NIS2 in Deutschland: Pflichten, Fristen und Registrierung 2026

NIS2 ist in Deutschland seit dem 6. Dezember 2025 geltendes Recht – und hat die Cybersicherheit für Zehntausende Unternehmen von einer freiwilligen Übung zur gesetzlichen Pflicht gemacht. Die Registrierungsfristen beim BSI sind inzwischen abgelaufen, die Pflichten zum Risikomanagement und zur Meldung von Vorfällen gelten ab dem ersten Tag. Wer noch nicht geprüft hat, ob das eigene Unternehmen betroffen ist, sollte das jetzt nachholen.

In diesem Überblick erfährst du, was das Umsetzungsgesetz regelt, wer unter die neuen Vorgaben fällt, wie die Registrierung funktioniert und welche Maßnahmen Geschäftsleitungen nachweisen müssen. Stand ist Oktober 2026.

Was ist NIS2? Die Kernantwort

NIS2 ist die zweite EU-Richtlinie zur Netz- und Informationssicherheit (Richtlinie (EU) 2022/2555). Sie verpflichtet Unternehmen aus 18 Sektoren, Cyberrisiken systematisch zu managen, erhebliche Sicherheitsvorfälle binnen 24 Stunden zu melden und sich bei der Aufsicht zu registrieren. In Deutschland setzt das NIS2UmsuCG die Richtlinie um, vor allem über ein komplett neu gefasstes BSI-Gesetz.

Rechtsstand Oktober 2026: Das NIS2UmsuCG gilt

Die EU hatte den Mitgliedstaaten bis zum 17. Oktober 2024 Zeit gegeben, die Richtlinie umzusetzen. Deutschland verpasste diese Frist, weil das erste Gesetzgebungsverfahren mit dem Ende der Ampel-Koalition scheiterte. Erst in der neuen Legislaturperiode beschloss der Bundestag das Gesetz am 13. November 2025, der Bundesrat billigte es am 21. November 2025.

Das „Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung“ wurde am 5. Dezember 2025 im Bundesgesetzblatt (BGBl. 2025 I Nr. 301) verkündet und trat am Folgetag in Kraft. Eine Übergangsfrist für die Sicherheitspflichten gibt es nicht. Zuständige Aufsicht ist das Bundesamt für Sicherheit in der Informationstechnik (BSI).

Auf EU-Ebene geht die Entwicklung weiter: Die EU-Kommission hat Anfang 2026 ein Cybersicherheitspaket mit gezielten Änderungen an der Richtlinie vorgeschlagen. Diskutiert werden unter anderem Erleichterungen für kleinere Mid-Caps und einheitliche Vorgaben zu Lösegeldangaben. Das Verfahren ist noch nicht abgeschlossen; für dich gilt bis auf Weiteres das deutsche BSI-Gesetz in der aktuellen Fassung.

Wer ist betroffen? Die NIS2-Kategorien

NIS2 unterscheidet zwei Gruppen: besonders wichtige Einrichtungen und wichtige Einrichtungen. Entscheidend sind der Sektor nach den Anlagen 1 und 2 des BSI-Gesetzes und die Unternehmensgröße. Das Statistische Bundesamt schätzte die Zahl der betroffenen Unternehmen auf rund 29.500.

Besonders wichtige Einrichtungen

Wichtige Einrichtungen

Zu Anlage 1 gehören etwa Energie, Verkehr, Bankwesen, Gesundheit, Wasser, digitale Infrastruktur und IT-Dienstleistungen für Unternehmen. Anlage 2 umfasst unter anderem Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste und Forschung. Gerade Maschinenbauer, Elektronikhersteller und Managed Service Provider unterschätzen häufig, dass sie unter die Regeln fallen.

Wichtig: Das BSI teilt dir nicht mit, ob du betroffen bist. Die Einstufung musst du selbst vornehmen. Eine erste Orientierung bietet die anonyme NIS-2-Betroffenheitsprüfung des BSI, die allerdings nicht rechtsverbindlich ist.

Was NIS2 für Zulieferer und kleinere Firmen bedeutet

Auch wer selbst unter den Schwellenwerten bleibt, spürt die neuen Regeln. Betroffene Einrichtungen müssen die Sicherheit ihrer Lieferkette berücksichtigen und geben Anforderungen deshalb vertraglich an Dienstleister und Zulieferer weiter. Fragebögen zu Patch-Management, Zugriffsrechten und Notfallplänen landen so auch bei kleinen IT-Häusern, Softwareanbietern und Wartungsfirmen.

Für diese Unternehmen gilt NIS2 nicht direkt, wird aber zum Wettbewerbsfaktor. Wer Kunden aus regulierten Branchen bedient, sollte die zentralen Maßnahmen ebenfalls umsetzen und dokumentieren können. Ein schlankes Sicherheitskonzept und nachvollziehbare Prozesse verschaffen dabei oft einen echten Vorsprung bei Ausschreibungen.

Was sich für bisherige KRITIS-Betreiber ändert

Betreiber kritischer Infrastrukturen waren schon nach altem Recht reguliert. Für sie heißt es jetzt „Betreiber kritischer Anlagen“, und sie gelten automatisch als besonders wichtige Einrichtungen. Neu sind vor allem die strengeren Pflichten für die Geschäftsleitung und die Ausweitung der Meldestufen. Für ihre Nachweise gelten Übergangsregeln, die sich am letzten Nachweis nach altem Recht orientieren.

Registrierung beim BSI: Fristen und Ablauf

Nach § 33 BSI-Gesetz müssen sich betroffene Einrichtungen spätestens drei Monate nach dem Zeitpunkt registrieren, ab dem sie unter die Regeln fallen. Für alle, die bereits bei Inkrafttreten betroffen waren, endete die Frist damit am 6. März 2026. Weil sich bis dahin nach Schätzungen nur ein Teil der Pflichtigen gemeldet hatte, räumte das BSI eine Nachfrist bis zum 31. Juli 2026 ein.

Laut Branchenberichten hatten sich bis Anfang August 2026 mehr als 19.000 Einrichtungen registriert. Das BSI bewertet den Stand als grundsätzlich zufriedenstellend, prüft aber, ob die ursprüngliche Schätzung zu hoch lag. Die Registrierungspflicht besteht unverändert fort, und das Amt behält sich bußgeldbewehrte Schritte gegen säumige Unternehmen vor.

So läuft die Registrierung ab:

Das BSI-Informationsportal zu NIS-2 stellt dafür Anleitungen, eine Checkliste und die sechsphasige Roadmap „#nis2know“ bereit.

Die Pflichten nach NIS2 im Überblick

Die Registrierung ist nur der Einstieg in die NIS2-Compliance. Im Kern verlangt das Gesetz ein funktionierendes Informationssicherheitsmanagement, das dem Stand der Technik entspricht und alle Gefahren berücksichtigt. Die Maßnahmen müssen verhältnismäßig sein, also zu Größe, Risiko und Kritikalität des Unternehmens passen.

Risikomanagement nach § 30 BSI-Gesetz

Das Gesetz nennt zehn Mindestbereiche, die jede betroffene Einrichtung abdecken muss:

Viele dieser Punkte sind klassische Hausaufgaben der IT-Sicherheit. Praktische Hilfe für den Bereich Betriebskontinuität findest du in unserem Ratgeber zum Ransomware-Schutz mit Backups und Notfallplan. Für die geforderte starke Anmeldung lohnt der Blick auf Passkeys als phishingresistentes Verfahren.

Meldepflichten bei Sicherheitsvorfällen

Erhebliche Sicherheitsvorfälle müssen in drei Stufen an das BSI gemeldet werden. Die Fristen beginnen mit der Kenntnis des Vorfalls und gelten als Höchstgrenzen:

Als erheblich gilt ein Vorfall, wenn er schwere Betriebsstörungen oder finanzielle Verluste verursacht oder verursachen kann oder Dritte erheblich schädigt. Details und den Meldeweg über das BSI-Portal beschreibt das BSI-Infopaket zur Meldepflicht. Das Amt empfiehlt, früh zu melden, auch wenn noch nicht alle Informationen vorliegen.

Geschäftsleitung in der Pflicht: Haftung und Bußgelder

NIS2 macht Cybersicherheit ausdrücklich zur Chefsache. Nach § 38 BSI-Gesetz muss die Geschäftsleitung die Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen. Verletzt sie diese Pflichten schuldhaft und entsteht dem Unternehmen ein Schaden, haftet sie nach den gesellschaftsrechtlichen Regeln persönlich.

Hinzu kommt eine Schulungspflicht: Geschäftsleiterinnen und Geschäftsleiter müssen regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagementpraktiken beurteilen zu können. Das BSI bietet dafür eigene Materialien an. Delegieren lässt sich die Verantwortung nicht, nur die operative Umsetzung.

Die Bußgeldrahmen nach § 65 BSI-Gesetz sind empfindlich:

Betreiber kritischer Anlagen müssen die Umsetzung zudem alle drei Jahre durch Audits, Prüfungen oder Zertifizierungen gegenüber dem BSI nachweisen. Bei den übrigen Einrichtungen kann das Amt Nachweise anlassbezogen anfordern.

NIS2 umsetzen: Fahrplan für die nächsten Monate

Ob du gerade erst anfängst oder bereits registriert bist: Ein strukturierter Fahrplan verhindert Aktionismus. Diese Reihenfolge hat sich bei der Umsetzung von NIS2 bewährt:

Orientierung bieten etablierte Standards wie ISO/IEC 27001 oder der IT-Grundschutz des BSI. Eine Zertifizierung ist für die meisten Einrichtungen nicht vorgeschrieben, erleichtert aber Nachweise gegenüber Aufsicht und Kunden.

Typische Stolpersteine

Fazit: Pflicht mit Nutzen

NIS2 ist für viele Unternehmen mit Aufwand verbunden, aber kein Selbstzweck. Die geforderten Maßnahmen sind genau die, die im Ernstfall über die Handlungsfähigkeit entscheiden: Backups, Notfallpläne, starke Anmeldung und geschulte Mitarbeitende. Wer sie konsequent umsetzt, senkt nicht nur das Bußgeldrisiko, sondern vor allem das Risiko eines teuren Ausfalls.

Ein Blick über den Tellerrand lohnt sich: Die EU-Kommission treibt die Harmonisierung weiter voran, und auch Kunden fragen zunehmend nach Nachweisen. Wer jetzt sauber aufstellt, ist für die nächsten Anpassungen gut gerüstet.

Häufige Fragen zu NIS2

Wer muss sich nach NIS2 beim BSI registrieren?

Registrieren müssen sich alle besonders wichtigen und wichtigen Einrichtungen nach dem BSI-Gesetz. Dazu zählen in der Regel Unternehmen aus den Sektoren der Anlagen 1 und 2 ab 50 Beschäftigten oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme. Bestimmte Anbieter wie DNS-Dienste oder Betreiber kritischer Anlagen sind unabhängig von ihrer Größe erfasst.

Ist die Registrierungsfrist für NIS2 schon abgelaufen?

Ja. Die gesetzliche Frist endete für bereits betroffene Unternehmen am 6. März 2026, die Nachfrist des BSI am 31. Juli 2026. Die Pflicht zur Registrierung besteht aber weiter. Wer noch nicht gemeldet ist, sollte das umgehend über „Mein Unternehmenskonto“ und das BSI-Portal nachholen, denn das BSI behält sich Bußgelder vor.

Welche Meldefristen gelten bei einem Sicherheitsvorfall?

Erhebliche Sicherheitsvorfälle meldest du in drei Stufen an das BSI: eine Erstmeldung innerhalb von 24 Stunden nach Kenntnis, eine Folgemeldung innerhalb von 72 Stunden und eine Abschlussmeldung spätestens einen Monat danach. Die Fristen sind Höchstgrenzen. Das BSI empfiehlt, so früh wie möglich zu melden, auch mit noch unvollständigen Informationen.

Wie hoch sind die Bußgelder bei Verstößen?

Besonders wichtigen Einrichtungen drohen bis zu 10 Millionen Euro, bei großen Konzernen bis zu 2 Prozent des weltweiten Umsatzes. Für wichtige Einrichtungen liegt die Obergrenze bei 7 Millionen Euro beziehungsweise 1,4 Prozent. Zusätzlich kann die Geschäftsleitung bei schuldhaften Pflichtverletzungen nach Gesellschaftsrecht persönlich für entstandene Schäden haften.

Was muss die Geschäftsführung konkret tun?

Die Geschäftsleitung muss die Risikomanagementmaßnahmen nach § 30 BSI-Gesetz umsetzen, deren Umsetzung überwachen und regelmäßig an Schulungen zur Cybersicherheit teilnehmen. Sie kann Aufgaben an IT oder externe Dienstleister delegieren, bleibt aber selbst verantwortlich. Sinnvoll sind feste Berichtsroutinen, ein dokumentiertes Sicherheitskonzept und regelmäßige Übungen.