ITNIS-2 in Deutschland: Betroffenheit, Pflichten, Meldefristen
Die NIS-2-Richtlinie ist in Deutschland durch das NIS-2-Umsetzungsgesetz umgesetzt, das am 6. Dezember 2025 in Kraft getreten ist (BGBl. 2025 I Nr. 301). Betroffene „besonders wichtige“ und „wichtige Einrichtungen“ müssen sich beim BSI registrieren, Risikomanagementmaßnahmen nach § 30 BSIG umsetzen, erhebliche Sicherheitsvorfälle binnen 24 Stunden erstmelden, und die Geschäftsleitung haftet für die Umsetzung.
- In Kraft seit 06.12.2025; Pflichten im neuen BSI-Gesetz (BSIG).
- Betroffen meist ab 50 Beschäftigten oder mehr als 10 Mio. € Umsatz und Bilanzsumme in den Sektoren der Anlagen 1 und 2.
- Zehn Mindestmaßnahmen nach § 30 Abs. 2 BSIG, gefahrenübergreifend und nach Stand der Technik.
- Meldung: 24 Stunden Erstmeldung, 72 Stunden Meldung, ein Monat Abschlussmeldung (§ 32).
- Geschäftsleitung muss umsetzen, überwachen und sich schulen lassen (§ 38).
Wer ist von NIS-2 betroffen?
| Kategorie | Wer typischerweise darunter fällt (§ 28 BSIG) |
|---|---|
| Besonders wichtige Einrichtung | Betreiber kritischer Anlagen; qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Diensteanbieter; größere Telekommunikationsanbieter; Unternehmen der Anlage 1 mit mindestens 250 Beschäftigten oder mehr als 50 Mio. € Jahresumsatz und mehr als 43 Mio. € Jahresbilanzsumme |
| Wichtige Einrichtung | Vertrauensdiensteanbieter; kleinere Telekommunikationsanbieter; Unternehmen der Anlagen 1 und 2 mit mindestens 50 Beschäftigten oder mehr als 10 Mio. € Jahresumsatz und Jahresbilanzsumme |
Anlage 1 umfasst die Sektoren Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur (darunter Managed Services und Managed Security Services) und Weltraum; Anlage 2 die Sektoren Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe, Anbieter digitaler Dienste und Forschung. Ob ein Unternehmen betroffen ist, hängt von der konkreten Tätigkeit und den Schwellenwerten ab. Einen ersten Anhaltspunkt gibt der kostenlose NIS-2-Betroffenheits-Check.
Welche Maßnahmen verlangt § 30 BSIG?
Die Maßnahmen müssen geeignet, verhältnismäßig und wirksam sein, den Stand der Technik einhalten und auf einem gefahrenübergreifenden Ansatz beruhen. Mindestens umfassen sie:
- Konzepte zur Risikoanalyse und zur Sicherheit in der Informationstechnik,
- Bewältigung von Sicherheitsvorfällen,
- Aufrechterhaltung des Betriebs (Backup-Management, Wiederherstellung nach einem Notfall) und Krisenmanagement,
- Sicherheit der Lieferkette,
- Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen einschließlich Schwachstellenmanagement,
- Bewertung der Wirksamkeit der Maßnahmen,
- Schulungen und Sensibilisierung,
- Einsatz von Kryptografie,
- Personalsicherheit, Zugriffskontrolle und Verwaltung von IT-Systemen,
- Multi-Faktor-Authentifizierung, gesicherte Kommunikation und gegebenenfalls Notfallkommunikation.
Die Umsetzung ist zu dokumentieren. Ein ISMS nach ISO/IEC 27001 deckt diese Punkte weitgehend ab; Punkt 3 wird durch Business Continuity Management nach ISO 22301 vertieft.
Welche Meldefristen gelten?
| Frist | Meldung nach § 32 BSIG | Inhalt |
|---|---|---|
| 24 Stunden | Frühe Erstmeldung | Erheblicher Sicherheitsvorfall; Verdacht auf rechtswidrige Handlung oder grenzüberschreitende Auswirkung |
| 72 Stunden | Meldung | Bestätigung oder Aktualisierung, erste Bewertung mit Schweregrad, Auswirkungen, gegebenenfalls Kompromittierungsindikatoren |
| auf Ersuchen | Zwischenmeldung | Relevante Statusaktualisierungen |
| 1 Monat | Abschlussmeldung | Ausführliche Beschreibung, Ursache, ergriffene Maßnahmen, grenzüberschreitende Auswirkungen |
Betrifft ein Vorfall personenbezogene Daten, läuft parallel die Meldefrist von 72 Stunden an die Datenschutzaufsicht nach Art. 33 DSGVO.
Welche Pflichten hat die Geschäftsleitung?
Nach § 38 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen; sie kann diese Verantwortung nicht vollständig delegieren. Bei schuldhafter Pflichtverletzung haftet sie der Einrichtung für den Schaden. Außerdem müssen Geschäftsleitungen regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagementpraktiken erkennen und bewerten zu können. Mehr zu den Pflichten der Geschäftsleitung.
Welche Bußgelder drohen?
Die NIS-2-Richtlinie (Art. 34) sieht Höchstbeträge von mindestens 10 Mio. € oder 2 % des weltweiten Jahresumsatzes für besonders wichtige und mindestens 7 Mio. € oder 1,4 % für wichtige Einrichtungen vor. Im deutschen Recht sind die Tatbestände in § 65 BSIG geregelt, etwa fehlende Maßnahmen, Meldungen oder Registrierungen.
Häufige Fragen zu NIS-2
Seit wann gilt NIS-2 in Deutschland?
Das NIS-2-Umsetzungsgesetz wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet (BGBl. 2025 I Nr. 301) und ist am 6. Dezember 2025 in Kraft getreten. Die Pflichten stehen im neu gefassten BSI-Gesetz (BSIG).
Bin ich von NIS-2 betroffen?
Betroffen sind Unternehmen, die einer der Einrichtungsarten in Anlage 1 oder 2 des BSIG zuzuordnen sind und in der Regel mindestens 50 Beschäftigte haben oder mehr als 10 Mio. Euro Jahresumsatz und Jahresbilanzsumme aufweisen; für einige Arten wie DNS-Diensteanbieter oder Vertrauensdiensteanbieter gilt das unabhängig von der Größe. Die genaue Zuordnung ist im Einzelfall zu prüfen.
Haftet die Geschäftsführung persönlich?
§ 38 BSIG verpflichtet die Geschäftsleitung, die Risikomanagementmaßnahmen umzusetzen und zu überwachen. Verletzt sie diese Pflicht schuldhaft, haftet sie der Einrichtung nach den gesellschaftsrechtlichen Regeln für den entstandenen Schaden. Zudem muss sie regelmäßig an Schulungen teilnehmen.
Was passiert, wenn man sich nicht registriert?
Die Registrierung beim BSI ist nach § 33 BSIG spätestens drei Monate nach Eintritt der Betroffenheit Pflicht. Eine unterlassene oder fehlerhafte Registrierung ist nach § 65 BSIG eine Ordnungswidrigkeit.
Rechtsstand dieser Übersicht: 04.11.2026. Keine Rechtsberatung; die Zuordnung zu den Anlagen 1 und 2 ist im Einzelfall zu prüfen.