Seit dem 6. Dezember 2025 ist das NIS2-Umsetzungsgesetz in Deutschland in Kraft — ohne Übergangsfrist. Rund 29.500 Unternehmen fallen damit unter die Aufsicht des BSI, vorher waren es etwa 4.500. Die Registrierungsfrist beim BSI lief bereits am 6. März 2026 ab. Wer bislang dachte, das Thema betreffe nur Energieversorger und Krankenhäuser, sollte diesen Artikel besonders aufmerksam lesen.

Wen betrifft NIS2 wirklich?

NIS2 erweitert den Kreis der regulierten Unternehmen erheblich. Betroffen sind nicht mehr nur klassische KRITIS-Betreiber, sondern "besonders wichtige" und "wichtige" Einrichtungen in 18 Sektoren — von Fertigung über Lebensmittelproduktion, Pharmazie, Logistik bis hin zu digitalen Diensten. Die Einstufung hängt im Kern von Unternehmensgröße ab: Ab 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz kann ein Unternehmen betroffen sein — unabhängig davon, in welcher Branche es tätig ist. Laut Marktbeobachtungen unterschätzt aktuell fast jedes zweite Unternehmen seine tatsächliche Betroffenheit.

Was das Gesetz konkret verlangt

Das NIS2-Umsetzungsgesetz ist als Novelle des BSI-Gesetzes ausgestaltet. Fünf Paragraphen sind für die Praxis besonders relevant:

  • § 28 — regelt, wer als betroffene Einrichtung gilt
  • § 30 — verlangt "geeignete, wirksame und verhältnismäßige" technische und organisatorische Risikomanagementmaßnahmen nach Stand der Technik
  • § 32 — legt Meldepflichten bei Sicherheitsvorfällen fest
  • § 38 — verankert persönliche Pflichten der Geschäftsleitung
  • § 65 — regelt Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes
Entscheidend ist nicht mehr, ob "etwas gemacht wird", sondern ob sich Maßnahmen, Prozesse und Investitionen am gesetzlichen Pflichtenkatalog messen lassen.

Warum das jetzt Chefsache ist

Besonders bemerkenswert ist § 38: Die Verantwortung für Cybersicherheitsmaßnahmen liegt ausdrücklich bei der Geschäftsleitung — nicht delegierbar an die IT-Abteilung allein. Das ist ein Kulturwandel: Cybersicherheit wird von einer technischen Angelegenheit zu einer Compliance-Pflicht mit persönlicher Verantwortung auf Führungsebene.

Was jetzt zu tun ist

Wer noch nicht geprüft hat, ob das eigene Unternehmen betroffen ist, sollte das kurzfristig nachholen — die Registrierungspflicht besteht unabhängig davon, ob die Frist bereits verstrichen ist. Praktisch bedeutet NIS2-Konformität in der Regel den strukturierten Aufbau eines Informationssicherheits-Managementsystems (ISMS), oft orientiert an ISO 27001. Ein Penetrationstest ist dabei ein anerkannter Baustein, um die geforderte "Wirksamkeit" der technischen Maßnahmen nachzuweisen und zu dokumentieren — nicht nur einmalig, sondern als wiederkehrender Bestandteil des Risikomanagements.

Fazit

NIS2 ist kein Thema mehr, das man aussitzen kann. Ohne Übergangsfrist gilt: Wer betroffen ist, ist es bereits jetzt. Der erste sinnvolle Schritt ist eine nüchterne Einstufung — bin ich überhaupt betroffen, und wenn ja, wo stehe ich im Vergleich zu den gesetzlichen Mindestanforderungen?