Die 12 neuen NIS2-Pflichten im Überblick

Q: Welche NIS2-Pflichten müssen sofort umgesetzt werden?

Sechs Pflichten haben die höchste Priorität (P0) und gelten als Audit-Blocker — ohne sie ist kein NIS2-Nachweis nach §39 BSIG möglich. Erstens die Geschäftsleiterhaftung nach §38 BSIG: Die GL muss Risikomanagement-Maßnahmen persönlich billigen und überwachen. Zweitens die BSI-Registrierung nach §33 über das MELDEX-Portal mit ELSTER-Organisationszertifikat. Drittens die dreistufige Meldepflicht nach §32: Frühwarnung innerhalb von 24 Stunden, aktualisierte Meldung nach 72 Stunden und Abschlussbericht nach einem Monat. Viertens die GL-Schulungspflicht nach §38 Abs. 3 mit empfohlenen 4 Stunden pro Jahr. Fünftens MFA und Notfallkommunikation nach §30 Abs. 2 Nr. 10 für alle privilegierten Zugänge. Sechstens die Kenntnisnahme der erhöhten Bußgelder nach §65 — bis zu 10 Mio. EUR oder 2 % des Weltumsatzes. Die verbleibenden sechs Pflichten (P1/P2) sind innerhalb von 12 Monaten umzusetzen.

Q: Was sind die 135 BSI-Kontrollen (KdA)?

Die Konkretisierung der Anforderungen (KdA v1.2) ist ein vom BSI veröffentlichtes Dokument, das die abstrakten NIS2-Pflichten aus §30 BSIG in 135 konkrete, prüfbare Kontrollen übersetzt. Die Kontrollen sind in neun Bereiche gegliedert: ISMS und Strategie (BSI-1 bis BSI-4), Risiko und Assets (BSI-5 bis BSI-16), BCM und Notfall (BSI-17 bis BSI-20), Technologie (BSI-21 bis BSI-55), Personal und Schulung (BSI-56 bis BSI-70), Gebäude und physische Sicherheit (BSI-71 bis BSI-76), Angriffserkennung (BSI-77 bis BSI-97), Lieferanten (BSI-98 bis BSI-99) sowie KRITIS-spezifische Anforderungen (BSI-100 bis BSI-135). Die KdA dient als Grundlage für NIS2-Audits und die Nachweisführung nach §39 BSIG. Unternehmen mit bestehendem ISMS nach ISO 27001 können die KdA als Mapping-Referenz nutzen, um gezielt die NIS2-spezifischen Lücken zu identifizieren.

Q: Gilt NIS2 nur für die IT-Abteilung oder für das gesamte Unternehmen?

NIS2 gilt für das gesamte Unternehmen — nicht nur für die IT-Abteilung. Im Unterschied zum alten §8a BSIG, der nur die kritische Anlage selbst betraf, erstrecken sich die NIS2-Pflichten nach §30 BSIG auf alle Geschäftsprozesse, Lieferketten und Mitarbeiter. Die Geschäftsleitung haftet nach §38 BSIG persönlich für die Umsetzung der Risikomanagement-Maßnahmen — NIS2 ist deshalb Chefsache, kein reines IT-Projekt. Konkret betrifft NIS2 neben der IT auch das Personalwesen (Schulungspflichten nach §38 Abs. 3), den Einkauf (Lieferkettensicherheit nach §30 Abs. 2 Nr. 4), die Rechtsabteilung (Vertragsgestaltung mit Dienstleistern), das Facility-Management (physische Sicherheit) und die Geschäftsführung selbst (Billigung, Überwachung, persönliche Schulung). Ein funktionsübergreifendes NIS2-Projektteam unter GL-Verantwortung ist der empfohlene Ansatz für die Umsetzung.

Auf einen Blick

Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) bringt 12 neue Pflichten für betroffene Unternehmen in Deutschland — weit über den bisherigen §8a BSIG hinaus. Sechs davon haben die höchste Priorität (P0) und müssen sofort umgesetzt werden: Geschäftsleiterhaftung (§38 BSIG), BSI-Registrierung (§33), dreistufige Meldepflicht (§32), GL-Schulungspflicht (§38 Abs. 3), MFA-Pflicht (§30 Abs. 2 Nr. 10) und die neuen Bußgeldrahmen bis 10 Mio. EUR (§65). Die verbleibenden sechs Pflichten — darunter Supply-Chain-Sicherheit, Wirksamkeitsmessung und Verschlüsselungspflicht — sind innerhalb von 12 Monaten umzusetzen. Das BSI hat mit der Konkretisierung der Anforderungen (KdA v1.2) insgesamt 135 Kontrollen veröffentlicht, die alle 12 Pflichten operativ unterlegen.

Das NIS2-Umsetzungsgesetz bringt 12 neue Pflichten, die weit über die bisherigen Anforderungen des alten §8a BSIG hinausgehen. Sechs davon haben die höchste Priorität (P0) und müssen sofort umgesetzt werden. Hier ist der vollständige Überblick — mit Paragraphen, Prioritäten und konkreten Handlungsschritten.

Die 12 Pflichten nach Priorität

Priorität P0 — Sofort umzusetzen

1. Geschäftsleiterhaftung (§38 BSIG)

Die Geschäftsleitung muss Risikomanagement-Maßnahmen persönlich billigen und deren Umsetzung überwachen. Bei Pflichtverletzung droht persönliche Haftung — und Verzichts- oder Vergleichsvereinbarungen über Ersatzansprüche sind nach §38 Abs. 4 unwirksam. Diese Verantwortung ist nicht an den CISO oder IT-Leiter delegierbar. Mehr dazu in unserem Artikel zur Geschäftsleiterhaftung nach NIS2.

2. BSI-Registrierung (§33 BSIG)

Betroffene Unternehmen müssen sich innerhalb von 3 Monaten beim BSI registrieren. Dafür wird ein ELSTER-Organisationszertifikat benötigt. Die Frist für Bestandsbetreiber lief am 06.03.2026 ab — wer sich noch nicht registriert hat, sollte dies umgehend nachholen. Details zu den Fristen finden Sie in unserem Fristen-Countdown.

3. Dreistufige Meldepflicht (§32 BSIG)

Erhebliche Sicherheitsvorfälle müssen in drei Stufen gemeldet werden:

24 Stunden: Frühwarnung an das BSI über das MELDEX-Portal
72 Stunden: Aktualisierte Meldung mit Erstbewertung und Indikatoren
1 Monat: Abschlussbericht oder Fortschrittsbericht mit Ursachenanalyse

Im Vergleich zum alten Regime ("unverzüglich") sind die Fristen jetzt gesetzlich fixiert — ohne Ermessensspielraum.

4. GL-Schulungspflicht (§38 Abs. 3 BSIG)

Die Geschäftsleitung muss sich regelmäßig in Cybersicherheit schulen lassen. Die Gesetzesbegründung empfiehlt mindestens 4 Stunden pro Jahr. Die Schulung muss dokumentiert werden und sollte die aktuelle Bedrohungslage, NIS2-Pflichten, Risikomanagement-Grundlagen und Meldepflichten abdecken. Genau diese Inhalte deckt unsere NIS2-Schulung für Geschäftsleitung und Mitarbeitende ab.

5. MFA und Notfallkommunikation (§30 Abs. 2 Nr. 10 BSIG)

Multi-Faktor-Authentifizierung muss flächendeckend ausgerollt werden — für alle privilegierten Zugänge, Remote-Zugriffe und kritische Anwendungen. Zusätzlich sind sichere Notfallkommunikationswege zu etablieren, die auch bei einem Ausfall der primären IT-Systeme funktionieren.

6. Erhöhte Bußgelder (§65 BSIG)

Die Bußgelder sind massiv gestiegen — von bisher maximal 100.000 EUR auf:

Besonders wichtige Einrichtungen (BwE): Bis 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes
Wichtige Einrichtungen (WE): Bis 7 Mio. EUR oder 1,4 % des weltweiten Jahresumsatzes

Priorität P1 — Kurzfristig (innerhalb 12 Monaten)

7. Supply-Chain-Sicherheit (§30 Abs. 2 Nr. 4 BSIG)

Lieferanten und Dienstleister müssen explizit bewertet werden. Sicherheitsanforderungen müssen vertraglich verankert sein — inklusive Audit-Rechte und Mindeststandards. Wie sich Lieferantenrisiken systematisch bewerten und vertraglich absichern lassen, zeigt unsere Beratung zur Lieferkettensicherheit. Unser Betroffenheitscheck hilft auch Lieferanten bei der Ersteinordnung.

8. Wirksamkeitsmessung und KPIs (§30 Abs. 2 Nr. 6 BSIG)

Unternehmen müssen die Wirksamkeit ihrer Sicherheitsmaßnahmen regelmäßig messen und dokumentieren. Ein KPI-Framework mit messbaren Kennzahlen (z. B. Patching-Zyklen, Schulungsquoten, Vorfallreaktionszeiten) ist aufzubauen.

9. Erweitertes Krisenmanagement (§30 Abs. 2 Nr. 3 BSIG)

Business Continuity Management (BCM) wird erweitert um explizites Krisenmanagement. Notfallpläne müssen regelmäßig getestet und die Ergebnisse dokumentiert werden.

10. Kundenunterrichtung bei Vorfällen (§35 BSIG)

Bei erheblichen Sicherheitsvorfällen müssen betroffene Empfänger der Dienste unverzüglich informiert werden — zusätzlich zur BSI-Meldung. Das BSI kann diese Unterrichtung auch anordnen, wenn ein Unternehmen sie unterlässt.

11. Nachweispflicht alle 3 Jahre (§39 BSIG)

Besonders wichtige Einrichtungen müssen ihre NIS2-Compliance alle 3 Jahre durch Audits, Prüfungen oder Zertifizierungen nachweisen. Das BSI kann zusätzlich anlassbezogene Prüfungen anordnen.

Priorität P2 — Mittelfristig

12. Verschlüsselung explizit gefordert (§30 Abs. 2 Nr. 8 BSIG)

Kryptographie und Verschlüsselung werden erstmals als eigener Pflichtbereich genannt. Ein Krypto-Konzept muss dokumentiert werden — einschließlich der eingesetzten Algorithmen, Schlüsselmanagement-Verfahren und Migrationspläne für Post-Quanten-Kryptographie.

Die 135 BSI-Kontrollen (KdA v1.2)

Alle 12 Pflichten werden durch die Konkretisierung der Anforderungen (KdA v1.2) des BSI mit 135 konkreten Kontrollen unterlegt:

Kontrollbereich	BSI-Kontrollen	NIS2-Pflicht
ISMS & Strategie	BSI-1 bis BSI-4	§30.2 Nr. 1
Risiko & Assets	BSI-5 bis BSI-16	§30.2 Nr. 1, 9
BCM & Notfall	BSI-17 bis BSI-20	§30.2 Nr. 3
Technologie	BSI-21 bis BSI-55	§30.2 Nr. 5, 8, 10
Personal & Schulung	BSI-56 bis BSI-70	§30.2 Nr. 7, 9
Gebäude & Physisch	BSI-71 bis BSI-76	§30.2 Nr. 9
Angriffserkennung	BSI-77 bis BSI-97	§31.2
Lieferanten	BSI-98 bis BSI-99	§30.2 Nr. 4
KRITIS-spezifisch	BSI-100 bis BSI-135	§30.2

Ein strukturiertes ISMS bildet die Grundlage für die Umsetzung dieser Kontrollen. Die 21 Kontrollen BSI-77 bis BSI-97 setzen dabei die Systeme zur Angriffserkennung nach §31 BSIG operativ um.

Der wichtigste Unterschied zum alten Regime

Aspekt	Alt (§8a BSIG)	Neu (NIS2)
Geltungsbereich	Nur die kritische Anlage	Gesamtes Unternehmen
GL-Haftung	Keine explizite	Persönlich, nicht delegierbar
Bußgelder	Max. 100.000 EUR	Bis 10 Mio. EUR / 2 % Umsatz
Prüfzyklus	Alle 2 Jahre	Alle 3 Jahre
Meldepflicht	Unverzüglich	24h / 72h / 1 Monat (3-stufig)

Fazit: Strukturiert starten, P0 zuerst

Die 12 neuen NIS2-Pflichten erfordern ein strukturiertes Vorgehen. Starten Sie mit den P0-Maßnahmen — diese sind Audit-Blocker: Ohne BSI-Registrierung, GL-Beschluss und Meldeprozess ist kein NIS2-Nachweis möglich. P1-Maßnahmen wie Supply-Chain-Bewertung und KPI-Framework bauen Sie parallel innerhalb der ersten 12 Monate auf.

Um den konkreten Handlungsbedarf in Ihrem Unternehmen zu ermitteln, empfehlen wir eine NIS2-Gap-Analyse, die Ihren Ist-Stand systematisch mit den 135 BSI-Kontrollen abgleicht.

Unser Angebot: Wir analysieren in einer Gap-Analyse, welche der 12 Pflichten Sie bereits erfüllen und wo Handlungsbedarf besteht. Jetzt Gap-Analyse beauftragen

Häufige Fragen zu den NIS2-Pflichten

Welche NIS2-Pflichten müssen sofort umgesetzt werden?

Sechs Pflichten haben die höchste Priorität (P0): Geschäftsleiterhaftung nach §38 BSIG, BSI-Registrierung nach §33, die dreistufige Meldepflicht (24h/72h/1 Monat) nach §32, die GL-Schulungspflicht nach §38 Abs. 3, MFA und Notfallkommunikation nach §30 Abs. 2 Nr. 10 sowie die Kenntnisnahme der erhöhten Bußgelder nach §65 BSIG. Diese sechs Pflichten sind Audit-Blocker — ohne sie ist kein NIS2-Nachweis möglich.

Was sind die 135 BSI-Kontrollen (KdA)?

Die Konkretisierung der Anforderungen (KdA v1.2) ist ein Dokument des BSI, das die abstrakten NIS2-Pflichten aus §30 BSIG in 135 konkrete, prüfbare Kontrollen übersetzt. Die Kontrollen sind in neun Bereiche gegliedert — von ISMS und Strategie über Technologie bis zu KRITIS-spezifischen Anforderungen. Die KdA dient als Grundlage für NIS2-Audits und die Nachweisführung nach §39 BSIG.

Gilt NIS2 nur für die IT-Abteilung oder für das gesamte Unternehmen?

NIS2 gilt für das gesamte Unternehmen. Im Unterschied zum alten §8a BSIG, der nur die kritische Anlage selbst betraf, erstrecken sich die NIS2-Pflichten auf alle Geschäftsprozesse, Lieferketten und Mitarbeiter. Die Geschäftsleitung haftet persönlich — NIS2 ist deshalb Chefsache, kein reines IT-Projekt.

Stand: April 2026. Für eine individuelle rechtliche Einordnung empfehlen wir eine Beratung durch Fachexperten.