NIS2 einfach erklärt: Wer ist betroffen und was ist jetzt zu tun?

Was ist NIS2 und seit wann gilt es?

NIS2 ist die zweite EU-Richtlinie zur Netz- und Informationssicherheit. Sie verpflichtet deutlich mehr Unternehmen als bisher zu einem Mindestniveau an Cybersicherheit. In Deutschland setzt das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) die Richtlinie um — es ist seit dem 6. Dezember 2025 in Kraft, und zwar ohne allgemeine Übergangsfrist. Kern des Gesetzes sind Änderungen am BSI-Gesetz (BSIG); die zentralen Pflichten stehen in den Paragrafen 28 bis 39 BSIG.

Wer ist betroffen?

Betroffen sind Einrichtungen aus 18 Sektoren — darunter Energie, Transport, Gesundheit, Wasser, digitale Infrastruktur, IT-Dienstleistungen (Managed Services), öffentliche Verwaltung, Post, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste und Forschung. In Deutschland sind das rund 29.500 Unternehmen.

Unterschieden wird zwischen besonders wichtigen Einrichtungen (große Unternehmen in Hochkritik-Sektoren, KRITIS-Betreiber) und wichtigen Einrichtungen — mit unterschiedlich strenger Aufsicht und Bußgeldrahmen. Eine unverbindliche Ersteinschätzung liefert die Betroffenheitsprüfung des BSI.

Die zehn Pflichten nach §30 BSIG

Betroffene Einrichtungen müssen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen in zehn Bereichen umsetzen — und das nachweisbar dokumentieren:

BSI-Registrierung

Betroffene Einrichtungen müssen sich selbst beim BSI registrieren — über das Melde- und Informationsportal muk.bsi.bund.de (Anmeldung mit ELSTER-Organisationszertifikat). Für Bestandsfälle läuft eine Nachfrist bis zum 31. Juli 2026. Die Registrierung umfasst Stammdaten, Sektor, Kontaktdaten und einen jederzeit erreichbaren Meldekontakt.

Meldepflichten bei Sicherheitsvorfällen

Erhebliche Sicherheitsvorfälle müssen dreistufig an das BSI gemeldet werden:

Erheblich ist ein Vorfall, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursachen kann oder andere natürliche oder juristische Personen erheblich beeinträchtigt. Im Zweifel gilt: lieber melden.

Bußgelder und persönliche Haftung

• Besonders wichtige Einrichtungen: bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes — je nachdem, was höher ist.
• Wichtige Einrichtungen: bis zu 7 Mio. EUR oder 1,4 % des weltweiten Jahresumsatzes.
• Geschäftsleitung: muss die Umsetzung der Maßnahmen billigen und überwachen, an Schulungen teilnehmen — und haftet bei Pflichtverletzung persönlich gegenüber der Gesellschaft. Ein Verzicht auf diese Ansprüche ist unwirksam.

Fallen kleine IT-Dienstleister, Hoster und MSPs unter NIS2?

Direkt meist nicht — solange sie unter den Größenschwellen bleiben (unter 50 Mitarbeitende und höchstens 10 Mio. EUR Umsatz/Bilanz) und keinen größenunabhängig erfassten Dienst anbieten (DNS, TLD, Vertrauensdienste, öffentliche TK-Netze). Klassisches SaaS- oder Server-Hosting kleiner Anbieter gehört nicht zu den größenunabhängigen Kategorien.

Indirekt aber fast immer: NIS2-pflichtige Kunden müssen die Sicherheit ihrer Lieferkette nachweisen — und geben die Anforderungen vertraglich an ihre Dienstleister weiter: Sicherheitsfragebögen, AV-Verträge, 24-Stunden-Informationspflichten bei Vorfällen, Zertifikatsnachweise. Wer als Dienstleister vorbereitet ist, gewinnt solche Kunden leichter.

Lieferkettensicherheit: was Kunden von Dienstleistern verlangen

Typische Anforderungen NIS2-pflichtiger Unternehmen an ihre Lieferanten: benannter Sicherheitsverantwortlicher, dokumentierte Richtlinien, MFA und Patch-Management, getestete Backups, Vorfallsprozess mit Informationspflicht binnen 24 Stunden, Vereinbarung zur Auftragsverarbeitung, geregelte Datenrückgabe bei Vertragsende — häufig abgefragt über standardisierte Sicherheitsfragebögen.

Erste Schritte: so kommen Sie strukturiert zur NIS2-Readiness