NIS2 in Deutschland: Wer betroffen ist und welche Pflichten seit Dezember 2025 gelten
Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) und das novellierte BSI-Gesetz (BSIG) sind am 6. Dezember 2025 ohne Übergangsfrist in Kraft getreten. Betroffen sind Unternehmen ab bestimmten Größenschwellen in definierten Sektoren – mit unterschiedlichen Pflichten je nachdem, ob sie als „besonders wichtige" oder „wichtige" Einrichtung gelten. Dieser Leitfaden erklärt die Schwellenwerte, die Sektoren, das Pflichtenpaket nach § 30 BSIG, die Registrierung mit ihrer bis 31. Juli 2026 verlängerten Nachfrist, die Bußgelder und die Verantwortung der Geschäftsleitung.
NIS2 ist in Deutschland kein Ausblick mehr, sondern geltendes Recht. Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) und das novellierte BSI-Gesetz (BSIG) sind am 6. Dezember 2025 ohne Übergangsfrist in Kraft getreten. Seither gilt für alle erfassten Unternehmen ein Pflichtenpaket aus Risikomanagement-Maßnahmen, Meldepflichten und – als formaler erster Schritt – einer Registrierungspflicht beim BSI.
Erfasst sind Unternehmen ab bestimmten Größenschwellen, sofern sie einem der in Anlage 1 oder Anlage 2 des BSIG genannten Sektoren zuzuordnen sind. Die ursprüngliche Registrierungsfrist nach § 33 BSIG lief bis zum 6. März 2026; weil nach BSI-Angaben (Stand Ende Mai 2026) erst rund 18.500 von geschätzt 29.500 betroffenen Unternehmen registriert waren, hat das BSI eine Nachfrist bis zum 31. Juli 2026 eingeräumt.
Bei Verstößen drohen gestaffelte Bußgelder – von bis zu 500.000 € für einen reinen Registrierungsverstoß bis zu 10 Mio. € bzw. 2 % des weltweiten Jahresumsatzes für materielle Pflichtverstöße besonders wichtiger Einrichtungen. Die Geschäftsleitung trägt nach § 38 BSIG eine eigene Verantwortung, Risikomanagementmaßnahmen zu billigen, zu überwachen und sich schulen zu lassen. Dieser Leitfaden ordnet Betroffenheit, Pflichten, Fristen und Sanktionen im Detail ein.
Was ist NIS2 – und was hat sich zum 6. Dezember 2025 geändert?
NIS2 steht für die zweite EU-Richtlinie zur Netzwerk- und Informationssicherheit (Richtlinie (EU) 2022/2555). Sie löst die erste NIS-Richtlinie ab und erweitert deren Anwendungsbereich erheblich: Statt nur klassischer „kritischer Infrastruktur" erfasst NIS2 nun auch weite Teile des verarbeitenden Gewerbes, der digitalen Dienste, der Lebensmittelbranche, der Abfallwirtschaft und weiterer Sektoren – sofern die jeweiligen Größenschwellen erreicht werden.
Not legal advice – provided without warranty. Amounts, deadlines and thresholds may change; consult a professional if in doubt.
Frequently asked questions
Seit wann gilt NIS2 in Deutschland?
Das NIS2-Umsetzungsgesetz und das novellierte BSI-Gesetz sind am 6. Dezember 2025 ohne Übergangsfrist in Kraft getreten. Die materiellen Pflichten gelten seither unmittelbar für alle erfassten Unternehmen, unabhängig vom Stand der Registrierung.
Wer genau ist von NIS2 betroffen?
Grundsätzlich erfasst sind Unternehmen mit mindestens 50 Mitarbeitenden oder mit einem Jahresumsatz über 10 Mio. € und einer Jahresbilanzsumme über 10 Mio. €, sofern sie einem Sektor der Anlage 1 oder Anlage 2 BSIG zuzuordnen sind. Als „besonders wichtige Einrichtung" gelten zusätzlich nur Unternehmen in Anlage-1-Sektoren ab 250 Mitarbeitenden bzw. über 50 Mio. € Umsatz und 43 Mio. € Bilanzsumme.
Was ist der Unterschied zwischen „besonders wichtiger" und „wichtiger" Einrichtung?
Besonders wichtige Einrichtungen sind größere Unternehmen in Sektoren mit hoher Kritikalität (Anlage 1) und unterliegen dem höheren Bußgeldrahmen (bis 10 Mio. € oder 2 % Jahresumsatz). Wichtige Einrichtungen erreichen die Basis-Schwelle, aber nicht die höhere Schwelle, oder sind in Anlage-2-Sektoren tätig; für sie gilt ein Bußgeldrahmen bis 7 Mio. € oder 1,4 % Jahresumsatz.
Welche Sektoren sind von NIS2 erfasst?
Anlage 1 (hohe Kritikalität) umfasst u. a. Energie, Transport, Banken, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienstemanagement, öffentliche Verwaltung und Weltraum. Anlage 2 umfasst u. a. Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste und Forschung.
Welche Meldefristen gelten bei einem Sicherheitsvorfall?
Erhebliche Sicherheitsvorfälle sind gestuft zu melden: eine Frühwarnung innerhalb von 24 Stunden, ein Update innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats nach Kenntnisnahme.
Was passiert, wenn ich die Registrierungsfrist bis 31. Juli 2026 verpasst habe?
Es erfolgt keine automatische Sanktion am Stichtag selbst, aber die Registrierungspflicht nach § 33 BSIG bleibt bestehen und ist weiterhin mit bis zu 500.000 € bußgeldbewehrt (§ 65 Abs. 2 Nr. 6 BSIG). Betroffene Unternehmen sollten die Registrierung unverzüglich nachholen.
Haftet die Geschäftsführung persönlich bei einem NIS2-Verstoß?
NIS2 schafft keinen eigenständigen, neuen Haftungstatbestand für Geschäftsleiter. § 38 BSIG verlangt aber, dass die Geschäftsleitung die Risikomanagementmaßnahmen billigt, überwacht und sich schulen lässt – eine Haftung richtet sich im Schadensfall nach den allgemeinen gesellschaftsrechtlichen Grundsätzen.
Können auch kleine Zulieferbetriebe von NIS2 betroffen sein, ohne selbst die Schwellen zu erreichen?
Direkt nicht, aber indirekt: Erfasste Unternehmen müssen nach § 30 BSIG auch die Sicherheit ihrer Lieferkette absichern. Große Auftraggeber können daher vertraglich Sicherheitsanforderungen an kleinere Zulieferer weitergeben, auch wenn diese die NIS2-Schwellenwerte selbst nicht erreichen.
In Deutschland wurde die Richtlinie durch das NIS2-Umsetzungsgesetz (NIS2UmsuCG) in nationales Recht überführt, das im Kern das BSI-Gesetz (BSIG) novelliert. Beide sind am 6. Dezember 2025 in Kraft getreten – ohne gesonderte Übergangsfrist für die Pflichten selbst. Wer die Schwellenwerte erreicht, ist seither unmittelbar in der Pflicht, unabhängig davon, ob eine Registrierung schon erfolgt ist.
Das Ziel des Gesetzes: Ein einheitlich hohes Cybersicherheitsniveau in der EU, schnellere Meldung von Sicherheitsvorfällen und eine klare Verantwortung der Unternehmensleitung für IT-Sicherheit – nicht mehr nur als IT-Abteilungsthema, sondern als Geschäftsleitungsaufgabe.
Wer ist betroffen? Die Schwellenwerte im Detail
Die Betroffenheitsprüfung läuft in zwei Schritten: erst die Größe des Unternehmens, dann die Sektorzuordnung. Die Größenschwellen orientieren sich an der EU-Empfehlung 2003/361 zur Definition von Klein- und mittleren Unternehmen (Mitarbeitendenzahl, Jahresumsatz, Jahresbilanzsumme).
Kategorie
Größenschwelle
Sektor-Voraussetzung
Grundsätzlich erfasst (Basis-Schwelle)
≥ 50 Mitarbeitende ODER (Jahresumsatz > 10 Mio. € UND Jahresbilanzsumme > 10 Mio. €)
Tätigkeit in einem Sektor der Anlage 1 oder Anlage 2 BSIG
Besonders wichtige Einrichtung
≥ 250 Mitarbeitende ODER (Jahresumsatz > 50 Mio. € UND Jahresbilanzsumme > 43 Mio. €)
nur in Sektoren der Anlage 1 (hohe Kritikalität)
Wichtige Einrichtung
Basis-Schwelle erreicht, aber nicht die höhere Schwelle überschritten
Sektoren der Anlage 1 (unterhalb der hohen Schwelle) oder Anlage 2 (bei Erreichen der Basis-Schwelle)
Kategorie
Grundsätzlich erfasst (Basis-Schwelle)
Größenschwelle
≥ 50 Mitarbeitende ODER (Jahresumsatz > 10 Mio. € UND Jahresbilanzsumme > 10 Mio. €)
Sektor-Voraussetzung
Tätigkeit in einem Sektor der Anlage 1 oder Anlage 2 BSIG
Kategorie
Besonders wichtige Einrichtung
Größenschwelle
≥ 250 Mitarbeitende ODER (Jahresumsatz > 50 Mio. € UND Jahresbilanzsumme > 43 Mio. €)
Sektor-Voraussetzung
nur in Sektoren der Anlage 1 (hohe Kritikalität)
Kategorie
Wichtige Einrichtung
Größenschwelle
Basis-Schwelle erreicht, aber nicht die höhere Schwelle überschritten
Sektor-Voraussetzung
Sektoren der Anlage 1 (unterhalb der hohen Schwelle) oder Anlage 2 (bei Erreichen der Basis-Schwelle)
Praktisch heißt das: Ein Unternehmen mit 60 Mitarbeitenden in einem Anlage-2-Sektor (z. B. Lebensmittelherstellung) ist grundsätzlich als „wichtige Einrichtung" erfasst. Ein Unternehmen mit 300 Mitarbeitenden im Energiesektor (Anlage 1) gilt dagegen als „besonders wichtige Einrichtung" mit dem strengeren Bußgeldrahmen. Kleine und Kleinstunternehmen unterhalb der Basis-Schwelle sind grundsätzlich nicht unmittelbar erfasst – können aber als Zulieferer betroffener Unternehmen vertraglich in die Pflicht genommen werden, weil § 30 BSIG auch die Absicherung der eigenen Lieferkette verlangt.
Die erfassten Sektoren: Anlage 1 und Anlage 2
Ob ein Unternehmen als „besonders wichtig" überhaupt infrage kommt, hängt von seiner Zuordnung zu Anlage 1 (Sektoren mit hoher Kritikalität) oder Anlage 2 (sonstige kritische Sektoren) ab:
Anlage
Sektor
Anlage 1
Energie
Anlage 1
Transport
Anlage 1
Bankwesen
Anlage 1
Finanzmarktinfrastrukturen
Anlage 1
Gesundheitswesen
Anlage 1
Trinkwasser
Anlage 1
Abwasser
Anlage 1
Digitale Infrastruktur
Anlage 1
Management von IKT-Diensten (B2B)
Anlage 1
Öffentliche Verwaltung
Anlage 1
Weltraum
Anlage 2
Post- und Kurierdienste
Anlage 2
Abfallbewirtschaftung
Anlage 2
Chemie (Produktion, Herstellung, Handel)
Anlage 2
Lebensmittel (Produktion, Verarbeitung, Vertrieb)
Anlage 2
Verarbeitendes Gewerbe
Anlage 2
Digitale Dienste
Anlage 2
Forschung
Anlage
Anlage 1
Sektor
Energie
Anlage
Anlage 1
Sektor
Transport
Anlage
Anlage 1
Sektor
Bankwesen
Anlage
Anlage 1
Sektor
Finanzmarktinfrastrukturen
Anlage
Anlage 1
Sektor
Gesundheitswesen
Wichtig für die Praxis: Der Begriff „verarbeitendes Gewerbe" ist breit und reicht über klassische Schwerindustrie hinaus in viele mittelständische Produktionsbetriebe hinein. Auch digitale Dienste (u. a. Cloud-Angebote, Online-Marktplätze, Suchmaschinen) sind als Anlage-2-Sektor erfasst.
Das Pflichtenpaket: Risikomanagement nach § 30 BSIG
Der materielle Kern von NIS2 sind Risikomanagementmaßnahmen, wie sie § 30 BSIG als sogenannte „Art.-21-artige Maßnahmen" (in Anlehnung an Art. 21 der NIS2-Richtlinie) konkretisiert. Erfasste Unternehmen müssen unter anderem:
Maßnahmenbereich
Was verlangt wird
Risikoanalyse
Systematische Bewertung der Cybersicherheitsrisiken für die eigenen Systeme
Incident-Handling
Prozesse zur Erkennung, Bearbeitung und Nachverfolgung von Sicherheitsvorfällen
Absicherung von Dienstleistern und Zulieferern gegen Cyberrisiken
Maßnahmenbereich
Verschlüsselung
Was verlangt wird
Einsatz von Kryptografie, wo angemessen
Diese Liste ist nicht abschließend zu verstehen, sondern beschreibt die zentralen Bausteine, die das Gesetz von jeder erfassten Einrichtung verlangt – angemessen zur jeweiligen Risikolage, nicht als starre Checkliste.
Meldepflichten bei Sicherheitsvorfällen
Neben den präventiven Maßnahmen verlangt das BSIG eine gestufte Meldung erheblicher Sicherheitsvorfälle:
Frist
Was zu melden ist
24 Stunden
Frühwarnung – erste Einschätzung des Vorfalls
72 Stunden
Update – Aktualisierung der Bewertung, ggf. erste Abhilfemaßnahmen
Diese Fristen laufen ab Kenntnisnahme des erheblichen Sicherheitsvorfalls. Wer keinen etablierten Meldeprozess hat, verliert in der ersten Frist wertvolle Zeit – die Vorbereitung eines internen Eskalationswegs gehört deshalb zu den ersten Schritten nach Feststellung der Betroffenheit.
Registrierungspflicht und die Nachfrist bis 31. Juli 2026
Vor den materiellen Pflichten steht ein formaler Schritt: die Registrierung beim BSI nach § 33 BSIG. Die gesetzliche Frist dafür lief ursprünglich bis zum 6. März 2026. Weil nach BSI-Angaben (Stand Ende Mai 2026) erst rund 18.500 von geschätzt 29.500 betroffenen Unternehmen registriert waren, hat das BSI eine Nachfrist bis zum 31. Juli 2026 eingeräumt.
Ein Verstoß gegen die Registrierungspflicht ist eigenständig bußgeldbewehrt: nach § 65 Abs. 2 Nr. 6 BSIG mit bis zu 500.000 €. Diese Nachfrist ist keine neue gesetzliche Frist im engeren Sinne, sondern eine behördliche Übergangstoleranz – nach ihrem Ablauf gilt wieder die reguläre Rechtslage, und ein anhaltender Registrierungsverstoß bleibt sanktionsfähig. Unternehmen, die die Frist verpassen, sollten die Registrierung unverzüglich nachholen, statt abzuwarten.
Den aktuellen Fristenstand auf einen Blick zeigt der Compliance-Radar.
Bußgelder im Überblick
Verstoß
Bußgeldrahmen
Registrierungsverstoß (§ 33 i. V. m. § 65 Abs. 2 Nr. 6 BSIG)
bis zu 500.000 €
Materieller Pflichtverstoß, besonders wichtige Einrichtung
bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (der höhere Betrag gilt)
Materieller Pflichtverstoß, wichtige Einrichtung
bis zu 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes (der höhere Betrag gilt)
Verstoß
Registrierungsverstoß (§ 33 i. V. m. § 65 Abs. 2 Nr. 6 BSIG)
Bußgeldrahmen
bis zu 500.000 €
Verstoß
Materieller Pflichtverstoß, besonders wichtige Einrichtung
Bußgeldrahmen
bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (der höhere Betrag gilt)
Verstoß
Materieller Pflichtverstoß, wichtige Einrichtung
Bußgeldrahmen
bis zu 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes (der höhere Betrag gilt)
Die Bußgeldhöhe richtet sich also danach, ob ein Unternehmen als besonders wichtige oder wichtige Einrichtung gilt – der reine Registrierungsverstoß ist davon unabhängig und trifft grundsätzlich jede erfasste Einrichtung gleichermaßen.
Die Rolle der Geschäftsleitung nach § 38 BSIG
NIS2 macht Cybersicherheit ausdrücklich zur Aufgabe der Unternehmensleitung. § 38 BSIG verlangt, dass die Geschäftsleitung erfasster Einrichtungen die Risikomanagementmaßnahmen nach § 30 BSIG billigt, ihre Umsetzung überwacht und sich regelmäßig schulen lässt.
Wichtig zur Einordnung: § 38 BSIG schafft keinen eigenständigen, „automatisch" greifenden Haftungstatbestand für Geschäftsleiter. Eine Haftung bei Pflichtverletzung richtet sich nach den allgemeinen gesellschaftsrechtlichen Grundsätzen (etwa der Organhaftung nach GmbHG/AktG). NIS2 verschärft aber die Sorgfaltsanforderungen: Wer als Geschäftsleitung die eigene Cybersicherheits-Governance ignoriert, riskiert im Schadensfall eine deutlich schwerere Beweislast in einem ohnehin bestehenden Haftungsrahmen.
Der 5-Schritte-Plan zur Umsetzung
Betroffenheit prüfen. Größenschwellen (Mitarbeitende, Umsatz, Bilanzsumme) und Sektorzuordnung nach Anlage 1/2 BSIG durchgehen. Der NIS2-Betroffenheits-Check gibt eine erste Orientierung.
Registrierung nachholen oder vorbereiten, sobald Betroffenheit feststeht – unabhängig davon, ob die Nachfrist bis 31. Juli 2026 schon abgelaufen ist.
Risikoanalyse durchführen und daraus die konkreten Maßnahmen nach § 30 BSIG ableiten (Incident-Handling, Backup, Lieferkette, Verschlüsselung, MFA, Schulungen).
Meldeprozess etablieren, der die Fristen 24 Stunden / 72 Stunden / 1 Monat organisatorisch abbildet – inklusive klarer Verantwortlichkeiten.
Geschäftsleitung einbinden und dokumentieren: Billigung der Maßnahmen, Überwachung der Umsetzung und die eigene Schulung nach § 38 BSIG nachvollziehbar festhalten.
Transparenz: Was CERTISCAN heute (nicht) abdeckt
CERTISCAN ist eine modulare Compliance- und Betriebsplattform für Gebäudereinigung, Handwerk und KMU mit Schwerpunkt auf Zeiterfassung, E-Rechnung, HinSchG-Meldekanal und Lohn-Compliance. Ein NIS2-spezifisches Modul ist zum Stand dieses Leitfadens (Juli 2026) nicht Teil des Funktionsumfangs. Dieser Leitfaden dient der rechtlichen Einordnung, ersetzt aber keine IT-Sicherheits- oder Rechtsberatung – für die technische Umsetzung der § 30-BSIG-Maßnahmen empfiehlt sich die Einbindung spezialisierter IT-Sicherheitsdienstleister.
05
Das Pflichtenpaket: Risikomanagement nach § 30 BSIG