Kundenportal
Kundenportal
Sicher zum Wachstum.

NIS2-Anforderungen

NIS2-Anforderungen: Was Ihr Unternehmen jetzt umsetzen muss

Seit dem 6. Dezember 2025 gilt das NIS2-Umsetzungsgesetz. Hier finden Sie Pflichten, Fristen und Maßnahmen nach BSIG im Überblick – mit Betroffenheits-Check und Checkliste zum Download.

Checkliste herunterladenCheckliste Betroffenheit prüfenCheck starten
  • Meldung in 24 h
  • § 30 BSIG
  • PDF-Checkliste
Titelseite der NIS2-Checkliste von BDT
Kostenloser Download

NIS2-Checkliste

30+ Prüfpunkte · PDF, 5 Seiten

Kostenlos · Abmeldung jederzeit möglich.

ISO/IEC 27001 zertifiziertfür IT-Infrastrukturberatung und -implementierung
Microsoft Partner
1Password Partner
Seit 2018 in Düsseldorf

Grundlagen

Was ist NIS2 und wo steht Deutschland?

Rechtsstand geprüft am 23.10.2026

NIS2 ist die EU-Richtlinie (EU) 2022/2555 für ein hohes gemeinsames Cybersicherheitsniveau. Sie ersetzt die erste NIS-Richtlinie und erweitert den Kreis der Pflichtigen deutlich: Statt vor allem KRITIS-Betreibern sind nun auch viele mittelständische Unternehmen erfasst.

Deutschland hat die Richtlinie mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) umgesetzt. Es wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet (BGBl. 2025 I Nr. 301) und ist am 6. Dezember 2025 in Kraft getreten. Kern ist das neu gefasste BSI-Gesetz (BSIG). Die frühere Bezeichnung „§ 30 BSIG-E“ aus dem Entwurf ist damit geltendes Recht: § 30 BSIG.

Nach Angaben des BSI gelten die neuen Pflichten für rund 29.500 Unternehmen und Institutionen. Die Registrierung läuft über „Mein Unternehmenskonto“ und das BSI-Portal, das seit dem 6. Januar 2026 freigeschaltet ist. Betroffene Einrichtungen müssen sich spätestens drei Monate nach Eintritt der Betroffenheit registrieren (§ 33 BSIG).

Hier geht es um die einzelnen Anforderungen. Den Überblick und unsere Leistungen finden Sie auf der Seite NIS2 im Mittelstand umsetzen.

Betroffenheit

Wer unter NIS2 fällt

Entscheidend sind zwei Fragen: Sind Sie in einem der Sektoren der Anlagen 1 oder 2 BSIG tätig? Und erreichen Sie die Größenschwellen nach § 28 BSIG?

Strengere Aufsicht

Besonders wichtige Einrichtungen

Sektoren der Anlage 1 und Größe ab 250 Mitarbeitenden oder über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme.

  • Unabhängig von der Größe: Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, TLD-Registries, DNS-Diensteanbieter
  • Telekommunikationsanbieter ab 50 Mitarbeitenden oder über 10 Mio. € Umsatz und Bilanz
  • Anlage 1 z. B.: Energie, Transport und Verkehr, Finanz- und Versicherungswesen, Gesundheit, Wasser, IT und Telekommunikation, Weltraum
Breiter Mittelstand

Wichtige Einrichtungen

Sektoren der Anlagen 1 und 2 und Größe ab 50 Mitarbeitenden oder über 10 Mio. € Umsatz und über 10 Mio. € Bilanzsumme, soweit nicht besonders wichtig.

  • Anlage 2 z. B.: Post und Kurier, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe, Anbieter digitaler Dienste, Forschung
  • Zählweise nach KMU-Empfehlung 2003/361/EG; Partner- und verbundene Unternehmen können mitzählen
  • Nebentätigkeiten, die gemessen an der gesamten Geschäftstätigkeit vernachlässigbar sind, können unberücksichtigt bleiben

Die Beispiele sind verkürzt. Maßgeblich sind die Einrichtungsarten in den Anlagen 1 und 2 BSIG. Auch wer nicht selbst erfasst ist, kann über die Lieferkette Anforderungen betroffener Kunden erfüllen müssen.

Anforderungen

Zehn Mindestmaßnahmen nach § 30 BSIG

§ 30 BSIG setzt Art. 21 NIS2 um. Die Maßnahmen müssen geeignet, verhältnismäßig und wirksam sein, sollen den Stand der Technik einhalten und müssen auf einem gefahrenübergreifenden Ansatz beruhen. Die Umsetzung ist zu dokumentieren.

§ 30 Abs. 2 Nr. 1Risikoanalyse & IT-Sicherheitskonzept

Risiken systematisch bewerten und daraus Richtlinien für die Informationssicherheit ableiten.

§ 30 Abs. 2 Nr. 2Bewältigung von Sicherheitsvorfällen

Vorfälle erkennen, bewerten, eindämmen und nachbereiten – mit festen Zuständigkeiten.

§ 30 Abs. 2 Nr. 3Betrieb aufrechterhalten

Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement.

§ 30 Abs. 2 Nr. 4Sicherheit der Lieferkette

Sicherheitsaspekte in den Beziehungen zu unmittelbaren Anbietern und Dienstleistern.

§ 30 Abs. 2 Nr. 5Erwerb, Entwicklung, Wartung

Sicherheit über den ganzen Lebenszyklus, inklusive Management und Offenlegung von Schwachstellen.

§ 30 Abs. 2 Nr. 6Wirksamkeit bewerten

Konzepte und Verfahren, mit denen Sie prüfen, ob die Maßnahmen tatsächlich greifen.

§ 30 Abs. 2 Nr. 7Schulung & Sensibilisierung

Grundlegende Schulungen und Sensibilisierung zur IT-Sicherheit für Ihr Team.

§ 30 Abs. 2 Nr. 8Kryptographie

Konzepte und Prozesse für den Einsatz von Verschlüsselung.

§ 30 Abs. 2 Nr. 9Personal, Zugriff, Assets

Sicherheit des Personals, Zugriffskontrolle und Verwaltung von IKT-Systemen, -Produkten und -Prozessen.

§ 30 Abs. 2 Nr. 10MFA & sichere Kommunikation

Multi-Faktor- oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation.

Für bestimmte digitale Dienste, darunter Managed Service Provider und Cloud-Anbieter, gilt zusätzlich der Durchführungsrechtsakt der EU-Kommission (§ 30 Abs. 3 BSIG).

Meldepflichten

Drei Fristen nach § 32 BSIG

Erhebliche Sicherheitsvorfälle melden Sie an die gemeinsame Meldestelle von BSI und BBK. Auf Ersuchen des BSI kommt eine Zwischenmeldung hinzu.

0

Kenntnis

Sie erfahren von einem erheblichen Sicherheitsvorfall. Ab jetzt laufen die Fristen.

24 h

Frühe Erstmeldung

Unverzüglich, spätestens 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls. Mit Angabe, ob ein rechtswidriger oder böswilliger Hintergrund oder grenzüberschreitende Auswirkungen vermutet werden.

72 h

Meldung des Vorfalls

Spätestens 72 Stunden nach Kenntnis: Bestätigung oder Aktualisierung der Erstmeldung, erste Bewertung von Schweregrad und Auswirkungen, gegebenenfalls Kompromittierungsindikatoren.

1 M

Abschlussmeldung

Spätestens einen Monat nach der 72-Stunden-Meldung: Beschreibung, Ursache, Abhilfemaßnahmen und grenzüberschreitende Auswirkungen. Läuft der Vorfall noch, folgt eine Fortschrittsmeldung.

Geschäftsleitung

Cybersicherheit ist Aufgabe der Geschäftsleitung

§ 38 BSIG nimmt die Geschäftsleitung ausdrücklich in die Pflicht.

Umsetzen und überwachen

Die Geschäftsleitung muss die Risikomanagementmaßnahmen nach § 30 BSIG umsetzen und ihre Umsetzung überwachen.

Haftung

Bei schuldhafter Pflichtverletzung haftet die Geschäftsleitung der Einrichtung nach den gesellschaftsrechtlichen Regeln ihrer Rechtsform.

Schulungspflicht

Regelmäßige Schulungen, um Risiken und Risikomanagementpraktiken in der IT-Sicherheit erkennen und bewerten zu können.

Bußgelder

Welche Bußgelder drohen

Für Verstöße unter anderem gegen § 30 (Maßnahmen und Dokumentation) und § 32 (Meldungen) sieht § 65 BSIG diesen Rahmen vor.

bis 10 Mio. €für besonders wichtige Einrichtungen. Bei mehr als 500 Mio. € Gesamtumsatz bis zu 2 % des weltweiten Gesamtumsatzes.
bis 7 Mio. €für wichtige Einrichtungen. Bei mehr als 500 Mio. € Gesamtumsatz bis zu 1,4 % des weltweiten Gesamtumsatzes.

Weitere Tatbestände, etwa zur Registrierung, sind mit niedrigeren Höchstbeträgen belegt (§ 65 Abs. 5 BSIG). Daneben kann das BSI Aufsichtsmaßnahmen anordnen.

Betroffenheits-Check

Fällt Ihr Unternehmen unter NIS2?

Vier Fragen zu Sektor, Sonderfällen und Größe. Anonym, ohne Datenübertragung.

Frage 1 von 4

Gehört Ihr Unternehmen zu einem Sektor der Anlage 1 oder 2 BSIG?

Anlage 1 z. B. Energie, Transport und Verkehr, Finanz- und Versicherungswesen, Gesundheit, Wasser, IT und Telekommunikation (u. a. Managed Service Provider). Anlage 2 z. B. Post und Kurier, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste, Forschung.
Frage 2 von 4

Sind Sie Betreiber einer kritischen Anlage, qualifizierter Vertrauensdiensteanbieter, TLD-Registry oder DNS-Diensteanbieter?

Diese Einrichtungen sind unabhängig von der Größe als besonders wichtige Einrichtung erfasst (§ 28 Abs. 1 Nr. 1 und 2 BSIG).
Frage 3 von 4

Wie viele Mitarbeitende hat Ihr Unternehmen?

Gezählt nach der KMU-Empfehlung 2003/361/EG; Partner- und verbundene Unternehmen können mitzählen (§ 28 Abs. 4 BSIG).
Frage 4 von 4

Wie hoch sind Jahresumsatz und Jahresbilanzsumme?

Maßgeblich ist jeweils die Kombination aus Umsatz und Bilanzsumme.

Erste Einschätzung auf Basis von § 28 BSIG, keine Rechtsberatung. Ihre Antworten werden nicht übertragen.

NIS2-Checkliste herunterladen Beratung vereinbaren

Ausführlicher? Zum NIS2-Quick-Check.

Wie BDT hilft

Technische NIS2-Maßnahmen mit Managed Security

Wir sind IT-Dienstleister, keine Kanzlei. Wir setzen die technischen Maßnahmen um, betreiben sie und dokumentieren den Stand für Ihre Nachweise.

Cyber Security

SOC, EDR/XDR/MDR und E-Mail-Schutz für die Erkennung und Bewältigung von Sicherheitsvorfällen.

Zu Cyber Security

Managed Security

Patch-Management, Monitoring, Backup mit getesteter Wiederherstellung und MFA als laufender Service.

Zu unseren NIS2-Leistungen

ISO/IEC 27001 zertifiziert für IT-Infrastrukturberatung und -implementierung

Unser Informationssicherheits-Managementsystem ist für diesen Geltungsbereich zertifiziert.

FAQ

Häufige Fragen

Ihre Frage ist nicht dabei? E-Mail: beratung@blured.de · Telefon: +49 211 822 00 80

Beratung vereinbaren

Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz ist am 6. Dezember 2025 in Kraft getreten (BGBl. 2025 I Nr. 301). Die Pflichten stehen im neu gefassten BSI-Gesetz.

In den Sektoren der Anlagen 1 und 2 BSIG in der Regel ab 50 Mitarbeitenden oder über 10 Mio. € Jahresumsatz und Bilanzsumme. Betreiber kritischer Anlagen und einige digitale Dienste sind unabhängig von der Größe erfasst.

Besonders wichtige Einrichtungen sind größer (ab 250 Mitarbeitenden oder über 50 Mio. € Umsatz und 43 Mio. € Bilanz) und in Anlage-1-Sektoren tätig oder Sonderfälle wie KRITIS-Betreiber. Für sie gelten ein höherer Bußgeldrahmen und strengere Aufsicht.

Erstmeldung spätestens 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls, Meldung mit erster Bewertung nach 72 Stunden und Abschlussmeldung spätestens einen Monat danach (§ 32 BSIG).

Nach § 38 BSIG muss die Geschäftsleitung die Maßnahmen umsetzen und überwachen. Verletzt sie diese Pflicht schuldhaft, haftet sie der Einrichtung nach den gesellschaftsrechtlichen Regeln. Außerdem muss sie regelmäßig an Schulungen teilnehmen.

Nicht automatisch. Ein ISMS nach ISO/IEC 27001 deckt viele Maßnahmen ab, die Meldepflichten, die Registrierung und die Pflichten der Geschäftsleitung nach BSIG müssen Sie aber gesondert erfüllen. Wie weit Ihr ISMS reicht, klären wir im Gespräch.

Nein. Wir sind IT-Dienstleister und erläutern die Anforderungen aus technischer Sicht. Die rechtliche Einordnung Ihres Unternehmens klären Sie bitte mit Ihrer Rechtsberatung.
Wichtig: keine Rechtsberatung. Diese Seite und die Checkliste geben einen Überblick über die gesetzlichen Anforderungen aus Sicht eines IT-Dienstleisters. Sie ersetzen nicht die Prüfung des Gesetzestextes und die Einordnung durch Ihre Rechtsberatung, vor allem bei Unternehmensverbünden. Rechtsstand: 23.10.2026.
  1. Gesetz zur Umsetzung der NIS-2-Richtlinie …, BGBl. 2025 I Nr. 301 vom 05.12.2025: recht.bund.de
  2. BSI-Gesetz (BSIG), §§ 28, 30, 32, 33, 38, 65: gesetze-im-internet.de/bsig_2025
  3. BSI-Pressemitteilung vom 05.12.2025 „NIS-2-Umsetzungsgesetz ab morgen in Kraft“ und vom 06.01.2026 zum BSI-Portal: bsi.bund.de
  4. Richtlinie (EU) 2022/2555 (NIS2), Art. 21 und 23

Jetzt starten

Unsicher, wo Sie bei NIS2 stehen?

Im kostenlosen Erstgespräch ordnen wir Ihre technische Ausgangslage ein und zeigen die nächsten Schritte. Die rechtliche Einordnung bleibt bei Ihrer Rechtsberatung.

Erstgespräch vereinbaren +49 211 822 00 80

© 2026 BDT Group GmbH · blured.de · Icons: Streamline (CC BY 4.0)