NIS2 Deutschland 2026: Pflichten, Fristen, Vorteile und Nachteile

NIS2 in Deutschland verpflichtet zahlreiche Unternehmen und Einrichtungen zu besserer Cybersicherheit, klaren Verantwortlichkeiten und zur Meldung erheblicher Sicherheitsvorfälle. Das deutsche Umsetzungsgesetz gilt seit dem 6. Dezember 2025. Im Jahr 2026 ist deshalb eine zentrale Frage: Gehört mein Unternehmen zu den „wichtigen“ oder „besonders wichtigen“ Einrichtungen, muss es sich beim BSI registrieren und welche Maßnahmen sind wirklich erforderlich?

Dieser Ratgeber beantwortet diese Fragen anhand des geltenden BSI-Gesetzes (BSIG) und der Informationen des Bundesamts für Sicherheit in der Informationstechnik. Die Zuordnung ist von Branche, Tätigkeit, Größe und gesetzlichen Sonderfällen abhängig; eine einfache Mitarbeitergrenze allein reicht nicht aus. Die Beispiele sind Orientierungshilfen und keine verbindliche Einstufung.

NIS2: Vorteile und Nachteile auf einen Blick

Das Wichtigste: NIS2 ist keine Pflicht, wahllos Software zu kaufen. Betroffene Einrichtungen müssen angemessene, wirksame und risikobasierte technische und organisatorische Maßnahmen umsetzen. Die rechtliche Einstufung sollte vor der Auswahl konkreter Produkte geklärt werden.

Wen betrifft NIS2 in Deutschland?

Das BSIG unterscheidet besonders wichtige Einrichtungen und wichtige Einrichtungen. Die Definition ergibt sich insbesondere aus § 28 BSIG und den Einrichtungsarten in Anlagen 1 und 2. Bei der Einstufung sind auch bestimmte Sonderregeln zu berücksichtigen.

Achtung: Diese Tabelle ist stark vereinfacht. Für Telekommunikations-, DNS-, Registrierungs- und Vertrauensdienste sowie kritische Anlagen gelten teils abweichende Regeln. Eine Tätigkeit kann unter spezielle Regulierung fallen. Größenangaben müssen unter den gesetzlichen Bedingungen und den Vorgaben zur Unternehmenszuordnung ermittelt werden. Deshalb ist es falsch zu behaupten, jedes Unternehmen mit 50 Mitarbeitenden sei automatisch NIS2-pflichtig.

Welche Branchen und Tätigkeiten kommen infrage?

Die gesetzlichen Anlagen umfassen unter anderem Teile der Energie-, Gesundheits-, Verkehrs-, Wasser- und digitalen Infrastruktur sowie bestimmte IT-Dienstleister, Post- und Kurierdienste, Abfallwirtschaft, Lebensmittelwirtschaft und weitere Branchen. Entscheidend sind jeweils die konkret im Gesetz beschriebenen Einrichtungsarten, nicht nur eine grobe Branchenbezeichnung im Handelsregister.

Drei Beispiele zur ersten Selbsteinschätzung

• IT-Dienstleister mit 70 Beschäftigten: Könnte betroffen sein, wenn er eine gesetzlich erfasste Art von IKT-Dienst erbringt. Tätigkeit und Größenmerkmale müssen geprüft werden.
• Einzelhändler mit 80 Beschäftigten: Die Zahl allein reicht nicht; klassischer Einzelhandel ist nicht automatisch eine erfasste Einrichtungsart.
• Betreiber kritischer Anlagen: Kann als besonders wichtige Einrichtung gelten, wobei zusätzlich Spezialanforderungen und Übergangsbestimmungen relevant sind.

Für die Einordnung sollten Unternehmensgegenstand, tatsächliche Leistungen, Beschäftigtenzahlen, Finanzdaten, Konzernbeziehungen und die gesetzlichen Anlagen dokumentiert werden. Bei Zweifeln eine fachkundige rechtliche Einordnung einholen.

Registrierung bei NIS2: Welche Frist gilt 2026?

Nach § 33 BSIG haben sich betroffene wichtige und besonders wichtige Einrichtungen spätestens drei Monate nach dem erstmaligen Erfüllen der relevanten Voraussetzungen beim BSI zu registrieren. Für Unternehmen, die bereits mit Inkrafttreten des Gesetzes am 6. Dezember 2025 erfasst waren, ergab sich damit grundsätzlich ein Registrierungszeitpunkt Anfang März 2026.

Ein Unternehmen, das erst später unter die Kriterien fällt, hat nicht automatisch dieselbe Kalenderfrist. Die Frist hängt vom Zeitpunkt der jeweiligen Einstufung ab. Wer bereits registrierungspflichtig ist, sollte die Registrierung nicht mit dem Hinweis auf eine zukünftige IT-Modernisierung aufschieben.

Wo findet die NIS2-Registrierung statt?

Das BSI stellt dafür das offizielle BSI-Portal zur Verfügung. Laut BSI erfolgt die NIS2-Registrierung ausschließlich über dieses Portal und nicht über das ältere Melde- und Informationsportal (MIP). Für einzelne bestehende Betreiber kritischer Anlagen und Bundesbehörden bestehen beim Meldeverfahren Übergangsbesonderheiten.

Welche Informationen braucht die Registrierung?

Im gesetzlichen Rahmen gehören dazu unter anderem Name und Rechtsform, Kontaktdaten, relevante Sektoren und Tätigkeiten sowie bestimmte Angaben über die betroffenen EU-Mitgliedstaaten und zuständigen Aufsichtsstellen. Die konkret erforderlichen Felder ergeben sich aus Portal und Gesetz.

Welche Pflichten müssen Unternehmen erfüllen?

Risikomanagement und Schutzmaßnahmen (§ 30 BSIG)

Betroffene Einrichtungen müssen geeignete technische und organisatorische Sicherheitsmaßnahmen ergreifen. Das umfasst unter anderem Konzepte zur Risikoanalyse und IT-Sicherheit, Bewältigung von Sicherheitsvorfällen, Backups und Wiederherstellung, Lieferkettensicherheit, Schwachstellenmanagement, Zugangskontrollen, Verschlüsselung und Schulungen. Welche Ausgestaltung verhältnismäßig ist, richtet sich nach Risiko, Größe und tatsächlichen Auswirkungen eines Vorfalls.

Welche Fristen gelten bei einem erheblichen Vorfall?

Nach § 32 BSIG müssen betroffene Einrichtungen bei einem erheblichen Sicherheitsvorfall grundsätzlich die folgenden Schritte einhalten, soweit die gesetzlichen Voraussetzungen vorliegen:

1. Innerhalb von 24 Stunden nach Kenntniserlangung: eine frühe Erstmeldung über einen erheblichen Sicherheitsvorfall.
2. Innerhalb von 72 Stunden: eine Meldung mit erster Bewertung, Schweregrad, Auswirkungen und gegebenenfalls Kompromittierungsindikatoren.
3. Auf Anforderung: eine Zwischenmeldung über relevante Statusänderungen.
4. Spätestens einen Monat nach der 72-Stunden-Meldung: eine Abschlussmeldung mit Ursache, Auswirkungen und Maßnahmen, vorbehaltlich der gesetzlichen Besonderheiten.

Diese Meldepflicht betrifft nicht jede Spam-Mail und nicht jeden beliebigen technischen Fehler. Zunächst muss geprüft werden, ob die Kriterien eines erheblichen Sicherheitsvorfalls erfüllt sind. Eine betriebliche Notfallregelung sollte dennoch frühzeitig festlegen, wer prüft und wer meldet.

Welche Rolle spielt die Geschäftsleitung?

NIS2 verlangt mehr als eine technische Aufgabe der IT-Abteilung. Die Geschäftsleitung muss sich mit Risikomanagement und Umsetzung befassen; für betroffene Einrichtungen enthält das BSIG besondere Leitungs- und Schulungsanforderungen. Verantwortlichkeiten sollten nachweisbar verteilt und Maßnahmen regelmäßig überprüft werden.

NIS2-Checkliste: Ein realistischer 30-Tage-Einstieg

Woche 1: Betroffenheit klären

1. Tatsächliche Unternehmensleistungen mit den Einrichtungsarten in Anlagen 1 und 2 BSIG abgleichen.
2. Beschäftigte und Finanzdaten nach den gesetzlichen Berechnungsregeln erfassen.
3. Ausnahmen oder Spezialregelungen dokumentieren und gegebenenfalls juristisch prüfen.
4. Bei festgestellter Pflicht das BSI-Portal und die Registrierungsfrist unverzüglich berücksichtigen.

Woche 2: Geschäftsrisiken und IT-Systeme erfassen

1. Geschäftskritische Systeme, Datenbestände, Administratorzugänge und Dienstleister inventarisieren.
2. Risiken aus Ausfällen, Datenschutzverletzungen und Lieferkettenproblemen priorisieren.
3. Vorhandene Backups nicht nur auf Existenz, sondern auf Wiederherstellbarkeit testen.

Woche 3: Sicherheitslücken schließen

1. Mehrfaktor-Authentifizierung an kritischen Systemen und privilegierten Konten einführen.
2. Schwachstellen- und Updateprozesse festlegen.
3. Berechtigungen nach dem Prinzip minimal nötiger Zugriffe begrenzen.
4. Notfallkontakte und Eskalation bei erheblichen Vorfällen festlegen.

Woche 4: Notfallprozess und Nachweise testen

1. Eine fiktive schwerwiegende Störung mit Geschäftsleitung und IT durchspielen.
2. Prüfen, wer innerhalb von 24 und 72 Stunden Informationen bereitstellen kann.
3. Maßnahmen, Verantwortliche, Kosten und nächste Überprüfung dokumentieren.
4. Fortlaufende Schulungen und Kontrollen planen.

Wichtig: Dieser Plan ist der Einstieg und keine Zusicherung, innerhalb von 30 Tagen vollständig gesetzeskonform zu sein. Bereits bestehende Registrierungspflichten dürfen nicht bis zum Ende eines Pilotprojekts aufgeschoben werden.

Häufige Fragen zu NIS2

Ab wann gilt NIS2 in Deutschland?

Das deutsche NIS2-Umsetzungsgesetz trat am 6. Dezember 2025 in Kraft. Viele Pflichten gelten seither für die erfassten Einrichtungen; konkrete Übergangs- und Spezialregeln sind zu berücksichtigen.

Sind alle Unternehmen ab 50 Mitarbeitern betroffen?

Nein. Zunächst muss das Unternehmen eine im BSIG erfasste Tätigkeit ausüben. Größenkriterien allein reichen nicht; es gibt außerdem Spezialfälle und Ausnahmen.

Bis wann musste man sich beim BSI registrieren?

Grundsätzlich innerhalb von drei Monaten ab erstmaliger Erfüllung der Einstufungsvoraussetzungen. Wer schon am 6. Dezember 2025 erfasst war, musste diese Frist grundsätzlich Anfang März 2026 beachten. Für später erfasste Betriebe ist die individuelle Frist maßgeblich.

Wo erfolgt die NIS2-Registrierung?

Über das offizielle BSI-Portal unter portal.bsi.bund.de. Das BSI betont, dass die NIS2-Registrierung nicht über das ältere MIP erfolgt.

Muss ich jeden Cyberangriff innerhalb von 24 Stunden melden?

Die gesetzlichen Meldefristen betreffen erhebliche Sicherheitsvorfälle der erfassten Einrichtungen. Die Bewertung der Erheblichkeit ist Teil des Notfallprozesses.

Ist eine ISO-27001-Zertifizierung zwingend erforderlich?

Aus der allgemeinen NIS2-Pflicht folgt nicht automatisch, dass jeder betroffene Betrieb genau diese Zertifizierung besitzen muss. Entscheidend sind die gesetzlich geforderten Maßnahmen und gegebenenfalls sektorspezifische Anforderungen.

Was kostet die NIS2-Umsetzung?

Die Kosten hängen stark vom bestehenden Sicherheitsniveau, der IT-Landschaft, den Betriebsrisiken und der Größe ab. Pauschale Beträge ohne Bestandsaufnahme wären nicht seriös.

Was ist der Unterschied zwischen wichtig und besonders wichtig?

Es handelt sich um gesetzlich definierte Kategorien mit unterschiedlichen Einordnungsmerkmalen und teilweise unterschiedlicher Aufsicht beziehungsweise Sanktionsregelung. Die genauen Kriterien stehen in § 28 BSIG.

Fazit: Zuerst Betroffenheit prüfen, dann Risiken verringern

Für betroffene Unternehmen ist NIS2 im Jahr 2026 keine unverbindliche Zukunftsplanung mehr. Eine gute Umsetzung schützt Geschäftsprozesse und verbessert Verantwortlichkeiten. Sie verlangt aber Zeit, Budget und verlässliche Dokumentation. Priorität haben die korrekte rechtliche Einordnung, eine gegebenenfalls fällige Registrierung, die wichtigsten Sicherheitsrisiken und ein funktionierender Meldeprozess.

Weiterführende Vergleiche

• Passkeys: Schutz vor Passwort-Phishing
• KI-Agenten im Unternehmen: Berechtigungen und Risiken
• Cloud Computing: Chancen und Abhängigkeiten
• Industrie 4.0: Vorteile und Herausforderungen

Amtliche Quellen und Rechtsstand

Rechtsstand: 10. November 2026. Diese Einordnung ist keine verbindliche Rechtsberatung. Für eine konkrete Einrichtung sind aktuelles BSIG, die Anlagen und gegebenenfalls sektorspezifische Rechtsakte maßgeblich.

• BSI: Inkrafttreten und Registrierung über das BSI-Portal
• BSIG § 28: Wichtige und besonders wichtige Einrichtungen
• BSIG § 30: Risikomanagementmaßnahmen
• BSIG § 32: Meldepflichten
• BSIG § 33: Registrierungspflicht