NIS2-Umsetzung: Das Gesetz gilt! Was du jetzt tun musst

Registrierung, Meldepflichten, Risikomanagement, Schulungen für die Geschäftsleitung: Seit Dezember 2025 ist die NIS2-Umsetzung in Deutschland keine Zukunftsfrage mehr, sondern Pflicht. Die Debatte um Entwürfe und Fristen ist vorbei. Jetzt zählt, ob dein Unternehmen betroffen ist, was konkret zu tun ist und wie du nachweist, dass du es getan hast. Dieser Artikel sortiert das für dich – und zeigt, warum fast jeder Schritt mit einer sauberen Übersicht über deine Assets anfängt.

Seit wann gilt NIS2 in Deutschland?

Das NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025. Damit fallen rund 29.500 Einrichtungen unter die Aufsicht des BSI, vorher waren es etwa 4.500 (Schätzung des BSI zum Inkrafttreten). Verkündet wurde das Gesetz am 5. Dezember 2025, in Kraft getreten ist es einen Tag später. Es setzt die EU-Richtlinie 2022/2555 in deutsches Recht um und steht im neu gefassten BSI-Gesetz (BSIG). Für dich heißt das: Die Frage ist nicht mehr, was kommt, sondern ob du schon umgesetzt hast.

Ist dein Unternehmen von NIS2 betroffen?

Betroffen bist du, wenn dein Unternehmen zu einem der im BSIG gelisteten Sektoren gehört und mindestens 50 Mitarbeitende hat oder jeweils mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme. Ob du eine „wichtige“ oder eine „besonders wichtige“ Einrichtung bist, hängt von Größe und Sektor ab. Die genauen Schwellenwerte stehen in § 28 BSIG, die Sektoren in den Anlagen 1 und 2. Prüfen musst du das selbst – niemand schickt dir einen Bescheid. Eine erste Orientierung gibt der Selbstcheck des BSI, auf den auch die IHKs verweisen.

Quellen: Schwellenwerte nach § 28 BSIG, Bußgelder nach § 65 BSIG.

Achte auf ein Detail: Bei der Umsatz-Variante müssen beide Werte überschritten sein, Umsatz und Bilanzsumme. Und auch wenn du selbst nicht betroffen bist, kann NIS2 dich erreichen: Laut BSI-FAQ wirken die Regeln über Geschäftsbeziehungen mittelbar auch auf nicht betroffene Unternehmen – etwa wenn Kunden ihre Lieferkette absichern müssen.

Welche Pflichten bringt NIS2 für betroffene Unternehmen?

Im Kern sind es vier: registrieren, Vorfälle melden, Risikomanagement-Maßnahmen umsetzen und dokumentieren, und die Geschäftsleitung in die Verantwortung nehmen. Die Verantwortung für Umsetzung und Überwachung liegt ausdrücklich bei der Geschäftsleitung.

• Registrierung: Spätestens drei Monate, nachdem du erstmals betroffen bist. Sie läuft in zwei Schritten: erst ein Konto bei „Mein Unternehmenskonto“, dann die Registrierung im BSI-Portal.
• Meldepflicht: Erhebliche Sicherheitsvorfälle meldest du mit Frühwarnung nach 24 Stunden, Meldung nach 72 Stunden und Abschlussmeldung nach spätestens einem Monat.
• Risikomanagement: § 30 BSIG verlangt geeignete technische und organisatorische Maßnahmen und listet zehn Mindestbereiche – von Risikoanalyse über Backup und Lieferkette bis Multi-Faktor-Authentifizierung. Die Umsetzung musst du dokumentieren.
• Geschäftsleitung: Sie muss die Maßnahmen umsetzen, überwachen und regelmäßig an Schulungen teilnehmen.

Was tun, wenn du die Registrierungsfrist verpasst hast?

Hol die Registrierung sofort nach. Für Unternehmen, die schon seit Inkrafttreten betroffen sind, ist die Frist am 6. März 2026 abgelaufen. Das BSI-Portal ist seit dem 6. Januar 2026 offen, von da an lief die Frist bis zum 6. März 2026. Wer erst später über die Schwellenwerte wächst, hat ab diesem Zeitpunkt wieder drei Monate. Abwarten hilft in keinem Fall: Je länger du nicht registriert bist, desto schwerer erklärst du im Ernstfall, warum.

Wie setzt du NIS2 jetzt Schritt für Schritt um?

Fang mit der Betroffenheit und der Registrierung an, schaff dann die Übersicht über deine IT und arbeite die Maßnahmen aus § 30 BSIG nach Risiko ab. Wichtig ist von Anfang an: Alles, was du tust, muss nachweisbar dokumentiert sein.

1. Betroffenheit prüfen: Sektor und Schwellenwerte klären, Ergebnis festhalten – auch wenn es „nicht betroffen“ lautet.
2. Registrieren: Mein Unternehmenskonto anlegen, dann ins BSI-Portal.
3. Verantwortung festlegen: Wer in der Geschäftsleitung ist zuständig, wer setzt operativ um, wann ist die erste Schulung?
4. Bestand aufnehmen: Welche Geräte, Software, Cloud-Dienste und Dienstleister gibt es, wem sind sie zugeordnet, wie kritisch sind sie?
5. Risiken bewerten: Auf Basis des Bestands entscheiden, wo die größten Lücken sind.
6. Meldeprozess aufsetzen: Wer erkennt einen Vorfall, wer meldet innerhalb von 24 Stunden, wo liegen die Kontaktdaten?
7. Maßnahmen umsetzen und dokumentieren: Die zehn Bereiche aus § 30 BSIG der Reihe nach, mit Nachweisen.
8. Regelmäßig überprüfen: Das Gesetz verlangt auch Verfahren, um die Wirksamkeit der Maßnahmen zu bewerten.

Warum beginnt die NIS2-Umsetzung mit dem Asset-Inventar?

Ein Asset-Inventar ist die Grundlage der NIS2-Umsetzung, weil du nur absichern kannst, was du kennst. Risikoanalyse, Schwachstellenmanagement, Zugriffskontrolle und Lieferkette setzen alle voraus, dass du weißt, welche Systeme es gibt, wo sie stehen und wer sie nutzt. Das Wort „Inventar“ steht nicht im Gesetz. Aber § 30 BSIG fordert ausdrücklich Konzepte zur Verwaltung von IKT-Systemen und -Produkten, dazu Sicherheit bei Erwerb und Wartung inklusive Schwachstellenmanagement. Praktisch heißt das: Wird eine Sicherheitslücke in einem Notebook-Modell bekannt, musst du in Minuten wissen, welche Geräte betroffen sind und bei wem sie liegen. Mit einer veralteten Excel-Liste klappt das nicht – warum, zeigt unser Vergleich von IT-Inventarisierungssoftware.

Laptops, Smartphones, Lizenzen, Zugriffsrechte: Typische Lücken entstehen nicht beim Kauf, sondern im Alltag. Beim Onboarding wird ein Gerät schnell ausgegeben und nicht erfasst. Beim Offboarding bleiben Zugänge offen oder ein Notebook taucht nie wieder auf. Bei Teamwechseln wandern Geräte, ohne dass jemand die Zuordnung ändert.

Was droht bei Verstößen gegen NIS2?

Bei Verstößen gegen die Risikomanagement-Pflichten drohen Bußgelder bis 7 Millionen Euro für wichtige und bis 10 Millionen Euro für besonders wichtige Einrichtungen. Dazu kommt: Die Geschäftsleitung haftet gegenüber dem eigenen Unternehmen für schuldhaft verursachte Schäden. Bei Unternehmen mit mehr als 500 Millionen Euro Gesamtumsatz kann das Bußgeld nach § 65 BSIG auch umsatzabhängig sein: bis 1,4 % bzw. 2 % des weltweiten Gesamtumsatzes. Bußgeldbewehrt ist dabei nicht nur das Fehlen von Maßnahmen, sondern auch fehlende Dokumentation. Die Haftung der Geschäftsleitung regelt § 38 BSIG – maßgeblich sind dabei vorrangig die gesellschaftsrechtlichen Regeln der jeweiligen Rechtsform.

NIS2 ist da, und die Schonzeit ist vorbei. Wenn du betroffen bist, kläre zuerst Registrierung und Verantwortung und dann die Frage, ob du deinen IT-Bestand wirklich kennst. Fast jede Pflicht aus § 30 BSIG setzt diese Übersicht voraus, und die Umsetzung musst du dokumentieren. Wer seine Assets sauber im Griff hat, hat einen großen Teil der Grundlage schon gelegt.