Welche Unternehmen fallen unter NIS2?

Zuletzt aktualisiert: 29. Juli 2026 · Lesezeit: etwa 12 Minuten · Für Geschäftsführung, IT-Leitung und Compliance-Verantwortliche

Am 31. Juli 2026 läuft die Nachfrist des BSI für die NIS2-Registrierung ab. Zu diesem Zeitpunkt rechnet das Bundesamt für Sicherheit in der Informationstechnik mit rund 29.500 betroffenen Organisationen in Deutschland. Zur ersten gesetzlichen Frist am 6. März 2026 hatten sich davon nur etwa 18.500 registriert (SCHUTZWERK, 2026).

Ein großer Teil dieser Lücke geht auf eine einzige offene Frage zurück: Gilt NIS2 überhaupt für uns? Diese Frage beantwortet der folgende Leitfaden. Er zeigt, welche Sektoren und Größenklassen betroffen sind, wie Sie Ihre Betroffenheit in fünf Schritten prüfen, welche Pflichten das BSI-Gesetz vorschreibt und welche Fristen 2026 bereits bindend sind.

Das Wichtigste in Kürze

• NIS2 kennt zwei Klassen: besonders wichtige Einrichtungen und wichtige Einrichtungen.
• Die Betroffenheit ergibt sich aus zwei Prüfungen: Ihrem Sektor (Anlage 1 oder Anlage 2 des BSI-Gesetzes) und Ihrer Größe (Beschäftigte, Umsatz, Bilanzsumme).
• 18 Sektoren sind erfasst, darunter Managed Service Provider, verarbeitendes Gewerbe, Lebensmittel, Abfallwirtschaft und Forschung.
• Einige Einrichtungen sind unabhängig von ihrer Größe betroffen, etwa DNS-Dienste, TLD-Registries, qualifizierte Vertrauensdiensteanbieter und öffentliche Telekommunikationsanbieter.
• Wer betroffen ist, schuldet zehn Kategorien von Risikomanagementmaßnahmen, eine Meldekette aus 24 Stunden, 72 Stunden und einem Monat, die Registrierung beim BSI sowie eine persönlich verantwortliche Geschäftsleitung.
• Bußgelder erreichen bis zu 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

NIS2 auf einen Blick

Punkt	Fakt
Rechtsgrundlage	Richtlinie (EU) 2022/2555, in Deutschland umgesetzt durch das NIS2-Umsetzungsgesetz und das BSI-Gesetz (BSIG)
Inkrafttreten in Deutschland	6. Dezember 2025, ohne Übergangsfrist
Erfasste Sektoren	18 (11 in Anlage 1, 7 in Anlage 2)
Einrichtungsklassen	besonders wichtige und wichtige Einrichtungen
Standard-Größenschwelle	ab 50 Beschäftigte, oder Umsatz und Bilanzsumme jeweils über 10 Mio. Euro
Risikomanagement	zehn Kategorien nach § 30 BSIG
Meldekette	24 Stunden, 72 Stunden, ein Monat
Höchstes Bußgeld	10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist
Registrierung	verpflichtend beim BSI, Nachfrist bis 31. Juli 2026

Wer ist von NIS2 betroffen?

NIS2 betrifft mittlere und große Organisationen in 18 festgelegten Sektoren, unterteilt in besonders wichtige und wichtige Einrichtungen. Über die Betroffenheit entscheiden zwei Prüfungen: ob Ihre Tätigkeit in Anlage 1 oder Anlage 2 des BSI-Gesetzes auftaucht, und ob Sie die Größenschwellen erreichen. Mehrere Einrichtungstypen sind unabhängig von ihrer Größe erfasst.

Die Richtlinie hat das ursprüngliche NIS-Regime von 2016 abgelöst und den Kreis der Betroffenen deutlich erweitert. Wo die alten Regeln je Land einige hundert Betreiber wesentlicher Dienste erfassten, erreicht NIS2 Zehntausende. Allein für Deutschland erwartet das BSI etwa 29.500 betroffene Organisationen (BSI-Angaben, berichtet von SCHUTZWERK, 2026).

Zwei Punkte führen dabei regelmäßig in die Irre. Erstens geht es beim Sektor um Ihre Tätigkeit, nicht um Ihre Selbstbeschreibung: Ein mittelständisches Unternehmen, das IT-Dienste für andere Firmen betreibt, fällt unter die Verwaltung von IKT-Diensten in Anlage 1, unabhängig davon, ob es sich selbst als Technologieunternehmen versteht. Zweitens ist die Größenschwelle eine Voreinstellung, keine Obergrenze für den Ermessensspielraum der Behörden. Mitgliedstaaten dürfen weitere Einrichtungen unterhalb der Schwellen benennen.

Die 18 Sektoren: Anlage 1 und Anlage 2

Anlage 1 umfasst die Sektoren mit hoher Kritikalität, Anlage 2 die sonstigen kritischen Sektoren. Die Aufteilung entscheidet mit darüber, ob Sie in der Klasse der besonders wichtigen oder der wichtigen Einrichtungen landen.

Anlage 1 (hohe Kritikalität, 11 Sektoren)	Anlage 2 (sonstige kritische Sektoren, 7 Sektoren)
Energie (Strom, Fernwärme und Fernkälte, Öl, Gas, Wasserstoff)	Post- und Kurierdienste
Transport und Verkehr (Luft, Schiene, Wasser, Straße)	Abfallbewirtschaftung
Bankwesen	Chemie (Herstellung, Produktion, Handel)
Finanzmarktinfrastrukturen	Lebensmittel (Produktion, Verarbeitung, Vertrieb)
Gesundheitswesen (Dienstleister, Labore, Forschung und Herstellung von Arzneimitteln)	Verarbeitendes Gewerbe (Medizinprodukte, Datenverarbeitung und Elektronik, elektrische Ausrüstung, Maschinenbau, Kraftfahrzeuge, sonstiger Fahrzeugbau)
Trinkwasser	Anbieter digitaler Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke)
Abwasser	Forschungseinrichtungen
Digitale Infrastruktur (Internetknoten, DNS, TLD-Registries, Cloud, Rechenzentren, CDN, Vertrauensdienste, elektronische Kommunikation)
Verwaltung von IKT-Diensten, B2B (Managed Service Provider, Managed Security Service Provider)
Öffentliche Verwaltung
Weltraum

Beachten Sie den neunten Eintrag in Anlage 1. Managed Service Provider und Managed Security Service Provider sind ausdrücklich genannt. Das zieht einen großen Teil des IT-Channels erstmals in die direkte Regulierung. Wenn Sie fremde Infrastruktur betreiben, gehen Sie von Betroffenheit aus, bis Sie das Gegenteil sauber geprüft haben.

Die Größenschwellen

Die Größe folgt der EU-Definition kleiner, mittlerer und großer Unternehmen. Entscheidend sind Beschäftigtenzahl, Jahresumsatz und Bilanzsumme. Die folgende Tabelle zeigt die Einordnung nach dem BSI-Gesetz.

Klasse	Sektor	Größentest
Besonders wichtige Einrichtung	Anlage 1	großes Unternehmen: ab 250 Beschäftigte, oder Umsatz über 50 Mio. Euro und Bilanzsumme über 43 Mio. Euro
Wichtige Einrichtung	Anlage 1	mittleres Unternehmen: ab 50 Beschäftigte, oder Umsatz und Bilanzsumme jeweils über 10 Mio. Euro
Wichtige Einrichtung	Anlage 2	mittleres oder großes Unternehmen: ab 50 Beschäftigte, oder Umsatz und Bilanzsumme jeweils über 10 Mio. Euro
Grundsätzlich nicht betroffen	Anlage 1 oder 2	unter 50 Beschäftigte und höchstens 10 Mio. Euro bei Umsatz und Bilanzsumme

Zählen Sie die gesamte Rechtseinheit, nicht die IT-Abteilung. Konzernstrukturen brauchen Sorgfalt: Partnerunternehmen und verbundene Unternehmen werden nach der EU-Definition in der Regel konsolidiert. Eine kleine Tochter eines großen Konzerns ist damit selten so klein, wie ihre eigene Bilanz vermuten lässt.

Einrichtungen, die unabhängig von der Größe betroffen sind

Manche Tätigkeiten gelten als so strukturell bedeutsam, dass der Größentest gar nicht erst greift. Nach § 28 BSIG zählen die folgenden Typen als besonders wichtige Einrichtungen, gleich wie viele Beschäftigte sie haben:

1. Betreiber kritischer Anlagen (KRITIS)
2. Qualifizierte Vertrauensdiensteanbieter
3. Registries für Top-Level-Domain-Namen
4. DNS-Diensteanbieter
5. Anbieter öffentlicher elektronischer Kommunikationsnetze oder öffentlich zugänglicher elektronischer Kommunikationsdienste

Ein DNS-Betreiber mit vier Beschäftigten trägt damit dieselben Kernpflichten wie ein Versorgungsunternehmen. Das ist so gewollt, und es ist der häufigste Grund, warum eine Organisation, die scheinbar klar unter den Schwellen liegt, am Ende doch reguliert ist.

Der Lieferketten-Effekt

§ 30 BSIG verlangt von betroffenen Einrichtungen, die Sicherheit ihrer Lieferkette zu steuern, einschließlich der Beziehungen zu direkten Anbietern und Dienstleistern. Regulierte Kunden erfüllen diese Pflicht, indem sie die Anforderungen über ihre Verträge nach unten weitergeben.

Ein Softwareanbieter mit 20 Beschäftigten, der an eine Klinikgruppe liefert, ist deshalb nicht direkt reguliert. Er wird aber Nachweise zu Patch-Disziplin, Zugriffskontrolle, Meldefristen und Backup-Tests vorlegen müssen und verliert ohne diese Nachweise das Geschäft. Auf diesem Weg reicht NIS2 weit über den formalen Anwendungsbereich hinaus. Wenn ein spürbarer Teil Ihres Umsatzes von Kunden aus Anlage 1 stammt, behandeln Sie die Anforderungen als wirtschaftlich bindend, auch wenn sie rechtlich nicht auf Sie zutreffen.

Besonders wichtige und wichtige Einrichtungen: der Unterschied

Beide Klassen schulden dieselben technischen Maßnahmen nach § 30 BSIG und dieselben Meldefristen nach § 32 BSIG. Der Unterschied liegt in der Aufsicht und in den Bußgeldern. Besonders wichtige Einrichtungen unterliegen einer proaktiven Aufsicht mit geplanten Prüfungen und Vor-Ort-Kontrollen. Wichtige Einrichtungen werden reaktiv beaufsichtigt, die Behörde wird also tätig, wenn Hinweise auf ein Problem vorliegen.

Diese Unterscheidung wird oft als “wichtige Einrichtungen haben es leichter” missverstanden. In der Sache stimmt das nicht. Die Maßnahmen sind identisch. Es ändert sich, wie wahrscheinlich eine Prüfung ohne konkreten Anlass ist und wie teuer ein Verstoß wird.

Dimension	Besonders wichtige Einrichtungen	Wichtige Einrichtungen
Typisches Profil	Anlage 1, groß, dazu die größenunabhängigen Typen	Anlage 1 mittel sowie alle aus Anlage 2
Aufsicht	proaktiv: Prüfungen, Vor-Ort-Kontrollen, Auskunftsverlangen	reaktiv: ausgelöst durch Hinweise auf Verstöße
Maßnahmen nach § 30	alle zehn Kategorien	alle zehn Kategorien
Meldefristen	24 Stunden, 72 Stunden, 1 Monat	24 Stunden, 72 Stunden, 1 Monat
Höchstes Bußgeld	10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist	7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist

Die NIS2-Betroffenheitsprüfung in fünf Schritten

Eine belastbare Betroffenheitsprüfung braucht fünf Schritte und liefert ein datiertes, unterschriebenes Dokument, das Sie einer Behörde, einer Prüferin oder einem Kunden vorlegen können. Die meisten Organisationen schaffen das in einer Woche. Das Ergebnis zählt so viel wie die Antwort, denn “wir haben geprüft und uns als nicht betroffen eingestuft” trägt nur, wenn Sie die Herleitung zeigen können.

1. Listen Sie jede Rechtseinheit der Gruppe auf, mit dem Land der Niederlassung. NIS2 gilt je Einrichtung und je Mitgliedstaat, eine Gruppe kann in einem Land reguliert sein und in einem anderen nicht.
2. Ordnen Sie die tatsächlichen Tätigkeiten jeder Einheit den Anlagen 1 und 2 zu, anhand der Beschreibungen der Sektoren, nicht anhand Ihrer internen Bereichsnamen. Halten Sie die Begründung für alles fest, was im Grenzbereich liegt.
3. Wenden Sie den Größentest an, mit konsolidierten Zahlen, wenn Partner- oder verbundene Unternehmen bestehen. Notieren Sie das zugrunde liegende Geschäftsjahr.
4. Prüfen Sie die größenunabhängigen Kategorien gesondert. Vertrauensdienste, DNS, TLD, Telekommunikation und kritische Anlagen setzen die Schwellen vollständig außer Kraft.
5. Halten Sie das Ergebnis fest, datieren Sie es und lassen Sie es von der Leitung unterschreiben. Wiederholen Sie die Prüfung, wenn Sie ein Unternehmen erwerben, eine Schwelle überschreiten oder eine regulierte Dienstleistung aufnehmen.

Bewahren Sie die Nachweise auf. In Deutschland kostet allein die versäumte Registrierung bis zu 500.000 Euro, und “wir dachten, wir seien nicht betroffen” ist ohne dokumentierte Prüfung eine schwache Position.

Was Sie konkret tun müssen: die zehn Maßnahmen

§ 30 BSIG setzt zehn Kategorien von Risikomanagementmaßnahmen fest. Sie sind Mindestanforderungen, verhältnismäßig anzuwenden nach Risikolage, Größe und gesellschaftlicher Bedeutung eines Ausfalls. Sie sind als Ergebnisse formuliert, nicht als Technologien. Eine Prüferin fragt deshalb nach Belegen, dass jede Maßnahme wirkt, nicht danach, was Sie eingekauft haben.

#	Maßnahme nach § 30 BSIG	Nachweis, den eine Behörde erwartet
a	Konzepte für Risikoanalyse und Sicherheit in der Informationstechnik	aktuelles Risikoregister, Prüfzyklus, Freigabe durch die Leitung
b	Bewältigung von Sicherheitsvorfällen	Playbooks, Erkennungsabdeckung, Eskalationswege, Übungsnachweise
c	Aufrechterhaltung des Betriebs: Backup-Management, Notfallwiederherstellung, Krisenmanagement	getestete Wiederherstellungen mit Zeitstempel, definierte RTO und RPO
d	Sicherheit der Lieferkette	Lieferantenregister, Risikoeinstufung, Sicherheitsklauseln in Verträgen
e	Sicherheit bei Erwerb, Entwicklung und Wartung, inklusive Schwachstellenmanagement und Offenlegung	Patch-Fristen nach Schweregrad, veröffentlichter Meldeweg
f	Verfahren zur Bewertung der Wirksamkeit der Maßnahmen	Testergebnisse über mehrere Zeitpunkte, kein Konzept, das Tests nur ankündigt
g	Cyberhygiene und Schulungen	Abschlussquoten, Verlauf der Phishing-Simulationen
h	Kryptografie und Verschlüsselung	Schlüsselverwaltung, Abdeckung ruhender und übertragener Daten
i	Personalsicherheit, Zugriffskontrolle, Verwaltung von Anlagen	Nachweise zu Ein- und Austritten, Prüfung privilegierter Zugriffe, Asset-Inventar
j	Multi-Faktor-Authentifizierung, gesicherte Kommunikation	MFA-Abdeckung in Prozent, inklusive Admin- und Fernzugriff

Punkt f fällt am häufigsten durch. Er verlangt, dass Sie bewerten, ob die anderen neun tatsächlich wirken. Eine Sammlung von Konzepten ohne Testnachweise erfüllt Punkt a und scheitert an Punkt f, und das ist ein Befund, den eine Prüferin an einem Nachmittag aufschreibt.

Meldepflichten: 24 Stunden, 72 Stunden, ein Monat

Erhebliche Sicherheitsvorfälle sind dem BSI in Stufen zu melden: eine Erstmeldung innerhalb von 24 Stunden nach Kenntniserlangung, eine vollständige Meldung innerhalb von 72 Stunden, eine Zwischenmeldung auf Ersuchen und eine Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung (§ 32 BSIG, entsprechend Artikel 23 der Richtlinie (EU) 2022/2555).

Ein Vorfall gilt als erheblich, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann, oder wenn er andere durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Das “verursachen kann” trägt viel Gewicht: Auslöser ist die mögliche Auswirkung, Sie dürfen also nicht auf einen bestätigten Schaden warten, bevor die Uhr läuft.

Die 24-Stunden-Uhr beginnt mit der Kenntnis, nicht mit der Eindämmung, und Kenntnis bemisst sich daran, was Ihre Organisation vernünftigerweise wusste. In der Praxis heißt das: Die Bereitschaft, die samstags um 02:00 Uhr den ersten Alarm sieht, braucht einen Entscheidungsweg zu einer benannten Person, die zur Meldung befugt ist. Die meisten Organisationen, die die Frist reißen, reißen sie an der internen Eskalation, nicht an der Meldung selbst.

Der häufigste meldepflichtige Vorfall in der Praxis ist ein Ransomware-Angriff. Was Ransomware genau ist, wie sie ins Netzwerk gelangt und mit welchen Maßnahmen Sie sie stoppen, erklärt unser Leitfaden Was ist Ransomware, und wie stoppt man sie?

Registrierung beim BSI und die Haftung der Geschäftsleitung

Die Registrierung ist eine eigene Pflicht neben den Sicherheitsmaßnahmen, mit eigener Frist, eigenem Portal und eigenem Bußgeld. Sie wird am häufigsten übersehen, weil sie fällig wird, bevor die technische Arbeit fertig ist, und weil nichts in einer Sicherheits-Roadmap daran erinnert. Deutschland zeigt, wie eng der Zeitrahmen inzwischen ist. Das NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten, ohne Übergangsfrist (BSI, Pressemitteilung, Dezember 2025). Die gesetzliche Registrierungsfrist fiel auf den 6. März 2026. Da sich von rund 29.500 erwarteten Organisationen nur etwa 18.500 registriert hatten, hat das BSI eine Nachfrist bei der Durchsetzung bis zum 31. Juli 2026 gewährt (SCHUTZWERK, 2026).

Wichtig ist die genaue Einordnung dieser Nachfrist: Sie ist ein Verzicht auf Durchsetzung, keine Änderung des Rechts. Organisationen, die den 6. März 2026 versäumt haben, sind seitdem im Verstoß.

Bei der Verantwortung ist § 38 BSIG ungewöhnlich deutlich. Die Geschäftsleitung muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und an Schulungen teilnehmen. Sie kann für Verstöße haften, und diese Haftung lässt sich nicht vertraglich abbedingen. Zusammengenommen entfällt damit der übliche Ausweg. Cybersicherheit ist nichts mehr, was die Leitung delegiert und quartalsweise zur Kenntnis nimmt.

Was Verstöße kosten

Die Bußgelder reichen für besonders wichtige Einrichtungen bis zu 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist, und für wichtige Einrichtungen bis zu 7 Mio. Euro oder 1,4 Prozent. Die Behörden können außerdem Zulassungen aussetzen und Leitungspersonen vorübergehend von Führungsaufgaben ausschließen.

Verstoß	Folge
Verstoß gegen §§ 30 oder 32, besonders wichtige Einrichtung	bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist
Verstoß gegen §§ 30 oder 32, wichtige Einrichtung	bis zu 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist
Versäumte Registrierung	bis zu 500.000 Euro
Anhaltender Verstoß, besonders wichtige Einrichtung	vorübergehende Aussetzung einer Zertifizierung oder Zulassung, vorübergehendes Tätigkeitsverbot für die Leitung
Leitung billigt oder überwacht Maßnahmen nicht	persönliche Haftung nach § 38 BSIG

Der Reputationsschaden trifft meist zuerst. Aufsichtsmaßnahmen gegen eine besonders wichtige Einrichtung sind in mehreren Mitgliedstaaten öffentlich, und regulierte Kunden nehmen das wahr.

Für Unternehmen mit Standorten in mehreren EU-Ländern

NIS2 ist eine Richtlinie, keine Verordnung. Jeder Mitgliedstaat schreibt seine eigene Fassung, und die Details unterscheiden sich bei Schwellen, Registrierungsportalen und Sektordefinitionen. Bis Mai 2026 hatten 22 der 27 Mitgliedstaaten umsetzende Gesetze verabschiedet, für Gruppen mit mehreren Standorten bleibt die Lage also in Bewegung.

Diese Zahl stammt von DIGITALEUROPE und aus nationalen Umsetzungstrackern (2026). Die fünf noch im Gesetzgebungsverfahren befindlichen Staaten sind der Grund, warum die Europäische Kommission im Juli 2026 Irland, Spanien, Frankreich und die Niederlande vor dem Gerichtshof der EU verklagt und Sanktionen beantragt hat (Europäische Kommission, IP/26/1499, Juli 2026).

Für Gruppen mit mehreren Standorten heißt das in der Praxis:

• Registrieren Sie je Land. Die Registrierung ist eine nationale Pflicht mit nationalen Portalen und nationalen Fristen.
• Prüfen Sie die Schwellen lokal. Mehrere Staaten benennen zusätzliche Einrichtungen unterhalb der EU-Schwelle.
• Achten Sie auf den Meldeweg. Die Struktur aus 24 Stunden, 72 Stunden und einem Monat ist harmonisiert, die empfangende Behörde und das Format sind es nicht.

Die Bedrohungslage hinter alldem hat sich nicht entspannt. Die ENISA hat für ihre Analyse 2025 insgesamt 4.875 Vorfälle ausgewertet und festgestellt, dass Ransomware 81,1 Prozent der Cybercrime-Vorfälle bei EU-Organisationen ausmachte, mit Phishing in etwa 60 Prozent der Einbrüche (ENISA, Threat Landscape 2025, Oktober 2025). Wie Sie die Pflichten in den laufenden Betrieb überführen, behandelt unser Beitrag NIS2 in der Praxis: von der Pflicht zum laufenden Schutz im Detail.

Die Anforderungen erfüllen, ohne ein eigenes SOC aufzubauen

Die meisten der zehn Maßnahmen beschreiben laufende Tätigkeit: Erkennung, Patchen, Prüfung von Zugriffen, Wirksamkeitstests. Das allein durchzuhalten ist schwer, besonders für die mittelständischen Organisationen, die NIS2 gerade erst erstmals erfasst hat.

UnifiedONE geht dieses Problem über einen Gemeinschaftsansatz an. Eine einmal bestätigte Bedrohung schützt automatisch jedes verbundene Mitglied, daher der Leitsatz “Einmal untersuchen, viele schützen”. Für Microsoft-Umgebungen, also Defender, Entra ID, Sentinel und Microsoft 365, bedeutet das kontinuierliche Überwachung und geteilte Bedrohungsabwehr, betrieben nach europäischen Datenschutzstandards.

Unsicher, wo Ihre Einheiten landen? Sprechen Sie mit dem UnifiedONE-Team über kontinuierliche Überwachung für Ihre Microsoft-Umgebung.

Häufige Fragen zu NIS2 und Betroffenheit

Wer ist von NIS2 betroffen?

Betroffen sind besonders wichtige und wichtige Einrichtungen. Besonders wichtige Einrichtungen sind typischerweise große Organisationen in Anlage-1-Sektoren, ab 250 Beschäftigten oder mit Umsatz über 50 Mio. Euro und Bilanz über 43 Mio. Euro, dazu Betreiber kritischer Anlagen. Wichtige Einrichtungen sind mittlere Anlage-1-Organisationen und alle qualifizierenden Anlage-2-Organisationen.

Welche Unternehmen fallen unter NIS2?

Unter NIS2 fallen Unternehmen, die in einem der 18 Sektoren aus Anlage 1 oder Anlage 2 des BSI-Gesetzes tätig sind und die Größenschwellen erreichen, in der Regel ab 50 Beschäftigten oder mit Umsatz und Bilanz jeweils über 10 Mio. Euro. Einige Typen wie DNS-Dienste, TLD-Registries, qualifizierte Vertrauensdienste und öffentliche Telekommunikation sind unabhängig von ihrer Größe erfasst.

Wer muss NIS2 umsetzen?

Umsetzen muss jede Einrichtung, die nach dem BSI-Gesetz als besonders wichtig oder wichtig gilt. Die Verantwortung liegt bei der Geschäftsleitung: Sie muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und an Schulungen teilnehmen. Diese Pflicht lässt sich nicht auf Dritte oder auf die IT-Abteilung abschieben.

Was ist der Unterschied zwischen besonders wichtigen und wichtigen Einrichtungen?

Die Maßnahmen nach § 30 und die Meldefristen nach § 32 sind identisch. Unterschiedlich sind Aufsicht und Bußgelder. Besonders wichtige Einrichtungen werden proaktiv durch Prüfungen und Kontrollen beaufsichtigt und riskieren bis zu 10 Mio. Euro oder 2 Prozent des weltweiten Umsatzes. Wichtige Einrichtungen werden reaktiv beaufsichtigt und riskieren bis zu 7 Mio. Euro oder 1,4 Prozent.

Gilt NIS2 auch für kleine Unternehmen?

Organisationen unter 50 Beschäftigten und mit höchstens 10 Mio. Euro bei Umsatz und Bilanz fallen in der Regel nicht direkt unter NIS2, es sei denn, sie gehören zu den größenunabhängigen Typen. Viele sind dennoch indirekt betroffen, weil § 30 die regulierten Kunden verpflichtet, ihre Lieferkette abzusichern. Das kommt als vertragliche Anforderung bei kleineren Anbietern an.

Was schreibt NIS2 vor?

NIS2 schreibt zehn Kategorien von Risikomanagementmaßnahmen nach § 30 BSIG vor, dazu die Meldung erheblicher Vorfälle in den Stufen 24 Stunden, 72 Stunden und ein Monat, die Registrierung beim BSI sowie die Billigung und Überwachung der Maßnahmen durch die Geschäftsleitung. Die Maßnahmen reichen von Risikokonzepten über Lieferkettensicherheit bis zur Multi-Faktor-Authentifizierung.

Welche Fristen gelten für die NIS2-Meldung?

Es gelten drei Stufen nach § 32 BSIG: eine Erstmeldung innerhalb von 24 Stunden nach Kenntnis eines erheblichen Vorfalls, eine vollständige Meldung innerhalb von 72 Stunden und eine Abschlussmeldung innerhalb eines Monats nach dieser Meldung. Dazwischen kann eine Zwischenmeldung verlangt werden. Die Uhr startet mit der Kenntnis, nicht mit der Eindämmung.

Ist NIS2 in Deutschland verpflichtend?

Ja. Seit dem 6. Dezember 2025 ist das NIS2-Umsetzungsgesetz in Kraft, ohne Übergangsfrist. Die Pflichten gelten über das BSI-Gesetz. Die Registrierungsfrist fiel auf den 6. März 2026, das BSI hat eine Nachfrist bei der Durchsetzung bis zum 31. Juli 2026 gewährt. Diese Nachfrist ändert nichts an der seither bestehenden Rechtslage.

Fazit: erst der Anwendungsbereich, dann der Nachweis

Der schwierigste Teil von NIS2 sind nicht die Maßnahmen. Die meisten der zehn Kategorien beschreiben Dinge, die ein kompetentes Sicherheitsteam ohnehin tut. Schwierig ist der Nachweis, zu einem bestimmten Datum, welche Ihrer Einheiten betroffen sind, in welcher Klasse, in welchen Mitgliedstaaten, und die Herleitung zeigen zu können, wenn jemand danach fragt.

Fangen Sie dort an. Führen Sie die Betroffenheitsprüfung durch, datieren Sie sie, lassen Sie sie unterschreiben und registrieren Sie sich, wo es nötig ist. Arbeiten Sie danach die zehn Maßnahmen ab und achten Sie besonders auf Punkt f, denn der Wirksamkeitsnachweis trennt eine Konzeptsammlung von einer tatsächlichen Sicherheitslage. Ruhig durch den ersten Aufsichtskontakt kommen die Organisationen, die den Anwendungsbereich als dokumentierte Entscheidung behandelt haben und nicht als Annahme.

---

Quellen

• Europäische Union, Richtlinie (EU) 2022/2555 (NIS2), Artikel 20, 21, 23, 34 sowie Anhänge I und II, abgerufen am 28.07.2026, eur-lex.europa.eu
• Gesetze im Internet, BSI-Gesetz (BSIG) 2025, § 28 zu besonders wichtigen und wichtigen Einrichtungen, abgerufen am 28.07.2026, gesetze-im-internet.de
• BSI, Cybersicherheitsrecht: NIS-2-Umsetzungsgesetz ab morgen in Kraft, Pressemitteilung, 5. Dezember 2025, abgerufen am 28.07.2026, bsi.bund.de
• SCHUTZWERK, NIS-2-Registrierung bis 31. Juli 2026: Was Unternehmen jetzt beachten sollten, 2026, abgerufen am 28.07.2026, schutzwerk.com
• Europäische Kommission, Kommission verklagt Irland, Spanien, Frankreich und die Niederlande vor dem Gerichtshof wegen fehlender Umsetzung der Cybersicherheitsvorschriften (IP/26/1499), 8. Juli 2026, abgerufen am 28.07.2026, ec.europa.eu
• ENISA, Threat Landscape 2025, Oktober 2025, abgerufen am 28.07.2026, enisa.europa.eu
• DIGITALEUROPE, NIS2 Transposition Overview, 2026, abgerufen am 28.07.2026, digitaleurope.org