NIS-2 & KRITIS: Was jetzt für Unternehmen gilt

Lange war NIS-2 vor allem ein Thema für Verunsicherung – auch deshalb, weil das deutsche Gesetz auf sich warten ließ. Diese Zeit ist vorbei. Das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) wurde am 13. November 2025 vom Bundestag beschlossen, am 21. November vom Bundesrat gebilligt, am 5. Dezember 2025 im Bundesgesetzblatt verkündet und ist seit dem 6. Dezember 2025 in Kraft. Umgesetzt ist es im novellierten BSI-Gesetz (BSIG).

Heißt konkret: Wer auf das Gesetz gewartet hat, wartet auf nichts mehr. Eine allgemeine Übergangsfrist gibt es nicht, die Pflichten gelten seit dem Inkrafttreten. Betroffen sind in Deutschland rund 30.000 Einrichtungen – die allermeisten davon Unternehmen, die sich nie als „kritische Infrastruktur“ gesehen haben. Was das im Einzelnen bedeutet, ordne ich hier ein.

Bin ich überhaupt betroffen?

Das BSIG unterscheidet zwei Kategorien: „besonders wichtige“ und „wichtige“ Einrichtungen. (Die EU-Richtlinie spricht von „wesentlich“ und „wichtig“ – im deutschen Gesetz heißt es „besonders wichtig“ und „wichtig“. Diese Begriffe sind die maßgeblichen.)

Die Faustregel über die Sektoren hinweg: Als wichtige Einrichtung gelten Sie in der Regel ab 50 Mitarbeitenden oder mehr als 10 Mio. Euro Jahresumsatz bzw. Bilanzsumme. Ab 250 Mitarbeitenden oder mehr als 50 Mio. Euro Umsatz werden Sie zur besonders wichtigen Einrichtung – mit schärferer Aufsicht und höheren Bußgeldrahmen. Unabhängig von der Größe sind einige Sonderfälle erfasst, etwa Anbieter öffentlicher Telekommunikationsnetze, DNS-Resolver, TLD-Registries, qualifizierte Vertrauensdiensteanbieter und die Betreiber kritischer Anlagen.

Die Sektoren (Anlage 1 und 2 des BSIG) reichen von Energie, Verkehr, Wasser, Gesundheit und digitaler Infrastruktur bis zu Post, Abfall, Chemie, Lebensmitteln, verarbeitendem Gewerbe, Forschung und digitalen Diensten. Genau hier liegt die Überraschung für viele Mittelständler: Das verarbeitende Gewerbe ist breit gefasst. Der Maschinenbauer mit 120 Mitarbeitenden, der sich nie als kritisch verstanden hat, fällt plötzlich darunter.

Und selbst wer formal nicht betroffen ist, spürt NIS-2 über die Lieferkette. Betroffene Unternehmen müssen die Sicherheit ihrer Zulieferer in ihr Risikomanagement einbeziehen und geben Anforderungen vertraglich weiter. In meiner Praxis erreichen mich die meisten Anfragen genau so – nicht von der Behörde, sondern vom größten Kunden, der einen Nachweis verlangt.

Die beiden Betroffenheits-Tools des Bundes – und ihre Grenzen

Für die erste Orientierung stellt das BSI zwei offizielle Hilfen bereit: die interaktive NIS-2-Betroffenheitsprüfung, einen anonymen, an der Gesetzgebung orientierten Fragenkatalog, und den begleitenden Entscheidungsbaum zum Nachvollziehen der Logik. Beide sind kostenlos und liefern in wenigen Schritten eine erste Einschätzung samt Hinweis auf die sich ergebenden Pflichten.

So nützlich das ist – man muss wissen, was diese Tools sind und was nicht. Das BSI selbst schreibt unmissverständlich, dass das Ergebnis lediglich eine Orientierungshilfe ist und rechtlich nicht bindend, weil es automatisiert erstellt und nicht geprüft wird. Hinzu kommt: Das BSI teilt die Betroffenheit nicht von sich aus mit. Die Prüfung müssen Sie selbst vornehmen und verantworten.

Für eine grobe Ersteinschätzung sind die Tools deshalb gut geeignet. Verlassen würde ich mich darauf nicht. Knifflig wird es regelmäßig bei der Brancheneinordnung, bei Unternehmen, die in mehreren Sektoren tätig sind, und bei der Frage, ob ein Geschäftsfeld für die Gesamttätigkeit überhaupt erheblich ist. Genau diese Punkte entscheiden über die Betroffenheit, und genau hier liefert ein Fragebogen keine belastbare Antwort. Mein Rat: das Tool für die erste Sortierung nutzen, dann aber fachlich sauber bewerten lassen.

Und ein Punkt, den ich nicht oft genug betonen kann: Dokumentieren Sie, wie Sie zu Ihrem Ergebnis gekommen sind. Welche Sektoren haben Sie geprüft, welche Schwellenwerte zugrunde gelegt, welche Geschäftsfelder als unerheblich eingestuft und warum? Sollte Ihre Selbsteinstufung später von der Sicht der Aufsicht abweichen, ist diese nachvollziehbare Begründung Ihr wichtigstes Argument. Eine undokumentierte Einschätzung ist im Zweifel keine.

Was konkret verlangt wird

Die inhaltlichen Mindestmaßnahmen stehen in § 30 BSIG (der die Vorgaben aus Artikel 21 der Richtlinie umsetzt) – und sie sind erfreulich konkret. Dazu gehören Risikomanagement, die Bewältigung von Sicherheitsvorfällen, Business Continuity inklusive Backup- und Krisenmanagement, Sicherheit in der Lieferkette, sichere Beschaffung und Entwicklung, Konzepte zur Bewertung der Wirksamkeit der Maßnahmen, Cyberhygiene und Schulungen, Kryptografie, Zugriffskontrolle und Asset-Management sowie Multi-Faktor-Authentifizierung und gesicherte Kommunikation.

Wer das liest und denkt „das klingt nach ISO 27001″ – richtig. Genau hier liegt der pragmatische Hebel, dazu am Ende mehr. Hinzu kommen zwei Pflichten, die wirklich neu sind und die sich nicht aus einem ISMS allein ergeben: die Registrierung beim BSI und die Meldepflichten mit ihren harten Fristen.

Die Uhr läuft: 24 Stunden, 72 Stunden, ein Monat

Bei einem erheblichen Sicherheitsvorfall gilt nach § 32 BSIG ein gestuftes Verfahren. Innerhalb von 24 Stunden nach Kenntniserlangung muss eine frühe Erstmeldung (Frühwarnung) raus, innerhalb von 72 Stunden eine bewertende Meldung mit einer ersten Einschätzung, und spätestens nach einem Monat folgt der Abschlussbericht. Dauert der Vorfall noch an, kommt eine Fortschrittsmeldung dazu.

Dieser Punkt ist kritisch, und ich erlebe, dass er unterschätzt wird. Es sind keine Richtwerte, sondern harte Fristen, und sie laufen ab Kenntniserlangung in Echtzeit. Die 24 Stunden kennen kein Wochenende und keinen Feiertag. Wenn der Angriff am Samstagabend auffällt, läuft die Frist über Nacht weiter, und am Sonntagabend ist sie abgelaufen – unabhängig davon, ob Ihr zuständiger Kopf gerade erreichbar ist. Wer mitten in einem Ransomware-Vorfall steckt, hat keine Zeit, sich diese Fristen erst zu erarbeiten oder die Erreichbarkeiten zu klären.

Deshalb gehört der Meldeprozess heute geübt, nicht erst im Ernstfall: Wer entscheidet, dass gemeldet wird, wer formuliert, wer übermittelt im BSI-Portal, und wie ist das am Wochenende und nachts abgedeckt? Wichtig außerdem: Eine fehlende Registrierung entbindet nicht von der Meldepflicht, erschwert aber die fristgerechte Meldung erheblich. Und sobald personenbezogene Daten betroffen sind – etwa bei Datenabfluss –, läuft parallel die DSGVO-Meldung nach Art. 33 (72 Stunden an die Datenschutzaufsicht). Beide Verfahren müssen vorbereitet ineinandergreifen.

Die Haftung ist Chefsache – und nicht nur die der Geschäftsführung

Das ist der eigentliche Kulturbruch von NIS-2. § 38 BSIG nimmt die Geschäftsleitung persönlich in die Pflicht: Sie muss die Risikomanagementmaßnahmen nach § 30 billigen, ihre Umsetzung überwachen und sich selbst regelmäßig schulen lassen. Diese Pflichten sind nicht delegierbar. Ein „das macht doch unsere IT“ entlastet die Leitung nicht mehr. Bei schuldhafter Pflichtverletzung haftet sie ihrer eigenen Einrichtung gegenüber nach den gesellschaftsrechtlichen Regeln – im Ernstfall mit dem Privatvermögen. Die Bußgelder treffen daneben das Unternehmen und reichen für besonders wichtige Einrichtungen bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes.

Hier möchte ich aus der Praxis einen Punkt ergänzen, der gern übersehen wird. Die persönliche Haftung ist im Gesetz zwar an der obersten Leitung verankert, aber sie endet nicht bei der Geschäftsführung. Wer operative Verantwortung übernimmt – Abteilungsleitungen, Fachverantwortliche, alle mit echter Führungsverantwortung –, übernimmt damit auch Sorgfaltspflichten. Wer diese Aufgabe nicht richtig wahrnimmt, kann ebenfalls in die Verantwortung genommen werden. Die operative Umsetzung lässt sich delegieren, die Verantwortung dafür, dass sie funktioniert, nur sehr bedingt.

Und genau deshalb ist eine einmalige Geschäftsführerschulung keine Erledigung des Themas. Die Schulung ist gesetzlich gefordert und richtig – der Gesetzgeber geht von etwa einem halben Tag alle drei Jahre aus –, aber sie ist die Eintrittskarte, nicht das Ziel. Was Haftungsrisiken wirklich senkt, ist echte Steuerung durch die Leitung: Maßnahmen formell beschließen und protokollieren, sich regelmäßig Statusberichte geben lassen, im Management-Review sichtbar entscheiden. Diese fortlaufende Dokumentation ist im Ernstfall der Nachweis, dass die Sorgfaltspflicht erfüllt wurde. Wer nur einmal eine Schulung abhakt und danach wegschaut, hat das Haftungsthema nicht gelöst, sondern nur verschoben.

Was jetzt zu tun ist

Die häufigste Frage in den letzten Monaten war: „Müssen wir schon?“ Die Antwort ist seit dem 6. Dezember 2025 ein klares Ja. Drei Stichdaten sollten Sie kennen. Erstens: Inkrafttreten am 6. Dezember 2025 – seitdem gelten die Pflichten. Zweitens: Das BSI-Melde- und Registrierungsportal ist seit Januar 2026 online. Drittens, und das ist der wunde Punkt: Die Registrierungsfrist nach § 33 BSIG lief drei Monate nach Inkrafttreten, also bis zum 6. März 2026, und ist damit verstrichen.

Wenn Sie betroffen sind und noch nicht registriert haben, ist das kein „später“-Thema mehr. Eine verspätete Registrierung ist bereits ein bußgeldbewehrter Verstoß. Der richtige Schritt ist jetzt: Betroffenheit sauber prüfen und dokumentieren, anschließend unverzüglich beim BSI registrieren und die Meldefähigkeit herstellen. Die Betroffenheitsprüfung ist dabei kein einmaliger Klick, sondern eine Einstufung, die Sie begründen können müssen – am Wochenende ändert sich daran nichts, an der Frist hat sich nichts geändert.

Mein Vorgehen mit Mandanten ist danach nüchtern: erst die Betroffenheit belastbar klären, dann mit einer Gap-Analyse den Reifegrad bestimmen, die größten Lücken risikobasiert zuerst schließen, prüffähige Nachweise schaffen und das Ganze in ein Managementsystem überführen, statt eine Liste abzuarbeiten. Wer bereits ein ISMS nach ISO 27001 betreibt, hat einen Großteil der § 30-Maßnahmen schon erledigt; NIS-2 wird dann zur gezielten Ergänzung – vor allem um Registrierung, Meldewege und die Governance-Pflichten der Leitung –, nicht zum zweiten Projekt.

Der nüchterne Kern bleibt: Die zehn Maßnahmenbereiche sind keine Schikane, sondern solide Sicherheit. Vieles davon hätten die meisten Unternehmen ohnehin tun sollen. NIS-2 macht daraus nur eine Pflicht mit Frist und Namensschild an der Geschäftsführungstür.

Stand: 12. Juni 2026. Rechtsgrundlagen: novelliertes BSI-Gesetz (BSIG) in der Fassung des NIS2UmsuCG, in Kraft seit 6. Dezember 2025 (BGBl. 2025 I Nr. 301), insbesondere §§ 30, 32, 33 und 38 BSIG, sowie die NIS-2-Betroffenheitsprüfung des BSI. Dieser Beitrag ist eine fachliche Einordnung und ersetzt keine Rechtsberatung im Einzelfall.