Stand: 30. September 2026. Die deutsche Umsetzung der NIS2-Richtlinie gilt seit dem 6. Dezember 2025. Maßgeblich ist das neue BSI-Gesetz (BSIG), nicht ein früherer Regierungsentwurf. Ob eine Organisation betroffen ist, hängt von ihrer konkreten Einrichtungsart und den Regeln in § 28 BSIG ab. Für erfasste Einrichtungen folgen daraus Risikomanagement, Registrierung und gestufte Meldungen erheblicher Sicherheitsvorfälle.
Viele ältere NIS2-Leitfäden nennen noch 2024 als Abschluss des deutschen Gesetzgebungsverfahrens oder Anfang 2025 als Starttermin. Diese Zeitachse ist überholt. Das BSI bestätigt den 6. Dezember 2025 als Inkrafttreten; die gesetzlichen Pflichten stehen im geltenden BSIG. Die EU-Richtlinie bleibt für das Verständnis wichtig, aber die betroffene Einrichtung muss zunächst die deutschen Tatbestände und Ausnahmen prüfen. Dieser Leitfaden führt von der Betroffenheitsprüfung über die praktische Umsetzung bis zur Meldung eines Vorfalls. Für die detaillierte Maßnahmenliste gibt es daneben unsere Übersicht der NIS2-Anforderungen.
Zuerst die eigene Einrichtungsart bestimmen
Die Bezeichnung „NIS2-Unternehmen“ ist kein eigener Rechtsstatus. § 28 BSIG unterscheidet besonders wichtige und wichtige Einrichtungen; die Anlagen 1 und 2 ordnen ihnen bestimmte Dienste und Sektoren zu. Ein Unternehmen, das gelegentlich an einen Energieversorger verkauft, wird dadurch nicht automatisch selbst zur Energieeinrichtung. Umgekehrt kann ein IT-Dienstleister aus eigenem Leistungsangebot erfasst sein, selbst wenn seine Kunden in anderen Branchen sitzen. Ausgangspunkt sind deshalb die tatsächlich angebotenen Dienste, die einschlägige Einrichtungsart und die Größenmerkmale. Unser Sektorüberblick zu NIS2 und KRITIS hilft bei der ersten Zuordnung; die verbindliche Prüfung erfolgt anhand der gesetzlichen Anlagen.
Für viele Einrichtungsarten in Anlage 1 gilt die Einstufung als besonders wichtig bei mindestens 250 Mitarbeitenden oder bei einem Jahresumsatz von mehr als 50 Millionen Euro und einer Jahresbilanzsumme von mehr als 43 Millionen Euro. Bei den Einrichtungsarten in Anlagen 1 und 2 beginnt die Kategorie „wichtig“ vielfach bereits ab 50 Mitarbeitenden oder wenn sowohl Umsatz als auch Bilanzsumme jeweils über 10 Millionen Euro liegen. Das Wort „und“ ist hier entscheidend. Die verkürzte Formel „50 Beschäftigte oder zehn Millionen Umsatz“ kann zu einer falschen Einstufung führen. Zudem nennt § 28 besondere Regeln etwa für Betreiber kritischer Anlagen, Vertrauensdienste, DNS und Telekommunikation; ein einzelner genereller Schwellenwert erklärt den Geltungsbereich nicht.
Für die Berechnung verweist das BSIG auf die europäische KMU-Empfehlung und regelt den Umgang mit Partner- und verbundenen Unternehmen. Rechtsform, Konzernstruktur und operative Unabhängigkeit können das Ergebnis beeinflussen. Halten Sie die Zuordnung schriftlich fest: angebotener Dienst, relevante Anlage, Beschäftigtenzahl, Umsatz und Bilanzsumme, berücksichtigte Beteiligungen, Ausnahmen sowie Datum der Bewertung. Wiederholen Sie sie bei Akquisitionen, neuen Diensten oder Größenänderungen. Das ist eine sinnvolle interne Kontrollentscheidung, keine zusätzliche vom Gesetz vorgeschriebene jährliche Erklärung.
Besonders bei digitaler Infrastruktur wie DNS und Cloud, Krankenhäusern und Gesundheitsdiensten, Energie- und Stadtwerkebetrieben und Trinkwasser- oder Abwasserbetreibern lohnt die Einzelfallprüfung. Verschiedene gesetzliche Sonderregeln und sektorale Aufsicht können eingreifen. Der Branchenname auf der Website ersetzt weder die Prüfung des konkret erbrachten Dienstes noch die Frage, welcher Rechtsträger ihn betreibt.
Was § 30 BSIG beim Risikomanagement verlangt
§ 30 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen zu geeigneten, verhältnismäßigen und wirksamen technischen und organisatorischen Maßnahmen. Sie sollen Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der Systeme vermeiden und Auswirkungen von Sicherheitsvorfällen begrenzen. Maßstab sind unter anderem Risikoexposition, Größe, Umsetzungskosten sowie Wahrscheinlichkeit und Schwere eines Vorfalls. Die Einhaltung ist zu dokumentieren. Das Gesetz verlangt also kein identisches Produktpaket für eine kleine Fachorganisation und einen großen Betreiber kritischer Anlagen.
Der Mindestkatalog verbindet Governance und Technik: Risikoanalyse und Sicherheitskonzepte; Umgang mit Vorfällen; Sicherung des Betriebs einschließlich Backup, Wiederherstellung und Krisenmanagement; Sicherheit der Lieferkette; sichere Beschaffung, Entwicklung und Wartung von IT; Wirksamkeitsprüfung; Cyberhygiene und Schulungen; Kryptografie; Personalsicherheit und Zugriff; sowie geeignete Mehrfaktor- oder kontinuierliche Authentifizierung und gesicherte Kommunikation. Die Punkte lassen sich nicht mit zehn abgehakten Kästchen erfüllen. Ein Backup ist etwa erst belastbar, wenn die Wiederherstellung unter realistischen Bedingungen geübt wurde und die benötigten Schlüssel, Dienstleister und Verantwortlichen erreichbar sind.
Beginnen Sie mit den Diensten, deren Ausfall Kunden, Versorgung oder öffentliche Funktionen spürbar trifft. Zeichnen Sie die dafür benötigten Systeme, Datenflüsse und Dienstleister auf. Ermitteln Sie anschließend, welche Störung möglich ist, wie sie erkannt würde und wie lange der Dienst tatsächlich ausfallen könnte. Eine solche Analyse kann auf vorhandene BSI- oder ISO-Verfahren aufbauen; § 30 verlangt keine bestimmte Zertifizierung als allgemeine Eintrittskarte. Dokumentieren Sie die Entscheidung, warum eine Maßnahme genügt oder warum eine Lücke zunächst mit einer befristeten Ersatzmaßnahme behandelt wird.
Gerade die Lieferkette wird unterschätzt. Fragen Sie bei kritischen Anbietern nach Zugriffen, Unterauftragnehmern, Updatewegen, Vorfallkontakten, Wiederanlauf und Exit-Möglichkeiten. Nicht jeder Lieferant braucht dieselbe Prüfung. Ein extern verwalteter Identitätsdienst kann für den Betrieb entscheidender sein als ein gelegentlicher Bürobedarfslieferant. Für industrielle Umgebungen vertieft unser Beitrag zu NIS2 und OT-Anlagen, warum Wartungsfenster und Produktionsverfügbarkeit eigene Schutzmaßnahmen erfordern. Die schriftliche Begründung Ihrer Prioritäten ist wertvoller als eine lange unbewertete Checkliste.
Geschäftsleitung: Umsetzung verantworten, überwachen, verstehen
§ 38 BSIG regelt die Pflichten der Geschäftsleitungen erfasster Einrichtungen. Die Leitung muss die Risikomanagementmaßnahmen nach § 30 umsetzen und ihre Umsetzung überwachen; auch regelmäßige Schulungen sind nach § 38 Abs. 3 verpflichtend. Sie darf Fachleute mit Betrieb und Beratung betrauen, behält aber ihre eigene Leitungsaufgabe. Ein Beschluss ohne regelmäßige Informationen über wesentliche Risiken, Maßnahmenlücken und Vorfälle reicht als gelebte Aufsicht kaum aus.
Praktisch hilft ein fester Berichtsweg. Die Sicherheitsverantwortlichen legen eine knappe Übersicht der kritischen Dienste, wesentlichen Risiken, offenen Maßnahmen, überprüften Wiederherstellungstests und Lieferantenprobleme vor. Die Leitung entscheidet über Risikoakzeptanz, Prioritäten und Ressourcen und lässt festhalten, wer wann nachprüft. Bestehende Gremien können diese Arbeit tragen; ein zusätzliches „NIS2-Komitee“ ist keine generelle gesetzliche Pflicht. Die Reichweite der Leitungspflichten erklärt unser Beitrag zur Geschäftsleiterverantwortung unter NIS2.
Registrierung: Frist ab Betroffenheit, nicht pauschal ab Gesetzesbeginn
Nach § 33 BSIG müssen sich besonders wichtige und wichtige Einrichtungen grundsätzlich spätestens drei Monate, nachdem sie erstmals als solche gelten, beim BSI registrieren. Der ursprüngliche Artikel sprach pauschal von drei Monaten nach Inkrafttreten und nannte damit für künftig neu erfasste Einrichtungen einen falschen Startpunkt. Wer bereits beim Inkrafttreten erfasst war, muss die für seinen Fall einschlägigen Übergangs- und Portalhinweise prüfen; eine dauerhaft wiederkehrende allgemeine Frist „drei Monate ab Dezember 2025“ gibt es nicht.
Das BSI stellt dafür das BSI-Portal und die Registrierungshinweise bereit. Benennen Sie früh intern die Person, die die Stammdaten kontrolliert, die Erreichbarkeit sicherstellt und Änderungen meldet. Bei mehreren Gesellschaften sollten Einrichtungsart und Rechtsträger nicht vermischt werden. Achten Sie außerdem auf besondere Registrierungsvorschriften für bestimmte digitale Dienste nach § 34. Ein Eintrag im Portal ersetzt weder die Risikomaßnahmen noch einen funktionierenden Meldeprozess.
Erhebliche Sicherheitsvorfälle gestuft melden
Nicht jedes verdächtige Logereignis ist ein meldepflichtiger erheblicher Sicherheitsvorfall. Die Kriterien des § 2 BSIG und die Auswirkungen auf den Dienst müssen bewertet werden. Bauen Sie dennoch eine interne Eskalation schon bei plausiblen Indikatoren auf, damit die Beurteilung nicht erst beginnt, wenn die Meldefrist abläuft. Dokumentieren Sie Kenntniszeitpunkt, betroffenen Dienst, Auswirkungen, verfügbare Indikatoren, Entscheidungen und die späteren Korrekturen. Bei Unsicherheit muss der verantwortliche Krisenkreis rasch eine begründete Entscheidung treffen.
Für einen meldepflichtigen erheblichen Vorfall setzt § 32 BSIG eine frühe Erstmeldung unverzüglich, spätestens binnen 24 Stunden ab Kenntnis voraus. Innerhalb von 72 Stunden folgt eine Meldung mit erster Bewertung von Schwere und Auswirkungen. Das BSI kann eine Zwischenmeldung verlangen. Die Abschlussmeldung ist grundsätzlich spätestens einen Monat nach der 72-Stunden-Meldung abzugeben, nicht pauschal einen Monat nach dem Vorfall. Dauert der Vorfall dann noch an, ist eine Fortschrittsmeldung vorgesehen; die Abschlussmeldung folgt nach der Bearbeitung. Der gesetzliche Meldeweg und sein Bereitstellungszeitpunkt sind zu beachten. Die operative Reihenfolge behandelt unser Leitfaden zur 24-Stunden-Meldung.
Ein brauchbarer Meldeprozess verteilt Rollen vorab: technische Erkennung, Bewertung der Erheblichkeit, Freigabe der Meldung, sichere Übermittlung und Aktualisierung bei neuen Erkenntnissen. Halten Sie einen Stellvertreter und einen Weg für Wochenenden vor. Üben Sie mindestens einen Fall, in dem Umfang und Ursache anfangs unklar bleiben. Die erste Meldung muss nicht bereits einen fertigen Forensikbericht enthalten; vorschnelle Gewissheit kann spätere Aktualisierungen erschweren.
DSGVO und NIS2 getrennt prüfen
Ein Cybervorfall kann zugleich personenbezogene Daten betreffen. Dann sind zwei getrennte Fragen zu beantworten: Ist er nach BSIG ein erheblicher Sicherheitsvorfall, und ist er nach DSGVO eine Verletzung des Schutzes personenbezogener Daten mit Meldepflicht? Art. 33 DSGVO und der Ablauf einer Datenpannenmeldung knüpfen an Risiken für Rechte und Freiheiten betroffener Personen an; Empfänger ist die zuständige Datenschutzaufsicht. Nicht jeder NIS2-Vorfall ist deshalb automatisch eine DSGVO-Meldung und nicht jede meldepflichtige Datenpanne ein erheblicher BSIG-Vorfall. Bei hohem Risiko für Personen kommt zusätzlich eine Benachrichtigung nach Art. 34 DSGVO in Betracht.
Die Sicherheitsmaßnahmen können sich praktisch überschneiden: Zugriffskontrolle, Protokollierung und Wiederherstellung unterstützen sowohl Art. 32 DSGVO als auch § 30 BSIG. Die Risikoobjekte unterscheiden sich aber. Die DSGVO schützt Betroffene und ihre Rechte; das BSIG zielt auf die Sicherheit der erfassten Dienste. Auch Verträge mit Auftragsverarbeitern nach Art. 28 DSGVO ersetzen keine NIS2-Lieferkettenanalyse. Ein gemeinsamer Vorfallskanal ist sinnvoll, solange die rechtlichen Entscheidungen und Fristen separat protokolliert werden. Unser Beitrag zur Abgrenzung von DORA, NIS2 und DSGVO zeigt die zusätzliche Komplexität regulierter Finanzdienste.
Aufsicht und Bußgelder richtig einordnen
Das BSI hat Aufsichts- und Anordnungsbefugnisse; § 65 BSIG ordnet Bußgeldrahmen einzelnen Verstößen zu. Für bestimmte schwere Pflichtverletzungen nennt er bis zu zehn Millionen Euro bei besonders wichtigen und bis zu sieben Millionen Euro bei wichtigen Einrichtungen. Umsatzbezogene Obergrenzen von zwei beziehungsweise 1,4 Prozent gelten nach deutschem Recht nur unter den Voraussetzungen des § 65 Abs. 6 und 7, insbesondere bei einem Gesamtumsatz über 500 Millionen Euro. Die oft wiederholte Kurzform „immer zehn Millionen oder zwei Prozent“ trifft die deutsche Norm also nicht vollständig. Registrierungsmängel haben zudem andere Bußgeldrahmen als fehlende Risikomaßnahmen. Mehr dazu steht im Artikel zu NIS2-Bußgeldern in Deutschland; auch allgemeine DSGVO-Bußgelder folgen einem anderen Rechtsregime.
Die rechtliche Folge eines Mangels hängt von Tatbestand, Umständen und Behördenentscheidung ab. Eine nachträglich ausgefüllte Tabelle heilt fehlende Sicherheitsmaßnahmen nicht. Umgekehrt ist eine sauber begründete, tatsächlich betriebene Maßnahme wertvoller als ein Marketingzertifikat ohne Bezug zum gefährdeten Dienst. Führen Sie deshalb eine nachvollziehbare Spur von Risiko über Entscheidung und Umsetzung bis zum Test. Gerade bei Dienstleisterwechsel und Umbauten sollte die Dokumentation den aktuellen Betrieb abbilden.
Ein umsetzbarer Arbeitsplan
Beginnen Sie mit einer Betroffenheitsakte, die § 28, Anlagen und Sonderregeln abdeckt. Ordnen Sie für jede betroffene Gesellschaft einen Verantwortlichen für Registrierung und Meldung zu. Erheben Sie dann die kritischen Dienste, Systeme und Abhängigkeiten; vorhandene Notfall- und Datenschutzunterlagen sind ein Ausgangspunkt, aber kein Ersatz für die BSIG-Prüfung. Priorisieren Sie Maßnahmen mit unmittelbarem Effekt: sichere Identitäten, getrennte administrative Zugänge, brauchbare Backups, Erkennung und Meldewege. Führen Sie einen Test durch, bevor Sie den Prozess als fertig melden.
Lassen Sie die Geschäftsleitung über wesentliche Restrisiken und Ressourcen entscheiden. Prüfen Sie bei jeder neuen Dienstleisterbeziehung, ob ein kritischer Dienst davon abhängt. Legen Sie einen Kalender für Übungen, Wirksamkeitskontrollen und die Aktualisierung der Betroffenheitsprüfung an; das sind praktische Steuerungsinstrumente und keine vom Gesetz starr vorgegebenen Jahresfristen. Wer Unterstützung bei der Dokumentation sucht, kann die Kriterien für NIS2-Compliance-Software prüfen. Für öffentliche Träger gelten teils besondere Zuordnungen; der Beitrag zur DSGVO in Kommunen deckt die parallele Datenschutzseite ab.
Ein Beispiel zeigt, wie die Schritte zusammenhängen. Ein mittelständischer Betreiber bietet einem regionalen Krankenhaus einen dauerhaft betriebenen Cloud-Dienst an. Die NIS2-Einstufung kann nicht aus dem Krankenhausstatus des Kunden abgeleitet werden: Zunächst ist zu prüfen, ob der Anbieter selbst eine erfasste Cloud- oder IKT-Einrichtungsart betreibt und welche Größenregeln gelten. Ergibt die Prüfung eine wichtige Einrichtung, beginnt für sie die Registrierungspflicht nach dem gesetzlichen Anknüpfungspunkt. Parallel muss sie untersuchen, wie Identitätsdienst, Rechenzentrum und Supportzugänge ihren eigenen Dienst absichern. Ein Sicherheitsvorfall beim Identitätsanbieter ist für den Betreiber nicht allein deshalb meldepflichtig, weil ein Dienstleister betroffen ist. Entscheidend sind die Auswirkungen auf den eigenen erfassten Dienst und die gesetzlichen Merkmale eines erheblichen Vorfalls. Dieses Beispiel ist ein Prüfmuster, keine Einstufung jeder Cloud-Beziehung.
Bei der Umsetzung kann eine Verantwortungsmatrix helfen. Die IT erkennt und begrenzt den Vorfall, die Fachseite beurteilt die Dienstunterbrechung, die Rechts- oder Compliance-Funktion prüft die gesetzlichen Schwellen, und eine zuvor bestimmte Person übermittelt die Meldung. Die Geschäftsleitung erhält eine verständliche Lagebeschreibung und entscheidet über Ressourcen und externe Kommunikation. Diese Rollen sollten auch für Urlaub, Wochenenden und einen Ausfall des üblichen Kommunikationssystems funktionieren. Eine Übung, bei der das Meldeportal selbst oder die zentrale E-Mail ausfällt, deckt häufig mehr Schwachstellen auf als eine weitere abstrakte Richtlinie.
Nach der ersten Umsetzungsrunde ist die Arbeit nicht abgeschlossen. Eine neue Tochtergesellschaft kann die Größenberechnung verändern; ein neuer Managed Service kann eine weitere Einrichtungsart auslösen; eine ausgelagerte Wiederherstellung kann neue Abhängigkeiten schaffen. Halten Sie daher Betroffenheitsprüfung, Systemübersicht und Risikobehandlung gemeinsam aktuell. Wenn eine Maßnahme verschoben wird, sollten der Grund, die Zwischenkontrolle und das Datum der Neubewertung erkennbar sein. So kann eine Leitungsperson nachvollziehen, ob eine akzeptierte Restunsicherheit noch innerhalb des beschlossenen Rahmens liegt. Genau diese laufende Steuerung macht aus einer einmaligen NIS2-Bestandsaufnahme ein belastbares Sicherheitsprogramm.
Häufige Fragen
Gilt NIS2 bereits in Deutschland?
Ja. Das deutsche Umsetzungsgesetz trat am 6. Dezember 2025 in Kraft. Welche BSIG-Pflichten eine einzelne Organisation treffen, entscheidet sich an ihrer Einrichtungsart, Größe und möglichen Sonderregelungen. Alte Entwurfszeitpläne sollten nicht mehr als Fristenkalender verwendet werden.
Müssen alle Unternehmen ab 50 Beschäftigten zum BSI?
Nein. Zuerst muss eine relevante Einrichtungsart nach Anlagen 1 oder 2 vorliegen. Die Größenmerkmale unterscheiden sich je nach Kategorie; einzelne Dienste und Betreiber unterliegen besonderen Regeln. Beschäftigte allein entscheiden den Fall nicht.
Ist die Meldung nach 24 Stunden ein vollständiger Vorfallbericht?
Nein. Sie ist die frühe Erstmeldung zu einem erheblichen Sicherheitsvorfall. Die Meldung nach 72 Stunden enthält eine erste Bewertung; der Abschlussbericht folgt grundsätzlich einen Monat nach dieser Meldung, bei fortdauerndem Vorfall zunächst als Fortschrittsmeldung.
Ersetzt eine DSGVO-Meldung die NIS2-Meldung?
Nein. Beide Rechtsregime haben eigene Auslöser, Empfänger und Zwecke. Ein gemeinsames Incident-Team kann Informationen sammeln, muss die beiden rechtlichen Entscheidungen aber getrennt dokumentieren. Die praktische Meldung einer Datenschutzverletzung bleibt ein eigener Prozess.