Die NIS-2-Richtlinie verpflichtet Unternehmen in zahlreichen Sektoren zu Maßnahmen für ihre IT-Sicherheit. In Deutschland gelten die Pflichten seit dem 6. Dezember 2025. Grundlage ist das neu gefasste Gesetz über das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI-Gesetz oder BSIG. Dieser Beitrag erklärt, wer erfasst ist, welche Pflichten gelten und wie Sie sinnvoll beginnen. Er beschreibt die Rechtslage, ersetzt aber keine Rechtsberatung im Einzelfall.
Was die NIS-2-Richtlinie regelt
NIS steht für Netz- und Informationssicherheit. Die Richtlinie (EU) 2022/2555, kurz NIS-2, ist am 16. Januar 2023 in Kraft getreten. Sie hat die erste NIS-Richtlinie (EU) 2016/1148 mit Wirkung vom 18. Oktober 2024 aufgehoben. Ihr Ziel ist ein hohes gemeinsames Cybersicherheitsniveau in der Europäischen Union. Den vollständigen Text finden Sie bei EUR-Lex, dem Rechtsportal der EU.
Eine EU-Richtlinie gilt nicht unmittelbar für Unternehmen. Die Mitgliedstaaten mussten sie bis zum 17. Oktober 2024 in nationales Recht umsetzen. In Deutschland setzt das Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung die Richtlinie um (BGBl. 2025 I Nr. 301). Dieses NIS-2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten. Es enthält eine Neufassung des BSIG. Für Unternehmen in Deutschland ist deshalb das BSIG maßgeblich, nicht der Text der Richtlinie.
Wer betroffen ist
Ob ein Unternehmen unter NIS-2 fällt, hängt vor allem von zwei Fragen ab: In welchem Sektor ist es tätig? Und wie groß ist es? Erst beide Antworten zusammen ergeben die Einordnung.
Die Sektoren
Die Richtlinie unterscheidet zwei Gruppen. Anhang I nennt Sektoren mit hoher Kritikalität:
- Energie, Verkehr, Bankwesen und Finanzmarktinfrastrukturen
- Gesundheitswesen, Trinkwasser und Abwasser
- digitale Infrastruktur, etwa Rechenzentren, Cloud-Anbieter und Internetknoten
- Verwaltung von IT-Diensten für andere Unternehmen, etwa durch Managed-Service-Anbieter
- öffentliche Verwaltung und Weltraum
Anhang II nennt sonstige kritische Sektoren:
- Post- und Kurierdienste sowie Abfallbewirtschaftung
- Herstellung und Handel mit chemischen Stoffen
- Produktion, Verarbeitung und Vertrieb von Lebensmitteln
- verarbeitendes Gewerbe, etwa Medizinprodukte, Elektronik, elektrische Ausrüstung, Maschinenbau und Fahrzeugbau
- Anbieter digitaler Dienste wie Online-Marktplätze, Suchmaschinen und soziale Netzwerke
- Forschung
In Deutschland stehen die Sektoren in den Anlagen 1 und 2 zum BSIG. Dort sind die erfassten Tätigkeiten genau beschrieben. Entscheidend ist, ob Ihre Tätigkeit dort genannt ist, nicht der Branchenname allein.
Die Größe
Die Größe misst das BSIG an Beschäftigten, Jahresumsatz und Jahresbilanzsumme (§ 28 BSIG). Ein Unternehmen in einem Sektor der Anlage 1 oder 2 ist nach § 28 Abs. 2 BSIG eine wichtige Einrichtung, wenn es
- mindestens 50 Beschäftigte hat oder
- einen Jahresumsatz von mehr als 10 Millionen Euro und eine Jahresbilanzsumme von mehr als 10 Millionen Euro hat.
Eine besonders wichtige Einrichtung ist nach § 28 Abs. 1 BSIG ein Unternehmen in einem Sektor der Anlage 1 ab 250 Beschäftigten. Dasselbe gilt ab einem Jahresumsatz von mehr als 50 Millionen Euro und einer Jahresbilanzsumme von mehr als 43 Millionen Euro. Betreiber kritischer Anlagen gehören unabhängig von diesen Werten zu den besonders wichtigen Einrichtungen. Für Anbieter öffentlicher Telekommunikationsnetze und -dienste gelten eigene Schwellenwerte.
Für einige Anbieter spielt die Größe keine Rolle. Dazu zählen zum Beispiel qualifizierte Vertrauensdiensteanbieter, Registrierungsstellen für Top-Level-Domains und Anbieter von DNS-Diensten. Für die Berechnung verweist § 28 Abs. 4 BSIG auf die KMU-Empfehlung der EU-Kommission (2003/361/EG). Bei Unternehmensgruppen können deshalb Beschäftigte und Umsätze von Partner- oder verbundenen Unternehmen mitzählen. Sie werden nicht hinzugerechnet, wenn Ihr Unternehmen bei seinen IT-Systemen, Komponenten und Prozessen von diesen Unternehmen unabhängig ist.
Ein Hinweis zu den Begriffen: Die Richtlinie spricht von „wesentlichen“ und „wichtigen“ Einrichtungen. Das deutsche Gesetz nennt sie „besonders wichtige“ und „wichtige“ Einrichtungen. Die Einstufung hängt von Sektor und Größe ab, nicht vom Sektor allein. Für beide Gruppen gelten weitgehend dieselben Pflichten. Unterschiede gibt es vor allem bei der Aufsicht und bei der Höhe möglicher Bußgelder.
Mittelbar betroffen über die Lieferkette
Auch Unternehmen, die selbst nicht erfasst sind, können die Regeln spüren. Betroffene Einrichtungen müssen bei ihren Maßnahmen auch die Sicherheit der Lieferkette berücksichtigen, einschließlich des Umgangs mit ihren direkten Anbietern und Dienstleistern (§ 30 Abs. 2 Nr. 4 BSIG). Zulieferer und IT-Dienstleister sollten deshalb damit rechnen, dass Kunden nach Nachweisen oder vertraglichen Zusagen zur IT-Sicherheit fragen.
Die eigene Betroffenheit prüfen
Zuständige Aufsichtsbehörde in Deutschland ist das Bundesamt für Sicherheit in der Informationstechnik (BSI). Es bietet auf seiner Website eine NIS-2-Betroffenheitsprüfung an. Sie führt mit Fragen durch die Einordnung und gibt eine unverbindliche erste Einschätzung. Ob Ihr Unternehmen erfasst ist, müssen Sie selbst prüfen. Das BSI trifft dazu keine verbindliche Feststellung. Halten Sie Ihre Prüfung und das Ergebnis schriftlich fest.
Welche Pflichten gelten
Registrieren
Betroffene Einrichtungen müssen sich beim BSI registrieren (§ 33 Abs. 1 BSIG). Das muss spätestens drei Monate geschehen, nachdem ein Unternehmen erstmals oder erneut als wichtige oder besonders wichtige Einrichtung gilt. Die Registrierung läuft über das BSI-Portal. Wer schon seit Inkrafttreten des Gesetzes erfasst ist, sollte prüfen, ob die Registrierung erledigt ist.
Risiken steuern
Das Kernstück sind Risikomanagementmaßnahmen (§ 30 Abs. 1 und 2 BSIG, Artikel 21 der Richtlinie). Gemeint sind technische und organisatorische Maßnahmen, die Störungen der IT vermeiden und die Folgen von Sicherheitsvorfällen möglichst gering halten sollen. Sie müssen geeignet, verhältnismäßig und wirksam sein. Für die Verhältnismäßigkeit zählen unter anderem das Risiko, die Größe der Einrichtung und die Kosten der Umsetzung. Als Mindestinhalt nennt das Gesetz zehn Bereiche:
- Konzepte zur Risikoanalyse und zur Sicherheit in der Informationstechnik
- Bewältigung von Sicherheitsvorfällen
- Aufrechterhaltung des Betriebs, zum Beispiel Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement
- Sicherheit der Lieferkette, auch im Umgang mit direkten Anbietern und Dienstleistern
- Sicherheit bei Erwerb, Entwicklung und Wartung von IT, einschließlich des Umgangs mit Schwachstellen
- Verfahren, um die Wirksamkeit der Maßnahmen zu bewerten
- grundlegende Schulungen und Sensibilisierung zur IT-Sicherheit
- Konzepte und Prozesse für den Einsatz kryptografischer Verfahren, etwa Verschlüsselung
- Personalsicherheit, Zugriffskontrolle und Verwaltung der IT-Systeme, -Produkte und -Prozesse
- Multi-Faktor-Authentifizierung, also die Anmeldung mit mindestens zwei unabhängigen Nachweisen, oder kontinuierliche Authentifizierung, außerdem gesicherte Sprach-, Video- und Textkommunikation und gegebenenfalls gesicherte Notfallkommunikation
Die Einrichtungen müssen dokumentieren, dass sie diese Pflicht einhalten (§ 30 Abs. 1 BSIG).
Sicherheitsvorfälle melden
Erhebliche Sicherheitsvorfälle müssen an das BSI gemeldet werden (§ 32 Abs. 1 BSIG). Erheblich ist ein Vorfall nach § 2 Nr. 11 BSIG vereinfacht gesagt, wenn er den Betrieb schwer stören oder finanzielle Verluste verursachen kann. Dasselbe gilt, wenn er anderen Personen oder Unternehmen erhebliche materielle oder immaterielle Schäden zufügen kann. Die Meldung läuft in Stufen:
- Erstmeldung: unverzüglich, spätestens 24 Stunden, nachdem Sie von dem Vorfall erfahren haben
- Meldung: spätestens 72 Stunden nach Kenntnis, mit einer ersten Bewertung, etwa zu Schweregrad und Auswirkungen
- Abschlussmeldung: spätestens einen Monat nach der Meldung
Auf Ersuchen des BSI kommt eine Zwischenmeldung hinzu. Dauert der Vorfall nach einem Monat noch an, ist statt der Abschlussmeldung eine Fortschrittsmeldung fällig. Die Abschlussmeldung folgt, sobald der Vorfall abschließend bearbeitet ist (§ 32 Abs. 2 BSIG). Gemeldet wird also nicht erst, wenn alles geklärt ist. Wer Zuständigkeiten und Meldeweg vorher festlegt, verliert im Ernstfall weniger Zeit. Wie ein solcher Plan aussehen kann, lesen Sie in unserem Beitrag zum Incident Response Plan.
Geschäftsleitung in der Pflicht
Das BSIG nimmt die Geschäftsleitung ausdrücklich in die Pflicht (§ 38 BSIG). Sie muss die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen (Abs. 1). Sie muss regelmäßig an Schulungen teilnehmen (Abs. 3). Verletzt sie diese Pflichten und entsteht der Einrichtung dadurch schuldhaft ein Schaden, haftet sie der Einrichtung nach den Regeln des Gesellschaftsrechts, die für ihre Rechtsform gelten (Abs. 2). Es ist deshalb sinnvoll, das Thema regelmäßig auf die Tagesordnung der Leitung zu setzen.
Aufsicht und Bußgelder
Bei besonders wichtigen Einrichtungen kann das BSI unter anderem Nachweise verlangen und Audits oder Prüfungen durch unabhängige Stellen anordnen (§ 61 BSIG). Bei wichtigen Einrichtungen wird es tätig, wenn Tatsachen die Annahme rechtfertigen, dass Pflichten nicht oder nicht richtig erfüllt werden (§ 62 BSIG).
Verstöße können Bußgelder nach sich ziehen (§ 65 BSIG). Bei Verstößen gegen die Pflichten zum Risikomanagement, zur Dokumentation oder zur Meldung liegt der Höchstbetrag bei 10 Millionen Euro für besonders wichtige und bei 7 Millionen Euro für wichtige Einrichtungen. Hat das Unternehmen weltweit einen Gesamtumsatz von mehr als 500 Millionen Euro, sind bis zu 2 Prozent beziehungsweise 1,4 Prozent dieses Umsatzes möglich.
So beginnen Sie: fünf Schritte
- Betroffenheit klären: Prüfen Sie Sektor und Größe anhand der Anlagen zum BSIG und der Betroffenheitsprüfung des BSI. Halten Sie das Ergebnis fest. Bei Zweifeln holen Sie rechtlichen Rat ein.
- Registrierung prüfen: Sind Sie erfasst, klären Sie, ob die Registrierung beim BSI erledigt ist und wer sie aktuell hält.
- Bestand aufnehmen: Vergleichen Sie Ihre vorhandenen Maßnahmen mit der Liste aus § 30 Abs. 2 BSIG. Wo fehlt eine Maßnahme, wo fehlt nur die Dokumentation?
- Meldeweg festlegen: Wer erkennt einen Vorfall, wer bewertet ihn, wer meldet an das BSI? Legen Sie auch Vertretungen fest.
- Leitung und Lieferanten einbinden: Planen Sie Schulungen für die Geschäftsleitung. Klären Sie mit IT-Dienstleistern und wichtigen Lieferanten, wer welche Aufgabe übernimmt.
Auch Unternehmen, die nicht erfasst sind, können sich an diesen Schritten orientieren. Die Liste aus § 30 Abs. 2 BSIG ist ein brauchbarer Maßstab für die eigene IT-Sicherheit.
Wie wir Sie unterstützen
Die rechtliche Einordnung im Einzelfall gehört zu Ihrer Rechtsberatung. Wir unterstützen Sie bei der technischen und organisatorischen Umsetzung. Auf unserer Seite NIS2 und Risikomanagement lesen Sie, wie wir dabei vorgehen. Mit einem Security-Check nehmen wir den Stand Ihrer IT-Sicherheit auf und zeigen, wo Sie nachbessern sollten. Mit unseren Managed Services übernehmen wir den laufenden Betrieb Ihrer IT zum monatlichen Festpreis. Wie sich Angriffe früher erkennen lassen, lesen Sie auf unserer Seite zu Managed Detection and Response (MDR).
Sprechen Sie mit uns
Sie möchten wissen, wo Ihr Unternehmen bei NIS-2 steht? Wir betreuen Unternehmen in Rheinland-Pfalz und Hessen von Idar-Oberstein aus; im Raum Darmstadt arbeiten wir dafür mit einem Partnersystemhaus zusammen. Nehmen Sie Kontakt mit uns auf, und wir besprechen Ihre Fragen in einem ersten Gespräch.