NIS2: Gilt das neue Cybersicherheitsgesetz für Ihr Unternehmen?
Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz. Es verpflichtet deutlich mehr Unternehmen als bisher zu IT-Sicherheit, Meldungen und Registrierung beim BSI. Viele Betriebe wissen noch nicht, ob sie betroffen sind.
Wer ist betroffen?
Das Gesetz gilt für Unternehmen in 18 Sektoren, darunter Energie, Gesundheit, Transport, digitale Dienste, Abfallwirtschaft, Lebensmittel und verarbeitendes Gewerbe. Ob ein Unternehmen erfasst ist, hängt außerdem von seiner Größe ab. Vereinfacht gilt:
- Wichtige Einrichtungen: ab etwa 50 Beschäftigten oder mehr als 10 Mio. Euro Umsatz und Bilanzsumme
- Besonders wichtige Einrichtungen: ab etwa 250 Beschäftigten oder mehr als 50 Mio. Euro Umsatz und 43 Mio. Euro Bilanzsumme
Die genaue Einordnung hängt vom Einzelfall ab. Das BSI bietet dafür eine Betroffenheitsprüfung an.
Auch kleinere Betriebe merken NIS2: Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette prüfen und verlangen das zunehmend von Dienstleistern und Zulieferern.
Welche Pflichten gelten?
- Registrierung beim BSI: Die ursprüngliche Frist endete am 6. März 2026. Nach Berichten hat das BSI eine Nachfrist bis 31. Juli 2026 eingeräumt. Wer sich noch nicht registriert hat, sollte das jetzt nachholen.
- Risikomanagement: Dokumentierte Maßnahmen zur IT-Sicherheit, etwa Backups, Zugriffsschutz, Notfallpläne und Schutz der Lieferkette.
- Meldepflichten: Erhebliche Sicherheitsvorfälle müssen gestuft gemeldet werden: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und ein Abschlussbericht nach einem Monat.
- Verantwortung der Geschäftsleitung: Die Geschäftsleitung muss die Maßnahmen billigen und überwachen und haftet bei Pflichtverletzungen.
Bei Verstößen drohen Bußgelder von bis zu 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes, bei besonders wichtigen Einrichtungen bis zu 10 Mio. Euro oder 2 %.
Was Sie jetzt tun sollten
- Mit der Betroffenheitsprüfung des BSI klären, ob Ihr Unternehmen unter NIS2 fällt.
- Falls ja: Registrierung beim BSI nachholen, falls noch nicht erfolgt.
- Den Stand Ihrer IT-Sicherheit aufnehmen: Firewall, Virenschutz, Backups, Updates, Zugriffsrechte, Notfallplan.
- Einen Ablauf festlegen, wer bei einem Vorfall was meldet, damit die 24-Stunden-Frist eingehalten werden kann.
Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung. Für die rechtliche Einordnung wenden Sie sich bitte an einen Anwalt oder Ihren Verband.
Wir unterstützen bei der technischen Umsetzung: Bestandsaufnahme, Firewall, Backup, Monitoring und Dokumentation.
NIS2-Check anfragen