NIS2: Frist verstrichen – nur knapp 40 % der pflichtigen Unternehmen sind beim BSI registriert

Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz – und damit die neugefasste Version des BSI-Gesetzes (BSIG). Veröffentlicht wurde das Gesetz am 5. Dezember 2025 im Bundesgesetzblatt. Wer zu diesem Zeitpunkt unter den Anwendungsbereich fiel, musste sich innerhalb von drei Monaten beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren – in dieser Konstellation: bis zum 6. März 2026. Stand März 2026 waren rund 11.500 von etwa 29.850 betroffenen Unternehmen registriert. Das entspricht etwa 38 Prozent. Mehr als 18.000 Unternehmen haben sich entweder bewusst entschieden zu warten oder die eigene Betroffenheit nie geprüft.

Was ist NIS2 überhaupt?

NIS2 ist die zweite Fassung der EU-Richtlinie zur Netz- und Informationssicherheit. In Deutschland wurde sie über das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) zum 6. Dezember 2025 in nationales Recht überführt; die materiellen Pflichten gelten seitdem unmittelbar. Das Ziel: ein einheitlich höheres Cybersicherheitsniveau in der EU, weil NIS1 nachweislich zu wenig getan und zu wenige Branchen erfasst hat. NIS2 ist kein freundlicher Hinweis. Wer betroffen ist, muss handeln – und die Geschäftsleitung steht in einer eigenen, persönlichen Verantwortung.

Wer ist betroffen?

Der Geltungsbereich ist gegenüber NIS1 deutlich erweitert. Statt rund 4.500 Unternehmen unter der alten Regelung fallen geschätzt knapp 30.000 deutsche Unternehmen unter die neuen Pflichten. § 28 BSIG unterscheidet zwei Hauptkategorien: besonders wichtige Einrichtungen – Unternehmen ab 250 Mitarbeitenden oder mit einem Jahresumsatz von mehr als 50 Mio. Euro und einer Jahresbilanzsumme von mehr als 43 Mio. Euro in den besonders kritischen Sektoren – und wichtige Einrichtungen ab 50 Mitarbeitenden oder mit einem Jahresumsatz und einer Jahresbilanzsumme von jeweils mindestens 10 Mio. Euro. Daneben gibt es Sondertatbestände, die unabhängig von Größe und Umsatz greifen, unter anderem für qualifizierte Vertrauensdiensteanbieter, TLD-Registries, DNS-Anbieter und bestimmte Telekommunikationsanbieter.

Die Sektor-Liste ist breit: Energie, Wasser und Abwasser, Gesundheit, Transport und Verkehr, Banken und Finanzdienstleister, digitale Infrastruktur, IKT-Service-Management (also auch IT-Dienstleister selbst), öffentliche Verwaltung, Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittelproduktion, verarbeitendes Gewerbe, Forschung sowie Anbieter digitaler Dienste. Ob Sie konkret betroffen sind, lässt sich pauschal nicht beantworten – das hängt von Sektor, Einrichtungsart, Größe, Umsatz und Bilanzsumme sowie möglichen Sondertatbeständen ab. Das BSI stellt dafür eine Betroffenheitsprüfung bereit, mit der Sie Ihren Status in unter zehn Minuten konkret klären können.

Welche Pflichten konkret?

Risikomanagement. Ein dokumentiertes Sicherheitskonzept mit technischen und organisatorischen Maßnahmen: Backup, Patch-Management, Zugriffskontrolle, Verschlüsselung, Notfallpläne, Mitarbeiterschulungen. Nicht nur angedacht, sondern schriftlich, regelmäßig geprüft und nachweisbar aktualisiert.

Incident-Reporting. Bei einem signifikanten Sicherheitsvorfall müssen Sie das BSI in drei Stufen informieren: Frühwarnung innerhalb von 24 Stunden, förmliche Meldung innerhalb von 72 Stunden, Abschlussbericht nach einem Monat. Wer in der Nacht eines Angriffs erst suchen muss, wo die richtige Telefonnummer steht, hat schon verloren.

Lieferketten-Sicherheit. Sie sind nicht nur für Ihre eigene IT verantwortlich, sondern auch für die Sicherheit Ihrer Dienstleister. Wer Cloud, Hosting oder externes IT-Management nutzt, braucht entsprechende Verträge, eine Bewertung der Anbieter und nachgelagert die Dokumentation dazu.

Geschäftsführerpflichten und Bußgelder. Hier wird es persönlich. Geschäftsführer und Vorstände müssen die Risikomanagement-Maßnahmen nach § 30 BSIG nicht nur freigeben, sondern selbst regelmäßig an Schulungen teilnehmen und die Umsetzung nachweisbar überwachen (§ 38 BSIG). Bei Verstößen drohen Bußgelder, die nach Einrichtungstyp gestaffelt sind: für besonders wichtige Einrichtungen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 % des Jahresumsatzes – jeweils der höhere Wert. Bei schuldhafter Verletzung der Aufsichts- und Umsetzungspflichten kommt eine persönliche Innenhaftung der Geschäftsleitung gegenüber der eigenen Gesellschaft in Betracht; ein Verzicht der Gesellschafter auf solche Ansprüche ist nach § 38 BSIG ausdrücklich ausgeschlossen.

Was Sie jetzt tun sollten

Die Frist für die Erstregistrierung ist für einen Großteil der Betroffenen verstrichen, aber jeder weitere Tag Untätigkeit erhöht das Risiko – nicht nur regulatorisch, sondern auch operativ, weil ein Vorfall ohne dokumentiertes Notfallkonzept im Schnitt deutlich teurer wird.

Erstens: Klären Sie Ihren Status. Mit der BSI-Betroffenheitsprüfung ist das in einem Vormittag erledigt. Falls Sie unter NIS2 fallen, registrieren Sie sich nachträglich – verspätet ist erheblich besser als gar nicht.

Zweitens: Machen Sie eine ehrliche Bestandsaufnahme. Welche Sicherheitsmaßnahmen sind heute dokumentiert? Welche Lücken bestehen? Wer ist im Notfall in welcher Reihenfolge verantwortlich? Wenn diese Fragen im Raum stehen bleiben, ist das bereits die Antwort.

Drittens: Priorisieren Sie nach Risiko, nicht nach Compliance-Häkchen. Eine getestete Backup-Strategie, Multi-Faktor-Authentifizierung, ein einsatzbereiter Incident-Response-Plan und regelmäßige Mitarbeiterschulungen liefern den größten Sicherheitsgewinn pro investiertem Euro – und sind gleichzeitig harte Anforderungen aus NIS2.

Realistisch eingeordnet

NIS2 ist regulatorischer Druck, und unangenehm ist er auch. Aber sachlich betrachtet sind die meisten Pflichten genau das, was eine ernsthafte IT-Sicherheitsstrategie ohnehin enthalten sollte. Wer die Anforderungen sauber umsetzt, hat danach nicht nur einen BSI-konformen Nachweis, sondern eine spürbar widerstandsfähigere IT – und im Zweifel den entscheidenden Vorsprung gegenüber Wettbewerbern, die das Thema weiter aussitzen.

Sprechen Sie uns an

Wenn Sie an dieser Stelle nicht wissen, wo Sie anfangen sollen, ist das kein Versäumnis – es ist der häufigste Ausgangspunkt. Als IT-Systemhaus mit Sitz in Berlin begleitet die NETWORK ASSISTANCE GmbH kleine und mittelständische Unternehmen seit 2002 bei genau diesen Themen: von der Betroffenheitsprüfung über die technische Umsetzung der Maßnahmen bis zur Dokumentation, die im Zweifelsfall vor dem BSI Bestand hat.

Persönlicher Ansprechpartner statt anonymer Hotline. Festpreis statt Stundenfalle. Erreichbar unter 030 – 707 12 100 oder per E-Mail an [email protected].