NIS2 2026: Anforderungen, Meldepflichten und Umsetzung im Mittelstand

Was ist NIS2?

NIS2 steht für die zweite Richtlinie über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Europäischen Union. Die Abkürzung leitet sich vom englischen Titel ab: Network and Information Security. Rechtsgrundlage ist die Richtlinie (EU) 2022/2555, die im Januar 2023 in Kraft trat.

Ziel der NIS2-Richtlinie: Sicherung von Netz- und Informationssystemen in der Europäischen Union

Das Ziel der Richtlinie ist ein einheitliches Sicherheitsniveau für Netz- und Informationssysteme in allen Mitgliedstaaten. Cyberangriffe auf Energieversorger, Krankenhäuser oder Logistiker haben gezeigt, wie stark Wirtschaft und Gesellschaft von funktionierender IT abhängen. NIS2 reagiert darauf mit verbindlichen Mindestanforderungen an Risikomanagement, Meldewesen und Governance.

Im Fokus stehen die Verfügbarkeit, Integrität und Vertraulichkeit der Systeme, mit denen Einrichtungen ihre Dienste erbringen. Damit geht NIS2 deutlich über klassische IT-Sicherheit hinaus und macht Cyber-Resilienz zum Thema der Unternehmensführung: Es geht um die Aufrechterhaltung des Betriebs, um Krisenmanagement und um die Sicherung der gesamten Lieferkette.

Für die Leser unseres Blogs ist NIS2 vor allem eine Steuerungsaufgabe. Grundlagen zum Schutz vor Cyberbedrohungen finden Sie in unserem Beitrag zur Cybersicherheit im Unternehmen.

Abgrenzung zu DSGVO, DORA und KRITIS-Regeln

NIS2 steht nicht allein, sondern greift in einen dichten Rechtsrahmen ein. Die DSGVO schützt personenbezogene Daten, NIS2 dagegen die Funktionsfähigkeit der Systeme und Dienste. Ein Sicherheitsvorfall kann deshalb zugleich eine Meldung an die Datenschutzaufsicht und eine Meldung an das BSI auslösen, mit jeweils eigenen Fristen.

Für Banken, Versicherungen und andere Finanzunternehmen gehen die Vorgaben des Digital Operational Resilience Act (DORA) weitgehend vor. Betreiber kritischer Anlagen erfüllen zusätzlich die besonderen Anforderungen des § 31 BSIG. Unternehmen, die mehreren Regelwerken unterliegen, sollten Prozesse und Nachweise so gestalten, dass sie einmal erhoben und mehrfach genutzt werden.

Von der NIS-Richtlinie zur NIS-2-Richtlinie: Was sich geändert hat

NIS2 ersetzt die erste NIS-Richtlinie aus dem Jahr 2016. Die wichtigsten Änderungen auf einen Blick:

• Größerer Geltungsbereich: Statt weniger Betreiber kritischer Infrastrukturen sind nun 18 Sektoren erfasst, darunter Industrie, Lebensmittel, Chemie und Abfallwirtschaft.
• Größenschwellen statt Einzelbenennung: Unternehmen müssen selbst prüfen, ob sie unter die Regelungen fallen. Eine behördliche Benennung ist nicht mehr nötig.
• Strengere Pflichten: Ein verbindlicher Katalog von Risikomanagementmaßnahmen und ein gestuftes Meldeverfahren mit kurzen Fristen.
• Verantwortung der Geschäftsleitung: Cybersicherheit wird ausdrücklich zur Leitungsaufgabe, mit Umsetzungs-, Überwachungs- und Schulungspflichten.
• Höhere Sanktionen: Bußgeldrahmen in Millionenhöhe und erweiterte Aufsichtsbefugnisse der Behörden.

Das NIS2-Umsetzungsgesetz in Deutschland

Als EU-Richtlinie gilt NIS2 nicht unmittelbar, sondern muss in nationales Recht übertragen werden. In Deutschland geschieht das über das Gesetz zur Umsetzung der NIS-2-Richtlinie, das häufig als NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz oder kurz NIS2UmsuCG bezeichnet wird. Es ist ein Artikelgesetz, das vor allem das BSI-Gesetz (BSIG) vollständig neu fasst.

Zeitstrahl von der EU-Richtlinie bis zum NIS2UmsuCG

Die Umsetzung der NIS 2 in Deutschland hat deutlich länger gedauert als vorgesehen:

• Januar 2023: Die NIS2-Richtlinie tritt auf EU-Ebene in Kraft.
• Oktober 2024: Die Frist zur Umsetzung in nationales Recht läuft ab. Deutschland verpasst sie, auch wegen des vorzeitigen Endes der damaligen Legislaturperiode.
• 5. Dezember 2025: Das NIS2-Umsetzungsgesetz wird im Bundesgesetzblatt verkündet.
• 6. Dezember 2025: Das Gesetz tritt in Kraft. Die neuen Anforderungen gelten ab diesem Tag ohne Übergangsfrist.
• 6. Januar 2026: Das neue BSI-Portal für Registrierung und Meldungen geht online.
• 6. März 2026: Die dreimonatige Registrierungsfrist für Einrichtungen, die seit Inkrafttreten betroffen sind, endet.

Für Unternehmen heißt das: Die Pflichten gelten bereits. Wer heute noch nicht begonnen hat, hat akuten Handlungsbedarf.

Geplante Änderungen auf EU-Ebene

Der Rechtsrahmen ist weiter in Bewegung. Die EU-Kommission hat im November 2025 mit dem Digital Omnibus eine zentrale Anlaufstelle für Vorfallsmeldungen vorgeschlagen. Im Januar 2026 folgte ein Vorschlag für gezielte Änderungen an der NIS2-Richtlinie selbst, zusammen mit einer Überarbeitung des EU Cybersecurity Act.

Die Vorschläge zielen auf einen klarer abgegrenzten Geltungsbereich, eine Entlastung kleinerer Unternehmen und die Möglichkeit, Pflichten über europäische Zertifizierungen nachzuweisen. Die Kernpflichten im Risikomanagement sollen weitgehend bestehen bleiben. Bis zur Verabschiedung gilt der bestehende Rechtsrahmen unverändert. Unternehmen sollten die Änderungen deshalb beobachten, aber nicht abwarten.

Wer ist betroffen? Sektoren, Schwellenwerte und Einrichtungsarten

Ob ein Unternehmen unter NIS2 fällt, ergibt sich aus zwei Fragen: In welchem Sektor ist es tätig, und wie groß ist es? Die Betroffenheit muss jedes Unternehmen selbst prüfen.

Die 18 Sektoren der NIS2-Richtlinie

Die Richtlinie unterscheidet elf Sektoren mit hoher Kritikalität und sieben sonstige kritische Sektoren.

Sektoren mit hoher Kritikalität (Anhang I): Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten im B2B-Bereich, öffentliche Verwaltung und Weltraum.

Sonstige kritische Sektoren (Anhang II): Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe, Anbieter digitaler Dienste und Forschung.

Gerade das verarbeitende Gewerbe macht NIS2 für den Mittelstand relevant. Erfasst sind etwa Hersteller von Maschinen, Fahrzeugen, elektronischen Erzeugnissen und Medizinprodukten. Zur digitalen Infrastruktur zählen auch Anbieter von Cloud-Computing-Diensten und Rechenzentren. Das deutsche Recht bildet diese Sektoren in den Anlagen 1 und 2 zum BSIG ab, die Bundesverwaltung wird gesondert geregelt.

Besonders wichtige und wichtige Einrichtungen

Das deutsche Gesetz unterscheidet zwei Einrichtungsarten. Die Richtlinie kennt wesentliche Einrichtungen und wichtige Einrichtungen, in der englischen Fassung Essential Entity und Important Entity. Das BSIG verwendet stattdessen die Begriffe besonders wichtige und wichtige Einrichtungen.

Besonders wichtige Einrichtungen sind nach § 28 BSIG vor allem Unternehmen aus Anlage-1-Sektoren mit mindestens 250 Mitarbeitenden oder mehr als 50 Millionen Euro Jahresumsatz und mehr als 43 Millionen Euro Jahresbilanzsumme. Betreiber kritischer Anlagen gelten unabhängig von ihrer Größe als besonders wichtige Einrichtungen, ebenso bestimmte Anbieter von Telekommunikation und Vertrauensdiensten.

Wichtige Einrichtungen sind Unternehmen aus den Sektoren der Anlagen 1 und 2, die mindestens 50 Mitarbeitende beschäftigen oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweisen, sofern sie nicht bereits besonders wichtig sind.

Die Unterscheidung wirkt sich vor allem auf Aufsicht und Bußgeldhöhe aus. Die Pflichten im Risikomanagement und im Meldewesen gelten für beide Gruppen.

Betroffenheit prüfen: Was die betroffenen Unternehmen jetzt klären müssen

Die Prüfung der Betroffenheit ist der erste Schritt. Folgende Punkte sollten Sie klären:

• In welchem Sektor liegt die Geschäftstätigkeit, und zwar nicht nur das Kerngeschäft, sondern alle relevanten Tätigkeiten?
• Welche Mitarbeiterzahl, welcher Umsatz und welche Bilanzsumme sind maßgeblich, auch unter Berücksichtigung verbundener Unternehmen?
• Ist das Unternehmen Betreiber einer kritischen Anlage?
• Ist es Zulieferer oder Dienstleister einer betroffenen Einrichtung?

Der letzte Punkt wird oft unterschätzt. Zulieferer fallen nicht automatisch unter NIS2. Ihre Kunden müssen jedoch die Sicherheit der Lieferkette nachweisen und geben Anforderungen vertraglich weiter. Auch nicht regulierte Organisationen spüren NIS2 deshalb in Ausschreibungen, Audits und Verträgen.

Registrierung beim Bundesamt für Sicherheit in der Informationstechnik

Alle betroffenen Einrichtungen müssen sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren. Die Registrierungsfrist beträgt nach § 33 BSIG drei Monate, nachdem eine Einrichtung erstmals unter die Regelungen fällt. Für Unternehmen, die seit Inkrafttreten betroffen sind, endete sie am 6. März 2026.

Die Registrierung läuft in zwei Schritten:

• Mein Unternehmenskonto (MUK): Zunächst legen Unternehmen ein Organisationskonto auf Basis eines ELSTER-Zertifikats an, wie es aus Steuerverfahren bekannt ist.
• BSI-Portal: Anschließend erfolgt die eigentliche Registrierung im Portal des BSI. Anzugeben sind unter anderem Name, Rechtsform, Kontaktdaten, Sektor und Einrichtungsart sowie eine erreichbare Kontaktstelle als Ansprechpartner.

Wer die Frist versäumt hat, sollte die Registrierung umgehend nachholen. Die Pflicht besteht weiter, und eine fehlende Registrierung kann ein Bußgeld auslösen. Das BSI stellt auf seiner Seite zu NIS-2-regulierten Unternehmen eine Betroffenheitsprüfung und Anleitungen bereit. Änderungen der Angaben müssen nachgemeldet werden.

Die Registrierung ist mehr als eine Formalität. Über das Portal laufen künftig auch Meldungen von Sicherheitsvorfällen und Warnungen des BSI.

Risikomanagement nach § 30 BSIG: Mindestanforderungen an die IT-Sicherheit

Kern der NIS2-Pflichten ist das Risikomanagement. Besonders wichtige und wichtige Einrichtungen müssen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen ergreifen. Sie sollen Störungen der Verfügbarkeit, Integrität und Vertraulichkeit ihrer Systeme vermeiden und die Auswirkungen von Sicherheitsvorfällen gering halten.

Die zehn Mindestmaßnahmen

§ 30 Absatz 2 BSIG nennt zehn Maßnahmen, die mindestens umzusetzen sind:

• Konzepte zur Risikoanalyse und zur Sicherheit in der Informationstechnik
• Bewältigung von Sicherheitsvorfällen
• Aufrechterhaltung des Betriebs, Backup-Management, Wiederherstellung und Krisenmanagement
• Sicherheit der Lieferkette
• Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen, einschließlich Schwachstellenmanagement
• Bewertung der Wirksamkeit der Risikomanagementmaßnahmen
• Schulungen und Sensibilisierung
• Einsatz von Kryptografie
• Personalsicherheit, Zugriffskontrolle und Verwaltung von IKT-Systemen
• Multi-Faktor-Authentifizierung und gesicherte Kommunikation

Die Maßnahmen sollen den Stand der Technik einhalten, europäische und internationale Normen berücksichtigen und auf einem gefahrenübergreifenden Ansatz beruhen. Das heißt: Neben Cyberangriffen zählen auch physische Risiken, technische Ausfälle und menschliche Fehler.

Entscheidend ist die Verhältnismäßigkeit. Risikoexposition, Unternehmensgröße, Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere möglicher Vorfälle sind abzuwägen. Die Einhaltung muss dokumentiert werden. Für bestimmte digitale Anbieter, etwa von Cloud-Computing-Diensten, gelten zusätzlich die technischen Vorgaben einer Verordnung der EU-Kommission, der Durchführungsverordnung (EU) 2024/2690.

Sicherheit der Lieferkette

Die Sicherheit der Lieferkette ist eine der anspruchsvollsten Anforderungen. Einrichtungen müssen die sicherheitsbezogenen Aspekte der Beziehungen zu ihren unmittelbaren Anbietern und Dienstleistern steuern.

In der Praxis bedeutet das: ein Verzeichnis kritischer Lieferanten, eine Risikobewertung je Lieferant, vertragliche Sicherheitsanforderungen und regelmäßige Überprüfungen. Besonders relevant sind Anbieter von IKT-Diensten, Managed Services und Softwarekomponenten, die direkten Zugriff auf Systeme haben.

Meldepflichten bei Sicherheitsvorfällen

NIS2 führt ein gestuftes Meldeverfahren ein. Erhebliche Sicherheitsvorfälle müssen dem BSI in drei Stufen gemeldet werden:

• Erstmeldung binnen 24 Stunden: Unverzüglich, spätestens 24 Stunden nach Kenntnis, mit der Angabe, ob ein rechtswidriger oder böswilliger Hintergrund vermutet wird und ob grenzüberschreitende Auswirkungen möglich sind.
• Meldung binnen 72 Stunden: Eine Aktualisierung mit einer ersten Bewertung des Vorfalls, seines Schweregrads und seiner Auswirkungen sowie gegebenenfalls Kompromittierungsindikatoren.
• Abschlussmeldung nach einem Monat: Spätestens einen Monat nach der 72-Stunden-Meldung folgt ein ausführlicher Bericht mit Ursache, ergriffenen Maßnahmen und Auswirkungen. Dauert der Vorfall noch an, ist zunächst eine Fortschrittsmeldung fällig.

Auf Ersuchen des BSI können zusätzlich Zwischenmeldungen nötig sein. Erheblich ist ein Vorfall vor allem dann, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursachen kann oder Dritte erheblich schädigt.

Die 24-Stunden-Frist ist in der Praxis die größte Hürde. Sie verlangt klare Zuständigkeiten, eine Erreichbarkeit auch am Wochenende und vorbereitete Meldevorlagen. Ohne einen eingeübten Prozess zur Bewältigung von Sicherheitsvorfällen ist sie kaum einzuhalten.

Pflichten und Haftung der Geschäftsleitung

NIS2 macht Cybersicherheit ausdrücklich zur Aufgabe der Geschäftsleitung. Nach § 38 BSIG müssen Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen.

Verletzen sie diese Pflicht, haften sie ihrer Einrichtung für schuldhaft verursachte Schäden nach den Regeln des jeweiligen Gesellschaftsrechts. Diese Verantwortung lässt sich nicht vollständig an die IT-Leitung oder externe Dienstleister delegieren. Delegieren lässt sich die Ausführung, nicht die Überwachung.

Hinzu kommt eine Schulungspflicht: Geschäftsleitungen müssen regelmäßig an Schulungen teilnehmen. Sie sollen Risiken und Risikomanagementpraktiken erkennen und bewerten sowie deren Auswirkungen auf die Dienste der Einrichtung beurteilen können. Das BSI hat dazu eine Handreichung veröffentlicht.

Für Entscheider ergibt sich daraus eine klare Governance-Aufgabe: Sie brauchen regelmäßige, verständliche Informationen über den Stand der Maßnahmen, über Risiken und über Vorfälle. Ein jährlicher Bericht der IT-Abteilung reicht dafür nicht aus.

Bußgelder und Aufsicht durch das BSI

Die Bußgeldvorschriften finden sich in § 65 BSIG. Für die schwersten Verstöße, etwa gegen Risikomanagement- oder Meldepflichten, gilt:

• Besonders wichtige Einrichtungen: Geldbußen bis zu 10 Millionen Euro. Bei einem weltweiten Gesamtumsatz über 500 Millionen Euro sind bis zu 2 Prozent dieses Umsatzes möglich.
• Wichtige Einrichtungen: Geldbußen bis zu 7 Millionen Euro oder 1,4 Prozent des weltweiten Gesamtumsatzes bei Unternehmen mit mehr als 500 Millionen Euro Umsatz.

Auch Verstöße gegen die Registrierungspflicht sind bußgeldbewehrt. Das BSI kann Nachweise anfordern, Prüfungen anordnen und verbindliche Anweisungen erteilen. Gegenüber besonders wichtigen Einrichtungen sind die Aufsichtsbefugnisse weiter gefasst als gegenüber wichtigen Einrichtungen, bei denen das BSI vor allem anlassbezogen tätig wird.

Neben dem Bußgeld wiegen oft die Folgeschäden schwerer: Betriebsunterbrechungen, Vertrauensverlust bei Kunden und der Ausschluss aus Ausschreibungen, in denen Auftraggeber NIS2-Konformität verlangen.

Umsetzung der NIS2 im Mittelstand: Roadmap in sechs Schritten

Die Anforderungen wirken umfangreich, lassen sich aber strukturiert angehen. Bewährt hat sich ein Vorgehen in sechs Schritten. Die folgenden Schritte bauen aufeinander auf:

• Betroffenheit prüfen: Sektor, Größe und Einrichtungsart klären und das Ergebnis dokumentieren.
• Registrieren: MUK-Konto anlegen und die Registrierung im BSI-Portal abschließen.
• Ist-Analyse durchführen: Den Stand jeder der zehn Mindestmaßnahmen bewerten und Lücken priorisieren.
• Verantwortlichkeiten festlegen: Rollen für Informationssicherheit, Meldewesen und Lieferantensteuerung benennen und die Geschäftsleitung schulen.
• Maßnahmen umsetzen und dokumentieren: Lücken nach Risiko schließen, mit klaren Terminen und Budgets.
• Wirksamkeit messen: Kennzahlen definieren, regelmäßig berichten und das Meldeverfahren üben.

ISO 27001 als Fundament

Viele Unternehmen nutzen ein Informationssicherheits-Managementsystem nach ISO 27001 oder dem IT-Grundschutz des BSI als Grundlage. Diese Compliance Standards decken mit ihren Security-Maßnahmen einen großen Teil der Risikomanagementanforderungen ab. Sie erfüllen aber nicht automatisch alle NIS2-Pflichten.

NIS2-spezifisch sind insbesondere die Registrierung, das gestufte Meldeverfahren mit festen Fristen und die Pflichten der Geschäftsleitung. Eine Zertifizierung ersetzt auch nicht die Prüfung, ob der Geltungsbereich des ISMS alle relevanten Dienste und Standorte umfasst.

Cybersicherheit steuerbar machen: Kennzahlen und Reporting für die Geschäftsleitung

Hier liegt der Punkt, an dem viele Umsetzungsprojekte stocken. Maßnahmen werden beschlossen und dokumentiert, doch die Geschäftsleitung erhält kein laufendes Bild davon, ob sie wirken. Genau das verlangt § 38 BSIG mit der Überwachungspflicht.

Wirksame Steuerung braucht drei Elemente. Erstens Kennzahlen, die den Stand der Sicherheit messbar machen: etwa der Anteil der Systeme mit Multi-Faktor-Authentifizierung, die Zeit bis zum Schließen kritischer Schwachstellen, die Schulungsquote, der Risikostatus kritischer Lieferanten und die Einhaltung der Meldefristen bei Übungen.

Zweitens ein Reporting, das diese Daten aus verschiedenen Quellen zusammenführt und für die Geschäftsleitung verständlich aufbereitet, etwa in einem Dashboard. Drittens die Verbindung zur Planung: Sicherheitsmaßnahmen kosten Geld und Personal und gehören deshalb in Budget und Mittelfristplanung.

Wie sich Cyberrisiken in Zahlen fassen und mit Qlik und Corporate Planner in die Unternehmenssteuerung einbinden lassen, zeigt unser Beitrag zum Cyber Risk Management mit Qlik und Corporate Planner. So wird NIS2 vom Pflichtprogramm zum Teil der Unternehmenssteuerung, und die Geschäftsleitung kann ihre Überwachungspflicht belegen.

Häufig gestellte Fragen zu NIS2