NIS2-Fristen-Kalender: Was kommt als nächstes auf dich zu?

Die Frist zur nationalen Umsetzung der NIS2-Richtlinie endete am 17. Oktober 2024 (Art. 41 NIS2). In Deutschland ist das Gesetz zur Umsetzung der NIS-2-Richtlinie am 6. Dezember 2025 in Kraft getreten (BGBl. 2025 I Nr. 301). Die Pflichten für Unternehmen stehen im neu gefassten BSI-Gesetz (BSIG). Für die Planung heißt das: Die Pflichten gelten bereits, Umfang und Tiefe hängen von Sektor und Größe ab.

Welche Rechtsgrundlagen gelten?

Art. 41 NIS2 verpflichtete die Mitgliedstaaten, die Richtlinie bis zum 17. Oktober 2024 umzusetzen. Deutschland hat diese Frist überschritten. Die EU-Kommission forderte am 28. November 2024 insgesamt 23 Mitgliedstaaten, darunter Deutschland, mit Aufforderungsschreiben zur vollständigen Umsetzung auf. Mit dem Inkrafttreten des Umsetzungsgesetzes am 6. Dezember 2025 ist die Umsetzung erfolgt.

Seit diesem Tag gelten:

• die Pflichten des neuen BSIG zu Risikomanagement, Meldungen, Registrierung, Geschäftsleitung und Bußgeldern,
• sektorale Sonderregeln: Für Energieversorgungsnetze, Energieanlagen und digitale Energiedienste stehen die Pflichten in den §§ 5c bis 5e EnWG, für Telekommunikation gelten eigene Regeln. Für diese Einrichtungen sind zentrale BSIG-Pflichten nach § 28 Abs. 5 BSIG ausgenommen.
• Lieferkette: Die Sicherheit der Lieferkette ist eine eigene Mindestmaßnahme (§ 30 Abs. 2 Nr. 4 BSIG). Verträge mit IT-Dienstleistern sollten entsprechend angepasst werden.

Welche Kategorie trifft auf dein Unternehmen zu?

Die Einordnung richtet sich nach § 28 BSIG:

• Besonders wichtige Einrichtung: unter anderem Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Diensteanbieter sowie Unternehmen einer Einrichtungsart aus Anlage 1 des BSIG mit mindestens 250 Beschäftigten oder mit über 50 Mio. € Jahresumsatz und über 43 Mio. € Bilanzsumme.
• Wichtige Einrichtung: unter anderem Unternehmen einer Einrichtungsart aus Anlage 1 oder 2 mit mindestens 50 Beschäftigten oder mit jeweils über 10 Mio. € Jahresumsatz und Bilanzsumme, soweit sie nicht besonders wichtig sind. Dazu kommen nicht qualifizierte Vertrauensdiensteanbieter unabhängig von der Größe.
• Telekommunikation: Anbieter öffentlich zugänglicher TK-Dienste und Betreiber öffentlicher TK-Netze sind unabhängig von der Größe erfasst, ab 50 Beschäftigten oder jeweils über 10 Mio. € Umsatz und Bilanzsumme als besonders wichtige Einrichtung.
• Indirekt über die Lieferkette: Wer selbst nicht erfasst ist, bekommt Anforderungen oft über Verträge mit erfassten Kunden.

Welche Schritte sind jetzt fällig?

1. Einordnung prüfen: Einrichtungsart nach den Anlagen 1 und 2 des BSIG, Größe und Sonderregeln (Energie, Telekommunikation).
2. Registrierung beim BSI binnen drei Monaten nach Beginn der Erfassung (§ 33 BSIG).
3. Risikomanagementmaßnahmen umsetzen und dokumentieren (§ 30 BSIG), darunter Lieferkettensicherheit und Multi-Faktor-Authentifizierung.
4. Meldeprozess aufsetzen: bei einem erheblichen Sicherheitsvorfall frühe Erstmeldung unverzüglich, spätestens 24 Stunden nach Kenntniserlangung, Meldung spätestens nach 72 Stunden, Abschlussmeldung spätestens einen Monat nach dieser Meldung; dauert der Vorfall noch an, zunächst eine Fortschrittsmeldung (§ 32 Abs. 1 und 2 BSIG).
5. Geschäftsleitung einbinden: Sie muss die Maßnahmen umsetzen und überwachen (§ 38 BSIG).

Hilfreich für die Bestandsaufnahme ist ein Inventar der eigenen Systeme und Dienstleister. Das BSI veröffentlicht Informationen für regulierte Unternehmen auf seiner Website.

Welche Konstellationen verlangen ein anderes Vorgehen?

• Betreiber kritischer Anlagen: Sie gelten immer als besonders wichtige Einrichtung und müssen die Umsetzung alle drei Jahre gegenüber dem BSI nachweisen (§ 39 BSIG).
• Energie: Die Pflichten stehen im EnWG (§§ 5c bis 5e), die Anforderungen im IT-Sicherheitskatalog der Bundesnetzagentur.
• Finanzsektor: Für Finanzunternehmen gilt DORA (Verordnung (EU) 2022/2554) mit eigenem Risikomanagement und eigener Meldepflicht an die BaFin.
• Konzerne: Konzernvorgaben können strenger sein als das Gesetz. Die Einordnung erfolgt je Unternehmen, für die Größe gilt aber die Empfehlung 2003/361/EG mit Hinzurechnung von Partner- und verbundenen Unternehmen. Die Hinzurechnung entfällt nur, wenn das Unternehmen bei seinen IT-Systemen, Komponenten und Prozessen von diesen unabhängig ist (§ 28 Abs. 4 BSIG).

FAQ

Gilt die Dreimonatsfrist auch für Unternehmen, die erst später erfasst werden?

Ja. § 33 Abs. 1 BSIG knüpft die Frist daran, dass eine Einrichtung „erstmals oder erneut" als wichtige oder besonders wichtige Einrichtung gilt. Wer einer Einrichtungsart aus Anlage 1 oder 2 zuzuordnen ist und etwa durch Wachstum die Schwelle von mindestens 50 Beschäftigten erreicht, muss sich spätestens drei Monate danach registrieren. Wie Beschäftigte, Umsatz und Bilanzsumme zu ermitteln sind, richtet sich nach der Empfehlung 2003/361/EG (§ 28 Abs. 4 BSIG).

Welche Bußgelder drohen bei Verstößen?

Für zentrale Pflichten wie Risikomanagement, Dokumentation und Meldungen sieht § 65 BSIG bis zu 10 Mio. € bei besonders wichtigen und bis zu 7 Mio. € bei wichtigen Einrichtungen vor. Bei einem Gesamtumsatz über 500 Mio. € sind stattdessen bis zu 2 % bzw. 1,4 % des weltweiten Umsatzes möglich.

Ersetzt eine ISO-27001-Zertifizierung die NIS2-Pflichten?

Nein. Das Gesetz verlangt die Maßnahmen nach § 30 BSIG und deren Dokumentation, keine bestimmte Zertifizierung. Ein ISMS nach ISO/IEC 27001 kann die Umsetzung stützen. Registrierung, Meldungen und die Pflichten der Geschäftsleitung bleiben eigene Pflichten.

Nächster Schritt

Eine erste Einordnung des eigenen NIS2-Status liefert der NIS2-Scope-Check.

Bei Unklarheit über Einrichtungsart, KRITIS-Status oder Konzernverflechtung empfiehlt sich eine Einzelfallprüfung durch eine auf IT-Sicherheitsrecht spezialisierte Beratung.