Häufig gestellte Fragen

NIS2 gilt in Deutschland für Unternehmen ab 50 Mitarbeitern oder 10 Mio € Jahresumsatz, die in einem der 18 regulierten Sektoren tätig sind — darunter Energie, Transport, Gesundheit, Wasser und digitale Infrastruktur. Das Gesetz unterscheidet zwischen besonders wichtigen Einrichtungen (ab 250 Mitarbeiter oder 50 Mio € Umsatz) und wichtigen Einrichtungen (ab 50 Mitarbeiter oder 10 Mio € Umsatz), mit unterschiedlichen Bußgeldrahmen. Wichtig: Auch Lieferanten kritischer Einrichtungen können mittelbar betroffen sein, selbst wenn sie die Schwellenwerte nicht direkt erreichen. Zudem kann die Konzernklausel dazu führen, dass kleinere Tochtergesellschaften großer Konzerne unter NIS2 fallen. Wir empfehlen eine individuelle Prüfung, da Sektorgrenzen und Schwellenwertregelungen komplex sind. Zum strukturierten Betroffenheitscheck →

NIS2 reguliert 18 Sektoren, aufgeteilt in zwei Anhänge mit unterschiedlichen Schwellenwerten. Anhang I — Hochkritische Sektoren (besonders wichtige Einrichtungen ab 250 Mitarbeitern oder 50 Mio. EUR Umsatz): Energie, Transport, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur (IXPs, DNS, TLD, Cloud, Rechenzentren, CDN), ICT-Service-Management (B2B), öffentliche Verwaltung und Weltraum — 11 Sektoren insgesamt. Anhang II — Sonstige kritische Sektoren (wichtige Einrichtungen ab 50 Mitarbeitern oder 10 Mio. EUR Umsatz): Post, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste und Forschung — 7 Sektoren. Anhang-I-Unternehmen unterliegen proaktiver BSI-Aufsicht mit Pflicht-Audits und höheren Bußgeldern (bis 10 Mio. EUR oder 2 % Weltumsatz); Anhang-II-Unternehmen werden reaktiv beaufsichtigt (bis 7 Mio. EUR oder 1,4 %). Zum strukturierten Betroffenheitscheck →

Besonders wichtige Einrichtungen (BwE) fallen unter Anhang I der NIS2-Richtlinie und beschäftigen mindestens 250 Mitarbeiter oder erzielen über 50 Mio. EUR Jahresumsatz. Sie unterliegen der proaktiven BSI-Aufsicht: Das BSI kann Audits einfordern, auch ohne konkreten Anlass. Wichtige Einrichtungen (WE) nach Anhang II — ab 50 Mitarbeitern oder 10 Mio. EUR Umsatz — werden reaktiv beaufsichtigt, d. h. das BSI handelt nur bei Hinweisen auf Verstöße. Der Bußgeldrahmen unterscheidet sich ebenfalls: BwE riskieren bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes, WE bis zu 7 Mio. EUR oder 1,4 % des Umsatzes.

Ja. Bei verbundenen Unternehmen werden Mitarbeiterzahlen und Umsätze gemäß EU-Empfehlung 2003/361/EG addiert. Eine Tochtergesellschaft mit 30 Mitarbeitern kann durch die Konzernklausel die 50-Mitarbeiter-Schwelle überschreiten, wenn die Mutter- oder Schwestergesellschaft weitere Mitarbeiter beisteuert. Entscheidend ist die wirtschaftliche Eigenständigkeit: Wer mehr als 25 % der Anteile in Fremdbesitz hält oder Ressourcen mit verbundenen Unternehmen teilt, gilt als abhängiges Unternehmen und muss die Konzerngrößen kumulieren.

Nicht direkt — aber mittelbar über die Lieferkettenpflicht. §30 Abs. 2 Nr. 4 BSIG verpflichtet betroffene Einrichtungen, Sicherheitsanforderungen vertraglich an ihre Lieferanten weiterzugeben. Als Dienstleister können Sie mit Sicherheitsfragebögen, Vertragsklauseln und ggf. Audits durch Ihren Auftraggeber rechnen. Wer eigene Sicherheitsmaßnahmen frühzeitig dokumentiert, ist bei Ausschreibungen klar im Vorteil. Eine eigene NIS2-Registrierungspflicht beim BSI entsteht erst, wenn Sie selbst die Sektoren- und Größenschwellen erfüllen.

Ja. Die Size-Cap-Ausnahme greift für sehr kleine und Kleinstunternehmen (unter 10 Mitarbeiter und unter 2 Mio. EUR Umsatz) und schließt diese grundsätzlich aus dem NIS2-Anwendungsbereich aus. Allerdings existieren Ausnahmen von der Ausnahme: Einrichtungen, die qualifizierte Vertrauensdienste anbieten, TLD-Registries oder DNS-Resolver betreiben, oder als einziger Anbieter eines kritischen Dienstes in einem Mitgliedsstaat auftreten, fallen unabhängig von ihrer Größe unter NIS2. Das BSI kann im Einzelfall zusätzliche Einrichtungen als kritisch einstufen.

Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist seit 06.12.2025 in Kraft. Das KRITIS-DachG wurde am 29.01.2026 vom Bundestag beschlossen, am 11.03.2026 verkündet (BGBl. 2026 I Nr. 66) und ist seit 17.03.2026 in Kraft. Die BSI-Registrierungsfrist für bestehende KRITIS-Betreiber ist am 06.03.2026 abgelaufen. Unternehmen, die noch nicht registriert sind, sollten die Nachmeldung zeitnah über das BSI-Portal MELDEX vornehmen — die Behörden sind aktiv. Alle kritischen Fristen im Überblick →

Besonders wichtige Einrichtungen riskieren Bußgelder bis zu 10 Mio € oder 2 % des weltweiten Jahresumsatzes (§65 BSIG). Für wichtige Einrichtungen liegt der Rahmen bei 7 Mio € oder 1,4 % des Umsatzes. Darüber hinaus haften Geschäftsführer und Vorstände nach §38 BSIG gegenüber der eigenen Einrichtung, wenn sie die Umsetzungs- und Überwachungspflicht schuldhaft verletzt — nach den Regeln des jeweils anwendbaren Gesellschaftsrechts. Das BSI kann Vor-Ort-Prüfungen anordnen, verbindliche Anweisungen erteilen und im Extremfall den Betrieb einer Anlage vorübergehend untersagen. Unternehmen, die Meldepflichten nach einem Sicherheitsvorfall nicht oder zu spät erfüllen, riskieren zusätzliche Sanktionen. Die Behörden haben seit dem 06.12.2025 volle Durchsetzungskompetenz. Jetzt Compliance-Status prüfen →

Nach §38 BSIG haften Geschäftsführer und Vorstandsmitglieder persönlich, wenn sie die Implementierung von Risikomanagementmaßnahmen nach §30 BSIG schuldhaft versäumen. Diese Haftung kann nicht durch Gesellschaftsverträge, D&O-Versicherungen oder sonstige Vereinbarungen ausgeschlossen werden. Konkret heißt das: Die Unternehmensleitung muss Sicherheitspflichten nicht nur delegieren, sondern nachweislich beaufsichtigen. Empfohlen werden regelmäßige Berichte der IT-Sicherheitsverantwortlichen an die Geschäftsleitung sowie schriftliche Nachweise dieser Berichterstattung.

Nach §32 BSIG gilt ein dreistufiges Meldeverfahren: Erstmeldung an das BSI spätestens 24 Stunden nach Kenntnisnahme eines erheblichen Vorfalls (auch ohne vollständige Analyse). Aktualisierte Meldung innerhalb von 72 Stunden mit einer ersten Bewertung des Vorfalls, seiner Schwere und der betroffenen Dienste. Abschlussbericht spätestens einen Monat nach der Erstmeldung mit vollständiger Ursachenanalyse und ergriffenen Maßnahmen. Ein Vorfall gilt als erheblich, wenn er erhebliche Betriebsstörungen, finanzielle Verluste oder signifikante Schäden für andere Einrichtungen verursacht oder verursachen kann.

Ja, deutlich mehr. Das BSI kann nun ohne konkreten Anlass Sicherheitsüberprüfungen bei besonders wichtigen Einrichtungen anordnen, Prüfer beauftragen, Sicherheitsnachweise einfordern und verbindliche Anweisungen zur Mängelbeseitigung erteilen. Bei Nichtbefolgung drohen Zwangsgelder. Im Extremfall kann das BSI die Zertifizierungen einer Einrichtung für ungültig erklären oder — bei öffentlichen Stellen — die Abberufung verantwortlicher Leitungspersonen beantragen. Für Betreiber kritischer Anlagen (KRITIS) bestehen zudem parallele Befugnisse des BBK nach dem KRITIS-DachG.

NIS2 verlangt nach §30 BSIG ein funktionsfähiges Risikomanagementsystem für Informationssicherheit. Ein vollständiges ISMS nach ISO 27001 ist nicht gesetzlich vorgeschrieben, aber in der Praxis der effektivste Ansatz, um alle zehn Maßnahmenbereiche abzudecken: von der Risikoanalyse über das Incident-Management bis zur Lieferkettensicherheit. Unternehmen mit bestehendem ISO 27001-ISMS erfüllen damit bereits einen Großteil der NIS2-Anforderungen und können vorhandene Dokumentation und Prozesse direkt nutzen. Ohne ISMS empfehlen wir den schrittweisen Aufbau nach einem priorisierten Maßnahmenplan (P0–P3), der kurzfristige Compliance sicherstellt und gleichzeitig die Basis für eine spätere ISO 27001-Zertifizierung legt. Mehr zum ISMS-Aufbau →

Nach §30 BSIG müssen betroffene Einrichtungen Maßnahmen in folgenden zehn Bereichen umsetzen: (1) Risikoanalyse und Sicherheitskonzepte, (2) Bewältigung von Sicherheitsvorfällen (Incident Response), (3) Aufrechterhaltung des Betriebs und Krisenmanagement (Business Continuity), (4) Sicherheit der Lieferkette, (5) Sicherheit in der Netzwerk- und Informationssysteminfrastruktur, (6) Umgang mit Schwachstellen und Patching, (7) Bewertung der Wirksamkeit der Sicherheitsmaßnahmen, (8) Grundlegende Cyber-Hygiene und Schulungen, (9) Einsatz von Kryptografie und Verschlüsselung sowie (10) Zugangskontrollen und Identitätsmanagement. Die Verhältnismäßigkeit der Maßnahmen richtet sich nach der Unternehmensgröße und dem Risikoprofil.

Eine NIS2-Risikoanalyse nach §30 Abs. 1 BSIG umfasst typischerweise vier Schritte: Erstens die Identifikation aller relevanten Informationswerte (Assets) — Systeme, Daten, Prozesse und externe Abhängigkeiten. Zweitens die Bedrohungsmodellierung: Welche Angriffsvektoren, technischen Ausfälle und menschliche Fehler bedrohen die Assets? Drittens die Risikobeurteilung: Eintrittswahrscheinlichkeit × Schadenspotenzial ergibt den Risikowert. Viertens die Maßnahmenplanung: P0 (sofort), P1 (30 Tage), P2 (90 Tage) und P3 (12 Monate). Die Risikoanalyse muss dokumentiert und regelmäßig wiederholt werden — das BSI empfiehlt mindestens jährlich.

Nach §30 Abs. 2 Nr. 4 BSIG müssen betroffene Einrichtungen die Sicherheit ihrer Lieferkette aktiv managen. Das umfasst: Sicherheitsanforderungen in Lieferantenverträgen verankern, bestehende Lieferanten einer Risikobeurteilung unterziehen, kritische Dienstleister regelmäßig überwachen und bei Bedarf auditieren. Für die Praxis bedeutet das: einen Lieferantenkatalog mit Risikeinstufung anlegen, Mindestsicherheitsanforderungen als Vertragsbestandteil definieren und Cloud-Dienstleister sowie Managed-Service-Provider besonders kritisch bewerten, da diese oft Zugang zu sensiblen Systemen haben.

Ja. §30 Abs. 2 Nr. 8 BSIG schreibt Cyber-Hygiene und Schulungen ausdrücklich als Maßnahmenbereich vor. Die Geschäftsleitung ist nach §38 BSIG zusätzlich verpflichtet, an Schulungen zu NIS2-Sicherheitspflichten teilzunehmen. Für die Praxis empfehlen sich jährliche Awareness-Trainings für alle Mitarbeitenden, eine spezifische Geschäftsleitungsschulung zu §30/§38-Pflichten sowie dokumentierte Teilnahmenachweise — die das BSI im Prüfungsfall einfordern kann. Phishing-Simulationen und technische Trainings für IT-Verantwortliche ergänzen das Pflichtprogramm.

ISO 27001 deckt nach Branchenkonsens aus Mapping-Analysen (§30 BSIG ↔ ISO 27001:2022) rund 70–80 % der NIS2-Anforderungen ab — insbesondere Risikoanalyse, ISMS-Dokumentation und Maßnahmensteuerung. Nicht automatisch erfüllt sind: die BSI-Registrierung mit ELSTER-Organisationszertifikat, die 24h/72h/30-Tage-Meldepflicht mit eingerichtetem MELDEX-Zugangsdaten und der formale Nachweis gegenüber dem BSI nach §30 BSIG bis Dezember 2028. Ein gezielter NIS2-Gap-Check auf Basis der bestehenden ISO-Dokumentation identifiziert in 1–2 Beratungstagen, welche Lücken noch zu schließen sind.

Ein vollständiger NIS2-Audit dauert in der Regel 2–4 Wochen, abhängig von der Unternehmensgröße und Komplexität der IT-Landschaft. Inklusive Berichterstellung und Präsentation rechnen Sie mit 4–6 Wochen vom Kick-off bis zur finalen Übergabe. Die Vorbereitung umfasst vorhandene Dokumentation: Risikoanalysen, IT-Sicherheitsrichtlinien, Incident-Response-Pläne und Schulungsnachweise — je vollständiger diese vorliegen, desto kürzer die Laufzeit. Unternehmen mit ISO 27001-ISMS benötigen oft nur 1–2 Wochen für die Hauptprüfung. Der Prozess besteht aus drei Phasen: Dokumentensichtung und Interviews mit IT und Geschäftsleitung, technische Stichproben sowie Berichterstellung mit priorisierten Nachbesserungsempfehlungen. Der Abschlussbericht dient als Nachweisdokument gegenüber dem BSI. Mehr zu unserem NIS2-Audit →

Ein NIS2-Audit prüft die aktuelle Compliance systematisch gegen alle Anforderungen und stellt einen Nachweis aus. Eine Gap-Analyse ist fokussierter auf den Delta-Zustand: Was fehlt noch und in welcher Reihenfolge sollte es umgesetzt werden? Beide Leistungen ergänzen sich und werden häufig kombiniert.

Ja — neben Einzelprojekten wie Gap-Analyse, Audit und ISMS-Aufbau bieten wir auch laufende Compliance-Betreuung als langfristiger Partner an. Operativ umfasst das: Quartalsweise Sicherheitsreviews zu Maßnahmenplan und BSI-Verlautbarungen. Anforderungs-Updates bei neuen technischen BSI-Richtlinien — mit direkter Einschätzung der Auswirkungen für Ihr Unternehmen. Incident-Response-Begleitung im Ernstfall: 24h/72h-BSI-Meldung, forensische Ersteinschätzung und Behördenkommunikation. Jährliche Schulungsauffrischungen für Geschäftsleitung und IT-Verantwortliche als Nachweis der Schulungspflicht nach §38 BSIG. Vorbereitung auf den NIS2-Compliance-Nachweis bis Dezember 2028. Das Modell eignet sich besonders für mittelständische Unternehmen ohne eigenen CISO. Mehr zur laufenden Compliance-Betreuung →

Der erste vollständige Compliance-Nachweis für besonders wichtige Einrichtungen ist bis Dezember 2028 beim BSI einzureichen — danach alle drei Jahre wiederkehrend. Für ISO 27001-zertifizierte Unternehmen können Teile der Prüfnachweise direkt angerechnet werden, was den Aufwand erheblich reduziert. Unternehmen, die jetzt mit dem Aufbau beginnen, haben ausreichend Zeit, bis 2028 eine vollständige Compliance-Dokumentation aufzubauen und gleichzeitig die Reife ihres ISMS zu erhöhen.

ISO 27001-zertifizierte Unternehmen profitieren bei einem NIS2-Audit von mehreren Synergien: Bestehende Risikobeurteilungen, das Statement of Applicability (SoA), Richtlinienwerke und Schulungsnachweise werden direkt anerkannt. Der Auditaufwand sinkt typischerweise auf 1–3 Tage gegenüber 3–5 Tagen ohne ISMS. Der NIS2-Prüfbericht kann wiederum als Input für ISO 27001-Überwachungsaudits verwendet werden. Für Unternehmen, die ISO 27001 anstreben, empfiehlt sich deshalb eine kombinierte Herangehensweise: NIS2-Compliance jetzt sicherstellen, ISO-Zertifizierung als nächsten Schritt planen — beide Projekte teilen bis zu 80 % der Anforderungen.