NIS2-Grundlagen: Was Firmen wissen müssen

Q: Gilt NIS2 auch für kleine Unternehmen unter 50 Mitarbeitern?

Grundsätzlich nein — Unternehmen unter 50 Mitarbeitern und unter 10 Mio. EUR Jahresumsatz sind nach §28 BSIG von den NIS2-Pflichten ausgenommen. Es gibt jedoch drei wichtige Ausnahmen. Erstens: Einrichtungen, die unabhängig von ihrer Größe kritische Dienste erbringen, etwa TLD-Registries, DNS-Diensteanbieter oder Vertrauensdiensteanbieter nach der eIDAS-Verordnung. Zweitens: Unternehmen, die über die Konzernklausel nach EU-Empfehlung 2003/361/EG die Schwellenwerte überschreiten, weil Mitarbeiterzahlen und Umsätze mit verbundenen Unternehmen addiert werden. Drittens: Indirekte Betroffenheit über die Lieferkettenpflicht — §30 Abs. 2 Nr. 4 BSIG verpflichtet betroffene Einrichtungen, Sicherheitsanforderungen vertraglich an Zulieferer weiterzugeben. Kleine Unternehmen in der Lieferkette einer NIS2-pflichtigen Einrichtung müssen daher mit Sicherheitsanforderungen in Verträgen, Fragebögen und gegebenenfalls Audits rechnen.

Q: Was passiert, wenn ich die BSI-Registrierungsfrist verpasst habe?

Die Registrierungspflicht nach §33 BSIG besteht weiterhin und muss unverzüglich nachgeholt werden. Das BSI kann Bußgelder nach §65 BSIG für verspätete Registrierungen verhängen, reagiert auf proaktive Kontaktaufnahme aber erfahrungsgemäß kooperativ. Der erste Schritt ist die Beantragung eines ELSTER-Organisationszertifikats, falls noch nicht vorhanden — ohne dieses Zertifikat ist keine Registrierung im MELDEX-Portal des BSI möglich. Die Beantragung dauert erfahrungsgemäß mehrere Tage bis zwei Wochen. Wer sich jetzt registriert, sollte gleichzeitig einen strukturierten Umsetzungsplan für die §30-Maßnahmen vorlegen — das zeigt dem BSI, dass die Pflichten ernst genommen werden. Parallel zur Registrierung sollten Sie einen Kontaktpunkt für das BSI benennen, die dreistufige Meldepflicht (24h/72h/30 Tage) organisatorisch vorbereiten und einen GL-Beschluss zur NIS2-Compliance-Strategie fassen.

Q: Reicht ISO 27001 für NIS2-Compliance?

ISO 27001 deckt nach Branchenkonsens aus Mapping-Analysen (§30 BSIG ↔ ISO 27001:2022) rund 70–80 % der NIS2-Anforderungen ab — insbesondere Risikoanalyse, ISMS-Dokumentation, Maßnahmensteuerung und Zugangskontrollen. Nicht automatisch erfüllt sind drei zentrale NIS2-spezifische Pflichten: die BSI-Registrierung nach §33 mit ELSTER-Organisationszertifikat und MELDEX-Portal-Zugang, die dreistufige Meldepflicht nach §32 mit den gesetzlich fixierten Fristen von 24 Stunden, 72 Stunden und 30 Tagen sowie der formale Compliance-Nachweis gegenüber dem BSI nach §39 BSIG, der alle drei Jahre zu erbringen ist. Hinzu kommt die persönliche GL-Haftung nach §38, die ISO 27001 unter „Leadership Commitment" nur allgemein adressiert. Ein gezielter NIS2-Gap-Check auf Basis der bestehenden ISO-Dokumentation identifiziert in ein bis zwei Beratungstagen, welche konkreten Lücken zu schließen sind. ISO 27001 ist damit ein starkes Fundament, aber kein vollständiger Ersatz für die NIS2-Compliance.

Auf einen Blick

Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) gilt seit dem 6. Dezember 2025 in Deutschland und verpflichtet rund 30.000 Unternehmen (§28 BSIG) zu verbindlichen Cybersicherheitsmaßnahmen. Betroffen sind Unternehmen ab 50 Mitarbeitern oder 10 Mio. EUR Jahresumsatz in einem der 18 regulierten Sektoren (Anhang I und II, EU 2022/2555) — darunter Energie, Gesundheit, Transport und digitale Infrastruktur. NIS2 unterscheidet besonders wichtige Einrichtungen (ab 250 Mitarbeiter/50 Mio. EUR, §28 Abs. 1 BSIG) und wichtige Einrichtungen (ab 50 Mitarbeiter/10 Mio. EUR, §28 Abs. 2 BSIG). Zu den zentralen Pflichten nach §30 BSIG zählen: dokumentierte Risikoanalysen, Vorfallmeldung an das BSI (24 h Erstmeldung, 72 h Folgebericht, §32 BSIG), Multi-Faktor-Authentifizierung, Lieferkettensicherheit, Kryptografie und Schulungen für die Geschäftsleitung. §38 BSIG verankert die persönliche Haftung der Geschäftsführer. Bußgelder betragen bis zu 7 Mio. EUR oder 1,4 % des Weltumsatzes (wichtige Einrichtungen) bzw. 10 Mio. EUR oder 2 % (besonders wichtige Einrichtungen, §65 BSIG). Ausgangspunkt der Umsetzung ist stets eine strukturierte Gap-Analyse, die den aktuellen Sicherheitsstand mit den NIS2-Anforderungen abgleicht.

Die NIS2-Richtlinie (Network and Information Security Directive 2) ist seit dem 6. Dezember 2025 als NIS2-Umsetzungsgesetz (NIS2UmsuCG) in deutsches Recht überführt. Sie löst die bisherige NIS1-Richtlinie ab und erweitert den Anwendungsbereich der Cybersicherheitspflichten erheblich: Statt einiger hundert KRITIS-Betreiber sind nun rund 30.000 Unternehmen (§28 BSIG) in Deutschland betroffen — darunter erstmals viele mittelständische Betriebe.

Wer ist von NIS2 betroffen?

NIS2 unterscheidet zwei Kategorien von Einrichtungen:

Besonders wichtige Einrichtungen (BwE): Große Unternehmen ab 250 Mitarbeitern oder 50 Mio. EUR Umsatz (§28 Abs. 1 BSIG) in hochkritischen Sektoren — Energie, Trinkwasser, Abwasser, Transport, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit und digitale Infrastruktur
Wichtige Einrichtungen (WE): Unternehmen ab 50 Mitarbeitern oder 10 Mio. EUR Umsatz (§28 Abs. 2 BSIG) in weiteren Sektoren — Post, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste und Forschung

Die 18 regulierten Sektoren im Überblick

Insgesamt umfasst NIS2 18 Sektoren (Anhang I und II, EU 2022/2555), aufgeteilt in zwei Anhänge:

Anhang I — Hochkritische Sektoren (BwE)	Anhang II — Sonstige kritische Sektoren (WE)
Energie (Strom, Gas, Öl, Fernwärme, Wasserstoff)	Post- und Kurierdienste
Transport (Luft, Schiene, Wasser, Straße)	Abfallwirtschaft
Bankwesen	Chemie
Finanzmarktinfrastrukturen	Lebensmittelproduktion und -vertrieb
Gesundheit (Krankenhäuser, Labore, Pharmahersteller)	Verarbeitendes Gewerbe (Medizinprodukte, Maschinen, Kfz, Elektronik)
Trinkwasser	Digitale Dienste (Marktplätze, Suchmaschinen, soziale Netzwerke)
Abwasser	Forschungseinrichtungen
Digitale Infrastruktur (IXPs, DNS, TLD, Cloud, Rechenzentren, CDN)
ICT-Service-Management (B2B)
Öffentliche Verwaltung
Weltraum

Unternehmen unterhalb der Schwellenwerte (unter 50 Mitarbeiter und unter 10 Mio. EUR Umsatz) sind grundsätzlich ausgenommen — mit Ausnahmen für systemrelevante Einrichtungen unabhängig von der Größe (z. B. TLD-Registries, Vertrauensdiensteanbieter, öffentliche Telekommunikationsnetze). Als Zulieferer einer betroffenen Einrichtung sollten auch kleinere Betriebe mit vertraglichen Sicherheitsanforderungen rechnen — NIS2 wirkt über die Lieferkettenpflicht indirekt weiter.

Nicht sicher, ob Ihr Unternehmen betroffen ist? Unser Betroffenheitscheck führt Sie in wenigen Schritten zur Antwort.

Die wichtigsten Pflichten im Überblick

NIS2 verpflichtet betroffene Unternehmen zu konkreten technischen und organisatorischen Maßnahmen. Die Kernanforderungen nach §30 BSIG:

Pflicht	Anforderung	Frist
Risikoanalyse	Dokumentierte Analyse der Cyberrisiken für Netz- und Informationssysteme	Sofort
Vorfallmeldung	Erstmeldung 24 h, Folgebericht 72 h, Abschlussbericht 1 Monat (§32 BSIG)	Sofort
Lieferkettensicherheit	Sicherheitsanforderungen an Lieferanten und Dienstleister vertraglich absichern	Sofort
Incident Response	Dokumentierter Plan für Reaktion auf Sicherheitsvorfälle mit definierten Eskalationswegen	Sofort
Zugangskontrollen	Multi-Faktor-Authentifizierung, Least-Privilege-Prinzip	Sofort
Kryptografie	Verschlüsselung sensibler Daten in Übertragung und Speicherung	Sofort
BSI-Registrierung	Anmeldung beim BSI (besonders wichtige Einrichtungen: 3 Monate nach Inkrafttreten, §33 BSIG)	März 2026
Nachweisführung (BwE)	Regelmäßige Audits, Zertifizierungen oder Eigenerklärungen gegenüber dem BSI	Ab 2027

BSI-Registrierung: So läuft der Prozess ab

Besonders wichtige Einrichtungen mussten sich bis März 2026 beim BSI registrieren (§33 BSIG). Wichtige Einrichtungen müssen sich spätestens 3 Monate nach Feststellung der eigenen Betroffenheit registrieren.

Die Registrierung erfolgt über das MELDEX-Portal des BSI und erfordert folgende Angaben:

Unternehmensname, Rechtsform und Anschrift
Zugehöriger Sektor und Einrichtungskategorie (BwE oder WE)
Kontaktperson für Sicherheitsvorfälle — Name, E-Mail, Telefonnummer (24/7 erreichbar)
Beschreibung der wesentlichen Dienste und der genutzten Netz- und Informationssysteme

Nach erfolgreicher Registrierung weist das BSI eine BSI-ID zu, die bei allen Folgemeldungen (Sicherheitsvorfälle, Statusberichte) angegeben werden muss. Wer die Frist versäumt hat, sollte die Registrierung unverzüglich nachholen — das BSI kann bei Verstößen Bußgelder verhängen, ist aber bei proaktiver Kontaktaufnahme erfahrungsgemäß kooperativ.

Die Vorfallmeldung: 24h/72h/30-Tage-Sequenz im Detail

Die Meldepflicht greift bei erheblichen Sicherheitsvorfällen — also Störungen, die erhebliche Betriebsunterbrechungen verursachen oder erhebliche finanzielle Verluste nach sich ziehen könnten. Die Fristen laufen ab dem Zeitpunkt, zu dem die Einrichtung Kenntnis vom Vorfall erlangt:

Frühwarnung (24 Stunden): Erste Kurzmeldung via MELDEX. Inhalt: Einschätzung, ob Anzeichen für illegale oder böswillige Handlungen vorliegen, mögliche grenzüberschreitende Auswirkungen, betroffene Dienste.
Folgebericht (72 Stunden): Aktualisierte Meldung mit erster Schadensbewertung: Schwere des Vorfalls, Anzahl betroffener Nutzer und Systeme, bereits eingeleitete Maßnahmen.
Abschlussbericht (1 Monat): Vollständige Analyse mit Root-Cause, ergriffenen und geplanten Maßnahmen sowie Schlussfolgerungen für künftige Prävention. Bei noch laufenden Vorfällen verlängert sich diese Frist entsprechend.

Praktische Konsequenz: Unternehmen brauchen einen vorbereiteten Incident-Response-Plan mit klaren Verantwortlichkeiten und MELDEX-Zugangsdaten, bevor ein Vorfall eintritt — nicht danach.

Geschäftsführerhaftung: Das unterschätzte Risiko

§38 BSIG

bringt eine Neuerung, die in vielen Unternehmen noch unterschätzt wird: Die Geschäftsleitung haftet persönlich für die Umsetzung der Cybersicherheitsmaßnahmen.

Geschäftsführer und Vorstände müssen Cybersicherheitsschulungen absolvieren
Die formale Verantwortung kann nicht vollständig auf IT-Abteilungen oder externe Dienstleister delegiert werden
Bei Verstößen drohen neben Unternehmensbußgeldern auch persönliche Haftungsansprüche

Die Bußgelder auf Unternehmensebene sind erheblich (§65 BSIG): Bis zu 7 Mio. EUR oder 1,4 % des weltweiten Jahresumsatzes für wichtige Einrichtungen, bis zu 10 Mio. EUR oder 2 % des Weltumsatzes für besonders wichtige Einrichtungen — der jeweils höhere Betrag gilt.

Was NIS2 nicht ist

Um Missverständnisse zu vermeiden:

Kein Zertifizierungssystem: Es gibt kein offizielles "NIS2-Zertifikat". Konformität wird durch Audits, Eigenerklärungen oder anerkannte Zertifizierungen wie ISO 27001 nachgewiesen.
Keine DSGVO-Erweiterung: Die Datenschutz-Grundverordnung bleibt eigenständig. NIS2 fokussiert auf Verfügbarkeit und Integrität von Netz- und Informationssystemen, nicht auf personenbezogene Daten.
Kein reines IT-Thema: NIS2 verlangt explizit organisatorische Maßnahmen, Schulungen und Management-Commitment — Cybersicherheit ist Chefsache.

NIS2 und das KRITIS-Dachgesetz: Doppelte Pflicht für manche Unternehmen

Wer im KRITIS-Bereich tätig ist und mehr als 500.000 Personen versorgt (§10 KRITIS-DachG), unterliegt seit dem 17. März 2026 zusätzlich dem KRITIS-Dachgesetz (DachG). Dieses verlangt physische Resilienzmaßnahmen über die Cybersicherheitspflichten hinaus. Der gute Nachrichten: §17 DachG erlaubt die gegenseitige Anerkennung von Nachweisen — ein integrierter Ansatz spart erheblich Zeit und Kosten.

Mehr dazu im Artikel: NIS2 und KRITIS-DachG: Das Dual-Regime für Unternehmen in Deutschland

Der nächste Schritt: Von der Analyse zur Umsetzung

Betroffenheit festgestellt? Dann folgt die strukturierte Umsetzung. Ausgangspunkt ist immer eine Gap-Analyse, die den Ist-Zustand Ihrer Sicherheitsmaßnahmen mit den NIS2-Anforderungen abgleicht und konkrete Handlungsfelder identifiziert. Abschließend bestätigt ein NIS2-Audit den Umsetzungsstand gegenüber Behörden und Kunden.

Eine Schritt-für-Schritt-Anleitung finden Sie in unserem Umsetzungsleitfaden: NIS2 in der Praxis: Konkrete Umsetzungsschritte für den Mittelstand

Häufige Fragen zu NIS2-Betroffenheit, Bußgeldern und ISMS beantwortet unser FAQ.

Unser Angebot: In einem kostenlosen Erstgespräch von 30–60 Minuten analysieren wir von NIS2 Service gemeinsam Ihre Betroffenheit und zeigen die wichtigsten nächsten Schritte. Jetzt Termin vereinbaren

Häufige Fragen zu NIS2

Gilt NIS2 auch für kleine Unternehmen unter 50 Mitarbeitern?

Grundsätzlich nein — Unternehmen unter 50 Mitarbeitern und unter 10 Mio. EUR Jahresumsatz sind vom Anwendungsbereich ausgenommen. Ausnahmen gelten für Einrichtungen, die unabhängig von der Größe kritische Dienste erbringen, etwa TLD-Registries, Vertrauensdiensteanbieter nach eIDAS oder Betreiber öffentlicher Telekommunikationsnetze. Hinzu kommt der indirekte Effekt: Wer als Dienstleister oder Zulieferer einer betroffenen Einrichtung tätig ist, muss künftig mit vertraglichen Sicherheitsanforderungen rechnen — §30 Abs. 2 Nr. 4 BSIG verpflichtet BwE und WE ausdrücklich zur Absicherung ihrer Lieferketten.

Was passiert, wenn ich die BSI-Registrierungsfrist verpasst habe?

Die Registrierungspflicht besteht weiterhin und muss unverzüglich nachgeholt werden. Das BSI kann bei Verstößen Bußgelder verhängen, reagiert auf proaktive Kontaktaufnahme aber erfahrungsgemäß kooperativ. Wer sich jetzt registriert, kann gleichzeitig einen strukturierten Umsetzungsplan vorlegen — das zeigt dem BSI, dass die Pflichten ernst genommen werden. Hinausschieben verschlechtert die Ausgangslage bei einer möglichen Behördenprüfung.

Reicht ISO 27001 für NIS2-Compliance?

ISO 27001 deckt nach Expertenschätzungen 70–80 % der NIS2-Anforderungen ab — insbesondere Risikoanalyse, ISMS-Dokumentation und Maßnahmensteuerung. Nicht automatisch erfüllt sind: die BSI-Registrierung, die 24h/72h/30-Tage-Meldepflicht mit MELDEX-Zugangsdaten und der formale Nachweis gegenüber dem BSI nach §30 BSIG. ISO 27001 ist damit ein starkes Fundament und reduziert den Umsetzungsaufwand erheblich — ersetzt aber keine NIS2-spezifische Gap-Analyse.

Was ist der Unterschied zwischen besonders wichtigen und wichtigen Einrichtungen?

Der wesentliche Unterschied liegt in der Überwachungsintensität und der Bußgeldhöhe, nicht in den Grundpflichten. Besonders wichtige Einrichtungen (BwE) unterliegen der proaktiven Aufsicht des BSI inklusive regelmäßiger Audits und höheren Bußgeldern (bis 10 Mio. EUR oder 2 % Weltumsatz, §65 BSIG). Wichtige Einrichtungen (WE) werden reaktiv beaufsichtigt — das BSI wird aktiv, wenn Hinweise auf Verstöße vorliegen. Die Sanktionen sind moderat, aber nicht trivial (bis 7 Mio. EUR oder 1,4 % Weltumsatz, §65 BSIG).

Stand: März 2026. Für eine individuelle rechtliche Einordnung empfehlen wir eine Beratung durch Fachexperten.