Glossar · IT-Sicherheit & Backup
Was ist NIS2?
Kurz erklärt
NIS2 ist eine EU-Richtlinie zur Cybersicherheit, die deutlich mehr Unternehmen als bisher zu Risikomanagement, Sicherheitsmaßnahmen und Meldung von Sicherheitsvorfällen verpflichtet. In Deutschland gilt sie seit Dezember 2025 über das NIS2-Umsetzungsgesetz.
NIS2 ist eine EU-Richtlinie, die Unternehmen in wichtigen Wirtschaftszweigen zu einem Mindestmaß an Cybersicherheit verpflichtet. In Deutschland wurde sie mit dem NIS2-Umsetzungsgesetz (NIS2UmsuCG) umgesetzt, das seit Dezember 2025 in Kraft ist und das BSI-Gesetz neu fasst. Betroffen sind laut IHK rund 30.000 Unternehmen, viele davon aus dem Mittelstand.
Wer ist von NIS2 betroffen?
Entscheidend sind Branche und Größe. Die Richtlinie nennt 18 Sektoren, darunter Energie, Transport, Gesundheit, digitale Infrastruktur, IT-Dienstleistungen, Lebensmittel, Abfallwirtschaft, Chemie und verarbeitendes Gewerbe.
Erfasst sind in der Regel mittlere und große Unternehmen, also ab 50 Beschäftigten oder mit mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme. Das Gesetz unterscheidet zwischen „besonders wichtigen“ und „wichtigen“ Einrichtungen. Für einige Bereiche gelten die Pflichten unabhängig von der Größe.
Das BSI stellt eine Online-Betroffenheitsprüfung bereit. Sie ersetzt keine rechtliche Bewertung, gibt aber eine erste Orientierung.
Ein Beispiel: Ein Lebensmittelhersteller mit 80 Beschäftigten fällt in einen der genannten Sektoren und überschreitet die Größenschwelle. Er ist damit in der Regel eine „wichtige Einrichtung“ und muss die Pflichten erfüllen. Ein Steuerbüro mit 15 Mitarbeitenden ist dagegen meist nicht direkt betroffen.
Die wichtigsten Pflichten nach NIS2
- Registrierung beim BSI über „Mein Unternehmenskonto“ und das BSI-Portal.
- Risikomanagement: geeignete technische und organisatorische Maßnahmen, etwa Backup, Zugriffskontrolle, Multi-Faktor-Authentifizierung, Verschlüsselung und Notfallplanung.
- Meldepflicht: erhebliche Sicherheitsvorfälle an das BSI, mit Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden und Abschlussbericht nach einem Monat.
- Verantwortung der Geschäftsleitung: Sie muss die Maßnahmen umsetzen, überwachen und sich regelmäßig schulen lassen.
- Lieferkette: Die Sicherheit von Dienstleistern und Zulieferern muss berücksichtigt werden.
Die Maßnahmen müssen zum Risiko passen. Ein kleiner Zulieferer muss nicht dasselbe leisten wie ein großer Energieversorger, braucht aber ebenfalls ein nachvollziehbares Konzept.
Stand der Umsetzung von NIS2 in Deutschland
Deutschland hat die Richtlinie verspätet umgesetzt. Das NIS2-Umsetzungsgesetz hat das BSI-Gesetz grundlegend neu gefasst und gilt ohne Übergangsfrist.
| Zeitpunkt | Schritt |
|---|---|
| 13.11.2025 | Bundestag beschließt das NIS2-Umsetzungsgesetz |
| 06.12.2025 | Gesetz tritt in Kraft, die Pflichten gelten sofort |
| 06.03.2026 | ursprüngliches Ende der Registrierungsfrist |
| 31.07.2026 | vom BSI genannter spätester Termin für die Registrierung |
Inzwischen ist die Registrierungsfrist abgelaufen. Wer betroffen und noch nicht registriert ist, sollte dies laut BSI sofort im BSI-Portal nachholen. Die übrigen Pflichten wie Risikomanagement und Meldewege gelten unabhängig davon bereits.
Welche Sanktionen drohen bei NIS2-Verstößen?
| Einrichtung | Bußgeld bis zu |
|---|---|
| besonders wichtig | 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes |
| wichtig | 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes |
Maßgeblich ist jeweils der höhere Betrag. Hinzu kommt die persönliche Verantwortung der Geschäftsleitung für die Umsetzung.
Das BSI kann außerdem Nachweise verlangen und Anordnungen treffen. Wer die Pflichten ernst nimmt und dokumentiert, ist bei solchen Prüfungen deutlich besser aufgestellt.
Was bedeutet NIS2 für Ihr Unternehmen?
Fällt Ihr Unternehmen unter NIS2, brauchen Sie ein nachweisbares Sicherheitsmanagement statt einzelner Maßnahmen. Das betrifft Technik, Prozesse und Dokumentation. Orientierung bieten etablierte Standards wie ISO 27001 oder der BSI IT-Grundschutz.
Auch wer selbst nicht betroffen ist, spürt die Regeln oft. Ein Maschinenbauer, der Energieversorger beliefert, bekommt Anforderungen über Verträge und Lieferantenfragebögen weitergereicht. Ein belegbares Sicherheitsniveau wird damit zum Wettbewerbsfaktor.
Konkret heißt das: Sie brauchen eine Übersicht Ihrer wichtigen Systeme und Daten, eine Risikoanalyse und einen Plan für den Notfall. Dazu kommen geregelte Zuständigkeiten, Schulungen und ein Verfahren, um Vorfälle rechtzeitig zu melden.
Die Kosten hängen stark vom Ausgangszustand ab. Typische Fehler sind, die eigene Betroffenheit gar nicht zu prüfen, alles an die IT abzuschieben und Meldewege erst im Ernstfall zu klären. Dieser Beitrag ersetzt keine Rechtsberatung.
Bei Bestandsaufnahme und Umsetzung unterstützen wir Sie im Rahmen unserer Leistung IT-Sicherheit für KMU.
Häufige Fragen
Wie finde ich heraus, ob mein Unternehmen unter NIS2 fällt?
Entscheidend sind Sektor, Beschäftigtenzahl, Umsatz und Bilanzsumme. Die Betroffenheitsprüfung des BSI gibt eine erste Einschätzung, in Grenzfällen sollten Sie juristischen Rat einholen.
Ich habe die Registrierung verpasst. Was nun?
Holen Sie die Registrierung im BSI-Portal so schnell wie möglich nach. Voraussetzung ist ein ELSTER-Organisationszertifikat über „Mein Unternehmenskonto“.
Wo fange ich mit der Umsetzung an?
Mit einer Bestandsaufnahme: Welche Systeme sind kritisch, welche Schutzmaßnahmen gibt es, wo sind Lücken? Daraus entsteht ein priorisierter Maßnahmenplan mit klaren Zuständigkeiten.
Stand: · Verantwortlich: Raphael Neuberger, Gründer Newmountains.IT
Aus der Praxis
Passende Lösungen zum Thema NIS2
Leistung
IT-Sicherheit für KMU — Angriffe stoppen, bevor sie im Postfach landen
IT-Sicherheit für KMU: E-Mail-Schutz für Microsoft 365, Backup für Postfach & Teams, Endpoint-Schutz und Phishing-Training. Einrichtung ab 990 € netto.
Zur Leistung →Im Shop
NIS2-Readiness-Check
NIS2-Readiness-Check: Betroffenheitsanalyse, Gap-Analyse gegen die NIS2-Pflichten, priorisierte Roadmap + Management-Summary. Ab 1.490 € netto.
1.490,00 € zzgl. MwSt.
Zum Produkt →Weiterlesen
Verwandte Begriffe
Reden wir über Ihre IT.
In 30 Minuten ordnen wir Ihre Situation ein und zeigen, wo Cloud, KI und Automatisierung bei Ihnen wirklich etwas bringen — und wo nicht. Kostenlos, unverbindlich, ohne Verkaufsdruck.
oder direkt anrufen: 0871 20 655 600 · Mo–Fr 9–17 Uhr
