Mit dem Inkrafttreten des NIS-2-Umsetzungsgesetzes am 6. Dezember 2025 gelten für rund 30.000 Unternehmen in Deutschland verbindliche Cybersicherheitspflichten — einschließlich persönlicher Geschäftsführerhaftung und verpflichtender BSI-Registrierung.
Wer ist betroffen?
Das NIS2UmsuCG unterscheidet zwischen besonders wichtigen Einrichtungen und wichtigen Einrichtungen. Die Zuordnung hängt von der Unternehmensgröße und dem Sektor ab. Grundsätzlich gilt: Unternehmen mit mindestens 50 Beschäftigten oder einem Jahresumsatz von über 10 Mio. EUR, die in einem der regulierten Sektoren tätig sind, fallen unter das Gesetz. Die betroffenen Sektoren umfassen unter anderem Energie, Verkehr, Bankwesen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienste im B2B-Bereich, öffentliche Verwaltung, Weltraum, Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe und digitale Anbieter.
- Besonders wichtige Einrichtungen: Großunternehmen (≥250 Beschäftigte oder ≥50 Mio. EUR Umsatz) in Sektoren mit hoher Kritikalität (Energie, Verkehr, Bankwesen, Gesundheit, Trinkwasser, digitale Infrastruktur, öffentliche Verwaltung, Weltraum). Für sie gelten die höchsten Bußgelder (bis 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes) und eine proaktive Aufsicht durch das BSI — das BSI kann ohne konkreten Anlass Audits und Vor-Ort-Kontrollen durchführen.
- Wichtige Einrichtungen: Mittlere Unternehmen (50–249 Beschäftigte oder 10–50 Mio. EUR Umsatz) in Sektoren mit hoher Kritikalität sowie alle betroffenen Unternehmen in den sonstigen kritischen Sektoren (Anhang II). Bußgelder bis 7 Mio. EUR oder 1,4 % des Jahresumsatzes. Reaktive Aufsicht: Das BSI wird erst nach Hinweisen oder Vorfällen tätig.
- Ausnahmen von der Size-Cap-Regel: Bestimmte Einrichtungen wie DNS-Dienste, TLD-Registries, Cloud-Computing-Anbieter, Rechenzentren, CDN-Betreiber, Vertrauensdiensteanbieter und Telekommunikationsanbieter fallen unabhängig von ihrer Größe unter NIS2. Ein IT-Dienstleister mit 15 Mitarbeitern, der Managed-Cloud-Dienste anbietet, kann also betroffen sein.
- Praxis-Tipp: Viele Unternehmen wissen nicht, dass sie betroffen sind. Prüfen Sie nicht nur Ihren Hauptgeschäftszweck, sondern auch Nebentätigkeiten: Bieten Sie DNS-Hosting, Cloud-Dienste oder digitale Dienste für Kunden an? Dann greift möglicherweise die Ausnahme von der Size-Cap-Regel. Das BSI bietet auf seiner Website einen Betroffenheitscheck an.
BSI-Registrierung & Pflichten
Seit dem 6. Januar 2026 können sich betroffene Unternehmen über das BSI-Portal registrieren. Die Registrierungsfrist lief am 6. März 2026 ab — drei Monate nach Beginn der Registrierungsmöglichkeit. Unternehmen, die sich nicht fristgerecht registriert haben, begehen bereits einen Ordnungswidrigkeitstatbestand. Die Registrierung umfasst Angaben zu Name, Anschrift, Sektor, Kontaktdaten des IT-Sicherheitsbeauftragten und den genutzten IP-Adressbereichen.
- 24/7-Kontaktstelle: Jede betroffene Einrichtung muss eine jederzeit erreichbare Kontaktstelle für das BSI benennen. Diese muss rund um die Uhr verfügbar sein — auch an Wochenenden und Feiertagen. In der Praxis bedeutet das: Ein benannter Sicherheitsbeauftragter mit Bereitschafts-Rufnummer und definiertem Vertretungsprozess, oder ein beauftragter Managed Security Service Provider (MSSP).
- Meldepflichten bei Sicherheitsvorfällen: Erhebliche Sicherheitsvorfälle müssen dem BSI in einem dreistufigen Verfahren gemeldet werden: Frühwarnung innerhalb von 24 Stunden nach Kenntniserlangung, vollständige Meldung innerhalb von 72 Stunden mit Schweregrad, betroffenen Diensten und ergriffenen Maßnahmen, sowie ein Abschlussbericht innerhalb eines Monats. Das BSI stellt hierfür standardisierte Meldeformulare bereit.
- Sektorklassifizierung: Bei der Registrierung müssen Unternehmen ihren Sektor und Teilsektor gemäß den Anhängen des Gesetzes angeben. Diese Klassifizierung bestimmt die Aufsichtsintensität und die anwendbaren branchenspezifischen Sicherheitsstandards. Eine fehlerhafte Klassifizierung kann dazu führen, dass das Unternehmen zu wenig oder zu viel regulatorische Aufmerksamkeit erhält.
- Risikomanagementmaßnahmen nach § 30 NIS2UmsuCG: Betroffene Unternehmen müssen mindestens die folgenden zehn Bereiche abdecken: Risikoanalyse, Incident Response, Business Continuity, Supply-Chain-Sicherheit, Sicherheit bei Beschaffung und Entwicklung, Bewertung der Wirksamkeit von Maßnahmen, Cyberhygiene und Schulungen, Kryptografie, Zugangskontrollen und Asset Management sowie Multi-Faktor-Authentifizierung.
Bußgelder & persönliche Haftung
Das NIS2UmsuCG sieht empfindliche Bußgelder vor, die je nach Kategorie der Einrichtung gestaffelt sind. Darüber hinaus enthält das Gesetz eine explizite persönliche Haftungsregelung für die Geschäftsleitung, die in dieser Form im deutschen IT-Sicherheitsrecht einmalig ist.
- Bußgeldrahmen für besonders wichtige Einrichtungen: Bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres — je nachdem, welcher Betrag höher ist. Bei einem Konzern mit 500 Mio. EUR Jahresumsatz entspricht das einem maximalen Bußgeld von 10 Mio. EUR.
- Bußgeldrahmen für wichtige Einrichtungen: Bis zu 7 Mio. EUR oder 1,4 % des weltweiten Jahresumsatzes. Auch für mittelständische Unternehmen sind das existenzbedrohende Summen: Bei 50 Mio. EUR Umsatz drohen bis zu 700.000 EUR Bußgeld.
- Persönliche Haftung der Geschäftsführung: Die Geschäftsleitung ist persönlich verantwortlich für die Genehmigung und Überwachung der Cybersicherheitsmaßnahmen. Bei grober Fahrlässigkeit — beispielsweise wenn trotz bekannter Sicherheitslücken keine Maßnahmen ergriffen werden — kann die Geschäftsführung persönlich in Anspruch genommen werden. Diese Verantwortung ist nicht delegierbar: Sie kann nicht auf den CISO, den IT-Leiter oder einen externen Dienstleister übertragen werden.
- Schulungspflicht für die Geschäftsleitung: Das Gesetz verlangt ausdrücklich, dass Mitglieder der Geschäftsleitung an Cybersicherheitsschulungen teilnehmen. Der Nachweis dieser Schulungen ist Teil der Compliance-Dokumentation und wird bei BSI-Prüfungen abgefragt.
- Verstöße gegen die Registrierungspflicht: Bereits die Nichtregistrierung beim BSI oder die verspätete Meldung von Sicherheitsvorfällen stellen Bußgeldtatbestände dar — unabhängig davon, ob tatsächlich ein Sicherheitsvorfall eingetreten ist.
Handlungsempfehlungen für den Mittelstand
Für mittelständische Unternehmen, die sich erstmals mit NIS2 auseinandersetzen, ist ein strukturiertes Vorgehen entscheidend. Die folgenden Schritte bilden einen pragmatischen Fahrplan, der auch ohne großes Compliance-Team umsetzbar ist.
- Schritt 1 — BSI-Registrierung nachholen: Falls die Frist am 6. März 2026 versäumt wurde, sollte die Registrierung unverzüglich nachgeholt werden. Eine verspätete Registrierung ist deutlich besser als gar keine — sie zeigt dem BSI guten Willen und kann bei der Bußgeldbemessung strafmildernd berücksichtigt werden. Die Registrierung erfolgt über das BSI-Portal unter
mip.bsi.bund.de. - Schritt 2 — CISO oder IT-Sicherheitsbeauftragten benennen: Ein dedizierter Ansprechpartner für Cybersicherheit ist zwingend erforderlich — sowohl für das BSI als auch intern. Für KMU, die keine Vollzeitstelle rechtfertigen, bietet sich ein externer CISO (vCISO) oder ein Managed Security Service Provider an, der auch die 24/7-Kontaktstelle übernehmen kann.
- Schritt 3 — Risikomanagement implementieren: Starten Sie mit einer GAP-Analyse: Vergleichen Sie Ihren aktuellen Sicherheitsstatus mit den zehn Risikomanagementmaßnahmen aus § 30 NIS2UmsuCG. Nutzen Sie den BSI IT-Grundschutz-Check als kostenloses Framework oder orientieren Sie sich an ISO 27001. Für Unternehmen, die bereits ein ISMS betreiben, deckt dies rund 70 % der Anforderungen ab.
- Schritt 4 — Incident-Response-Plan erstellen: Definieren Sie einen Meldeprozess für Sicherheitsvorfälle, der die 24-Stunden-Frühwarnung auch an Wochenenden sicherstellt. Erstellen Sie vorausgefüllte Meldeformulare, benennen Sie Vertretungsregelungen und üben Sie den Prozess mindestens einmal jährlich in einer Tabletop Exercise.
- Schritt 5 — Lieferketten-Audit durchführen: Dokumentieren Sie alle IT-Dienstleister und Zulieferer, bewerten Sie deren Cybersicherheitspraktiken und nehmen Sie Sicherheitsanforderungen in die Verträge auf. Die Supply-Chain-Sicherheit ist ein zentraler Prüfpunkt bei BSI-Audits — ein dokumentiertes Vendor Risk Management ist Pflicht.
- Schritt 6 — Geschäftsführung schulen: Organisieren Sie eine nachweisbare Cybersicherheitsschulung für alle Mitglieder der Geschäftsleitung. Dokumentieren Sie Teilnahme, Inhalte und Datum. Wiederholen Sie die Schulung jährlich und ergänzen Sie sie um aktuelle Bedrohungslagen.
NIS2-Compliance jetzt sicherstellen
Das NIS-2-Umsetzungsgesetz ist in Kraft — und die Bußgelder sind real. Von der Betroffenheitsprüfung über die BSI-Registrierung bis zur vollständigen Umsetzung der Risikomanagementmaßnahmen: Unsere Experten begleiten Ihr Unternehmen durch den gesamten Compliance-Prozess — pragmatisch, mittelstandsgerecht und termingerecht.
Kostenlose Erstberatung →
