Was das NIS-2-Umsetzungsgesetz verlangt
Mit dem NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) hat Deutschland die europäische NIS-2-Richtlinie umgesetzt und das BSI-Gesetz (BSIG) neu gefasst. Das Gesetz ist am 6. Dezember 2025 in Kraft getreten – ohne Übergangsfrist für die materiellen Pflichten. Erfasst sind nicht mehr nur Betreiber kritischer Infrastrukturen, sondern zahlreiche Unternehmen aus 18 Sektoren, darunter Energie, Transport, Gesundheit, digitale Infrastruktur, IT-Dienstleistungen (Managed Services), Herstellung bestimmter Produkte, Lebensmittel, Chemie, Abfall und digitale Dienste.
Betroffen sind in der Regel Unternehmen dieser Sektoren mit mindestens 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme. Das Gesetz unterscheidet „besonders wichtige“ und „wichtige“ Einrichtungen. Einige Einrichtungen, etwa DNS-Diensteanbieter oder Vertrauensdiensteanbieter, sind unabhängig von ihrer Größe erfasst.
Die Pflichten im Überblick
- Registrierung beim BSI über das Melde- und Informationsportal; neu betroffene Unternehmen haben dafür drei Monate Zeit. Die verspätete Registrierung ist bußgeldbewehrt.
- Risikomanagement: geeignete, verhältnismäßige technische und organisatorische Maßnahmen, unter anderem zu Notfallmanagement, Lieferkettensicherheit, Zugriffskontrolle, Verschlüsselung und Schulungen.
- Meldepflichten bei erheblichen Sicherheitsvorfällen: frühe Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden und Abschlussbericht nach einem Monat.
- Geschäftsleitung: Die Geschäftsleitung muss die Maßnahmen billigen und ihre Umsetzung überwachen, regelmäßig an Schulungen teilnehmen und haftet bei Pflichtverletzungen.
Verstöße können mit Bußgeldern von bis zu 10 Millionen Euro oder 2 % des weltweiten Umsatzes (besonders wichtige Einrichtungen) bzw. 7 Millionen Euro oder 1,4 % (wichtige Einrichtungen) geahndet werden.
Cyber Resilience Act und Lieferkette
Hersteller von Produkten mit digitalen Elementen – Hardware wie Software – müssen zusätzlich den europäischen Cyber Resilience Act (CRA) beachten. Seine Meldepflichten für aktiv ausgenutzte Schwachstellen gelten ab dem 11. September 2026, die übrigen Anforderungen an sichere Produkte ab Dezember 2027. Viele Unternehmen sind außerdem mittelbar betroffen: Ihre Kunden verlangen als NIS-2-Einrichtungen vertragliche Sicherheitszusagen von Lieferanten und IT-Dienstleistern.
Recht und Technik zusammen
NIS-2 ist kein reines IT-Projekt und kein reines Rechtsprojekt. Wir prüfen die Betroffenheit verbindlich, übersetzen die gesetzlichen Pflichten in konkrete Anforderungen für Ihre IT-Abteilung oder Ihren Dienstleister, gestalten Lieferantenverträge und bereiten die Geschäftsleitung auf ihre persönliche Verantwortung vor. Im Ernstfall unterstützen wir bei Meldungen an das BSI und an die Datenschutzaufsicht.
Praxisbeispiele: IT-Sicherheit & NIS-2
Ist unser Unternehmen von NIS-2 betroffen?
Managed-Service-Provider und seine Kunden
Sicherheitsvorfall mit Meldepflicht
Geschäftsleitung will Haftung begrenzen
Die Beispiele sind typische, anonymisierte und vereinfachte Konstellationen aus der Beratungspraxis. Jeder Fall ist anders – das Ergebnis hängt von den Umständen des Einzelfalls ab.
Unsere Leistungen: IT-Sicherheit & NIS-2
- NIS-2-Betroffenheitsanalyse
- Registrierung beim BSI
- Umsetzung des Risikomanagements mit Ihrer IT
- Meldeprozesse und Vorfallsbegleitung
- Lieferanten- und Dienstleisterverträge
- Schulung und Haftungsberatung für Geschäftsleiter
So läuft die Zusammenarbeit ab
Häufige Fragen: IT-Sicherheit & NIS-2
Wie erkenne ich, ob mein Unternehmen unter NIS-2 fällt?
Maßgeblich sind der Sektor Ihrer Tätigkeit nach den Anlagen des BSIG und die Unternehmensgröße – in der Regel ab 50 Beschäftigten oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme. Die Zuordnung ist oft nicht eindeutig, insbesondere bei Mischtätigkeiten und Konzernen. Eine dokumentierte Prüfung schützt auch die Geschäftsleitung.
Was passiert, wenn wir die Registrierung versäumt haben?
Die verspätete Registrierung ist weiterhin möglich und sollte umgehend nachgeholt werden. Die unterlassene Registrierung ist ein eigener Bußgeldtatbestand. Wer frühzeitig nachregistriert und Maßnahmen belegt, steht im Verfahren deutlich besser da.
Haftet die Geschäftsführung persönlich?
Ja. Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen müssen die Risikomanagementmaßnahmen billigen und überwachen. Bei schuldhafter Pflichtverletzung haften sie der Gesellschaft nach den gesellschaftsrechtlichen Regeln.
Gilt NIS-2 auch für kleine IT-Dienstleister?
Kleine Unternehmen unter den Schwellenwerten sind in der Regel nicht unmittelbar erfasst. Sie spüren NIS-2 aber über ihre Kunden, die vertragliche Sicherheitsanforderungen an die Lieferkette weitergeben müssen.
Ihre Anfrage an uns
Alle Felder sind freiwillig. Geben Sie nur an, was Sie möchten.
