NIS2 in Deutschland: Bin ich betroffen – und was muss ich jetzt tun?

Mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz hat Deutschland die europäische NIS2-Richtlinie umgesetzt. Das Gesetz ist am 6. Dezember 2025 in Kraft getreten und erweitert den Kreis der regulierten Unternehmen deutlich – von einigen Hundert Betreibern kritischer Infrastrukturen auf viele Tausend Unternehmen.

Wer betroffen ist

Betroffen sind „wichtige“ und „besonders wichtige“ Einrichtungen in festgelegten Sektoren, darunter Energie, Transport, Gesundheit, digitale Infrastruktur, Finanzwesen, Abfallwirtschaft, Lebensmittel und Teile des verarbeitenden Gewerbes. Als grobe Faustregel gilt: Unternehmen in diesen Sektoren ab 50 Beschäftigten oder 10 Mio. € Jahresumsatz sollten ihre Betroffenheit prüfen. Für einige Einrichtungsarten gilt das Gesetz unabhängig von der Größe.

Das BSI bietet dafür eine kostenlose Online-Betroffenheitsprüfung an.

Registrierung beim BSI

Betroffene Unternehmen müssen sich beim BSI registrieren. Die gesetzliche Frist dafür ist abgelaufen; wer sich noch nicht registriert hat, sollte das laut BSI umgehend nachholen. Für die Registrierung ist zunächst ein ELSTER-Organisationszertifikat nötig, danach erfolgt die Anmeldung im BSI-Portal.

Welche Pflichten folgen

• Risikomanagement: angemessene technische und organisatorische Maßnahmen, etwa Backup und Notfallplanung, Zugriffskontrolle, Multi-Faktor-Authentifizierung, Schwachstellenmanagement und Sicherheit in der Lieferkette.
• Meldepflichten: erhebliche Sicherheitsvorfälle müssen in gestuften Fristen an das BSI gemeldet werden.
• Verantwortung der Geschäftsleitung: Die Geschäftsleitung muss die Maßnahmen billigen, ihre Umsetzung überwachen und sich regelmäßig schulen lassen.

Wie wir unterstützen

Wir klären mit Ihnen, ob und wie Sie betroffen sind, und setzen die Pflichten pragmatisch um – als Teil unseres IT- und Sicherheits-Checks oder in der laufenden IT-Betreuung.

Dieser Artikel ersetzt keine Rechtsberatung.