NIS2 in Deutschland: Registrierung, Pflichten und Bußgelder
Kurz beantwortet
Das NIS2-Umsetzungsgesetz ist am 06.12.2025 in Kraft getreten und betrifft rund 29.500 Unternehmen in 18 Sektoren ab 50 Beschäftigten oder mehr als 10 Mio. € Umsatz. Die Registrierung im BSI-Portal war bis 06.03.2026 fällig, die Nachfrist lief bis 31.07.2026. Erhebliche Sicherheitsvorfälle müssen nach 24 Stunden, 72 Stunden und einem Monat gemeldet werden.
Was regelt das NIS2-Umsetzungsgesetz?
Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) setzt die europäische NIS-2-Richtlinie in deutsches Recht um. Es verpflichtet wichtige und besonders wichtige Einrichtungen zu Risikomanagement, Registrierung beim BSI und Meldung von Sicherheitsvorfällen. In Kraft ist es seit dem 06.12.2025.
Vorher waren nur rund 4.500 Betreiber kritischer Infrastrukturen reguliert. Nach Angaben aus der Beratungspraxis fallen jetzt rund 29.500 Unternehmen unter die Regeln.
Welche Unternehmen sind betroffen?
Betroffen sind Unternehmen aus 18 Sektoren, die eine der Größenschwellen erreichen:
| Kategorie | Beschäftigte | oder Umsatz und Bilanz |
|---|---|---|
| Wichtige Einrichtung | ab 50 | über 10 Mio. € |
| Besonders wichtige Einrichtung | ab 250 | über 50 Mio. € Umsatz und über 43 Mio. € Bilanz |
Zu den Sektoren gehören unter anderem Energie, Transport und Verkehr, Gesundheit, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel (Produktion, Verarbeitung, Großhandel) und das verarbeitende Gewerbe mit Maschinenbau, Elektronik und Fahrzeugbau.
Einzelne Anbieter – etwa DNS-Dienste oder qualifizierte Vertrauensdienste – sind unabhängig von ihrer Größe erfasst.
Welche Pflichten gelten nach der Registrierung?
Registrierte Einrichtungen müssen zehn Mindestmaßnahmen zum Risikomanagement umsetzen. Dazu zählen:
- Konzepte für Risikoanalyse und Informationssicherheit,
- Bewältigung von Sicherheitsvorfällen,
- Backup-Management, Notfall- und Krisenmanagement,
- Sicherheit der Lieferkette,
- Schulungen, Zugriffskontrolle und Multi-Faktor-Authentifizierung,
- Verschlüsselung, wo angemessen.
Besonders wichtige Einrichtungen müssen die Umsetzung laut Beratungspraxis bis Dezember 2028 gegenüber dem BSI nachweisen können.
Wie schnell muss ein Vorfall gemeldet werden?
Ein erheblicher Sicherheitsvorfall wird in drei Stufen an das BSI gemeldet:
| Frist | Inhalt |
|---|---|
| 24 Stunden | Frühe Erstmeldung: Verdacht auf rechtswidrige Handlung, grenzüberschreitende Auswirkungen |
| 72 Stunden | Meldung mit erster Bewertung, Schweregrad und Kompromittierungsindikatoren |
| 1 Monat | Abschlussmeldung mit Ursache und ergriffenen Maßnahmen |
In der Praxis heißt das: Ein Notfallplan mit Telefonkette, Zuständigkeiten und vorbereiteten Meldetexten gehört zu den ersten Aufgaben nach der Registrierung.
Was kostet ein Verstoß?
Die Bußgelder sind gestaffelt. Wer die Registrierung unterlässt, riskiert bis zu 500.000 €. Verstöße gegen die Kernpflichten können bei besonders wichtigen Einrichtungen bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes kosten, bei wichtigen Einrichtungen bis zu 7 Mio. € oder 1,4 %.
Bis Ende Mai 2026 hatten sich nach Medienberichten rund 18.500 Einrichtungen registriert – deutlich weniger als betroffen sind.
Die Fristen zu diesem Thema
- giltgilt bereits
NIS2: beim BSI registrieren, Risiken managen
Wer: Wichtige und besonders wichtige Einrichtungen in 18 Sektoren – ab 50 Beschäftigten oder über 10 Mio. € Umsatz
Registrierung im BSI-Portal (Nachfrist lief bis 31.07.2026), zehn Risikomanagement-Maßnahmen, Meldung erheblicher Vorfälle nach 24 Stunden, 72 Stunden und einem Monat. Die Geschäftsleitung muss sich schulen lassen.
IT-SicherheitQuelle: BSI: NIS-2-Betroffenheitsprüfung (öffnet in neuem Tab)Ratgeber lesen
Häufige Fragen
Was passiert, wenn ein Unternehmen die NIS2-Registrierung verpasst hat?
Die Registrierung ist nachzuholen. Unterlassene Registrierung kann mit Bußgeld bis 500.000 € geahndet werden; Verstöße gegen Risikomanagement- und Meldepflichten mit bis zu 10 Mio. € oder 2 % des weltweiten Umsatzes bei besonders wichtigen Einrichtungen.
Haftet die Geschäftsführung persönlich?
Ja. Geschäftsleitungen müssen die Risikomanagement-Maßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Bei Pflichtverletzungen haften sie gegenüber der Gesellschaft.
Wie finde ich heraus, ob mein Betrieb betroffen ist?
Das BSI bietet eine Betroffenheitsprüfung an. Sie fragt Sektor, Tätigkeit, Beschäftigtenzahl und Umsatz ab und ordnet das Unternehmen als wichtige, besonders wichtige oder nicht betroffene Einrichtung ein.
Quellen
- BSI: NIS-2-regulierte Unternehmen
- IHK Braunschweig: NIS-2-Richtlinie in Kraft getreten
- Solidaris: BSI setzt Frist bis 31. Juli 2026
Stand: 16.09.2026. Dieser Beitrag ersetzt keine Rechts- oder Steuerberatung. Der Text wurde mit KI-Unterstützung erstellt; alle Fristen und Zahlen wurden anhand der genannten Quellen geprüft. Wie wir arbeiten