge müssen daraufhin überprüft werden, ob sie die Durchsetzung der Anforderungen aus § 30 BSIG überhaupt ermöglichen. Ein Altvertrag ohne Auditrecht und ohne Meldeverpflichtung des Dienstleisters ist ein Compliance-Defizit.

7. Bußgelder und Aufsichtsbefugnisse

Der Bußgeldkatalog des § 65 BSIG staffelt Sanktionen nach Einrichtungstyp und Schwere des Verstoßes: bis 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen, bis 7 Mio. Euro oder 1,4 Prozent für wichtige Einrichtungen. Bußgeldbewehrt sind nicht nur Sicherheitsdefizite, sondern auch das Versäumen der Registrierung und verspätete oder unrichtige Meldungen.

Neben Geldbußen verfügt das BSI über ein abgestuftes Instrumentarium: Auskunftsverlangen, Vor-Ort-Prüfungen, Sicherheitsaudits, verbindliche Anweisungen und – bei besonders wichtigen Einrichtungen – weitreichende Eingriffsbefugnisse. Reputationsschäden entstehen dabei oft schneller als die Geldbuße.

8. Roadmap: Was Sie in den nächsten 90 Tagen tun sollten

1. Betroffenheit rechtssicher feststellen und das Ergebnis dokumentieren – auch ein negatives Prüfergebnis will belegt sein.
2. Registrierung beim BSI prüfen und, falls versäumt, unverzüglich nachholen. Die Pflicht entfällt nicht durch Zeitablauf.
3. Gap-Analyse zu § 30 BSIG: Welche der Maßnahmen existieren, welche sind lediglich gelebte Praxis ohne Nachweis?
4. Meldeprozess aufsetzen: Rufbereitschaft, Eskalationsmatrix, Meldevorlagen, Schnittstelle zum Datenschutz.
5. Leitungsverantwortung verankern: Beschlussfassung, Schulungsplan, Dokumentation.
6. Lieferantenverträge nachziehen: Sicherheitsanhang, Meldepflichten, Auditrechte, Subunternehmerregelungen.
7. Wirksamkeit prüfen und den Prüfzyklus verbindlich festlegen.

9. Häufige Fragen zu NIS2

Rechtlicher Hinweis: Dieser Beitrag gibt den Rechtsstand vom 17. August 2026 wieder und dient der allgemeinen Information. Er ersetzt keine Rechtsberatung im Einzelfall. Für eine auf Ihr Unternehmen zugeschnittene Bewertung sprechen Sie uns gerne an.