NIS2: Bin ich betroffen – und was ist jetzt zu tun?
Mit dem NIS2-Umsetzungsgesetz gelten in Deutschland seit Ende 2025 deutlich strengere Cybersicherheitspflichten. Dieser Überblick zeigt, wer betroffen ist, welche Maßnahmen Pflicht sind und warum die Geschäftsleitung besonders in der Verantwortung steht.
Das Wichtigste in Kürze
- Das NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025 – ohne Übergangsfrist.
- Betroffen sind in der Regel Unternehmen aus den erfassten Sektoren mit mindestens 50 Beschäftigten oder mehr als 10 Mio. Euro Jahresumsatz und Bilanzsumme.
- Pflichten: Registrierung beim BSI, Risikomanagement und Meldung von Sicherheitsvorfällen.
- Die Geschäftsleitung haftet persönlich.
Was ist NIS2?
NIS2 ist eine EU-Richtlinie zur Cybersicherheit, die Deutschland mit dem NIS2-Umsetzungsgesetz (NIS2UmsuCG) in nationales Recht überführt hat. Ziel ist ein einheitlich höheres Sicherheitsniveau für Organisationen, deren Ausfall erhebliche Folgen hätte. Gegenüber der alten Regelung wächst der Kreis der betroffenen Unternehmen deutlich – von einigen Tausend auf geschätzt mehrere Zehntausend.
Bin ich betroffen?
Ob NIS2 für Sie gilt, hängt von zwei Fragen ab: Gehören Sie zu einem der erfassten Sektoren, und wie groß ist Ihr Unternehmen? Erfasst sind unter anderem Energie, Transport, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, Produktion bestimmter Güter, Lebensmittel, Chemie und Forschung.
Innerhalb dieser Sektoren gelten die Größenkriterien: ab 50 Beschäftigten oder mehr als 10 Mio. Euro Jahresumsatz und Bilanzsumme. Unterschieden wird in „besonders wichtige“ und „wichtige“ Einrichtungen, die unterschiedlich streng beaufsichtigt werden. Einige Einrichtungen fallen unabhängig von ihrer Größe darunter. Die Einordnung sollte im Einzelfall geprüft werden.
Einen schnellen ersten Eindruck liefert unser NIS2-Betroffenheits-Check.
Welche Pflichten gelten?
Betroffene Unternehmen müssen vor allem drei Dinge leisten:
- Registrierung beim BSI: Die Einrichtung muss sich registrieren und erreichbar sein.
- Risikomanagement-Maßnahmen: dazu zählen Risikoanalyse, Umgang mit Sicherheitsvorfällen, Backup- und Notfallmanagement, Lieferkettensicherheit, Zugriffskontrolle, Verschlüsselung und Mitarbeiterschulungen.
- Meldung von Vorfällen: Erhebliche Sicherheitsvorfälle sind in einem gestuften Verfahren zu melden – eine erste Meldung früh (binnen 24 Stunden), eine ausführlichere innerhalb von 72 Stunden und ein Abschlussbericht später.
Die Rolle der Geschäftsleitung
NIS2 nimmt die Führung in die Pflicht: Die Geschäftsleitung muss die Risikomanagement-Maßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Bei groben Pflichtverletzungen droht die persönliche Haftung, zusätzlich sind empfindliche Bußgelder möglich. Eine saubere, nachweisbare Umsetzung ist deshalb auch Eigenschutz.
Was Sie jetzt tun sollten
- Betroffenheit klären – Sektor und Größe prüfen, im Zweifel fachlich bewerten lassen.
- Gap-Analyse – den Ist-Zustand gegen die Anforderungen abgleichen und Lücken priorisieren. Einen Einstieg bietet unsere DSGVO- & ISO-Gap-Analyse.
- Maßnahmen umsetzen – priorisiert, mit klaren Zuständigkeiten und Meldewegen.
- Dokumentieren – prüffähig, damit Sie gegenüber Aufsicht und im Ernstfall nachweisen können, was Sie getan haben.
Mehr zu meiner Unterstützung finden Sie auf der Seite IT-Compliance.
Dieser Beitrag dient der allgemeinen Information und ersetzt keine Steuer-, Rechts- oder individuelle Fachberatung. Stand: Oktober 2026. Maßgeblich sind die jeweils geltenden gesetzlichen Regelungen.