NIS2: Welche Unternehmen betroffen sind und was jetzt zu tun ist

Jahrelang galt Cybersicherheitsregulierung in Deutschland als Angelegenheit von Kraftwerksbetreibern, Großbanken und Krankenhäusern. Diese Zeit ist vorbei. Seit dem 6. Dezember 2025 gilt das neu gefasste BSI-Gesetz, und mit ihm rücken nach Schätzung des Bundesamts für Sicherheit in der Informationstechnik (BSI) rund 29.500 Unternehmen und Einrichtungen der Bundesverwaltung unter staatliche Aufsicht. Darunter sind Maschinenbauer, Lebensmittelproduzenten, Chemiehändler, Logistiker und IT-Dienstleister – viele davon Mittelständler, die sich bislang nie als „kritisch“ verstanden haben. Die gesetzliche Registrierungsfrist ist für die meisten bereits abgelaufen. Wer sich noch nicht mit der Frage beschäftigt hat, ob das eigene Unternehmen betroffen ist, sollte das jetzt nachholen.

Der folgende Überblick beschreibt die Pflichten nach aktueller Rechtslage (Stand: September 2026).

Von der EU-Richtlinie zum neuen BSI-Gesetz

Ausgangspunkt ist die Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union, kurz NIS-2-Richtlinie. Sie ersetzt die erste NIS-Richtlinie von 2016 und verfolgt ein klares Ziel: ein einheitlich hohes Sicherheitsniveau in allen Mitgliedstaaten und ein deutlich breiterer Kreis verpflichteter Unternehmen. Die Mitgliedstaaten hätten die Vorgaben bis zum 17. Oktober 2024 in nationales Recht umsetzen und ab dem 18. Oktober 2024 anwenden müssen.

Deutschland hat diese Frist um mehr als ein Jahr verfehlt. Das „Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung“, in der Fachwelt meist NIS2UmsuCG genannt, wurde am 2. Dezember 2025 ausgefertigt, am 5. Dezember 2025 im Bundesgesetzblatt verkündet (BGBl. 2025 I Nr. 301) und trat am 6. Dezember 2025 in Kraft.

Das Gesetz ist ein Artikelgesetz. Sein Kern ist ein vollständig neu gefasstes BSI-Gesetz (BSIG). Für Unternehmen entscheidend ist dessen Teil 3 zur Informationssicherheit von Einrichtungen, insbesondere die §§ 28 bis 40 BSIG. Eine allgemeine Übergangsfrist gibt es nach Angaben des BSI nicht: Die Pflichten gelten seit Inkrafttreten.

Wer betroffen ist: zwei Kategorien, zwei Prüfschritte

Das BSIG unterscheidet zwei Klassen regulierter Unternehmen: „besonders wichtige Einrichtungen“ und „wichtige Einrichtungen“ (§ 28 BSIG). Ob ein Unternehmen in eine dieser Kategorien fällt, hängt von zwei Fragen ab – der Tätigkeit und der Größe.

Erster Prüfschritt: der Sektor

Maßgeblich sind die Anlagen 1 und 2 zum BSIG, die die Anhänge I und II der Richtlinie abbilden.

Anlage 1 umfasst Sektoren mit hoher Kritikalität:

• Energie (Strom, Fernwärme und -kälte, Kraftstoff und Heizöl, Gas)
• Transport und Verkehr (Luft, Schiene, Schifffahrt, Straße)
• Finanzwesen (Bankwesen, Finanzmarktinfrastrukturen)
• Gesundheit
• Wasser (Trinkwasserversorgung, Abwasserbeseitigung)
• Digitale Infrastruktur, einschließlich Anbietern von Cloud-Computing- und Rechenzentrumsdiensten sowie verwalteter Dienste (Managed Service Provider)
• Weltraum

Anlage 2 erfasst weitere Sektoren:

• Post- und Kurierdienste
• Abfallbewirtschaftung
• Produktion, Herstellung und Handel mit chemischen Stoffen
• Produktion, Verarbeitung und Vertrieb von Lebensmitteln
• Verarbeitendes Gewerbe, etwa Herstellung von Medizinprodukten, Datenverarbeitungsgeräten und elektronischen Erzeugnissen, elektrischen Ausrüstungen, Maschinen sowie Kraftwagen und sonstigen Fahrzeugen
• Anbieter digitaler Dienste (Online-Marktplätze, Suchmaschinen, Plattformen für soziale Netzwerke)
• Forschung

Gerade Anlage 2 ist für den Mittelstand heikel. Ein Maschinenbauer oder Zulieferer der Automobilindustrie mit 80 Beschäftigten kann damit ebenso reguliert sein wie ein regionaler Lebensmittelgroßhändler. Wichtig ist dabei eine Einschränkung aus § 28 Abs. 3 BSIG: Geschäftstätigkeiten, die im Hinblick auf die gesamte Geschäftstätigkeit vernachlässigbar sind, können bei der Zuordnung unberücksichtigt bleiben. Eine Nebentätigkeit allein macht ein Unternehmen also nicht zwingend zur regulierten Einrichtung – die Abgrenzung erfordert aber eine dokumentierte Einzelfallprüfung.

Zweiter Prüfschritt: die Größe

Für die meisten Unternehmen aus den Anlagen gilt eine Größenschwelle, die sich an der KMU-Empfehlung der EU-Kommission (2003/361/EG) orientiert:

• Wichtige Einrichtung ist ein Unternehmen aus Anlage 1 oder 2, wenn es mindestens 50 Mitarbeiter beschäftigt oder einen Jahresumsatz von mehr als 10 Millionen Euro und eine Jahresbilanzsumme von mehr als 10 Millionen Euro aufweist (§ 28 Abs. 2 BSIG).
• Besonders wichtige Einrichtung ist ein Unternehmen aus Anlage 1, wenn es mindestens 250 Mitarbeiter beschäftigt oder einen Jahresumsatz von mehr als 50 Millionen Euro und eine Jahresbilanzsumme von mehr als 43 Millionen Euro aufweist (§ 28 Abs. 1 BSIG).

Unternehmen, die ausschließlich unter Anlage 2 fallen, können damit höchstens wichtige Einrichtungen sein. Daneben gibt es größenunabhängige Fälle: Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries und DNS-Diensteanbieter gelten stets als besonders wichtige Einrichtungen.

Bei der Berechnung der Kennzahlen verweist § 28 Abs. 4 BSIG auf die KMU-Empfehlung. Eine deutsche Besonderheit verdient Aufmerksamkeit: Daten von Partner- oder verbundenen Unternehmen sind nicht hinzuzurechnen, wenn das Unternehmen im Hinblick auf seine informationstechnischen Systeme und Prozesse unabhängig ist. Für Holding- und Gruppenstrukturen kann diese Regel über die Betroffenheit entscheiden – sie setzt allerdings voraus, dass die IT-Unabhängigkeit tatsächlich besteht und belegbar ist.

Registrierung: Die Frist ist für viele verstrichen

Nach § 33 BSIG müssen sich besonders wichtige und wichtige Einrichtungen spätestens drei Monate, nachdem sie erstmals als solche gelten, beim BSI registrieren. Für Unternehmen, die bereits bei Inkrafttreten betroffen waren, lief diese Frist damit Anfang März 2026 ab. Das BSI weist auf seiner Website ausdrücklich darauf hin, dass die gesetzliche Registrierungsfrist abgelaufen ist, und fordert betroffene, aber noch nicht registrierte Unternehmen auf, dies unverzüglich nachzuholen.

Die Registrierung verläuft zweistufig: Zunächst benötigt das Unternehmen ein ELSTER-Organisationszertifikat über „Mein Unternehmenskonto“ (MUK), anschließend erfolgt die eigentliche Registrierung im BSI-Portal, das das Amt im Januar 2026 freigeschaltet hat. Anzugeben sind unter anderem Name und Rechtsform, Kontaktdaten, der einschlägige Sektor, die Mitgliedstaaten, in denen Dienste erbracht werden, sowie die zuständigen Aufsichtsbehörden. Änderungen müssen binnen zwei Wochen nachgemeldet werden. Wer nicht, nicht richtig oder nicht rechtzeitig registriert, riskiert ein Bußgeld von bis zu 500.000 Euro (§ 65 BSIG).

Für die Einordnung bietet das BSI eine Online-Betroffenheitsprüfung an. Sie liefert eine automatisierte Ersteinschätzung, ist nach Angaben des Amtes aber ausdrücklich nicht rechtsverbindlich. Sie ersetzt keine eigene, dokumentierte Prüfung.

Die Kernpflicht: Risikomanagement nach § 30 BSIG

Inhaltlich zentral ist § 30 BSIG. Betroffene Unternehmen müssen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit ihrer IT-Systeme zu vermeiden und Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten. Bei der Verhältnismäßigkeit sind unter anderem die Risikoexposition, die Größe des Unternehmens, die Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere möglicher Vorfälle zu berücksichtigen.

Die Maßnahmen sollen den Stand der Technik einhalten und einem gefahrenübergreifenden Ansatz folgen. § 30 Abs. 2 BSIG nennt zehn Mindestbereiche:

1. Konzepte für Risikoanalyse und Sicherheit in der Informationstechnik
2. Bewältigung von Sicherheitsvorfällen
3. Aufrechterhaltung des Betriebs, Backup-Management, Wiederherstellung und Krisenmanagement
4. Sicherheit der Lieferkette, einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern
5. Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen, einschließlich Umgang mit Schwachstellen
6. Konzepte zur Bewertung der Wirksamkeit der Maßnahmen
7. Grundlegende Schulungen und Sensibilisierung der Beschäftigten für Informationssicherheit
8. Konzepte für Kryptografie und Verschlüsselung
9. Personalsicherheit, Zugriffskontrolle und Management der IT-Systeme
10. Multi-Faktor-Authentifizierung, gesicherte Kommunikation und gesicherte Notfallkommunikation

Die Maßnahmen sind zu dokumentieren. Praktisch läuft das auf ein Informationssicherheits-Managementsystem (ISMS) hinaus – etwa orientiert an ISO/IEC 27001 oder am IT-Grundschutz des BSI. Das Gesetz schreibt kein bestimmtes Rahmenwerk vor, verlangt aber eine nachvollziehbare, gelebte Sicherheitsorganisation statt einzelner technischer Insellösungen.

Für Betreiber kritischer Anlagen gelten zusätzlich die besonderen Anforderungen des § 31 BSIG sowie die Pflicht, die Umsetzung regelmäßig nachzuweisen. Andere Einrichtungen müssen Nachweise nach Angaben des BSI nur auf Anforderung erbringen. Die Aufsicht unterscheidet ebenfalls: Für besonders wichtige Einrichtungen sieht § 61 BSIG weitergehende Aufsichts- und Durchsetzungsbefugnisse vor als § 62 BSIG für wichtige Einrichtungen.

Meldepflichten: 24 Stunden, 72 Stunden, ein Monat

Der vermutlich folgenreichste Einschnitt in den Unternehmensalltag sind die Meldepflichten nach § 32 BSIG. Erhebliche Sicherheitsvorfälle sind dem BSI in einem gestuften Verfahren zu melden:

• Erstmeldung: unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung
• Meldung: unverzüglich, spätestens innerhalb von 72 Stunden, mit einer ersten Bewertung des Vorfalls, seines Schweregrads und seiner Auswirkungen
• Zwischenmeldung: auf Ersuchen des BSI
• Abschlussmeldung: spätestens einen Monat nach der Meldung, mit ausführlicher Beschreibung, Ursache, ergriffenen Abhilfemaßnahmen und gegebenenfalls grenzüberschreitenden Auswirkungen; dauert der Vorfall noch an, ist stattdessen eine Fortschrittsmeldung fällig

Die Frist von 24 Stunden klingt großzügig, ist es aber nicht. Sie beginnt mit der Kenntnis des Vorfalls – nicht mit dessen vollständiger Aufklärung. Wer an einem Freitagabend einen Ransomware-Befall bemerkt, muss bis Samstagabend gemeldet haben. Das gelingt nur, wenn Zuständigkeiten, Eskalationswege, Bewertungskriterien und Zugänge zum BSI-Portal vorab festgelegt sind. Das BSI stellt klar, dass eine erste Meldung auch unvollständig sein darf und später ergänzt werden kann.

Die 24-Stunden-Frist beginnt nicht, wenn der Vorfall verstanden ist, sondern wenn er bemerkt wird – wer erst im Ernstfall klärt, wer meldet, hat die Frist bereits verloren.

Chefsache per Gesetz: Pflichten und Haftung der Geschäftsleitung

Neu ist die ausdrückliche Verankerung der Verantwortung auf Leitungsebene. Nach § 38 Abs. 1 BSIG sind Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen verpflichtet, die Risikomanagementmaßnahmen nach § 30 umzusetzen und ihre Umsetzung zu überwachen. Delegation an die IT-Abteilung oder einen externen Dienstleister ist möglich, entlastet die Geschäftsführung aber nicht von ihrer Überwachungspflicht.

Verletzen Geschäftsleiter diese Pflichten, haften sie ihrer Einrichtung für schuldhaft verursachte Schäden nach den Regeln des jeweiligen Gesellschaftsrechts (§ 38 Abs. 2 BSIG) – bei einer GmbH also im Rahmen der Geschäftsführerhaftung, bei einer Aktiengesellschaft im Rahmen der Vorstandshaftung. Hinzu kommt nach § 38 Abs. 3 BSIG eine persönliche Schulungspflicht: Geschäftsleitungen müssen regelmäßig an Schulungen teilnehmen, um Risiken erkennen und Risikomanagementpraktiken bewerten zu können. Eine konkrete Frequenz nennt das Gesetz nicht.

Wie Führungskräfte ihre Rolle in solchen Querschnittsthemen organisieren, zeigt sich auch bei anderen Regulierungsvorhaben. Beim EU AI Act etwa stellt sich die Frage nach klaren Verantwortlichkeiten und Kompetenzaufbau auf Leitungsebene in ähnlicher Weise.

Bußgelder: Orientierung am Konzernumsatz

Ähnlich wie bei der Datenschutz-Grundverordnung knüpfen die Höchstbeträge für große Unternehmen an den weltweiten Umsatz an. Nach § 65 BSIG drohen bei Verstößen gegen zentrale Pflichten, etwa aus § 30 (Risikomanagement) oder § 32 (Meldepflichten):

• Besonders wichtige Einrichtungen: Geldbußen bis zu 10 Millionen Euro; bei einem weltweiten Jahresumsatz von mehr als 500 Millionen Euro bis zu 2 Prozent des Gesamtumsatzes
• Wichtige Einrichtungen: Geldbußen bis zu 7 Millionen Euro; bei einem weltweiten Jahresumsatz von mehr als 500 Millionen Euro bis zu 1,4 Prozent des Gesamtumsatzes
• Registrierungsverstöße: bis zu 500.000 Euro

Die Höchstbeträge sind Obergrenzen, keine Regelsätze. Sie verdeutlichen aber, dass der Gesetzgeber Cybersicherheit nicht mehr als freiwillige Übung behandelt.

Die unterschätzte Wirkung: Lieferanten ohne eigene Pflicht

Auch Unternehmen, die weder die Sektor- noch die Größenkriterien erfüllen, kommen an NIS2 kaum vorbei. Der Grund liegt in § 30 Abs. 2 Nr. 4 BSIG: Regulierte Einrichtungen müssen die Sicherheit ihrer Lieferkette gewährleisten, einschließlich sicherheitsbezogener Aspekte der Beziehungen zu ihren unmittelbaren Anbietern und Diensteanbietern. Das BSI weist in seinen FAQ ausdrücklich darauf hin, dass nicht regulierte Zulieferer dadurch mittelbar betroffen sind – über vertragliche Vereinbarungen zu Risikomanagement und Cybersicherheit.

In der Praxis heißt das: Kunden verlangen Sicherheitsfragebögen, Nachweise über Zertifizierungen, Meldeklauseln bei Vorfällen, Auditrechte und Mindeststandards wie Multi-Faktor-Authentifizierung. Für einen kleinen Softwaredienstleister, eine Agentur mit Systemzugriff oder einen Wartungsbetrieb kann die Antwort auf solche Anforderungen über die Fortsetzung einer Geschäftsbeziehung entscheiden. Wer sein Sicherheitsniveau belastbar dokumentieren kann, gewinnt damit einen Wettbewerbsvorteil.

Die Dynamik ähnelt anderen regulatorischen Digitalisierungsschüben: Auch die Umstellung auf die E-Rechnung wirkt entlang der gesamten Wertschöpfungskette und erfasst Unternehmen, die sich selbst nie als Adressaten gesehen haben.

Was jetzt zu tun ist: die Checkliste

Für Geschäftsführer und Inhaber mittelständischer Unternehmen empfiehlt sich ein strukturiertes Vorgehen in sechs Schritten:

1. Betroffenheitsprüfung durchführen: Tätigkeiten mit den Anlagen 1 und 2 zum BSIG abgleichen, Mitarbeiterzahl, Umsatz und Bilanzsumme nach der KMU-Empfehlung ermitteln, Gruppenverbindungen und IT-Unabhängigkeit prüfen. Die BSI-Betroffenheitsprüfung als Einstieg nutzen, das Ergebnis aber intern dokumentieren und bei Zweifeln rechtlich absichern.
2. Registrierung nachholen: Falls betroffen und noch nicht registriert, ELSTER-Organisationszertifikat über „Mein Unternehmenskonto“ beantragen und die Registrierung im BSI-Portal unverzüglich abschließen. Verantwortliche für die Pflege der Stammdaten benennen.
3. ISMS aufbauen oder nachschärfen: Eine Gap-Analyse entlang der zehn Maßnahmenbereiche des § 30 Abs. 2 BSIG durchführen, Prioritäten festlegen und Maßnahmen dokumentieren. Anlehnung an ISO/IEC 27001 oder IT-Grundschutz prüfen.
4. Meldeprozess einrichten: Kriterien für „erhebliche Sicherheitsvorfälle“ definieren, Rollen und Vertretungen festlegen, Zugänge zum BSI-Portal sicherstellen und den Ablauf für 24 Stunden, 72 Stunden und einen Monat in einer Übung durchspielen.
5. Lieferanten und Dienstleister steuern: Kritische Zulieferer und IT-Dienstleister identifizieren, Verträge um Sicherheitsanforderungen und Meldepflichten ergänzen. Als nicht regulierter Zulieferer: eigene Sicherheitsdokumentation für Kundenanfragen vorbereiten.
6. Geschäftsleitung schulen: Schulungen für die Leitungsebene fest einplanen und nachweisbar dokumentieren, Cybersicherheit als regelmäßigen Tagesordnungspunkt in der Geschäftsführung verankern.

Fazit

NIS2 ist in Deutschland kein Zukunftsthema mehr, sondern geltendes Recht ohne Schonfrist. Das neue BSI-Gesetz erweitert den Kreis regulierter Unternehmen erheblich und trifft vor allem den Mittelstand in Branchen, die sich bislang außerhalb der Cybersicherheitsregulierung wähnten. Die wichtigsten Stellschrauben sind überschaubar: eine saubere, dokumentierte Betroffenheitsprüfung, die Registrierung beim BSI, ein funktionierendes Risikomanagement und ein Meldeprozess, der auch am Wochenende trägt.

Entscheidend ist die Haltung der Geschäftsleitung. Das Gesetz macht Informationssicherheit ausdrücklich zur Leitungsaufgabe, mit persönlicher Schulungspflicht und gesellschaftsrechtlicher Haftung. Unternehmen, die NIS2 als Anlass für eine belastbare Sicherheitsorganisation nutzen, reduzieren nicht nur Bußgeldrisiken, sondern stärken auch ihre Position gegenüber Kunden, die entlang der Lieferkette zunehmend Nachweise einfordern.

Hinweis: Dieser Beitrag dient der allgemeinen Information und stellt keine Anlage-, Steuer- oder Rechtsberatung dar. Maßgeblich ist die individuelle Prüfung durch qualifizierte Berater.

Quellen

• EUR-Lex – Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie), Zusammenfassung – https://eur-lex.europa.eu/legal-content/de/LSU/?uri=CELEX:32022L2555
• Europäische Kommission, Vertretung in Deutschland – Neue Vorschriften zur Verbesserung der Cybersicherheit (17.10.2024) – https://germany.representation.ec.europa.eu/news/neue-vorschriften-zur-verbesserung-der-cybersicherheit-kritischer-einrichtungen-und-netze-der-eu-2024-10-17_de
• Bundesgesetzblatt – Gesetz zur Umsetzung der NIS-2-Richtlinie, BGBl. 2025 I Nr. 301 – https://www.recht.bund.de/bgbl/1/2025/301/VO.html
• Gesetze im Internet – BSI-Gesetz (BSIG) 2025 – https://www.gesetze-im-internet.de/bsig_2025/
• Gesetze im Internet – § 28 BSIG – https://www.gesetze-im-internet.de/bsig_2025/__28.html
• Gesetze im Internet – § 30 BSIG – https://www.gesetze-im-internet.de/bsig_2025/__30.html
• Gesetze im Internet – § 32 BSIG – https://www.gesetze-im-internet.de/bsig_2025/__32.html
• Gesetze im Internet – § 33 BSIG – https://www.gesetze-im-internet.de/bsig_2025/__33.html
• Gesetze im Internet – § 38 BSIG – https://www.gesetze-im-internet.de/bsig_2025/__38.html
• Gesetze im Internet – § 65 BSIG – https://www.gesetze-im-internet.de/bsig_2025/__65.html
• Gesetze im Internet – Anlage 1 BSIG – https://www.gesetze-im-internet.de/bsig_2025/anlage_1.html
• Gesetze im Internet – Anlage 2 BSIG – https://www.gesetze-im-internet.de/bsig_2025/anlage_2.html
• BSI – NIS-2-regulierte Unternehmen – https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/nis-2-regulierte-unternehmen_node.html
• BSI – Allgemeine FAQ zu NIS-2 – https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/NIS-2-FAQ/NIS-2-FAQ-allgemein/FAQ-zu-NIS-2_node.html
• BSI – NIS-2-Pflichten – https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/NIS-2-Pflichten/nis-2-pflichten_node.html
• BSI – NIS-2-Betroffenheitsprüfung – https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/BSI-Portal/NIS-2-Betroffenheitspruefung/nis-2-betroffenheitspruefung_node.html
• BSI – Pressemitteilung: Zweiter Schritt zur NIS-2-Registrierung: BSI-Portal ab sofort freigeschaltet – https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2026/260601_NIS2_BSI-Portal.html