NIS2 2026: Pflichten, Fristen und Verantwortung der Geschäftsleitung
KI-Transparenzhinweis: Dieser Beitrag wurde mithilfe generativer KI erstellt und vor der Veröffentlichung nicht redaktionell geprüft. Maßgeblich sind die verlinkten gesetzlichen und amtlichen Quellen mit Rechtsstand 31. August 2026.
Seit dem 6. Dezember 2025 gilt das deutsche NIS2-Umsetzungsgesetz. Damit sind deutlich mehr Unternehmen als zuvor verpflichtet, ihre Informationssicherheit systematisch zu organisieren, Risiken zu dokumentieren, erhebliche Sicherheitsvorfälle fristgerecht zu melden und die Geschäftsleitung unmittelbar einzubinden.
Ob ein Unternehmen betroffen ist, hängt nicht nur von seiner Branche ab. Entscheidend sind die Einrichtungsarten in den Anlagen 1 und 2 des BSI-Gesetzes sowie Schwellenwerte zu Beschäftigten, Umsatz und Bilanzsumme. Verbund- und Partnerunternehmen können die Einordnung zusätzlich beeinflussen. Eine schnelle Einschätzung allein nach der Unternehmensgröße ist deshalb unsicher.
Für betroffene Unternehmen beginnt die Arbeit nicht mit einem einzelnen IT-Produkt. NIS2 verlangt technische und organisatorische Risikomanagementmaßnahmen, dokumentierte Zuständigkeiten, Schulungen, Lieferkettenkontrollen, Business Continuity und einen belastbaren Meldeprozess. Die Geschäftsleitung muss die Umsetzung und Überwachung verantworten.
Der kostenlose NIS2-Umsetzungsstatus-Check 2026 hilft, zentrale organisatorische Themen zu priorisieren. Er ersetzt weder die offizielle Betroffenheitsprüfung des BSI noch eine rechtliche oder technische Prüfung.
Hören Sie sich unseren Podcast an
KI-Transparenzhinweis: Dieser Beitrag wurde mithilfe generativer KI erstellt und vor der Veröffentlichung nicht redaktionell geprüft.
Sehen Sie sich unser Video an:
KI-generiertes Video: Inhalt, Stimmen und dargestellte Szenen wurden mit generativer KI erstellt.
Kurzantwort: Welche Unternehmen sind von NIS2 betroffen?
Das BSI-Gesetz unterscheidet besonders wichtige und wichtige Einrichtungen. Für viele Unternehmen ist eine Betroffenheit gegeben, wenn ihre Tätigkeit einer in Anlage 1 oder 2 genannten Einrichtungsart entspricht und bestimmte Schwellenwerte erreicht werden. Besonders wichtige Einrichtungen aus Anlage 1 beschäftigen regelmäßig mindestens 250 Mitarbeiter oder überschreiten sowohl 50 Millionen Euro Jahresumsatz als auch 43 Millionen Euro Jahresbilanzsumme. Wichtige Einrichtungen aus Anlage 1 oder 2 beschäftigen regelmäßig mindestens 50 Mitarbeiter oder überschreiten jeweils 10 Millionen Euro bei Umsatz und Bilanzsumme.
Daneben gibt es Einrichtungsarten mit eigenen Regeln und Ausnahmen. Dazu gehören unter anderem Telekommunikation, DNS-Dienste, Vertrauensdienste, Betreiber kritischer Anlagen und Unternehmen, die anderen sektoralen Regelwerken wie DORA unterliegen. Bei Partner- und verbundenen Unternehmen ist die gesetzliche Berechnungslogik gesondert zu prüfen.
Die offizielle NIS2-Betroffenheitsprüfung des BSI ist der sinnvolle erste Schritt. Bleiben Sektorzuordnung, Größenermittlung oder Konzernbezug unklar, sollte die Einordnung fachlich geprüft werden.
Welche Sektoren das Gesetz erfasst
Anlage 1 nennt unter anderem Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur und Weltraum. Anlage 2 erweitert den Anwendungsbereich beispielsweise auf Post- und Kurierdienste, Abfallbewirtschaftung, chemische Industrie, industrielle Lebensmittelproduktion, bestimmte Bereiche des verarbeitenden Gewerbes, digitale Dienste und Forschung.
Der Name eines Unternehmens oder ein allgemeiner Branchenbegriff genügt nicht. Maßgeblich ist die konkrete Einrichtungsart. Bei gemischten Tätigkeiten kann außerdem relevant sein, ob ein Bereich im Verhältnis zur gesamten Geschäftstätigkeit vernachlässigbar ist.
Registrierung im BSI-Portal
Nach § 33 BSIG müssen sich besonders wichtige und wichtige Einrichtungen spätestens drei Monate nach dem Zeitpunkt registrieren, an dem sie erstmals oder erneut als solche gelten. Zu übermitteln sind unter anderem Name und Rechtsform, Kontaktdaten, öffentliche IP-Adressbereiche, Sektor beziehungsweise Branche, Tätigkeiten in anderen EU-Mitgliedstaaten und zuständige Aufsichtsbehörden.
Änderungen an den registrierten Angaben müssen unverzüglich, spätestens binnen zwei Wochen nach Kenntnis, gemeldet werden. Die Registrierung sollte deshalb nicht als einmaliger Formularschritt behandelt werden. Sie braucht einen internen Prozess für Aktualisierung und Zuständigkeit.
Die zehn Mindestbereiche des Risikomanagements
§ 30 BSIG verlangt geeignete, verhältnismäßige und wirksame technische sowie organisatorische Maßnahmen. Sie sollen dem Stand der Technik entsprechen, Risiken ganzheitlich betrachten und dokumentiert werden. Das Gesetz nennt mindestens zehn Bereiche:
- Konzepte für Risikoanalyse und Informationssicherheit
- Bewältigung von Sicherheitsvorfällen
- Aufrechterhaltung des Betriebs, Backups, Wiederherstellung und Krisenmanagement
- Sicherheit der Lieferkette und unmittelbarer Anbieter
- Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen sowie Schwachstellenmanagement
- Verfahren zur Bewertung der Wirksamkeit der Maßnahmen
- Schulungen und Sensibilisierung
- Konzepte für kryptografische Verfahren
- Personalsicherheit, Zugriffskontrolle und Verwaltung von IT-Systemen
- Mehrfaktor- oder kontinuierliche Authentifizierung sowie sichere Kommunikation
Die Liste ist kein reiner Technikplan. Sie betrifft Verträge, Einkauf, Personal, Krisenorganisation, Dokumentation und Geschäftsleitungsentscheidungen. Eine präventive Compliance-Struktur hilft, rechtliche Anforderungen, Verantwortlichkeiten und Nachweise mit der technischen Umsetzung zu verbinden.
Was die Geschäftsleitung persönlich organisieren muss
§ 38 BSIG verpflichtet Geschäftsleitungen betroffener Einrichtungen, die Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen. Hinzu kommt eine regelmäßige Schulungspflicht. Die Geschäftsleitung soll Risiken erkennen und bewerten sowie ihre Auswirkungen auf die angebotenen Dienste beurteilen können.
Informationssicherheit darf deshalb nicht vollständig an die IT-Abteilung oder einen externen Dienstleister abgegeben werden. Delegiert werden können Aufgaben. Die Pflicht, angemessene Strukturen einzurichten, Entscheidungen zu treffen und die Umsetzung zu überwachen, bleibt auf Leitungsebene relevant.
Meldepflichten bei erheblichen Sicherheitsvorfällen
Ein erheblicher Sicherheitsvorfall kann schwerwiegende Betriebsstörungen oder finanzielle Verluste verursachen beziehungsweise Dritte erheblich schädigen. § 32 BSIG sieht eine gestufte Meldung vor:
- frühe Erstmeldung unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis
- Folgemeldung innerhalb von 72 Stunden mit erster Bewertung, Schweregrad und Auswirkungen
- Zwischenmeldung auf Anforderung des BSI
- Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung oder Fortschrittsmeldung bei einem noch laufenden Vorfall
Diese Fristen setzen voraus, dass Vorfälle intern schnell erkannt, eingeordnet, eskaliert und mit den erforderlichen Informationen dokumentiert werden. Ein Notfallhandbuch ohne Übung reicht dafür nicht.
Ein praktikabler NIS2-Umsetzungsplan
- Betroffenheit dokumentieren: Einrichtungsart, Sektor, Schwellenwerte, Verbundstruktur und mögliche Sonderregeln schriftlich festhalten.
- Verantwortung zuweisen: Geschäftsleitung, Informationssicherheit, Datenschutz, Compliance, Recht, Einkauf und Kommunikation verbindlich einbinden.
- Gap-Analyse durchführen: vorhandene Maßnahmen den zehn Mindestbereichen aus § 30 BSIG zuordnen und fehlende Nachweise markieren.
- Maßnahmen priorisieren: Risiken, gesetzliche Dringlichkeit, Abhängigkeiten und Umsetzungsaufwand in einen verbindlichen Plan überführen.
- Vorfallprozess testen: Erkennung, Eskalation, Entscheidungsbefugnisse, BSI-Meldung und Kommunikation in einer Übung durchspielen.
- Lieferkette einbeziehen: kritische Dienstleister, Zugänge, Vertragsklauseln, Meldewege und Exit-Szenarien prüfen.
- Wirksamkeit überwachen: Kennzahlen, Tests, Audits, Abweichungen und Managementberichte regelmäßig aktualisieren.
Der NIS2-Umsetzungsstatus-Check bildet diese Themen als einfache Selbsteinschätzung ab. Ein Prozentwert ist dabei kein gesetzlicher Erfüllungsgrad. Entscheidend sind Angemessenheit, Wirksamkeit und Nachweisbarkeit im konkreten Unternehmen.
Welche Dokumente typischerweise benötigt werden
- dokumentierte Betroffenheits- und Größenprüfung
- Geschäftsleitungsbeschlüsse, Verantwortungsmatrix und Berichtswege
- Risikoanalyse und Verzeichnis relevanter Systeme, Dienste und Abhängigkeiten
- Sicherheitskonzepte, Richtlinien und konkrete technische Maßnahmen
- Notfall-, Wiederanlauf- und Kommunikationspläne
- Lieferantenbewertung und sicherheitsbezogene Vertragsregelungen
- Schulungsnachweise und Sensibilisierungsmaßnahmen
- Test-, Audit- und Wirksamkeitsberichte
- Vorfallprotokolle, Eskalationswege und Meldevorlagen
Die Dokumentation muss zur tatsächlichen Praxis passen. Vorlagen ohne Verantwortliche, Termine und überprüfbare Umsetzung erzeugen nur scheinbare Sicherheit. Die Beratung zu Digitalisierung und Online-Prozessen kann dabei helfen, organisatorische und technische Abläufe zusammenzuführen.
Typische Fehlannahmen
„Wir sind kein KRITIS-Unternehmen, also gilt NIS2 nicht.“
NIS2 erfasst neben Betreibern kritischer Anlagen zahlreiche weitere besonders wichtige und wichtige Einrichtungen. Die alte KRITIS-Einordnung allein beantwortet die Frage nicht.
„Unser IT-Dienstleister ist verantwortlich.“
Externe Dienstleister können bei Umsetzung und Betrieb helfen. Die gesetzlichen Organisations- und Überwachungspflichten der Geschäftsleitung verschwinden dadurch nicht. Zugleich gehört die Sicherheit unmittelbarer Anbieter ausdrücklich zum Risikomanagement.
„Eine Cyberversicherung genügt.“
Versicherungsschutz kann finanzielle Folgen abfedern. Er ersetzt keine angemessenen Sicherheitsmaßnahmen, keine Meldeprozesse und keine nachweisbare Governance.
„Wir melden erst, wenn alle Ursachen geklärt sind.“
Die gestuften Fristen beginnen nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall. Die frühe Erstmeldung und die 72-Stunden-Meldung sind gerade dafür vorgesehen, Informationen schrittweise zu bestätigen und zu ergänzen.
Häufige Fragen zu NIS2
Gilt NIS2 automatisch ab 50 Beschäftigten?
Nein. Die Größe ist nur ein Teil der Prüfung. Zusätzlich muss grundsätzlich eine passende Einrichtungsart in Anlage 1 oder 2 vorliegen. Für einzelne Einrichtungsarten gelten besondere Regeln.
Wie schnell muss sich ein betroffenes Unternehmen registrieren?
§ 33 BSIG nennt grundsätzlich eine Frist von spätestens drei Monaten nach erstmaliger oder erneuter Betroffenheit. Änderungen registrierter Angaben sind spätestens binnen zwei Wochen nach Kenntnis zu melden.
Muss die Geschäftsleitung selbst IT-Expertin sein?
Sie muss die technischen Arbeiten nicht selbst ausführen. Sie muss aber ausreichende Kenntnisse erwerben, Risiken und Maßnahmen beurteilen sowie Umsetzung und Überwachung verantworten.
Was bedeutet „Stand der Technik“?
Das Gesetz verlangt angemessene, verhältnismäßige und wirksame Maßnahmen, die den Stand der Technik einhalten und einschlägige Normen berücksichtigen. Welche Maßnahmen erforderlich sind, hängt von Risikoexposition, Unternehmensgröße, Kosten und möglichen Auswirkungen ab.
Kann der LKM-Check die NIS2-Konformität bestätigen?
Nein. Er strukturiert eine Selbsteinschätzung. Er prüft weder Betroffenheit noch Belege, Angemessenheit oder technische Wirksamkeit.
Fazit: NIS2 ist eine Leitungs- und Organisationsaufgabe
Die NIS2-Umsetzung verbindet Recht, Governance, IT-Sicherheit, Lieferkette und Krisenmanagement. Unternehmen sollten deshalb zuerst ihre Betroffenheit belastbar einordnen und anschließend einen dokumentierten Maßnahmenplan mit Verantwortlichen, Terminen und Wirksamkeitskontrollen aufsetzen.
LKM unterstützt Unternehmen bei rechtlicher Einordnung, Compliance-Struktur und dokumentierbarer Umsetzung. Für eine individuelle Prüfung können Sie Kontakt mit LKM aufnehmen.
Weitere Beiträge
