Was ist NIS2 und wer muss reagieren?

Begriff

NIS2 bezeichnet die Richtlinie (EU) 2022/2555, die zweite europäische Network-and-Information-Systems-Richtlinie. Sie wurde am 14. Dezember 2022 vom EU-Gesetzgeber verabschiedet und musste bis zum 17. Oktober 2024 durch die Mitgliedsstaaten in nationales Recht überführt werden.

In Deutschland geschieht das durch das Gesetz zur Umsetzung der NIS-2-Richtlinie (NIS2UmsuCG). Das Gesetz wurde am 6. Dezember 2025 im Bundesgesetzblatt verkündet (BGBl. 2025 I Nr. 301) und ist zum selben Datum in Kraft getreten. Die Pflichten stehen im neu gefassten BSI-Gesetz (BSIG). Zentrale Aufsichtsbehörde ist das BSI.

Seit dem 6. Dezember 2025 ist das NIS2UmsuCG in Kraft (BGBl. 2025 I Nr. 301). Kern des Gesetzes ist ein neu gefasstes BSI-Gesetz (BSIG), das das BSIG von 2009 vollständig ersetzt. Die Pflichten für besonders wichtige und wichtige Einrichtungen stehen dort in den §§ 28 ff. BSIG.

Wer ist betroffen

NIS2 unterscheidet zwei Kategorien:

• Wesentliche Einrichtungen (Art. 3 Abs. 1 NIS2; in Deutschland besonders wichtige Einrichtungen, § 28 Abs. 1 BSIG), höhere Bußgelder; das BSI kann ohne besonderen Anlass Audits, Prüfungen oder Zertifizierungen anordnen (§ 61 Abs. 1 BSIG). Regelmäßige Nachweise alle drei Jahre schreibt § 39 BSIG nur Betreibern kritischer Anlagen vor.
• Wichtige Einrichtungen (Art. 3 Abs. 2 NIS2, § 28 Abs. 2 BSIG), niedrigere Bußgelder; das BSI prüft nur, wenn Tatsachen auf Verstöße hindeuten (§ 62 BSIG).

Ein Unternehmen fällt grundsätzlich unter NIS2, wenn:

1. der Sektor erfasst ist (siehe nächste Sektion), und
2. die Größe über der Schwelle liegt: ab 50 Beschäftigten oder bei einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Mio. € (§ 28 Abs. 2 Nr. 3 BSIG).

Es gibt drei wichtige Ausnahmen:

• Anbieter qualifizierter Vertrauensdienste, TLD-Registries, DNS-Anbieter und ähnliche Schlüsselrollen fallen unabhängig von der Größe unter NIS2.
• Für Einrichtungen der Bundesverwaltung enthält das BSIG eigene Regeln (§ 29 BSIG); die Landesverwaltungen erfasst das BSIG nicht, sie regeln die Länder selbst.
• Die Richtlinie erlaubt den Mitgliedstaaten, bestimmte Einrichtungen unabhängig von ihrer Größe zu erfassen (Art. 2 Abs. 2 NIS2). In Deutschland gelten insbesondere Betreiber kritischer Anlagen unabhängig von der Größe als besonders wichtige Einrichtungen (§ 28 Abs. 1 Nr. 1 BSIG).

Für die meisten KMU mit 50-250 Mitarbeitenden in den erfassten Sektoren ist die Antwort: ja, ihr seid betroffen. Die Selbstprüfung über den ComplyCheck-NIS2-Scope-Check oder direkt anhand der Einrichtungsarten in Anlage 1 und Anlage 2 zum BSIG ist der erste Schritt.

Sektoren-Liste

Die Richtlinie erfasst 18 Sektoren in zwei Anhängen.

Anhang I, Sektoren mit hoher Kritikalität:

• Energie (Strom, Fernwärme/Fernkälte, Erdöl, Erdgas, Wasserstoff)
• Verkehr (Luft, Schiene, Schiff, Straße)
• Bankwesen
• Finanzmarktinfrastrukturen
• Gesundheitswesen (Gesundheitsdienstleister, EU-Referenzlaboratorien, Forschung und Entwicklung zu Arzneimitteln, Hersteller pharmazeutischer Grundstoffe und Zubereitungen, Hersteller von in einer gesundheitlichen Notlage als kritisch gelisteten Medizinprodukten)
• Trinkwasser
• Abwasser
• Digitale Infrastruktur (IXPs, DNS-Anbieter, TLD-Register, Anbieter von Cloud-Computing, Anbieter von Rechenzentrumsdienstleistungen, CDN, Vertrauensdiensteanbieter, öffentliche elektronische Kommunikation)
• IKT-Dienste-Management (B2B), neu in NIS2
• Öffentliche Verwaltung (Zentralregierung; regionale Ebene nach Definition des Mitgliedstaats)
• Weltraum

Anhang II, sonstige kritische Sektoren:

Ob eine Einrichtung als wesentlich (in Deutschland: besonders wichtig) oder wichtig gilt, folgt nicht aus dem Anhang allein, sondern aus Sektor und Größe (Art. 3 NIS2, § 28 BSIG).

• Post- und Kurierdienste
• Abfallbewirtschaftung
• Chemie (Herstellung, Verarbeitung, Vertrieb)
• Lebensmittelproduktion, -verarbeitung und -vertrieb
• Hersteller (Medizinprodukte, Datenverarbeitung, elektronische und optische Erzeugnisse, Elektroausrüstung, Maschinen, Kraftfahrzeuge, andere Fahrzeuge)
• Anbieter digitaler Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke)
• Forschungseinrichtungen

Die für Deutschland maßgeblichen Einrichtungsarten stehen in Anlage 1 und Anlage 2 zum BSIG. Die genaue Zuordnung, insbesondere im B2B-IT-Dienste-Management, ist im Einzelfall zu prüfen, weil die Sektor-Definition über NACE-Codes hinausgeht.

Pflichten und Mindestmaßnahmen

Art. 21 Abs. 2 NIS2 verlangt von erfassten Einrichtungen mindestens 10 Maßnahmen zum Risikomanagement, in Deutschland umgesetzt in § 30 Abs. 2 BSIG (separat behandelt in „Welche Mindestmaßnahmen verlangt NIS2 von KMU?").

Hinzu kommen drei Pflichten, die direkt aus dem Gesetzestext folgen:

• Meldepflicht (Art. 23 NIS2): erhebliche Sicherheitsvorfälle müssen in einer dreistufigen Eskalation gemeldet werden, Frühwarnung binnen 24 Stunden, Vorfallsmeldung binnen 72 Stunden, Abschlussbericht binnen eines Monats.
• Geschäftsleitungs-Verantwortung (Art. 20 NIS2): die Leitungsorgane müssen Risikomanagement-Maßnahmen genehmigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Persönliche Haftung möglich.
• Registrierung: erfasste Einrichtungen müssen sich beim BSI registrieren (§ 33 BSIG). Die Selbsteinschätzung der Betroffenheit ist Pflicht.

Zeitachse und Fristen

Mit dem Inkrafttreten am 6.12.2025 sind die NIS2UmsuCG-Pflichten wirksam, Vorbereitung im Sinne der Maßnahmen-Aufbauarbeit (Schulungen, Dokumentation, Incident-Response-Prozesse) ist umso wichtiger, da der Aufbau Monate dauert.

Praxis: Was KMU jetzt tun sollten

In dieser Reihenfolge:

1. Scope-Check: prüfen, ob Sektor + Größe NIS2 auslösen. Hilfsmittel: ComplyCheck-NIS2-Scope-Check oder direkt Anlage 1 und Anlage 2 zum BSIG.
2. Lückenanalyse: bestehende Maßnahmen mit den 10 Maßnahmen aus Art. 21 Abs. 2 NIS2 bzw. § 30 Abs. 2 BSIG abgleichen. Ergebnis: Was ist da, was fehlt.
3. Geschäftsleitung einbinden: NIS2 erzeugt persönliche Haftung. Schulungsplan + Maßnahmen-Genehmigung dokumentieren.
4. Incident-Response-Prozess aufsetzen oder verschärfen: 24-h-Frühwarnung erzwingt klare Eskalationspfade.
5. Registrierungs-Vorbereitung: Ansprechpartner, Sektor-Zuordnung und technische Stammdaten bereithalten, die Frist nach § 33 Abs. 1 BSIG beträgt 3 Monate, nachdem die Einrichtung erstmals als besonders wichtige oder wichtige Einrichtung gilt (bis 6.3.2026 für am Inkrafttreten bereits erfasste Einrichtungen).

Schritt 1-3 sind in jedem Fall sinnvoll. Schritt 4-5 sind seit Inkrafttreten am 6.12.2025 scharf.

FAQ

Wann tritt das deutsche NIS2-Gesetz in Kraft?

Das NIS2UmsuCG ist am 6. Dezember 2025 in Kraft getreten (BGBl. 2025 I Nr. 301). Den Gesetzestext enthält das BSI-Gesetz (BSIG). Registrierungs- und Umsetzungsfristen sind aktiv, siehe BSI-Selbstregistrierungs-Portal.

Muss ich mich aktiv beim BSI registrieren?

Ja. Nach § 33 Abs. 1 BSIG müssen sich besonders wichtige und wichtige Einrichtungen spätestens drei Monate, nachdem sie erstmals als solche gelten, über die gemeinsame Registrierungsmöglichkeit von BSI und BBK registrieren, also bis spätestens 6. März 2026 für solche, die zum Inkrafttreten bereits unter die Pflicht fallen. Wer später erfasst wird, etwa durch Wachstum, hat ab diesem Zeitpunkt drei Monate. Die Selbsteinschätzung der Betroffenheit ist Teil der Pflicht, passive Wahrnehmung („wir warten, bis das BSI sich meldet") reicht nicht.

Was passiert, wenn ich NIS2 ignoriere?

Verstöße können mit Bußgeldern bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (wesentliche Einrichtungen) bzw. 7 Mio. € oder 1,4 % (wichtige Einrichtungen) belegt werden (Art. 34 NIS2 + nationale Umsetzung). Zusätzlich besteht persönliche Haftung der Geschäftsleitung. Die genauen Bußgeldrahmen regelt § 65 Abs. 5 bis 7 BSIG; die umsatzbezogenen Obergrenzen von 2 % bzw. 1,4 % greifen erst bei einem Gesamtumsatz von mehr als 500 Mio. €.

Sind wir auch betroffen, wenn wir nur Zulieferer für ein NIS2-Unternehmen sind?

Indirekt. Das Thema „Lieferanten-Pflichten" wird in einem separaten Artikel behandelt: „NIS2-Lieferanten: bin ich indirekt betroffen?". Direkt unter NIS2 fallen nur Einrichtungen der Sektoren laut Anhang I/II, die zudem die Größenschwellen erreichen oder größenunabhängig erfasst sind. Aber Art. 21 Abs. 2 lit. d) NIS2 (§ 30 Abs. 2 Nr. 4 BSIG) verpflichtet erfasste Einrichtungen, die Lieferketten-Sicherheit zu adressieren, was auf Zulieferer durchgereicht wird.

Ist NIS2 deckungsgleich mit KRITIS?

Nein. KRITIS ist das deutsche Konzept der „Kritischen Infrastrukturen" mit eigenen Schwellenwerten in der BSI-KritisV; heute knüpft das BSIG an Betreiber kritischer Anlagen an. NIS2 überlagert dieses Konzept und erweitert es deutlich. Ein Großteil der bisherigen KRITIS-Betreiber fällt auch unter NIS2, aber NIS2 erfasst zusätzlich Sektoren, die nicht KRITIS waren (z.B. IT-Dienstleister im B2B-Bereich, Forschungseinrichtungen). Betreiber kritischer Anlagen gelten nach § 28 Abs. 1 Nr. 1 BSIG unabhängig von ihrer Größe als besonders wichtige Einrichtungen und haben zusätzliche Pflichten (§§ 31, 39 BSIG).