Zwei Jahre lang wurde über NIS2 fast ausschließlich in Fristen gesprochen. Diese Phase ist vorbei.
Die Frage lautet nicht mehr: Schaffen wir die Frist. Sie lautet: Wer macht das ab jetzt, jedes Jahr, dauerhaft.
Die Betroffenheit ergibt sich aus der Zugehörigkeit zu einem Sektor und dem Überschreiten einer Größenschwelle. Beides steht im novellierten BSI-Gesetz (BSIG i. d. F. des NIS2-Umsetzungsgesetzes, BGBl. 2025 I Nr. 301).
Digitale Infrastruktur ist weiter gefasst als der Name vermuten lässt: neben IXPs, DNS-, Cloud- und Rechenzentrumsdiensten auch Managed Services Provider und Managed Security Services Provider.
Das verarbeitende Gewerbe wird am häufigsten übersehen: Medizinprodukte, Datenverarbeitungsgeräte, elektrische Ausrüstungen, Maschinenbau, Kraftwagen und -teile, sonstiger Fahrzeugbau. Der klassische Maschinenbauer und der Automobilzulieferer stehen damit im Gesetz.
Unabhängig von der Größe gelten u. a. Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Diensteanbieter als besonders wichtige Einrichtungen (§ 28 Abs. 1 BSIG). Für Telekommunikationsanbieter gelten eigene, niedrigere Schwellen. Die Größenbestimmung folgt der Empfehlung 2003/361/EG (§ 28 Abs. 4 BSIG).
Quelle: § 28 Absatz 1 und 2 BSIG
Fünf Fragen zu Sektor, Größe und Sonderfällen. Anonym, ohne Anmeldung, mit sofortigem Ergebnis am Bildschirm. Auf Wunsch erhalten Sie die Einordnung zusätzlich als dokumentiertes PDF per E-Mail.
Betroffene Einrichtungen registrieren sich spätestens drei Monate, nachdem sie als betroffen gelten. Änderungen sind unverzüglich nachzumelden, spätestens binnen zwei Wochen ab Kenntnis.
Angemessene technische und organisatorische Maßnahmen. Der Katalog nennt mindestens zehn Bereiche — von Risikoanalyse bis Multi-Faktor-Authentifizierung.
Erhebliche Sicherheitsvorfälle werden in einer dreistufigen Kette gemeldet: 24 Stunden, 72 Stunden, ein Monat.
Umsetzen, überwachen, regelmäßig schulen. Bei Pflichtverletzung Haftung gegenüber der eigenen Einrichtung nach gesellschaftsrechtlichen Bestimmungen.
Betreiber kritischer Anlagen setzen zusätzlich Systeme zur Angriffserkennung ein, die kontinuierlich und automatisch Parameter erfassen und auswerten (§ 31 Abs. 2 BSIG).
Unverzüglich, spätestens 24 Stunden nach Kenntnis: Verdacht auf rechtswidrige Handlung, mögliche grenzüberschreitende Auswirkungen.
Bestätigung oder Aktualisierung, Bewertung von Schweregrad und Auswirkungen, Kompromittierungsindikatoren.
Beschreibung, Ursache, Abhilfemaßnahmen, grenzüberschreitende Auswirkungen.
Zwischenmeldungen kann das Bundesamt jederzeit anfordern. Ist der Vorfall nach einem Monat nicht abgeschlossen, tritt eine Fortschrittsmeldung an die Stelle der Abschlussmeldung.
Geschäftsleitungen setzen die Risikomanagementmaßnahmen um und überwachen ihre Umsetzung. Bei Pflichtverletzung haften sie gegenüber ihrer Einrichtung nach den gesellschaftsrechtlichen Bestimmungen. Zusätzlich sind sie zur regelmäßigen Teilnahme an Schulungen verpflichtet.
Turnusmäßige Nachweise treffen im Regelfall Betreiber kritischer Anlagen — erstmals frühestens drei Jahre nach der Bestimmung, danach alle drei Jahre. Besonders wichtige und wichtige Einrichtungen unterliegen keiner turnusmäßigen Nachweispflicht; das BSI kann jedoch Audits, Prüfungen und die Vorlage von Nachweisen anordnen (§ 61 BSIG).
Registrierung, Risikoanalyse und Maßnahmenkatalog sind Einführungsarbeit — endlich, abhakbar. Was danach kommt, kann man nicht abschließen. Der Grund steht im Gesetz selbst: „Wirksamkeit bewerten“ (§ 30 Abs. 2 Nr. 6), „regelmäßig schulen“ (§ 38), „binnen zwei Wochen nachmelden“ (§ 33). Drei Wörter, drei Dauerpflichten.
Wirksamkeitsbewertung, Lieferantenbewertung, Schulungsnachweise, Notfallübungen, Richtlinienpflege — dieselben Aufgaben fordern ISO 27001, TISAX und in Teilen der Datenschutz. Unterschiedlich sind nur Bezeichnung, Format und Adressat. Daraus folgen zwei Wege.
Nicht die Einführung. Nicht das Projekt. Den laufenden Betrieb.
Wie eine Betriebsübernahme abläuft →Technologie übernimmt das Wiederkehrende. Menschen übernehmen das Urteil. Entscheidungen und Verantwortung bleiben bei Ihnen — die Pflichten aus § 38 BSIG sind ohnehin nicht delegierbar. Die Arbeit bleibt nicht bei Ihnen.
Betroffen sind Einrichtungen, die zu einem der in den Anlagen 1 und 2 des BSIG genannten Sektoren gehören und die Größenschwellen des § 28 BSIG überschreiten. Als wichtige Einrichtung gilt in der Regel, wer ab 50 Beschäftigte hat oder Jahresumsatz und Bilanzsumme von jeweils über 10 Millionen Euro; als besonders wichtige Einrichtung, wer aus Anlage 1 kommt und ab 250 Beschäftigte hat oder über 50 Millionen Euro Umsatz und über 43 Millionen Euro Bilanzsumme. Unabhängig von der Größe erfasst sind unter anderem Betreiber kritischer Anlagen sowie qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Diensteanbieter.
In 2 Minuten prüfen: Betroffenheits-CheckIn drei Schritten: Tätigkeit gegen die Einrichtungsarten der Anlagen 1 und 2 BSIG halten, Beschäftigtenzahl sowie Umsatz und Bilanzsumme gegen § 28 BSIG prüfen, Ergebnis dokumentieren. Das BSI stellt dafür eine kostenlose und anonyme Online-Betroffenheitsprüfung sowie einen Entscheidungsbaum als PDF bereit. Das Ergebnis ist eine Ersteinschätzung und ersetzt keine rechtliche Prüfung. Die Einordnung ist eine Selbsteinschätzung und muss nachgeführt werden, wenn sich Größe oder Geschäftstätigkeit ändern. Wer sich die manuelle Vorarbeit sparen will, durchläuft zuerst unseren Betroffenheits-Check: fünf Fragen, anonym, Ergebnis sofort und auf Wunsch als dokumentiertes PDF per E-Mail.
Betroffenheits-Check startenJa. Das NIS2-Umsetzungsgesetz wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet (BGBl. 2025 I Nr. 301) und ist am 6. Dezember 2025 in Kraft getreten. Es fasst das BSI-Gesetz neu. Übergangsfristen für die materiellen Pflichten sieht das Gesetz nicht vor.
Die gesetzliche Frist beträgt drei Monate ab dem Zeitpunkt, zu dem eine Einrichtung erstmals oder erneut als betroffen gilt (§ 33 BSIG); für die zum Inkrafttreten bereits betroffenen Einrichtungen lief sie bis zum 6. März 2026. Das BSI hat verspätete Registrierungen bis zum 31. Juli 2026 geduldet; diese Nachfrist ist abgelaufen. Wer die Registrierung versäumt hat, holt sie nach — die Pflicht besteht fort. Für Verstöße gegen die Registrierungspflicht sieht § 65 BSIG Geldbußen vor.
Automatisch nicht. Ein ISO-27001-Managementsystem deckt große Teile des Maßnahmenkatalogs des § 30 Absatz 2 BSIG ab und ist eine gute Ausgangslage. NIS2-spezifisch bleiben unter anderem die Registrierung beim BSI (§ 33 BSIG), die Meldeketten mit 24- und 72-Stunden-Fristen (§ 32 BSIG) und die persönlichen Pflichten der Geschäftsleitung einschließlich Schulungspflicht (§ 38 BSIG). Eine ISO-27001-Zertifizierung ist zudem kein gesetzlicher Nachweis der NIS2-Konformität.
Ein gesetzlich vorgeschriebenes NIS2-Zertifikat gibt es nicht. Turnusmäßige Nachweise gegenüber dem BSI treffen im Regelfall Betreiber kritischer Anlagen, erstmals frühestens drei Jahre nach der Bestimmung und danach alle drei Jahre, erbracht durch Sicherheitsaudits, Prüfungen oder Zertifizierungen (§ 39 BSIG). Bei besonders wichtigen und wichtigen Einrichtungen kann das BSI Audits, Prüfungen oder Zertifizierungen sowie die Vorlage von Nachweisen anordnen (§ 61 BSIG).
Bei einem erheblichen Sicherheitsvorfall: Erstmeldung unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung; eine weitere Meldung innerhalb von 72 Stunden mit Bewertung des Vorfalls; eine Abschlussmeldung nach einem Monat, ersatzweise eine Fortschrittsmeldung, wenn der Vorfall noch andauert. Zwischenmeldungen kann das Bundesamt anfordern (§ 32 BSIG).
Geschäftsleitungen müssen die Risikomanagementmaßnahmen nach § 30 BSIG umsetzen und ihre Umsetzung überwachen. Verletzen sie diese Pflichten, haften sie ihrer Einrichtung gegenüber nach den gesellschaftsrechtlichen Bestimmungen (§ 38 BSIG). Zusätzlich besteht eine persönliche Pflicht zur regelmäßigen Teilnahme an Schulungen.
Weil § 30 Absatz 2 Nummer 4 BSIG betroffene Einrichtungen verpflichtet, die Sicherheit ihrer Lieferkette und die Beziehungen zu ihren unmittelbaren Anbietern zu adressieren. Betroffene Kunden geben Anforderungen daher an ihre Lieferanten weiter. Für den Lieferanten entsteht daraus keine gesetzliche Pflicht, wohl aber eine vertragliche — und eine dauerhafte Nachweisaufgabe.
Der wesentliche Aufwand liegt nicht in der Einführung, sondern im Betrieb. Er verteilt sich auf wiederkehrende Kontrollen, Wirksamkeitsbewertungen, Lieferantenbewertungen, Schulungen und Schulungsnachweise, Notfallübungen, Dokumentenpflege, Nachführung der Registrierungsdaten und die Aufrechterhaltung der Meldefähigkeit. Wie hoch dieser Aufwand ausfällt, hängt vor allem davon ab, ob dieselben Nachweise über NIS2, ISO 27001, TISAX und Datenschutz hinweg mehrfach oder einmal erhoben werden.
Die Registrierung ist erledigt oder wird nachgeholt, die Maßnahmen sind eingeführt — und dann läuft es weiter. Das Gesetz nennt das nicht Betrieb, sondern Wirksamkeit, Regelmäßigkeit und unverzügliche Nachmeldung. Gemeint ist dasselbe. Die Frage ist deshalb nicht, wie schnell Sie NIS2 erledigen. Sie ist erledigbar. Die Frage ist, wer den Betrieb danach trägt — ohne dass Sie dafür eine Governance-Organisation aufbauen.
20 Minuten. Danach wissen Sie, welche Ihrer laufenden Aufgaben wir übernehmen würden und welche bei Ihnen bleiben.
Ohne Vorbereitung Ihrerseits.
