NIS-2 ist eine EU-Richtlinie für mehr Cybersicherheit. Deutschland hat sie mit dem NIS-2-Umsetzungsgesetz umgesetzt, das am 6. Dezember 2025 in Kraft getreten ist. Kern ist das überarbeitete BSI-Gesetz. Schätzungen gehen von rund 30.000 betroffenen Einrichtungen in Deutschland aus, deutlich mehr als bisher unter die KRITIS-Regeln fielen.
Das NIS-2-Umsetzungsgesetz gilt in Deutschland seit dem 6. Dezember 2025. Direkt betroffen sind Unternehmen aus 18 Sektoren, in der Regel ab 50 Beschäftigten oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme. Sie müssen sich beim BSI registrieren, Sicherheitsmaßnahmen umsetzen und Vorfälle melden. Kleinere Zulieferer sind oft indirekt betroffen, weil ihre Kunden Sicherheitsnachweise verlangen.
Wer ist direkt betroffen?
Betroffen sind Unternehmen aus 18 Sektoren, darunter Energie, Gesundheit, Transport, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe wie Maschinenbau sowie digitale Dienste. Maßgeblich ist zusätzlich die Größe:
- Wichtige Einrichtungen: in der Regel ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme.
- Besonders wichtige Einrichtungen: in der Regel ab 250 Beschäftigten oder mehr als 50 Millionen Euro Umsatz.
- Für einige Bereiche, etwa bestimmte digitale Dienste, gelten Sonderregeln unabhängig von der Größe.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bietet auf seiner Website eine Betroffenheitsprüfung an. Nehmen Sie sich zehn Minuten dafür, bei Unsicherheit helfen wir bei der Einordnung.
Welche Pflichten gelten?
- Registrierung beim BSI: über das BSI-Portal, für das ein Unternehmenskonto benötigt wird. Für Unternehmen, die schon bei Inkrafttreten betroffen waren, lief die Frist Anfang März 2026 ab. Wer sie verpasst hat, sollte die Registrierung sofort nachholen.
- Risikomanagement: angemessene technische und organisatorische Maßnahmen, etwa Backup, Zugriffskontrolle, Verschlüsselung, Notfallplanung und Schulungen.
- Meldepflichten: erhebliche Sicherheitsvorfälle müssen in Stufen gemeldet werden, mit einer ersten Meldung innerhalb von 24 Stunden.
- Verantwortung der Geschäftsleitung: Die Leitung muss die Maßnahmen billigen, überwachen und sich schulen lassen.
Warum auch kleinere Betriebe betroffen sind
Auch wenn Ihr Betrieb unter den Schwellenwerten liegt, kann NIS-2 Sie erreichen. Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette berücksichtigen. In der Praxis bedeutet das: Zulieferer, Dienstleister und Handwerksbetriebe erhalten Fragebögen zur IT-Sicherheit oder vertragliche Anforderungen. Wer dann ein funktionierendes Backup, Zwei-Faktor-Anmeldung und einen Notfallplan vorweisen kann, ist klar im Vorteil.
Die fünf Maßnahmen mit der größten Wirkung
- Backup nach der 3-2-1-Regel mit getesteter Rücksicherung
- Zwei-Faktor-Anmeldung für E-Mail, Microsoft 365 und Fernzugänge
- Automatische Sicherheitsupdates auf allen Geräten
- Eine professionelle Firewall und getrennte Netze
- Ein einseitiger Notfallplan und eine kurze Schulung für alle Mitarbeiter
Mit unserem kostenlosen E-Mail-Sicherheits-Check sehen Sie in Sekunden, ob Ihre Domain mit SPF, DKIM und DMARC vor gefälschten Absendern geschützt ist.
Fazit
NIS-2 ist kein Thema nur für Konzerne. Direkt betroffene Unternehmen müssen jetzt handeln, alle anderen sollten sich vorbereiten, weil ihre Kunden danach fragen werden. Die gute Nachricht: Die wirksamsten Maßnahmen sind bekannt und bezahlbar. Mehr dazu unter IT-Sicherheit. Hinweis: Dieser Artikel ersetzt keine Rechtsberatung.
