NIS2 · Informationssicherheit

Betrifft NIS2 Ihr Unternehmen?

NIS2 betrifft Unternehmen, die in einem der Sektoren des BSI-Gesetzes tätig sind und mindestens 50 Beschäftigte haben oder mehr als 10 Mio. € Umsatz und mehr als 10 Mio. € Bilanzsumme. Betroffene müssen sich beim BSI registrieren, Maßnahmen zur Informationssicherheit umsetzen und erhebliche Sicherheitsvorfälle innerhalb von 24 Stunden melden. Verantwortlich ist die Geschäftsleitung.

Erstgespräch buchen

45 Minuten · kostenlos und unverbindlich

Stand: Oktober 2026 · Grundlage: BSI-Gesetz in der Fassung des NIS-2-Umsetzungsgesetzes, in Kraft seit 6. Dezember 2025

≈ 30.000: Unternehmen in Deutschland fallen nach Schätzung des BSI unter NIS2.
50: Beschäftigte: ab hier kann ein Unternehmen als wichtige Einrichtung gelten.
24 h: für die erste Meldung eines erheblichen Sicherheitsvorfalls an das BSI.
10 Mio. €: Bußgeldrahmen für besonders wichtige Einrichtungen, 7 Mio. € für wichtige.

Wer betroffen ist

Entscheidend sind zwei Fragen: In welchem Sektor ist Ihr Unternehmen tätig, und wie groß ist es?

Besonders wichtige Einrichtungen: Sektoren der Anlage 1, zum Beispiel Energie, Wasser, Gesundheit, Transport und Verkehr, Finanzwesen sowie Informationstechnik und Telekommunikation. Schwelle: ab 250 Beschäftigten oder mehr als 50 Mio. € Umsatz und mehr als 43 Mio. € Bilanzsumme.
Wichtige Einrichtungen: Sektoren der Anlage 1 oder 2 ab 50 Beschäftigten oder mehr als 10 Mio. € Umsatz und mehr als 10 Mio. € Bilanzsumme.
Einige Einrichtungen fallen unabhängig von ihrer Größe unter das Gesetz, etwa Betreiber kritischer Anlagen.

Im Mittelstand oft übersehen: Zur Anlage 2 gehört das verarbeitende Gewerbe, darunter Maschinenbau, die Herstellung elektrischer Ausrüstungen, von Datenverarbeitungsgeräten und elektronischen Erzeugnissen, von Kraftwagen und Kraftwagenteilen sowie von Medizinprodukten. Ein Maschinenbauer mit 60 Beschäftigten kann also betroffen sein.

Tätigkeiten, die im Verhältnis zur gesamten Geschäftstätigkeit vernachlässigbar sind, können bei der Einordnung unberücksichtigt bleiben. Diese Abwägung sollten Sie dokumentieren.

Was das Gesetz verlangt

Registrierung beim BSI innerhalb von drei Monaten, nachdem ein Unternehmen unter das Gesetz fällt. Für alle, die schon beim Inkrafttreten betroffen waren, endete die Frist am 6. März 2026.
Risikomanagement nach § 30 BSIG: geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen. Dazu gehören unter anderem Risikoanalyse, Umgang mit Sicherheitsvorfällen, Datensicherung und Notfallmanagement, Sicherheit in der Lieferkette, Zugriffskontrolle, Schulungen und Multi-Faktor-Authentifizierung.
Meldepflichten nach § 32 BSIG: Frühwarnung spätestens nach 24 Stunden, Meldung nach 72 Stunden, Abschlussmeldung spätestens einen Monat danach.
Nachweis: Die Umsetzung der Maßnahmen muss dokumentiert sein.

Was auf die Geschäftsleitung zukommt

Die Geschäftsleitung muss die Maßnahmen umsetzen und ihre Umsetzung überwachen (§ 38 BSIG). Die operative Arbeit lässt sich delegieren, die Verantwortung nicht. Geschäftsleiter müssen außerdem regelmäßig an Schulungen teilnehmen, um Risiken erkennen und Maßnahmen bewerten zu können.

Verstöße gegen die Pflichten zu Risikomanagement, Dokumentation und Meldung sind Ordnungswidrigkeiten. Der Bußgeldrahmen liegt bei bis zu 10 Mio. € für besonders wichtige und bis zu 7 Mio. € für wichtige Einrichtungen, bei sehr großen Unternehmen bei bis zu 2 % beziehungsweise 1,4 % des weltweiten Jahresumsatzes (§ 65 BSIG).

Auch ohne eigene NIS2-Pflicht

Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette berücksichtigen. In der Praxis geben sie diese Anforderungen an Zulieferer und Dienstleister weiter, per Fragebogen, Vertrag oder Audit. Dazu kommen Cyberversicherer, die Nachweise verlangen.

Wer heute keine eigene Pflicht hat, wird deshalb oft trotzdem gefragt. Ein strukturierter Stand der Informationssicherheit, etwa nach ISO 27001, ist dann die schnellste Antwort.

So gehen wir vor

Erst prüfen, dann absichern.

Betroffenheitsprüfung
Wir ordnen Ihr Unternehmen den Sektoren zu, prüfen die Schwellenwerte und halten das Ergebnis schriftlich fest. Auch dann, wenn es lautet: nicht betroffen.
Gap-Analyse
Wir vergleichen Ihren Ist-Stand mit den Anforderungen aus § 30 BSIG und ISO 27001. Das Ergebnis ist eine priorisierte Liste von Maßnahmen.
Umsetzung begleiten
Wir bauen mit Ihnen Prozesse, Dokumentation und Meldewege auf. Auf Wunsch bis zur Zertifizierungsreife nach ISO 27001.

FAQ

Häufige Fragen.

Bis wann musste die Registrierung beim BSI erfolgen?

Für Unternehmen, die schon beim Inkrafttreten am 6. Dezember 2025 betroffen waren, bis zum 6. März 2026. Wer später unter das Gesetz fällt, hat drei Monate Zeit. Wer die Frist verpasst hat, sollte die Registrierung sofort nachholen.

Wir fallen nicht unter NIS2. Betrifft uns das Thema trotzdem?

Oft ja, über die Lieferkette. Betroffene Unternehmen müssen die Sicherheit ihrer Zulieferer und Dienstleister prüfen und geben diese Anforderungen weiter.

Müssen wir uns zertifizieren lassen, wenn NIS2 für uns gilt?

Nein. NIS2 verlangt wirksame Maßnahmen, keine Zertifizierung. Ein ISO-27001-Zertifikat ist aber ein anerkannter Weg, diese Maßnahmen gegenüber Kunden, Versicherern und Behörden nachzuweisen.

Deckt ein ISO-27001-Zertifikat NIS2 vollständig ab?

Nicht vollständig. Ein funktionierendes Managementsystem nach ISO 27001 deckt einen großen Teil der Maßnahmen aus § 30 BSIG ab. Registrierung, gesetzliche Meldewege und Meldefristen kommen zusätzlich dazu.

Ist die Betroffenheitsprüfung eine Rechtsberatung?

Nein. Wir prüfen anhand der Kriterien des Gesetzes und dokumentieren die Einordnung. Ist die Lage rechtlich unklar, sagen wir das und empfehlen eine anwaltliche Prüfung.

Was kostet die Umsetzung?

Das hängt von Ihrem Ausgangsstand ab. Nach dem Erstgespräch erhalten Sie ein schriftliches Angebot mit klarem Rahmen.

Klären Sie, ob NIS2 Sie betrifft.

Im Erstgespräch sehen wir uns Sektor und Größe Ihres Unternehmens an und sagen Ihnen, was als Nächstes zu tun ist.