NIS2 in Deutschland. Die technischen Anforderungen seit dem Umsetzungsgesetz

Die Kurzantwort. Das NIS-2-Umsetzungsgesetz gilt in Deutschland seit dem 6. Dezember 2025 und betrifft rund 29.500 Unternehmen. Besonders wichtige Einrichtungen ab 250 Mitarbeitern oder 50 Millionen Euro Umsatz, wichtige Einrichtungen ab 50 Mitarbeitern oder 10 Millionen Euro, verteilt auf 18 Sektoren. Verlangt werden Risikomanagementmaßnahmen nach § 30 BSIG, Meldungen von Vorfällen nach § 32 BSIG binnen 24 Stunden und die Registrierung beim BSI. Seit Oktober 2026 müssen die Maßnahmen auf Verlangen belegt werden, die Geschäftsleitung haftet persönlich.

Die Suppe wird oft heißer gekocht, als sie ist. Daran hat auch das Inkrafttreten nichts geändert. Wer solide Grundstrukturen hat, einen funktionierenden Berichtsweg und ein gelebtes Risikomanagement, ist näher an der Umsetzung, als ihm die Angstangebote im Postfach weismachen wollen. Dieser Beitrag zeigt nüchtern, was das Gesetz verlangt, mit den echten Paragrafen und den echten Fristen.

Wo wir stehen, die unbequemen Zahlen

Bis zur Registrierungsfrist im März 2026 hatten sich von rund 29.500 betroffenen Unternehmen nur etwa 11.500 beim BSI gemeldet. Mehr als 18.000 sind säumig, und das BSI hat angekündigt, aktiv zu prüfen. Seit dem 1. Oktober 2026 gilt zusätzlich die Nachweispflicht. Es genügt nicht mehr, Maßnahmen umgesetzt zu haben, sie müssen auf Verlangen belegt werden, durch Dokumentation, Audits oder vorhandene Zertifizierungen. Bei Verstößen drohen Bußgelder bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Umsatzes, und die Pflichten der Geschäftsleitung sind nicht delegierbar.

Wer betroffen ist

	Besonders wichtige Einrichtungen	Wichtige Einrichtungen
Schwelle	ab 250 Mitarbeiter oder 50 Mio. Euro Umsatz	ab 50 Mitarbeiter oder 10 Mio. Euro Umsatz
Sektoren (Auswahl)	Energie, Transport, Gesundheit, Wasser, digitale Infrastruktur, öffentliche Verwaltung	Produktion, Chemie, Lebensmittel, Abfall, digitale Dienste, Post, Forschung
Aufsicht	Nachweispflicht gegenüber dem BSI, regelmäßige Prüfungen	Prüfung anlassbezogen, Nachweispflicht auf Verlangen
Registrierung	verpflichtend, Frist abgelaufen im März 2026	verpflichtend, Frist abgelaufen im März 2026

Die Einstufung hängt am Sektor und an den Schwellenwerten, nicht an der Selbsteinschätzung. Wer unsicher ist, prüft die Sektorliste des BSI oder lässt die Betroffenheit im Rahmen einer Standortbestimmung klären. Wichtig für Zulieferer, auch wer selbst nicht unter das Gesetz fällt, bekommt die Anforderungen über die Lieferkette seiner Kunden weitergereicht.

Die Pflichten nach § 30 BSIG

Das Gesetz setzt Artikel 21 der europäischen NIS-2-Richtlinie um und verlangt Maßnahmen nach Stand der Technik in zehn Bereichen. Keiner davon ist exotisch, zusammen ergeben sie ein funktionierendes Sicherheitsmanagement.

Pflichtbereich (§ 30 Abs. 2 BSIG)	Was in der Praxis dahintersteckt
Risikoanalyse und Sicherheitskonzepte	Dokumentierte Risikoanalyse mit Bewertung und Maßnahmenplan, nicht einmalig, sondern gepflegt
Bewältigung von Sicherheitsvorfällen	Incident-Response-Plan mit Rollen, Eskalationswegen und geübtem Ablauf
Betriebskontinuität und Krisenmanagement	Backup-Konzept, Wiederanlaufpläne, Notfallübungen mit dokumentiertem Ergebnis
Sicherheit der Lieferkette	Anforderungen an Dienstleister vertraglich regeln und prüfen, auch an das Systemhaus
Sicherheit bei Entwicklung und Beschaffung	Sichere Konfiguration, Patch-Prozesse, Schwachstellenmanagement
Wirksamkeitsbewertung	Regelmäßige Prüfungen, hier kommen Penetrationstests und automatisierte Tests ins Spiel
Cyberhygiene und Schulungen	Awareness-Programm mit Nachweis, auch für die Geschäftsleitung verpflichtend
Kryptografie und Verschlüsselung	Konzept, welche Daten wie verschlüsselt werden, inklusive Schlüsselverwaltung
Personal, Zugriffe und Anlagen	Berechtigungskonzept, Zutrittsregelungen, Prozess für ausscheidende Mitarbeiter
Mehrfaktor-Authentifizierung und sichere Kommunikation	MFA überall dort, wo von außen zugegriffen wird, gesicherte Kommunikationswege

Die Wirksamkeitsbewertung ist der Punkt, an dem die meisten Nachweise scheitern. Ein Bericht im Ordner belegt keine Wirksamkeit. Bewährt hat sich das Hybridmodell aus quartalsweise automatisierten und periodischen manuellen Tests, dokumentiert und mit nachverfolgter Behebung. Welches Prüfformat wann genügt, zeigt unser Vergleich der Prüfformate.

Mehr Informationen und Einzelheiten erhalten Sie in unserer Broschüre zur NIS-2 Richtlinie

Die Meldepflichten nach § 32 BSIG

Erhebliche Sicherheitsvorfälle müssen gemeldet werden, dreistufig und mit harten Fristen. Diese Fristen setzen einen funktionierenden internen Prozess voraus, denn wer erst im Ernstfall klärt, wer meldet, hat die erste Frist bereits verpasst.

Frist	Inhalt der Meldung
binnen 24 Stunden	Erstmeldung mit erster Einschätzung, auch auf Verdacht
binnen 72 Stunden	Bewertete Meldung mit Einschätzung von Schwere und Auswirkungen
binnen eines Monats	Abschlussbericht mit Ursache, Verlauf und ergriffenen Maßnahmen

Wer das alles steuert

Das Gesetz schreibt keinen Informationssicherheitsbeauftragten vor, aber es beschreibt exakt dessen Arbeit. Jemand muss die Risikoanalyse pflegen, die Maßnahmen nachhalten, die Meldewege kennen und der Geschäftsleitung berichten, denn die haftet nach § 38 BSIG persönlich und muss sich nachweislich schulen lassen. Wie diese Rolle aussieht, steht im Beitrag zu den Aufgaben des Informationssicherheitsbeauftragten, und wie der Berichtsweg zur Geschäftsführung funktioniert, zeigt der ISB-Bericht. Für Unternehmen zwischen 50 und 500 Mitarbeitern ist das Hybridmodell aus internem Koordinator und externem ISB meist der wirtschaftlichste Weg.

Häufige Fragen

Wir haben die Registrierung verpasst. Was jetzt? Sofort nachholen, über das Meldeportal des BSI. Die verspätete Registrierung ist unangenehm, die unterlassene ist bußgeldbewehrt und fällt spätestens bei der ersten Prüfung auf.

Erfüllt ein Schwachstellen-Scan-Abo die Pflicht aus § 30 BSIG? Nein. Ein Scan erzeugt einen Bericht, aber keine Risikoanalyse, keine Priorisierung und keine nachverfolgte Behebung. Die Pflicht verlangt wirksames Risikomanagement, kein Abo.

Reicht unsere ISO-27001-Zertifizierung als Nachweis? Sie ist der beste Startpunkt und deckt einen Großteil der Pflichtbereiche ab. Prüfen müssen Sie den Geltungsbereich des Zertifikats, die Meldeprozesse nach § 32 und die Registrierung, die kommt auch mit Zertifikat nicht von allein. Wie beides zusammenpasst, steht im Beitrag zur ISO-27001-Zertifizierung.

Was prüft das BSI konkret? Dokumentation und Wirksamkeit. Auditoren wollen Nachweise sehen, keine Absichtserklärungen. Risikoanalyse mit Datum, Maßnahmen mit Verantwortlichen und Fristen, Übungsprotokolle, Prüfberichte, Schulungsnachweise.

Wir fallen nicht unter NIS2. Können wir das Thema ignorieren? Nur bis zur nächsten Kundenanfrage. Die Lieferkettenpflicht sorgt dafür, dass betroffene Unternehmen ihre Anforderungen an Zulieferer weitergeben, und Cyberversicherer verlangen dieselben Grundmaßnahmen ohnehin.

NESEC als externer Informationssicherheitsbeauftragter (ISB) im Rahmen der NIS-2 Richtlinie

Die NIS-2 Richtlinie verlangt umfassende Sicherheitsmaßnahmen und die kontinuierliche Anpassung an neue Bedrohungen. NESEC kann dabei in folgenden Bereichen unterstützen:

• Zentrale Ansprechperson: Übernahme der Rolle als zentrale Ansprechperson für alle Belange der Informationssicherheit.
• Beratung des Managements: Unterstützung bei der strategischen Umsetzung und Weiterentwicklung des Informationssicherheitsmanagementsystems gemäß NIS-2 Anforderungen.
• Aufbau und Weiterentwicklung des Managementsystems: Entwicklung und Implementierung eines robusten Informationssicherheitsmanagementsystems.
• Regelmäßige Berichterstattung: Erstellung regelmäßiger Berichte zum aktuellen Stand der Informationssicherheit.
• Koordination von Schulungsmaßnahmen: Planung und Durchführung von Schulungen zur Sensibilisierung und Weiterbildung der Mitarbeiter.
• Flexibilität und Anpassungsfähigkeit: Anpassung an die spezifischen Bedürfnisse Ihres Unternehmens mit maßgeschneiderten Lösungen.
• Kosteneffizienz: Einsparung von Kosten durch die Auslagerung der ISB-Funktion und Vermeidung interner Rekrutierungs- und Schulungskosten.
• Aktualität und Expertise: Sicherstellung der Einhaltung aktueller IT-Sicherheitsstandards und Implementierung neuester Sicherheitspraktiken.

Durch die enge Zusammenarbeit mit einem externen ISB von NESEC können Unternehmen die Anforderungen der NIS-2 Richtlinie effizient umsetzen und ihre Cybersicherheitsmaßnahmen kontinuierlich verbessern.

Unsere Empfehlung

Wenn Sie betroffen und noch nicht registriert sind, registrieren Sie sich diese Woche, alles andere ist nachrangig. Wenn Sie registriert sind, machen Sie Ihre Dokumentation prüfungsfest, bevor das BSI fragt. Die Reihenfolge dafür ist immer dieselbe. Erst klären, wer die Steuerung übernimmt, dann die Risikoanalyse auf Stand bringen, dann die Wirksamkeit durch Prüfungen belegen. Und wenn Ihnen jemand NIS2-Konformität als Produkt verkaufen will, als Appliance, Abo oder Lizenz, fragen Sie ihn, welcher der zehn Pflichtbereiche aus § 30 sich seiner Meinung nach kaufen lässt.

Weiterführende NESEC-Beiträge

• ISB-Aufgaben und Verantwortlichkeiten, die Rolle, die NIS2 faktisch verlangt
• Der ISB-Bericht, der Berichtsweg zur haftenden Geschäftsleitung
• Rollen für ISB, DSB, CISO und KI-Beauftragte, Modelle und Kosten für den Mittelstand
• Automatisierte Penetrationstests, die Wirksamkeitsbewertung in der Praxis
• Cyber-Risiko-Check, Sicherheits-Check oder Pentest, welches Prüfformat den Nachweis trägt
• IT-Sicherheits-Trends, NIS2 im Jahreskontext

Weiterführende Informationen und Downloadbereich

Für weiterführende Informationen zur NIS-2 Richtlinie und deren Umsetzung bieten wir eine detaillierte Informationsbroschüre zum Download an. In unserem Downloadbereich finden Sie nicht nur diese Broschüre, sondern auch weitere hilfreiche Materialien, die Ihnen bei der Einhaltung der NIS-2 Anforderungen unterstützen können.