Was regelt NIS2 und wie ist die Richtlinie in Deutschland umgesetzt?

NIS2 ist die Kurzbezeichnung der Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union. Sie verpflichtet Unternehmen und Einrichtungen aus wichtigen Sektoren, ihre Netz- und Informationssysteme abzusichern, erhebliche Sicherheitsvorfälle zu melden und die Verantwortung dafür bei der Geschäftsleitung zu verankern. Die Richtlinie stammt vom 14. Dezember 2022 und hebt die erste NIS-Richtlinie (EU) 2016/1148 mit Wirkung vom 18. Oktober 2024 auf.

Als Richtlinie gilt NIS2 nicht unmittelbar, sondern musste in nationales Recht umgesetzt werden. Deutschland hat das mit dem Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung getan. Kern ist ein neu gefasstes BSI-Gesetz (BSIG) vom 2. Dezember 2025 (BGBl. 2025 I Nr. 301), das am 6. Dezember 2025 in Kraft getreten ist. Zuletzt geändert wurde das BSIG durch ein Gesetz vom 23. Juli 2026 (BGBl. 2026 I Nr. 226).

Die EU-Richtlinie im Überblick

Die Mitgliedstaaten sollten NIS2 bis zum 17. Oktober 2024 umsetzen und die Vorschriften ab dem 18. Oktober 2024 anwenden. Die Richtlinie unterscheidet zwei Gruppen von Einrichtungen: wesentliche und wichtige Einrichtungen. Welche Gruppe greift, hängt vom Sektor und von der Größe ab.

Anhang I der Richtlinie nennt die Sektoren mit hoher Kritikalität:

• Energie, Verkehr, Bankwesen und Finanzmarktinfrastrukturen
• Gesundheitswesen, Trinkwasser und Abwasser
• Digitale Infrastruktur und Verwaltung von IKT-Diensten (Business-to-Business)
• Öffentliche Verwaltung und Weltraum

Anhang II nennt sonstige kritische Sektoren: Post- und Kurierdienste, Abfallbewirtschaftung, Produktion, Herstellung und Handel mit chemischen Stoffen, Produktion, Verarbeitung und Vertrieb von Lebensmitteln, verarbeitendes Gewerbe, Anbieter digitaler Dienste sowie Forschung.

Grundsätzlich erfasst NIS2 Einrichtungen aus diesen Sektoren ab der Größe eines mittleren Unternehmens nach der Empfehlung 2003/361/EG der Kommission. Für einige Einrichtungen gilt die Richtlinie unabhängig von der Größe, etwa für Anbieter öffentlicher elektronischer Kommunikationsnetze, Vertrauensdiensteanbieter, Namenregister der Domäne oberster Stufe und DNS-Diensteanbieter.

Umsetzung in Deutschland: das neue BSI-Gesetz

Das BSIG verwendet die Begriffe „besonders wichtige Einrichtungen“ und „wichtige Einrichtungen“. Aufsichtsbehörde ist das Bundesamt für Sicherheit in der Informationstechnik (BSI). Nach Angaben des BSI sind rund 29.500 Einrichtungen erstmals gesetzlich verpflichtet. Vor dem Inkrafttreten waren es nach Angaben des BSI etwa 4.500 regulierte Organisationen.

Wer betroffen ist (§ 28 BSIG)

Welche Einrichtungsarten erfasst sind, regeln die Anlagen 1 und 2 des BSIG. Anlage 1 umfasst die Sektoren Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur und Weltraum. Anlage 2 umfasst unter anderem Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe, Anbieter digitaler Dienste und Forschung. Die Einstufung richtet sich dann nach Größe:

• Besonders wichtige Einrichtungen sind unter anderem Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries und DNS-Diensteanbieter sowie Einrichtungen einer Einrichtungsart nach Anlage 1 mit mindestens 250 Mitarbeitern oder einem Jahresumsatz über 50 Millionen Euro und einer Jahresbilanzsumme über 43 Millionen Euro.
• Wichtige Einrichtungen sind unter anderem Vertrauensdiensteanbieter sowie Einrichtungen einer Einrichtungsart nach Anlage 1 oder 2 mit mindestens 50 Mitarbeitern oder einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Millionen Euro.

Für Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze gelten eigene Schwellen. Geschäftstätigkeiten, die im Verhältnis zur gesamten Geschäftstätigkeit vernachlässigbar sind, können bei der Zuordnung unberücksichtigt bleiben. Bei der Größe werden Daten von Partner- oder verbundenen Unternehmen nicht hinzugerechnet, wenn das Unternehmen bei seinen informationstechnischen Systemen, Komponenten und Prozessen von diesen unabhängig ist.

Ausnahmen für Finanzunternehmen und Energieversorger

Für Finanzunternehmen im Sinne der Verordnung (EU) 2022/2554 gelten die Risikomanagement-, Melde- und Geschäftsleitungspflichten des BSIG nicht (§ 28 Abs. 6 BSIG). Sie unterliegen stattdessen dem Digital Operational Resilience Act (DORA). Ähnliche Ausnahmen bestehen für Betreiber öffentlicher Telekommunikationsnetze und Anbieter öffentlich zugänglicher Telekommunikationsdienste sowie für Betreiber von Energieversorgungsnetzen und Energieanlagen, die den Regeln der §§ 5c bis 5e des Energiewirtschaftsgesetzes unterliegen (§ 28 Abs. 5 BSIG).

Pflichten nach dem BSIG

Risikomanagementmaßnahmen (§ 30 BSIG)

Besonders wichtige und wichtige Einrichtungen müssen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit ihrer informationstechnischen Systeme zu vermeiden. Die Maßnahmen sollen dem Stand der Technik entsprechen, einschlägige europäische und internationale Normen berücksichtigen und auf einem gefahrenübergreifenden Ansatz beruhen. Die Einhaltung ist zu dokumentieren. Mindestens umfassen die Maßnahmen:

1. Konzepte zur Risikoanalyse und zur Sicherheit in der Informationstechnik
2. Bewältigung von Sicherheitsvorfällen
3. Aufrechterhaltung des Betriebs, Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement
4. Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern
5. Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen einschließlich Management und Offenlegung von Schwachstellen
6. Bewertung der Wirksamkeit der Risikomanagementmaßnahmen
7. Schulungen und Sensibilisierung im Bereich der IT-Sicherheit
8. Einsatz kryptographischer Verfahren
9. Sicherheit des Personals, Zugriffskontrolle und Verwaltung von IKT-Systemen, -Produkten und -Prozessen
10. Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung sowie gesicherte Sprach-, Video- und Textkommunikation

Eine bestimmte Norm schreibt das BSIG nicht vor. Wer bereits ein Informationssicherheitsmanagementsystem nach ISO/IEC 27001 betreibt, kann die Liste mit den vorhandenen Maßnahmen abgleichen. Für bestimmte digitale Dienste wie Cloud-Computing-Dienste, Rechenzentrumsdienste, Managed Service Provider oder DNS-Diensteanbieter hat die Durchführungsverordnung (EU) 2024/2690 der Kommission Vorrang, die die technischen und methodischen Anforderungen konkretisiert.

Meldepflichten bei erheblichen Sicherheitsvorfällen (§ 32 BSIG)

Ein Sicherheitsvorfall ist erheblich, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann oder wenn er andere Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Solche Vorfälle sind an eine gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe in mehreren Stufen zu melden:

• Frühe Erstmeldung unverzüglich, spätestens 24 Stunden nach Kenntnis, mit Angabe, ob ein rechtswidriger oder böswilliger Hintergrund oder grenzüberschreitende Auswirkungen vermutet werden.
• Meldung unverzüglich, spätestens 72 Stunden nach Kenntnis, mit einer ersten Bewertung von Schweregrad und Auswirkungen sowie gegebenenfalls Kompromittierungsindikatoren.
• Zwischenmeldung auf Ersuchen des BSI.
• Abschlussmeldung spätestens einen Monat nach der Meldung, mit Beschreibung, Ursache, Abhilfemaßnahmen und grenzüberschreitenden Auswirkungen. Dauert der Vorfall noch an, ist zunächst eine Fortschrittsmeldung fällig.

Die kurzen Fristen setzen voraus, dass Vorfälle schnell erkannt und bewertet werden. Das ist Aufgabe des Incident Managements. Einzelheiten zum Meldeverfahren legt das BSI fest. Vor der Registrierung erfolgt die Meldung nach Angaben des BSI über ein Online-Formular, danach über das BSI-Portal.

Registrierung beim BSI (§ 33 BSIG)

Betroffene Einrichtungen müssen sich spätestens drei Monate, nachdem sie erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gelten, beim BSI registrieren. Anzugeben sind unter anderem Name und Rechtsform, Kontaktdaten einschließlich öffentlicher IP-Adressbereiche, Sektor und Branche, die Mitgliedstaaten, in denen die Einrichtung tätig ist, sowie die zuständigen Aufsichtsbehörden. Änderungen sind spätestens nach zwei Wochen zu melden. Kommt eine Einrichtung der Pflicht nicht nach, kann das BSI die Registrierung selbst vornehmen.

Die Registrierung läuft in zwei Schritten: zuerst über das Nutzerkonto „Mein Unternehmenskonto“, danach im BSI-Portal, das seit dem 6. Januar 2026 freigeschaltet ist. Bis zum 30. September 2026 hatten sich nach Angaben des BSI 20.141 Einrichtungen registriert, davon 6.837 besonders wichtige und 13.252 wichtige Einrichtungen.

Pflichten der Geschäftsleitung (§ 38 BSIG)

Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Verletzt sie diese Pflicht, haftet sie der Einrichtung für schuldhaft verursachte Schäden nach den gesellschaftsrechtlichen Regeln der jeweiligen Rechtsform. Außerdem muss die Geschäftsleitung regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagementpraktiken in der Informationstechnik erkennen und bewerten zu können. IT-Sicherheit ist damit ausdrücklich Aufgabe der Unternehmensleitung und Teil der IT-Governance.

Bußgelder

Verstöße etwa gegen die Risikomanagement- oder Meldepflichten können bei besonders wichtigen Einrichtungen mit Geldbußen bis zu 10 Millionen Euro geahndet werden, bei wichtigen Einrichtungen bis zu 7 Millionen Euro. Bei einem weltweiten Gesamtumsatz von mehr als 500 Millionen Euro steigt der Rahmen auf bis zu 2 Prozent (besonders wichtige Einrichtungen) beziehungsweise 1,4 Prozent (wichtige Einrichtungen) des Gesamtumsatzes (§ 65 BSIG). Wer die Registrierung versäumt oder Angaben nicht richtig übermittelt, riskiert eine Geldbuße bis zu 500.000 Euro. Verhängt eine Datenschutzaufsichtsbehörde für dasselbe Verhalten bereits eine Geldbuße nach der Datenschutz-Grundverordnung, darf keine weitere Geldbuße nach dem BSIG verhängt werden.

Einordnung in das Risikomanagement

Die Pflichten aus NIS2 berühren mehrere klassische GRC-Themen. Die Risikoanalyse gehört zum Risikomanagement, die Aufrechterhaltung des Betriebs zum Business Continuity Management und die Sicherheit der Lieferkette zum Third-Party Risk Management. Grundlagen zum Schutz von Informationen behandeln die Beiträge zur Informationssicherheit und zur Cybersecurity.

Häufige Fragen zu NIS2

Seit wann gilt NIS2 in Deutschland?

Die Pflichten gelten seit dem 6. Dezember 2025. An diesem Tag ist das neu gefasste BSI-Gesetz in Kraft getreten, mit dem Deutschland die Richtlinie (EU) 2022/2555 umgesetzt hat.

Woran erkennt ein Unternehmen, ob es unter NIS2 fällt?

Entscheidend sind zwei Fragen: Gehört die Tätigkeit zu einer Einrichtungsart aus Anlage 1 oder 2 des BSIG? Erreicht das Unternehmen die Schwellen bei Mitarbeiterzahl, Umsatz und Bilanzsumme? Für einige Einrichtungsarten gilt das Gesetz unabhängig von der Größe. Die Prüfung muss das Unternehmen selbst vornehmen; das BSI stellt dafür eine Betroffenheitsprüfung bereit.

Bis wann muss sich eine Einrichtung beim BSI registrieren?

Spätestens drei Monate, nachdem sie erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gilt. So steht es in § 33 Abs. 1 BSIG, ein festes Stichtagsdatum nennt das Gesetz nicht. Das BSI-Gesetz ist am 6. Dezember 2025 in Kraft getreten. Kommt eine Einrichtung ihrer Pflicht nicht nach, kann das BSI die Registrierung im Einvernehmen mit der zuständigen Aufsichtsbehörde selbst vornehmen (§ 33 Abs. 3 BSIG).

Welche Fristen gelten für die Meldung eines Sicherheitsvorfalls?

Eine frühe Erstmeldung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden nach Kenntnis und eine Abschlussmeldung spätestens einen Monat nach der Meldung. Auf Ersuchen des BSI kommt eine Zwischenmeldung hinzu.

Haftet die Geschäftsleitung für Versäumnisse?

Ja. Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen und überwachen. Verletzt sie diese Pflicht schuldhaft, haftet sie der Einrichtung für den Schaden nach den Regeln des Gesellschaftsrechts. Nur wenn das Gesellschaftsrecht der Rechtsform keine solche Regelung enthält, ergibt sich die Haftung aus dem BSIG selbst.

Gilt NIS2 auch für Banken und Versicherungen?

Finanzunternehmen, die unter DORA fallen, sind von den Risikomanagement-, Melde- und Geschäftsleitungspflichten des BSIG ausgenommen. Für sie gelten die entsprechenden Vorgaben der Verordnung (EU) 2022/2554, die auch als sektorspezifische Regelung im Sinne der NIS2-Richtlinie gilt.