Analyse · Recht & Cybersicherheit
NIS2 in der Praxis: Pflichten, Fristen und Haftung für Unternehmen
Stand: Juni 2026 · Lesezeit ca. 9 Min · Faktenbasierte Einordnung, keine Rechtsberatung
Das Wichtigste in 30 Sekunden
- In Kraft, ohne Schonfrist: Das NIS-2-Umsetzungsgesetz (NIS2UmsuCG) gilt seit dem 6. Dezember 2025 – ohne Übergangsfrist. Die Pflichten gelten ab Tag eins.
- Wen es trifft: rund 29.500 Unternehmen in 18 Sektoren, ab 50 Mitarbeitenden oder 10 Mio. € Umsatz.
- Registrierungsfrist ist abgelaufen: Die Erstregistrierung beim BSI musste bis 6. März 2026 erfolgen. Wer sie verpasst hat, ist im Verzug – das BSI verfolgt Nachzügler aktiv.
- Was zu tun ist: zehn Mindestmaßnahmen nach § 30 BSIG, plus Meldepflichten in 24 / 72 Stunden und einem Monat.
- Persönliche Haftung: Die Geschäftsleitung haftet, Bußgelder reichen bis 10 Mio. € – und ein „NIS2-Zertifikat" gibt es nicht.
NIS-2 ist kein Papiertiger mehr. Seit Dezember 2025 ist das deutsche Umsetzungsgesetz in Kraft – ohne Schonfrist, mit scharfen Meldefristen und persönlicher Haftung der Chefetage. Dieser Leitfaden bringt Ordnung in die Pflichten: Wer betroffen ist, was konkret zu tun ist und welche Fehler teuer werden.
Bin ich überhaupt betroffen?
Die erste und wichtigste Frage. Betroffen ist, wer zwei Kriterien erfüllt: Tätigkeit in einem der 18 Sektoren (u. a. Energie, Wasser, Gesundheit, Transport/Logistik, Chemie, Lebensmittel, digitale Infrastruktur, verarbeitendes Gewerbe, Abfallwirtschaft) und Größe ab 50 Mitarbeitenden oder mehr als 10 Mio. € Jahresumsatz.
Das Gesetz unterscheidet zwei Klassen mit unterschiedlich strenger Aufsicht: besonders wichtige und wichtige Einrichtungen. Kleinstunternehmen sind in der Regel ausgenommen – mit Ausnahmen bei besonderer Kritikalität (etwa DNS-Anbieter oder alleinige Versorger). Im Zweifel hilft die offizielle Betroffenheitsprüfung des BSI; eine Selbsteinordnung ist Pflicht.
Die Pflichten: zehn Maßnahmen nach § 30 BSIG
Das Herzstück sind zehn Mindestmaßnahmen, die jede betroffene Einrichtung umsetzen muss:
- Risikoanalyse und Sicherheitskonzepte
- Bewältigung von Sicherheitsvorfällen (Incident Response)
- Aufrechterhaltung des Betriebs, Backup- und Krisenmanagement
- Sicherheit der Lieferkette
- Sicherheit in Beschaffung, Entwicklung und Wartung
- Bewertung der Wirksamkeit der Maßnahmen
- Schulung und Cyberhygiene
- Kryptografie und Verschlüsselung
- Zugriffskontrolle und Asset-Management
- Mehr-Faktor-Authentifizierung und gesicherte Kommunikation
Wer diese Liste liest, liest im Grunde das Inhaltsverzeichnis eines Informationssicherheits-Managementsystems (ISMS). Praktisch lassen sich viele Punkte – Zugriffskontrolle, MFA, Segmentierung – mit einer Zero-Trust-Architektur auf einmal erschlagen. Den einfachsten Hebel, die Mehr-Faktor-Authentifizierung, sicherst du am stärksten mit einem FIDO2-Hardwareschlüssel ab.
Die Fristen – und warum es keine Schonfrist gibt
Anders als in manchen Nachbarländern hat sich Deutschland für den harten Schnitt entschieden: keine Übergangsfrist. Die wichtigsten Termine:
6. Dezember 2025: Inkrafttreten. Die technischen und organisatorischen Maßnahmen müssen seitdem umgesetzt sein.
6. März 2026: Ablauf der Erstregistrierungsfrist beim BSI (drei Monate nach Inkrafttreten). Bereits abgelaufen.
Im Ernstfall: Meldung eines erheblichen Vorfalls in 24 Stunden (Frühwarnung), Konkretisierung in 72 Stunden, Abschlussbericht nach einem Monat.
Registrierung: so läuft sie ab
Der Prozess ist zweistufig. Zuerst wird ein Konto bei „Mein Unternehmenskonto" (MUK) angelegt – das setzt ein gültiges ELSTER-Organisationszertifikat voraus. Im zweiten Schritt erfolgt die Registrierung im neuen BSI-Melde- und Informationsportal. Pikantes Detail am Rande: Dieses Portal läuft ausgerechnet auf der Cloud eines US-Konzerns – warum das ein Paradox ist, lest ihr in unserer Analyse zur digitalen Souveränität.
Haftung: warum die Chefetage jetzt persönlich dranhängt
Der schärfste Hebel des Gesetzes ist die Verantwortung der Leitungsebene. Nach § 38 BSIG muss die Geschäftsführung die Risikomanagementmaßnahmen nicht nur billigen und überwachen, sondern auch selbst an Schulungen teilnehmen – diese Pflicht ist nicht delegierbar. Wer sie vernachlässigt, haftet bei Vorfällen unter Umständen persönlich.
Die Bußgelder nach § 65 BSIG sind kein Symbolpolitik: bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen, bis zu 7 Mio. € oder 1,4 % für wichtige Einrichtungen. Zum Vergleich: Das alte IT-Sicherheitsgesetz sah maximal 100.000 € vor.
Mythos „NIS2-Zertifikat"
Seit Inkrafttreten kursieren Angebote für eine „NIS2-Zertifizierung" – oft für ein paar Tausend Euro. Klare Einordnung: Eine offizielle NIS2-Zertifizierung existiert nicht. Das BSIG verlangt den dokumentierten Nachweis umgesetzter Maßnahmen, keine Plakette. Eine ISO-27001-Zertifizierung oder ein BSI-IT-Grundschutz-Testat können als solide Basis dienen und decken einen Großteil der Anforderungen ab – sie ersetzen aber nicht die NIS2-spezifischen Pflichten wie Registrierung, Meldeverfahren und Geschäftsleitungspflichten. Wer eine „NIS2-Zertifizierung" verkauft, verkauft eine private Bescheinigung ohne offiziellen Status.
Der pragmatische Einstieg
Wer noch am Anfang steht, beginnt nicht mit dem teuersten Werkzeug, sondern mit den wirksamsten Schritten:
- Betroffenheit klären und dokumentieren (Sektor + Größe).
- Registrieren – falls noch nicht geschehen, sofort.
- Gap-Analyse gegen einen anerkannten Standard (ISO 27001, BSI-Grundschutz).
- MFA flächendeckend – der kürzeste Weg zwischen Aufwand und Schutzwirkung.
- Meldeprozess einrichten, damit die 24-Stunden-Frist im Ernstfall steht.
Den größeren Rahmen – wie NIS-2 mit dem EU AI Act und DORA zusammenspielt – haben wir hier zusammengefasst: EU AI Act, NIS-2 und DORA für kleine Unternehmen. Und wer die zehn Maßnahmen architektonisch sauber umsetzen will, kommt um Zero Trust kaum herum.
Fazit: kein Projekt mit Enddatum
NIS-2 macht Cybersicherheit von der Kür zur dokumentationspflichtigen Chefsache – mit echten Bußgeldern und persönlicher Haftung. Die gute Nachricht: Die geforderten Maßnahmen sind kein Hexenwerk, sondern solides Sicherheitshandwerk. Wer jetzt strukturiert anfängt, erfüllt nicht nur eine Pflicht, sondern wird tatsächlich widerstandsfähiger. Wer wartet, riskiert beim ersten Audit – oder beim ersten Vorfall – böse Überraschungen. Für Betreiber kritischer Infrastruktur greift NIS-2 eng mit dem KRITIS-Dachgesetz ineinander; wie weit die persönliche Verantwortung beim KI-Einsatz reicht, zeigt unser Beitrag zur KI-Haftung, und die Aufklärung nach einem Vorfall übernimmt die digitale Forensik.
Häufige Fragen zu NIS2
Seit wann gilt NIS2 in Deutschland?
Das NIS-2-Umsetzungsgesetz (NIS2UmsuCG) ist seit dem 6. Dezember 2025 in Kraft – ohne Übergangsfrist. Die Pflichten gelten seitdem unmittelbar.
Wer ist von NIS2 betroffen?
Rund 29.500 Unternehmen in 18 Sektoren ab 50 Mitarbeitenden oder mehr als 10 Mio. € Jahresumsatz. Das Gesetz unterscheidet besonders wichtige und wichtige Einrichtungen. Kleinstunternehmen sind meist ausgenommen, mit Ausnahmen bei besonderer Kritikalität.
Was passiert, wenn ich die Registrierungsfrist verpasst habe?
Die Frist lief am 6. März 2026 ab. Eine verspätete Registrierung gilt bereits als formaler Verstoß und kann Bußgelder nach sich ziehen, auch ohne Sicherheitsvorfall. Das Portal bleibt offen – die Registrierung sollte umgehend nachgeholt werden.
Gibt es eine NIS2-Zertifizierung?
Nein. Eine offizielle NIS2-Zertifizierung existiert nicht. Verlangt wird der dokumentierte Nachweis umgesetzter Maßnahmen. ISO 27001 oder BSI-IT-Grundschutz können als Basis dienen, ersetzen aber nicht die NIS2-spezifischen Pflichten.
Haftet die Geschäftsführung persönlich?
Ja. Nach § 38 BSIG muss die Leitungsebene die Maßnahmen billigen, überwachen und an Schulungen teilnehmen – nicht delegierbar. Bußgelder reichen bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes.
Transparenz: Bebilderung dieses Beitrags KI-generiert. Redaktionell geprüft. Dieser Artikel ist eine allgemeine Einordnung und ersetzt keine Rechtsberatung.