NIS2 in Deutschland: Was Unternehmen 2026 wissen müssen

Aktualisiert am 13. September 2026: Dieser Beitrag erschien im Oktober 2024, als Deutschland die NIS2-Richtlinie noch nicht umgesetzt hatte. Inzwischen gilt das Umsetzungsgesetz. Wir haben den Text auf den aktuellen Stand gebracht.

Seit dem 6. Dezember 2025 ist die NIS2-Richtlinie in Deutschland geltendes Recht. Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) hat das BSI-Gesetz grundlegend neu gefasst. Nach Schätzungen des BSI fallen rund 30.000 Unternehmen darunter, die meisten davon hatten vorher keine gesetzlichen Pflichten zur IT-Sicherheit. Hier steht, wer betroffen ist, was konkret verlangt wird und wie Sie jetzt vorgehen.

Was ist die NIS2-Richtlinie?

Die NIS2-Richtlinie (EU) 2022/2555 ist eine europäische Vorgabe, die ein einheitlich hohes Niveau der Cybersicherheit in der EU schaffen soll. Sie löst die erste NIS-Richtlinie von 2016 ab und erweitert den Kreis der verpflichteten Unternehmen erheblich: statt nur klassischer kritischer Infrastrukturen jetzt auch mittlere Unternehmen aus 18 Sektoren. Die Mitgliedstaaten hätten sie bis zum 17. Oktober 2024 umsetzen müssen. Deutschland hat diese Frist verpasst, das Gesetz trat erst im Dezember 2025 in Kraft.

Wer ist in Deutschland betroffen?

Ob ein Unternehmen unter NIS2 fällt, hängt von zwei Fragen ab: In welchem Sektor ist es tätig, und wie groß ist es? Das Gesetz unterscheidet zwei Gruppen:

• Wichtige Einrichtungen: in der Regel ab 50 Beschäftigten oder mehr als 10 Mio. € Jahresumsatz und Jahresbilanzsumme in einem der erfassten Sektoren.
• Besonders wichtige Einrichtungen: in der Regel ab 250 Beschäftigten oder mehr als 50 Mio. € Umsatz und mehr als 43 Mio. € Bilanzsumme in einem besonders kritischen Sektor, außerdem Betreiber kritischer Anlagen.

Zu den besonders kritischen Sektoren zählen unter anderem Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur und IT-Dienstleister, die Leistungen für andere Unternehmen verwalten. Weitere erfasste Sektoren sind etwa Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, Forschung, digitale Dienste wie Online-Marktplätze und das verarbeitende Gewerbe, zum Beispiel Maschinenbau, Elektrotechnik, Fahrzeugbau und Medizinprodukte.

Für einige Anbieter, etwa DNS-Dienste oder Vertrauensdiensteanbieter, gilt NIS2 unabhängig von der Größe. Die genaue Zuordnung ist im Einzelfall kniffliger, als die Schwellenwerte vermuten lassen, weil es auf die tatsächliche Geschäftstätigkeit ankommt. Das BSI bietet dafür eine Betroffenheitsprüfung auf seiner Informationsseite zu NIS-2 an.

Auch als Zulieferer betroffen?

Direkt verpflichtet ist nur, wer Sektor und Größe erfüllt. Indirekt trifft NIS2 aber deutlich mehr Unternehmen: Betroffene Einrichtungen müssen die Sicherheit ihrer Lieferkette steuern. In der Praxis landen die Anforderungen deshalb über Verträge, Fragebögen und Nachweispflichten bei kleineren Dienstleistern und Zulieferern. Wer einen großen Kunden aus Energie, Gesundheit oder Industrie beliefert, sollte damit rechnen, nach Sicherheitsmaßnahmen und Prüfberichten gefragt zu werden.

Welche Pflichten gelten jetzt?

• Registrierung beim BSI: Betroffene Unternehmen müssen sich selbst beim BSI registrieren. Die gesetzliche Frist endete am 6. März 2026, das BSI hat eine Nachfrist bis Ende Juli 2026 eingeräumt. Wer sich bis heute nicht registriert hat, sollte das umgehend nachholen.
• Risikomanagementmaßnahmen: Das Gesetz verlangt geeignete technische und organisatorische Maßnahmen, darunter Risikoanalyse, Umgang mit Sicherheitsvorfällen, Backup und Notfallmanagement, Sicherheit der Lieferkette, sichere Entwicklung und Wartung von Systemen, Schulungen, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung.
• Meldepflichten: Erhebliche Sicherheitsvorfälle werden gestuft gemeldet: eine erste Meldung binnen 24 Stunden, eine Bewertung binnen 72 Stunden und ein Abschlussbericht nach einem Monat.
• Verantwortung der Geschäftsleitung: Die Geschäftsleitung muss die Maßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Sie kann bei Pflichtverletzungen persönlich haften.

Verstöße können mit empfindlichen Bußgeldern geahndet werden: bei besonders wichtigen Einrichtungen bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, bei wichtigen Einrichtungen bis zu 7 Mio. € oder 1,4 %. Maßgeblich ist jeweils der höhere Betrag.

Was Sie jetzt tun sollten

Wer vermutet, betroffen zu sein, geht am besten in dieser Reihenfolge vor: Zuerst klären, ob das Unternehmen nach Sektor und Größe unter das Gesetz fällt. Dann die Registrierung beim BSI nachholen, falls noch nicht geschehen. Anschließend eine ehrliche Bestandsaufnahme der technischen Maßnahmen machen und einen Meldeprozess festlegen, damit im Ernstfall klar ist, wer innerhalb von 24 Stunden was meldet.

Für den ersten Schritt bieten wir einen kostenlosen NIS2-Betroffenheitscheck an. Bei der Bestandsaufnahme danach helfen wir ebenfalls. Unsere Security-Checks prüfen Ihre Systeme regelmäßig von außen und liefern datierte, CVSS-bewertete Reports. Growth Guard ergänzt das um ein jährliches Nachweispaket und Schulungen, Scale Secure zusätzlich um einen Architektur-Review-Workshop und einen Notfallplan. Wichtig: Wir leisten technische Sicherheitsberatung, keine Rechtsberatung. Die verbindliche Einstufung Ihres Unternehmens sollten Sie mit Ihrer Rechtsberatung klären.

Quellen

• Richtlinie (EU) 2022/2555 (NIS-2) auf EUR-Lex
• BSI-Gesetz in der Fassung des NIS2UmsuCG (gesetze-im-internet.de)
• BSI: Informationen für NIS-2-regulierte Unternehmen