NIS2 in Deutschland: Was betroffene Unternehmen jetzt wissen müssen
Das NIS2-Umsetzungsgesetz trat am 6. Dezember 2025 in Kraft. Für rund 29.500 Unternehmen und Einrichtungen in Deutschland gelten seitdem neue Pflichten in der IT-Sicherheit. Sie müssen sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren, erhebliche Sicherheitsvorfälle melden und Risikomanagementmaßnahmen implementieren. Die Registrierungsfrist beim BSI endet am 31. Juli 2026. Unternehmen, die diese Frist versäumen, begehen eine eigenständige Ordnungswidrigkeit – mit Bußgeldern von bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes.
Die Dringlichkeit ist hoch. Viele Unternehmen haben die erste Phase der Umsetzung verpasst, als das Gesetz ohne Übergangsfrist in Kraft trat. Die Nachfrist des BSI vom 31. Juli 2026 ist das letzte signifikante Zeitfenster. Unternehmen, die jetzt noch keine systematische Gap-Analyse durchgeführt haben, müssen handeln.
Wer ist von NIS2 betroffen?
Das NIS2-Umsetzungsgesetz ändert das BSI-Gesetz (BSIG) und erweitert den Anwendungsbereich deutlich gegenüber der ersten Version. Unternehmen fallen unter die Pflicht, wenn sie drei Kriterien erfüllen. Sie müssen zu einem der 18 regulierten Sektoren gehören, den Schwellenwert von 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz (Size-Cap) nach § 28 BSIG überschreiten und als besonders wichtige oder wichtige Einrichtung eingestuft werden.
Zu den besonders wichtigen Einrichtungen zählen Energieversorger, Kreditinstitute, Wertpapierhandelsplätze, Krankenhäuser, Wasserversorger, Abwasserentsorger, Flughafen- und Bahninfrastruktur, digitale Infrastrukturen wie Cloud-Computing, Rechenzentren und Registry-Dienste, sowie die öffentliche Verwaltung auf Bundes- und Länderebene. Zu den wichtigen Einrichtungen zählen unter anderem der Postbereich, die Abfallwirtschaft, die chemische Industrie, die Lebensmittelproduktion, der Maschinenbau, die Fertigung von Halbleitern und Anbieter von Online-Marktplätzen, Suchmaschinen und sozialen Medien.
Einige Bereiche sind unabhängig von der Größe direkt betroffen. Anbietern öffentlicher elektronischer Kommunikationsnetze, (qualifizierten) Vertrauensdiensteanbietern, Domain-Name-Registry-Diensten und DNS-Diensteanbietern gelten die Pflichten auch bei weniger als 50 Mitarbeitenden. Diese Ausnahmen vom Size-Cap sind bewusst weit gefasst, weil die Infrastrukturwirkung dieser Dienste systemrelevant ist.
Betreiber kritischer Anlagen gelten als Teilmenge der besonders wichtigen Einrichtungen. Ihre Einstufung richtet sich nach der BSI-Kritisverordnung. Die Kritis-Einstufung ist unabhängig von der Mitarbeiterzahl und dem Umsatz.
Unternehmen können ihre NIS2-Betroffenheit mit der kostenlosen NIS2-Betroffenheitsprüfung des BSI unverbindlich selbst prüfen. Der zugehörige Entscheidungsbaum des BSI, der im Februar 2026 veröffentlicht wurde, unterstützt die Einordnung in die richtigen Kategorien. Die Prüfung ist ein erster, kostenloser Schritt, bevor Unternehmen eine fundierte Gap-Analyse durchführen. Die BSI Betroffenheitsanalyse finden sie hier (Link).
Die drei Kernpflichten der NIS2-Richtlinie
Das Gesetz kennt keine allgemeine Übergangsfrist. Betroffene Unternehmen müssen ihre Pflichten unmittelbar nach Inkrafttreten erfüllen. Drei Pflichtenblöcke prägen die Umsetzung: Registrierung, Meldepflicht und Risikomanagement. Jeder Block hat konkrete technische und organisatorische Anforderungen, die in der Praxis meist parallel angegangen werden müssen.
Registrierung beim BSI
Der Registrierungsprozess läuft über das BSI-Portal. Voraussetzung ist zunächst ein ELSTER-Organisationszertifikat, das über den digitalen Dienst „Mein Unternehmenskonto" (MUK) generiert wird. Das BSI empfiehlt, den Account bei „Mein Unternehmenskonto" bis spätestens zum Jahresende 2025 anzulegen, um sich im zweiten Schritt ab Anfang 2026 mit dem MUK-Nutzerkonto im BSI-Portal zu registrieren.
Der Registrierungsprozess hat drei Monate nach Inkrafttreten am 6. März 2026 begonnen. Das BSI hat als Nachfrist den 31. Juli 2026 festgelegt. Bis Ende September 2026 hatten sich nach Angaben des BSI 20.141 Einrichtungen registriert – davon 13.252 als wichtige und 6.837 als besonders wichtige Einrichtungen. Die Gesamtzahl der Registrierungen inklusive Nebenniederlassungen und grenzüberschreitender Einrichtungen lag bei 20.373. Mehr als 9.000 betroffene Unternehmen hatten sich bis zu diesem Stichtag noch nicht angemeldet.
Die Registrierung betrifft auch Nebenniederlassungen und grenzüberschreitende Einrichtungen. Unternehmen, die sich bis zum 31. Juli 2026 nicht registriert haben, handeln ordnungswidrig. Das BSI hat angekündigt, Bußgeldbescheide gegen nicht registrierte Einrichtungen bis Ende 2026 zu erlassen. Die ersten Bescheide werden voraussichtlich sechs- bis siebenstellig ausfallen.
Meldepflicht für erhebliche Sicherheitsvorfälle
Besonders wichtige und wichtige Einrichtungen sind verpflichtet, dem BSI erhebliche Sicherheitsvorfälle zu melden. Ein meldepflichtiger Vorfall liegt vor, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann, oder wenn er andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat.
Die Meldung erfolgt stufenweise über das BSI-Portal mit drei Zeitfenstern. Die frühe Erstmeldung muss innerhalb von 24 Stunden nach Kenntniserlangung erfolgen. Die Folgemeldung ist innerhalb von 72 Stunden abzugeben und enthält eine detaillierte Bewertung des Vorfalls, einschließlich Schweregrad, Auswirkungen und Kompromittierungsindikatoren. Die Abschlussmeldung ist spätestens einen Monat nach der ursprünglichen Meldung abzugeben.
Als „Kenntniserlangung" ist der Zeitpunkt definiert, an dem eine Mitarbeiterin oder ein Mitarbeiter während der Arbeitszeit von einem erheblichen Sicherheitsvorfall erfährt. Die genannten Fristen sind Maximalzeiten. Sie sollten nicht ausgereizt werden. Die Meldepflicht gilt unabhängig davon, ob das Unternehmen bereits registriert ist. Einrichtungen, die vor ihrer Registrierung im BSI-Portal einen erheblichen Sicherheitsvorfall erleiden, melden diesen über ein Online-Formular des BSI. Betreiber kritischer Anlagen und Bundesbehörden nutzen vorübergehend ihre bisherigen Meldewege.
Risikomanagement nach § 30 BSIG
Das BSIG verpflichtet besonders wichtige und wichtige Einrichtungen zu umfassenden technischen und organisatorischen Risikomanagementmaßnahmen. Diese Maßnahmen müssen geeignet, verhältnismäßig und wirksam sein. Ziel ist es, Störungen der Verfügbarkeit, Integrität und Vertraulichkeit von informationstechnischen Systemen zu vermeiden und Auswirkungen von Sicherheitsvorfällen so gering wie möglich zu halten.
Der Gesetzgeber schreibt in §30 Abs. 10 BSIG mindestens zehn verpflichtende Maßnahmen vor. Die Liste umfasst die Risikoanalyse und die Sicherheit in der Informationstechnik, die Bewältigung von Sicherheitsvorfällen, die Aufrechterhaltung des Betriebs einschließlich Backup-Management und Krisenmanagement, die Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern, Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von IT-Systemen einschließlich Schwachstellenmanagement, die Bewertung der Wirksamkeit der eigenen Risikomanagementmaßnahmen, Grundschulungen und Sensibilisierungsmaßnahmen für Mitarbeitende, kryptographische Verfahren, die Sicherheit des Personals sowie Zugriffskontrolle und Asset-Management, und schließlich die Verwendung von Multi-Faktor-Authentifizierung und gesicherter Kommunikation.
Viele dieser Anforderungen sind aus der ISO/IEC 27001 bekannt. Die Einführung eines Informationssicherheits-Managementsystems nach ISO 27001 oder dem BSI-Standard 200-1 bietet einen bewährten Rahmen für die NIS2-Compliance. Der Onepager des BSI, der im April 2026 erschienen ist, zeigt explizit die Schnittstellen zwischen NIS2 und ISO 27001 auf. Eine detaillierte Checkliste des BSI steht seit März 2026 zum Download bereit und unterstützt die schrittweise Umsetzung.
Im April 2026 hat das BSI mit IT-Grundschutz++ den Entwurf eines neuen Leitfadens veröffentlicht, der betroffenen Unternehmen eine daten- und prozessorientierte Sicherheitsmethodik an die Hand gibt. Die finale Version des IT-Grundschutz++ soll vsl. im Oktober auf der ITZA vorstellt werden, die Zertifizierung für den neuen Standard kann lt. BSI ab Januar 2027 erfolgen. Darüber hinaus plant das BSI zukünftig die Integration weiterer Managementsysteme in den Standard.
Der Grundschutz++ Ansatz startet nicht bei einzelnen Sicherheitsobjekten, sondern bei Geschäftsprozessen und den darin verarbeiteten Informationen. Erst darauf aufbauend werden relevante Assets identifiziert, Zielobjektkategorien zugeordnet und individuelle Anforderungspakete erstellt. Für die Umsetzung empfiehlt das BSI die Nutzung der Stand-der-Technik-Bibliothek auf GitHub, die Sicherheitsvorgaben als maschinenlesbare OSCAL-Dokumente bereitstellt.
Bußgelder und persönliche Haftung der Geschäftsleitung
Das NIS2-Umsetzungsgesetz verschärft die Sanktionsregelungen erheblich. Die Bußgelder richten sich nach der Einrichtungskategorie und der Schwere des Verstoßes. Das BSI muss keinen tatsächlichen Sicherheitsvorfall nachweisen; die Nichteinhaltung der Registrierungspflicht oder das Versäumen einer Meldepflicht reicht als Bußgeldgrundlage zukünftig aus.
Für besonders wichtige Einrichtungen (darunter Energieversorger, Banken, Krankenhäuser und Cloud-Anbieter) beträgt das maximale Bußgeld zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ausfällt. Für wichtige Einrichtungen (darunter Chemieunternehmen, Lebensmittelhersteller und Maschinenbauer) liegt die Grenze bei sieben Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes. Unternehmen mit einem Jahresumsatz von mehr als 500 Millionen Euro können mit dem prozentualen Bußgeldsatz belegt werden, was die effektive Höhe deutlich über die Fixbeträge anheben kann.
Für Verstöße gegen die Registrierungs- und Meldepflicht sieht das Gesetz spezifische Bußgelder vor. Bei versäumter Registrierung drohen Bußgelder von bis zu 100.000 Euro pro Verstoß nach § 65 BSIG. Bei groben Verstößen gegen die Risikomanagement- oder Meldepflicht greifen die höheren Sanktionsrahmen von bis zu 10 Millionen Euro bzw. 2 Prozent.
Die Höhe der Bußgelder orientiert sich an Faktoren, die analog der DSGVO Art. 83 gewichtet werden: die Schwere und Dauer des Verstoßes, ob Vorsatz oder Fahrlässigkeit vorliegt, die ergriffenen Maßnahmen zur Schadensbegrenzung, das Verhalten bei der Aufklärung, frühere Verstöße und die wirtschaftliche Größe der Einrichtung. Erstverstoß bei kooperativer Aufklärung führt typischerweise zu Bußgeldern im fünf- bis sechsstelligen Bereich. Bei Vorsatz und Wiederholung sind Millionenbeträge möglich.
Darüber hinaus haften Mitglieder der Geschäftsleitung persönlich gegenüber der Organisation für Schäden, wenn sie ihre gesetzlichen Pflichten zur IT-Sicherheit schuldhaft verletzen. Diese persönliche Haftung ist ein zentraler Hebel, der die Dringlichkeit der NIS2-Umsetzung in den Vorständen und Geschäftsführungen direkt verankert. Die Geschäftsleitung muss zudem eine Schulung nach den Empfehlungen des BSI durchlaufen, die alle drei Jahre wiederholt werden muss. Das BSI geht davon aus, dass ein solches Mindestintervall in den seltensten Fällen ausreicht und gibt Anhaltspunkte, um davon abzuweichen. Sollten bei Ihnen ein Schadensfall eintreten, empfehlen wir die sofortige Abstimmung der anwaltlichen Vertretung ihres Unternehmens. Außerhalb von juristischen Fragestellungen unterstützen wir Sie gerne sofort bei eintreten eines Schadensfalls.
BSIG 2025: Was hat sich geändert?
Das NIS2-Umsetzungsgesetz wurde am 13. November 2025 im Bundestag und am 21. November 2025 im Bundesrat beschlossen. Es trat am 6. Dezember 2025 in Kraft. Das Gesetz ist als Artikelgesetz ausgestaltet und ändert neben dem BSIG auch weitere Fachgesetze im Telekommunikations-, Energie- und Sozialversicherungsrecht.
Wesentliche Neuerungen gegenüber dem bisherigen Recht:
- Der Anwendungsbereich wurde deutlich erweitert. Das BSIG gilt nun für rund 29.500 Unternehmen und Einrichtungen, vorrangig im Bereich der Kritischen Infrastrukturen und weiterer wesentlicher Wirtschaftsbereiche.
- Die Meldepflichten wurden konkretisiert. Die stufenweise Meldung mit 24-Stunden-Frist für die Erstmeldung ist neu.
- Die Risikomanagementpflichten sind detaillierter geregelt. Die zehn Mindestmaßnahmen nach § 30 Abs. 2 BSIG geben einen verbindlichen Katalog.- Die Bußgelder wurden angehoben und um die Umsatz-basierte Komponente ergänzt.
- Die persönliche Haftung der Geschäftsleitung wurde ausdrücklich im Gesetz verankert.
- Die Schulungspflicht für die Geschäftsleitung wurde eingeführt.
Darüber hinaus hat das BSI eine Vielzahl an Orientierungshilfen veröffentlicht: einen Entscheidungsbaum zur NIS2-Betroffenheitsprüfung, ein Infopaket zur Meldepflicht, Onepager zu den Sicherheitsmaßnahmen und zum Schwachstellenmanagement sowie die NIS2-Checkliste zur Schritt-für-Schritt-Prüfung der Umsetzung.
NIS2 KRITIS Beratung: Besonderheiten für kritische Infrastrukturen
Betreiber kritischer Anlagen unterliegen besonderen Anforderungen. Sie gelten als Teilmenge der besonders wichtigen Einrichtungen und müssen zusätzlich die bestehenden KRITIS-Pflichten erfüllen. Die BSI-Kritisverordnung bestimmt, welche Anlagen als kritisch gelten. Die Einstufung ist unabhängig von der Mitarbeiterzahl und dem Umsatz.
Für KRITIS-Unternehmen ergeben sich aus der Doppelverantwortung besondere Herausforderungen. Sie müssen sowohl die spezifischen KRITIS-Anforderungen als auch die breiteren NIS2-Pflichten parallel umsetzen. Eine gemeinsame Gap-Analyse, die beide Regulierungswerke berücksichtigt, ist effizienter als zwei getrennte Prüfungen. Die Schnittstellen liegen insbesondere bei den Meldepflichten, dem Incident-Response-Management und den technischen Sicherheitsmaßnahmen.
Der IT-Grundschutz++ des BSI bietet eine aktualisierte Methodik, die auch OT-Systeme (Operational Technology) in Produktionsumgebungen einbezieht. Wir sehen dies insbesondere für verarbeitende Unternehmen, z.B. aus der Lebensmittelindustrie als relevant an. Für KRITIS-Unternehmen, deren IKT und OT eng verzahnt sind, ist diese Integration entscheidend. Die Risikobewertung für OT-Geräte kann außerhalb der Produktionsumgebung erfolgen, was für viele kritische Infrastrukturen eine praktikable Option darstellt.
NIS2 BCM nach ISO 22301 oder BSI 200-4: Business Continuity Management ist Pflicht
Die Aufrechterhaltung des Betriebs gehört zu den zehn Mindestmaßnahmen des § 30 BSIG. NIS2 verlangt konkret Backup-Management, Wiederherstellung nach Notfällen und Krisenmanagement. Neben dem BSI 200-4 Standard in Deutschland, ist die ISO 22301 der internationale Standard für Business Continuity Management und deckt einen großen Teil der NIS2-Anforderungen ab. NIS2 Unternehmen welche kritische Infrastrukturen betreiben wählen oftmals den BSI 200-4 Standard, wird keine kritische Infrastruktur betrieben sehen wir in der Praxis auch die Anwendung des ISO 22301 Standards, welcher im internationalen Kontext eher bekannt ist.
Die Kombination aus einem ISMS nach ISO 27001 und einem BCM-System nach ISO 22301 oder dem BSI 200-4 bildet ein solides Fundament für die NIS2-Compliance. Viele der geforderten Risikomanagement-Maßnahmen lassen sich in diese beiden Managementsysteme integrieren, ohne parallele Strukturen aufzubauen. Die gemeinsame Nutzung von Prozessen, Dokumentationen und Verantwortlichkeiten reduziert den Implementierungsaufwand erheblich.
Wie Acono Unternehmen bei der NIS2-Umsetzung unterstützt
NIS2 ist kein reines IT Thema, sondern ein Governance Thema
In vielen Unternehmen oder auch Behörden hat sich aus der Erfahrung unserer Gespräche nach die Denkweise festgesetzt, dass NIS2 ein reines IT Thema ist, und mit der Umsetzung z.B. der ISO27001 Controls das Thema erledigt ist. Das ist grob falsch.
Die NIS2-Umsetzung ist eine operative und strategische Aufgabe, die Fachwissen in regulatorischen Anforderungen, IT-Sicherheit und Betriebsorganisation verbindet. Es ist somit in Summe eine Governance Aufgabe, und benötigt daher nicht nur der Umsetzung von technischen Controls, sondern dem aufsetzender einer vollständigen regulatorischen Governance - was der Punkt ist indem ACONO sich von reinen IT-Security Dienstleistern unterscheidet.
ACONO unterstützt betroffene Unternehmen bei der Umsetzung, beginnend mit der ersten Betroffenheitsprüfung bis hin zum nachhaltigen Betriebsmodell.
ACONO - standardisiertes Vorgehensmodell mittels RegRISE™ Framework
Unsere konkrete Leistung umfasst die Gap-Analyse Ihres aktuellen Sicherheitsstatus gegenüber den Anforderungen des BSIG, die Aufsetzung eines Informationssicherheits-Managementsystems nach ISO 27001 und den BSI-Standards, die Implementierung der Meldepfade und des Incident-Response-Prozesses, die Integration von Business Continuity Management nach ISO 22301, die Ausarbeitung der Risikomanagement-Maßnahmen nach § 30 BSIG mit besonderem Fokus auf Lieferkettensicherheit und Schwachstellenmanagement, die Vorbereitung auf die BSI-Registrierung und die Betreuung bei der Registrierung im BSI-Portal sowie die Schulung der Geschäftsleitung nach den Empfehlungen des BSI.
Die Arbeit erfolgt auf Basis des RegRISE™-Framework von ACONO, das regulatorische Anforderungen in ein betreibbares Governance-Modell übersetzt. Ziel ist nicht nur die Erfüllung der gesetzlichen Pflichten, sondern ein nachhaltiger Betriebszustand, der die Sicherheit Ihrer Dienste nachhaltig verbessert. ACONO bedient dabei insbesondere den Fokus auf Banken, Versicherungen und KRITIS-Unternehmen, die aus der Erstumsetzung in den belastbaren Betrieb übergehen müssen.
Die NIS2-Umsetzung erfordert oft auch tool-gestützte Prozesse, um Meldepflichten, Risikomanagement und Incident Response systematisch zu steuern. Acono unterstützt bei der Integration von GRC-Plattformen wie TopEase, um die dokumentierten Prozesse automatisiert und nachweisbar zu betreiben.
Warum ACONO der richtige Partner ist - proven Track Record
ACONO ist Ihr erfahrener Partner für die Umsetzung der NIS2-Anforderungen. Unsere Expertise basiert auf umfangreichen Governance-, Risk- und Compliance-Projekten für einen großen börsennotierten Versicherungskonzern inkl. Tochterfirmen, Börsenbetreiber, private und öffentliche Banken, Geld- und Wertdienstleister, Lebensmittelhersteller, Medizinprodukthersteller sowie Industrieunternehmen; ein Teil unserer Kunden ist Teil der kritischen Infrastruktur Deutschlands (KRITIS). Wir sind in diesem Bereich seit über 6 Jahren erfolgreich als Spezialberatung aktiv, arbeiten in diesem Kontext auch eng und ergänzend mit Big-4 Beratungshäusern welche ggf. bereits bei Ihnen im Haus sind zusammen.
Das heißt für Sie: Wir kennen die besonderen Anforderungen komplexer und hochregulierter Organisationen und verfügen über fundierte Erfahrung darin, regulatorische Vorgaben in wirksame Governance-Strukturen, Prozesse und technische Lösungen zu überführen, Lösungen, welche wir auch für Sie betreiben können. Als Dienstleister für die kritische Infrastruktur sowie Financial Services Unternehmen welche unter DORA reguliert sind, unterliegen wir auch regelmäßigen Prüfungen unserer internen Prozesse.
Was uns besonders auszeichnet ist, dass wir unsere Kunden ganzheitlich begleiten: Angefangen bei der regulatorischen Analyse und Konzeption über die Implementierung geeigneter GRC-Systeme bis hin zum nachhaltigen Betrieb der Lösung. So verbinden wir regulatorisches Fachwissen mit praktischer Umsetzungserfahrung und technologischer Kompetenz.
Jetzt 30min NIS2 Erstgespräch vereinbaren
Nächste Schritte
Die Registrierungsfrist endete am 31. Juli 2026. Für Unternehmen, die noch keine Gap-Analyse durchgeführt haben, sollte diese umgehend beginnen. Wenn Sie prüfen wollen, ob Ihr Unternehmen von NIS2 betroffen ist oder Unterstützung bei der Umsetzung benötigen, vereinbaren Sie eine Beratung.
ACONO Advisory steht Unternehmen in allen Phasen der NIS2-Umsetzung beratend zur Seite, von der Betroffenheitsprüfung über die strategische Ausrichtung bis hin zur operativen Implementierung und dem langfristigen Betrieb.
