NIS2-Fristen 2026: Die wichtigsten Deadlines

Die wichtigste Botschaft vorweg: Es gibt keine allgemeine Übergangsfrist. Die Pflichten aus dem NIS2-Umsetzungsgesetz gelten sofort. Hier sind alle kritischen Termine, die Sie im Blick haben müssen — und was passiert, wenn Sie sie verpassen.

Die kritischen Meilensteine

Bereits abgeschlossen

06.12.2025 — NIS2-Umsetzungsgesetz in Kraft Das NIS2UmsuCG ist geltendes Recht. Alle Pflichten aus §28–65 BSIG sind wirksam. Über 30.000 Unternehmen (§28 BSIG) in Deutschland sind betroffen.

29.01.2026 — KRITIS-Dachgesetz verabschiedet Der Bundestag hat das KRITIS-Dachgesetz (DachG) verabschiedet. KRITIS-Betreiber müssen nun zusätzlich physische Resilienzanforderungen erfüllen.

06.03.2026 — BSI-Registrierung (Frist abgelaufen, §33 BSIG) Die Registrierungsfrist beim BSI ist abgelaufen. Falls Sie sich noch nicht registriert haben, holen Sie dies umgehend nach — das BSI erwartet die Registrierung zeitnah. Für die Registrierung wird ein ELSTER-Organisationszertifikat benötigt. Falls Sie dieses noch nicht haben, beantragen Sie es umgehend — die Ausstellung kann mehrere Tage dauern.

Wichtig: Registrieren Sie sich nicht vorschnell, wenn Ihre Betroffenheit noch nicht sauber geklärt ist. Eine Registrierung erzeugt regulatorische Erwartungen. Nutzen Sie unseren Leitfaden Bin ich von NIS2 betroffen?, um Ihre Betroffenheit vorab sauber zu prüfen.

17.07.2026 — BBK-Registrierung möglich (§ 8 KRITIS-DachG) Betreiber kritischer Anlagen müssen sich zusätzlich beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) registrieren — innerhalb von drei Monaten, nachdem eine Anlage als kritisch gilt. Dafür sind die Anzahl der versorgten Personen zu berechnen und Kontaktpersonen zu benennen. An dieser Registrierung hängen die übrigen Pflichten des Dachgesetzes: Ihre Fristen laufen erst danach an.

Mittelfristig

ca. Februar 2027 — DachG Risikoanalyse KRITIS-Betreiber müssen eine physische Risikoanalyse nach §12 DachG durchführen. Diese ist alle 4 Jahre zu aktualisieren.

Langfristig

Dezember 2028 — Erster NIS2-Nachweis Der erste vollständige Compliance-Nachweis muss beim BSI eingereicht werden (§ 39 BSIG). Danach alle 3 Jahre wiederkehrend.

Das 3-Stufen-Meldemodell im Detail

Eine der weitreichendsten Neuerungen des NIS2UmsuCG ist das gestufte Meldesystem für Sicherheitsvorfälle nach §32 BSIG. Jedes betroffene Unternehmen muss einen internen Meldeprozess etablieren, der diese drei Stufen abbildet. Die Fristen sind verbindlich — Verstöße können mit Bußgeldern geahndet werden.

Stufe 1: Frühwarnung innerhalb von 24 Stunden

Innerhalb von 24 Stunden nach Kenntniserlangung eines erheblichen Sicherheitsvorfalls müssen Sie eine Frühwarnung an das BSI übermitteln. Diese muss enthalten:

• Die Angabe, ob der Verdacht besteht, dass der Vorfall auf eine rechtswidrige oder böswillige Handlung zurückzuführen ist
• Die Angabe, ob grenzüberschreitende Auswirkungen wahrscheinlich sind

Die 24-Stunden-Frist beginnt, sobald eine zuständige Person im Unternehmen Kenntnis von dem Vorfall erlangt. Entscheidend ist hier die organisatorische Vorbereitung: Wenn Ihr SOC oder Ihre IT-Abteilung einen Vorfall um 3 Uhr nachts entdeckt, läuft die Frist ab diesem Zeitpunkt. Sie brauchen daher klare Eskalationswege und Bereitschaftsregelungen.

Praxishinweis: Die Frühwarnung muss keine abschließende Bewertung enthalten. Es geht darum, das BSI schnell zu informieren, damit es Bedrohungslagen übergreifend einschätzen und andere potenziell betroffene Einrichtungen warnen kann.

Stufe 2: Bewertung innerhalb von 72 Stunden

Innerhalb von 72 Stunden nach Kenntniserlangung muss eine qualifizierte Bewertung des Vorfalls beim BSI eingehen. Diese umfasst:

• Eine erste Bewertung des Sicherheitsvorfalls einschließlich seines Schweregrads und seiner Auswirkungen
• Sofern verfügbar: die Kompromittierungsindikatoren (Indicators of Compromise, IoC)

Hier wird erwartet, dass Sie den Vorfall bereits technisch analysiert und seinen Umfang eingeschätzt haben. Dafür benötigen Sie entweder intern oder über einen externen Dienstleister forensische Kapazitäten. Unternehmen, die keine Incident-Response-Verträge haben, geraten hier regelmäßig in Zeitnot.

Stufe 3: Abschlussbericht innerhalb von einem Monat

Spätestens einen Monat nach Übermittlung der Frühwarnung ist ein Abschlussbericht einzureichen. Dieser muss enthalten:

• Eine ausführliche Beschreibung des Vorfalls, einschließlich Schweregrad und Auswirkungen
• Die Art der Bedrohung oder die zugrunde liegende Ursache, die den Vorfall wahrscheinlich ausgelöst hat
• Die ergriffenen und laufenden Abhilfemaßnahmen
• Gegebenenfalls die grenzüberschreitenden Auswirkungen des Vorfalls

Falls der Vorfall nach einem Monat noch andauert, ist stattdessen ein Fortschrittsbericht einzureichen. Der Abschlussbericht ist dann innerhalb eines Monats nach Abschluss der Vorfallbehandlung nachzuliefern.

Was gilt als „erheblicher Sicherheitsvorfall"?

Nicht jeder IT-Vorfall löst die Meldepflicht aus. Ein Vorfall ist erheblich, wenn er:

• schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die betroffene Einrichtung verursacht hat oder verursachen kann
• andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann

Im Zweifel gilt: Lieber melden. Eine unnötige Frühwarnung hat keine negativen Konsequenzen — eine unterlassene Meldung dagegen schon.

Parallelfristen: DSGVO, DORA und KRITIS-DachG

Das NIS2UmsuCG existiert nicht isoliert. Unternehmen müssen parallel weitere regulatorische Fristen beachten, die sich teilweise überschneiden, aber unterschiedliche Anforderungen stellen.

NIS2 und DSGVO

Bei einem Sicherheitsvorfall mit personenbezogenen Daten laufen zwei Meldepflichten parallel — und zwar an zwei verschiedene Behörden, mit zwei verschiedenen Fristen. Wie sich beide Meldewege in einem Prozess zusammenführen lassen, ist Teil unserer Datenschutz-Beratung:

Kriterium	NIS2 (§32 BSIG)	DSGVO (Art. 33/34)
Meldung an	BSI	Zuständige Datenschutzaufsicht
Frist Erstmeldung	24 Stunden	72 Stunden
Frist Abschlussbericht	1 Monat	Keine feste Frist
Benachrichtigung Betroffener	Nicht vorgesehen	Bei hohem Risiko: unverzüglich
Schwelle	Erheblicher Sicherheitsvorfall	Verletzung des Schutzes personenbezogener Daten

Ein Ransomware-Angriff, bei dem Kundendaten betroffen sind, löst in der Regel beide Meldepflichten aus. Stellen Sie sicher, dass Ihr Incident-Response-Prozess beide Meldewege abdeckt und die Verantwortlichkeiten klar zugeordnet sind.

NIS2 und DORA

Finanzunternehmen, die unter den Digital Operational Resilience Act (DORA) fallen, unterliegen einem eigenen Melderegime gegenüber der BaFin. DORA hat Vorrang vor NIS2 für den Finanzsektor (Lex-specialis-Grundsatz). Allerdings können Konzernstrukturen dazu führen, dass einzelne Tochtergesellschaften unter NIS2 fallen, während die Muttergesellschaft DORA-reguliert ist. Prüfen Sie die Betroffenheit daher auf Ebene jeder einzelnen Gesellschaft.

NIS2 und KRITIS-DachG

KRITIS-Betreiber haben eine doppelte Regulierungslast: Neben den NIS2-Pflichten (Cybersicherheit) gelten die Anforderungen des KRITIS-DachG (physische Resilienz). Die Fristen laufen teilweise versetzt — die BBK-Registrierung ist erst Mitte 2026 fällig, die physische Risikoanalyse erst Anfang 2027. Nutzen Sie diesen Zeitversatz strategisch, um die NIS2-Umsetzung priorisiert voranzutreiben. Details zur Abgrenzung beider Regime finden Sie in unserem Artikel NIS2 und KRITIS-DachG: Zwei Gesetze, ein Ziel.

Konsequenzen bei Fristversäumnis

Bußgelder

Das NIS2UmsuCG sieht empfindliche Bußgelder vor, die sich an der Unternehmensgröße orientieren:

Einrichtungstyp	Maximales Bußgeld
Besonders wichtige Einrichtungen	10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes (§65 BSIG; je nachdem, welcher Betrag höher ist)
Wichtige Einrichtungen	7 Mio. EUR oder 1,4 % des weltweiten Jahresumsatzes (§65 BSIG)

Diese Bußgeldrahmen orientieren sich bewusst an der DSGVO-Systematik. Die konkreten Bußgelder werden vom BSI nach Schwere, Dauer und Wiederholung des Verstoßes bemessen. Eine verspätete Registrierung wird vermutlich milder sanktioniert als ein systematisch fehlender Meldeprozess — aber rechnen Sie nicht damit.

Persönliche Haftung der Geschäftsleitung

Die gravierendste Neuerung für Führungskräfte: §38 BSIG begründet eine persönliche Haftung der Geschäftsleitung für die Einhaltung der Risikomanagementmaßnahmen. Konkret bedeutet das:

• Die Geschäftsleitung muss die Risikomanagementmaßnahmen nach §30 BSIG billigen und deren Umsetzung überwachen
• Bei Pflichtverletzung haften Geschäftsleiter dem Unternehmen gegenüber persönlich auf Schadensersatz
• Ein Verzicht des Unternehmens auf diesen Schadensersatzanspruch oder ein Vergleich darüber ist unwirksam — das Gesetz schließt dies explizit aus
• Die Geschäftsleitung muss regelmäßig an Cybersicherheitsschulungen teilnehmen

Diese Regelung ist kein theoretisches Risiko. Bei einem erfolgreichen Cyberangriff mit nachweislich unzureichenden Schutzmaßnahmen kann der Geschäftsführer persönlich in Regress genommen werden. Prüfen Sie Ihre D&O-Versicherung auf NIS2-Ausschlussklauseln — einige Versicherer haben bereits begonnen, Cyberrisiken bei regulatorischem Fehlverhalten auszuschließen.

Mehr zur Haftungssituation lesen Sie in unserem Artikel Geschäftsleiterhaftung unter NIS2.

Aufsichtsmaßnahmen des BSI

Neben Bußgeldern verfügt das BSI über weitreichende Aufsichtsbefugnisse:

• Anordnungen: Das BSI kann konkrete Maßnahmen zur Behebung von Mängeln anordnen, einschließlich verbindlicher Fristen
• Audits und Prüfungen: Das BSI kann Vor-Ort-Prüfungen und Audits durchführen oder anordnen — bei besonders wichtigen Einrichtungen auch anlassunabhängig
• Warnungen: Das BSI kann öffentlich vor Mängeln bei einer Einrichtung warnen — ein erhebliches Reputationsrisiko
• Untersagungsverfügungen: In schwerwiegenden Fällen kann das BSI Leitungspersonen vorübergehend die Ausübung von Leitungsaufgaben untersagen

Besonders die Möglichkeit öffentlicher Warnungen stellt ein Risiko dar, das über die reine Bußgeldhöhe hinausgeht. Ein öffentlicher BSI-Hinweis auf Sicherheitsmängel kann Kundenbeziehungen und Geschäftspartnerschaften nachhaltig beschädigen.

Realistische Zeitplanung

Ein häufiger Fehler ist die Unterschätzung des tatsächlichen Zeitbedarfs für die NIS2-Umsetzung. Die folgende Tabelle zeigt realistische Erfahrungswerte aus der Praxis:

Maßnahme	Typische Dauer	Abhängigkeiten
Betroffenheitsanalyse	1–2 Wochen	Kenntnis aller Gesellschaften und Geschäftsfelder
ELSTER-Zertifikat beantragen	1–2 Wochen	Postalische Aktivierung erforderlich
BSI-Registrierung	1–3 Tage	ELSTER-Zertifikat, abgeschlossene Betroffenheitsanalyse
GL-Billigungsbeschluss	2–4 Wochen	Vorstandsvorlage, ggf. Aufsichtsrat
Gap-Analyse (IST vs. NIS2-Anforderungen)	4–8 Wochen	Dokumentation bestehender Maßnahmen
Incident-Response-Prozess aufbauen	4–8 Wochen	Rollen, Eskalationswege, Verträge mit IR-Dienstleistern
ISMS-Aufbau (ISO 27001-orientiert)	6–12 Monate	Management-Commitment, Ressourcen, Dokumentation
MFA-Rollout	2–4 Monate	Bestandsaufnahme aller Systeme, Nutzerakzeptanz
Lieferketten-Risikobewertung	2–6 Monate	Identifikation kritischer Lieferanten, Vertragsanpassungen
GL-Cybersicherheitsschulung	1–2 Tage	Terminkoordination Geschäftsleitung
Erstnachweis vorbereiten	3–6 Monate	Alle vorherigen Maßnahmen abgeschlossen

Rechnen Sie rückwärts vom Dezember 2028: Wenn der ISMS-Aufbau allein bis zu 12 Monate dauern kann und die Nachweiserstellung weitere 3–6 Monate benötigt, sollte der ISMS-Aufbau spätestens Anfang 2027 begonnen werden. Unternehmen, die heute noch am Anfang stehen, haben keinen Puffer mehr.

Empfohlene Reihenfolge

1. Sofort (Q1 2026): Betroffenheitsanalyse, BSI-Registrierung nachholen, GL-Billigungsbeschluss
2. Kurzfristig (Q2 2026): Gap-Analyse, Incident-Response-Prozess, MFA-Rollout starten
3. Mittelfristig (Q3–Q4 2026): ISMS-Aufbau beginnen, Lieferketten-Risikobewertung
4. 2027: ISMS-Aufbau abschließen, Schulungsprogramm etablieren, Dokumentation vervollständigen
5. 2028: Erstnachweis vorbereiten und einreichen

Sofortmaßnahmen-Checkliste

Was Sie jetzt tun sollten:

• Betroffenheit sauber prüfen (NIS2 + DachG)
• ELSTER-Organisationszertifikat beantragen (falls nicht vorhanden)
• BSI-Registrierung nachholen (Frist abgelaufen)
• GL-Billigungsbeschluss einholen
• Meldeprozess auf 3-Stufen-Modell umstellen (24h / 72h / 1 Monat)
• MFA flächendeckend ausrollen
• GL-Schulung in Cybersicherheit planen
• D&O-Versicherung auf NIS2-Ausschlussklauseln prüfen

Für eine strukturierte Umsetzung aller Maßnahmen empfehlen wir, Prioritäten und Verantwortlichkeiten in einem NIS2-Maßnahmenplan klar zu definieren. Sprechen Sie uns an — wir begleiten Sie bei der Erstellung.

Der häufigste Fehler

Viele Unternehmen unterschätzen den Zeitbedarf für die Vorbereitung. Die BSI-Registrierung selbst ist ein formaler Akt — aber die Voraussetzungen (Betroffenheitsanalyse, ELSTER-Zertifikat, interne Abstimmung) brauchen Vorlauf.

Unser Rat: Holen Sie die Registrierung jetzt nach. Lieber einen Tag zu spät als gar nicht.

Fazit

Die Fristen sind ambitioniert, aber beherrschbar — wenn Sie strukturiert vorgehen. Konzentrieren Sie sich zuerst auf die P0-Maßnahmen (Registrierung, GL-Beschluss, Meldeprozess) und bauen Sie dann schrittweise auf. Wer den ISMS-Aufbau bis Anfang 2027 startet, hat bis zum Erstnachweis im Dezember 2028 ausreichend Zeit. Wer erst 2028 beginnt, wird scheitern.

Häufige Fragen zu Fristen, Registrierung und Sanktionen beantwortet unser FAQ.

Unser Angebot: Fristen-Check und Betroffenheitsanalyse in 30 Minuten — damit Sie wissen, welche Deadlines für Sie relevant sind. Jetzt Termin vereinbaren

Häufige Fragen zu NIS2-Fristen

Was passiert, wenn ich die BSI-Registrierungsfrist verpasst habe?

Die Registrierungspflicht besteht weiterhin und muss unverzüglich nachgeholt werden. Das BSI kann Bußgelder für verspätete Registrierungen verhängen, ist bei proaktiver Kontaktaufnahme aber erfahrungsgemäß kooperativ. Wichtig: Holen Sie zunächst das ELSTER-Organisationszertifikat ein, falls noch nicht vorhanden — ohne dieses ist keine Registrierung im MELDEX-Portal möglich. Die Ausstellung des Zertifikats kann mehrere Tage dauern, also sofort beginnen.

Bis wann muss der erste NIS2-Compliance-Nachweis beim BSI eingereicht werden?

Der erste vollständige Compliance-Nachweis ist bis Dezember 2028 einzureichen (§ 39 BSIG), danach alle 3 Jahre wiederkehrend. Für besonders wichtige Einrichtungen kann das BSI jedoch bereits früher regelmäßige Audits und Eigenerklärungen verlangen. Unternehmen mit bestehender ISO 27001-Zertifizierung sind für diesen Nachweis deutlich besser positioniert, da wesentliche Prüfnachweise direkt angerechnet werden können. Wer jetzt mit der Umsetzung beginnt, hat bis 2028 ausreichend Zeit für eine solide Dokumentation.

Was ist ein ELSTER-Organisationszertifikat und warum brauche ich es für die BSI-Registrierung?

Das ELSTER-Organisationszertifikat ist ein qualifiziertes elektronisches Zertifikat für Unternehmen, das für die sichere Authentifizierung im MELDEX-Portal des BSI benötigt wird. Die Beantragung erfolgt über das ELSTER-Portal (mein.elster.de) und dauert erfahrungsgemäß mehrere Tage bis zwei Wochen — inklusive postalischer Aktivierung. Unternehmen ohne dieses Zertifikat sollten die Beantragung sofort starten: Es ist der kritische Pfad für die BSI-Registrierung und kann den gesamten Zeitplan verzögern.

Muss ich bei jedem IT-Vorfall eine Meldung an das BSI abgeben?

Nein. Die Meldepflicht greift nur bei erheblichen Sicherheitsvorfällen — also solchen, die schwerwiegende Betriebsstörungen oder erhebliche Schäden verursachen können. Ein fehlgeschlagener Phishing-Versuch oder ein geblockter Malware-Download sind in der Regel nicht meldepflichtig. Ein erfolgreicher Ransomware-Angriff, ein Datenabfluss oder ein längerer Systemausfall dagegen schon. Dokumentieren Sie auch nicht meldepflichtige Vorfälle intern — das BSI kann die Dokumentation bei Audits prüfen.

Welche Frist ist die gefährlichste, wenn ich sie verpasse?

Die 24-Stunden-Frist für die Frühwarnung bei Sicherheitsvorfällen. Während eine verspätete Registrierung nachgeholt werden kann, ist eine unterlassene Meldung bei einem aktiven Sicherheitsvorfall ein schwerwiegender Compliance-Verstoß. Das BSI wertet dies als Indikator für grundlegende organisatorische Mängel, was weitergehende Aufsichtsmaßnahmen auslösen kann.

---

Rechtsstand: August 2026. Für eine individuelle Einordnung kontaktieren Sie uns.