Was ist die NIS2-Richtlinie?
Die NIS2-Richtlinie (Network and Information Security Directive 2) ist die bisher umfangreichste EU-Gesetzgebung zur Cybersicherheit und ersetzt die frühere NIS1-Richtlinie. In Deutschland gilt sie nicht direkt, sondern über das nationale Umsetzungsgesetz: das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), das das BSI-Gesetz umfassend neu fasst.
Das Wichtigste vorab: Auch viele kleine und mittlere Unternehmen können indirekt betroffen sein - etwa als Zulieferer größerer Unternehmen oder wenn sie in bestimmten kritischen Sektoren tätig sind.
Der tatsächliche Zeitplan - und warum ihn viele falsch erinnern
Im Netz steht häufig, NIS2 sei "seit Oktober 2024 in deutsches Recht umgesetzt". Das ist falsch. Deutschland hat die EU-Frist deutlich überschritten. Der reale Ablauf:
Konsequenz: Die Pflichten gelten seit dem 6. Dezember 2025 unmittelbar. Es gibt keine Schonfrist, in der man "erst mal ein Konzept schreiben" darf. Wer heute noch nicht registriert ist und unter das Gesetz fällt, ist bereits im Rückstand.
Wie viele Unternehmen sind betroffen?
Unter der alten Rechtslage standen rund 4.500 Betreiber kritischer Infrastrukturen unter BSI-Aufsicht. Mit dem NIS2UmsuCG sind es nach Schätzungen des Gesetzgebers rund 29.500 Unternehmen - also etwa das Sechsfache. Viele davon haben nie zuvor mit dem BSI zu tun gehabt und keine eigene IT-Sicherheitsabteilung.
Registrierungspflicht: eigenständig bußgeldbewehrt
Ein Punkt, der in der Praxis regelmäßig unterschätzt wird: Die Registrierung beim BSI ist keine Formalie am Ende eines Projekts, sondern eine eigene Pflicht. Nach § 65 NIS2UmsuCG ist bereits das Versäumen der Registrierung bußgeldbewehrt - auch ohne dass es je einen Sicherheitsvorfall gab.
Die Betroffenheitsprüfung ist dabei Aufgabe des Unternehmens selbst ("Selbstidentifikation"). Das BSI schickt keine Einladung.
Welche Unternehmen sind direkt betroffen?
NIS2 unterscheidet zwischen wesentlichen und wichtigen Einrichtungen:
Wesentliche Einrichtungen (Essential Entities)
Wichtige Einrichtungen (Important Entities)
Die indirekte Betroffenheit - warum das auch KMU angeht
Selbst wenn Ihr Unternehmen die Schwellenwerte nicht erreicht: Wenn Sie als Zulieferer oder Dienstleister für betroffene Unternehmen tätig sind, werden diese von Ihnen Nachweise über Ihre Cybersicherheitsmaßnahmen einfordern. Das betrifft zum Beispiel:
Was müssen betroffene Unternehmen konkret umsetzen?
1. Risikoanalyse und -management
Unternehmen müssen systematische Risikoanalysen für ihre IT-Infrastruktur durchführen und dokumentieren. Das bedeutet:
2. Sicherheitskonzept und Richtlinien
3. Incident Response - Vorfallsreaktion
Bei einem Sicherheitsvorfall müssen betroffene Unternehmen:
4. Business Continuity Management
5. Lieferkettensicherheit
Sie müssen sicherstellen, dass auch Ihre IT-Dienstleister und Softwareanbieter angemessene Sicherheitsmaßnahmen umsetzen. Das erfordert:
6. Schulung und Awareness
7. Kryptografie und Verschlüsselung
8. Zugangssteuerung (Access Control)
Was droht bei Nichterfüllung?
Die Sanktionen sind deutlich verschärft worden:
Ihr Fahrplan zur NIS2-Compliance
Phase 1 (sofort): Betroffenheit prüfen und registrieren
Phase 2 (kurzfristig): Bestandsaufnahme
Phase 3 (mittelfristig): Umsetzung
Phase 4 (dauerhaft): Betrieb und Verbesserung
Fazit
NIS2 ist keine bürokratische Übung, sondern ein notwendiger Schritt zur Verbesserung der Cybersicherheit in Europa. Seit dem 6. Dezember 2025 ist das Thema in Deutschland verbindliches Recht - ohne Übergangsfrist, mit eigener Registrierungspflicht und mit persönlicher Verantwortung der Geschäftsleitung.
Unser Tipp: Starten Sie jetzt mit der Betroffenheitsprüfung und der Bestandsaufnahme, auch wenn Sie noch nicht sicher sind, ob Sie unter das Gesetz fallen. Die Maßnahmen schützen Ihr Unternehmen in jedem Fall und zahlen sich aus.
Sprechen Sie uns an - wir helfen Ihnen bei der NIS2-Betroffenheitsanalyse und der Umsetzung der notwendigen Maßnahmen.
---
*Rechtsstand: 13. August 2026. Grundlage sind das NIS2UmsuCG (verkündet am 5./6. Dezember 2025) und die Veröffentlichungen des BSI. Auf EU-Ebene laufen bereits Vorschläge zur Weiterentwicklung des Rechtsrahmens; prüfen Sie den Stand vor rechtlichen Entscheidungen. Dieser Artikel ist eine fachliche Einordnung und keine Rechtsberatung.*
