NIS2 in der Praxis: von der Pflicht zum laufenden Schutz

289 Milliarden Euro: So hoch war 2025 der Schaden durch Datendiebstahl, Spionage und Sabotage in der deutschen Wirtschaft, ein Rekord (Bitkom, Wirtschaftsschutz 2025). In diese angespannte Lage trifft NIS2. Seit Dezember 2025 ist die Richtlinie in Deutschland kein Thema mehr für die nächste Fachkonferenz, sondern geltendes Recht.

Viele Unternehmen behandeln sie trotzdem wie ein einmaliges Compliance-Projekt: Richtlinien schreiben, Häkchen setzen, Ordner schließen. Das reicht nicht. Ein Angreifer hält sich nicht an Ihren Projektabschluss. Dieser Leitfaden zeigt, was NIS2 konkret fordert und wie aus der gesetzlichen Pflicht ein Schutz wird, der im Alltag auch wirklich greift.

Das Wichtigste in Kürze

• Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) gilt in Deutschland seit dem 6. Dezember 2025, ohne Übergangsfrist (BSI, 2025).
• Rund 29.500 Unternehmen in 18 Sektoren sind betroffen, meist ab 50 Beschäftigten oder 10 Mio. € Jahresumsatz.
• Sicherheitsvorfälle melden Sie dem BSI in drei Stufen: nach 24 Stunden, nach 72 Stunden und nach einem Monat.
• Die Geschäftsleitung haftet persönlich (§ 38 BSIG); die Bußgelder reichen bis 10 Mio. € oder 2 % des Weltumsatzes.
• NIS2 ist Dauerbetrieb, kein Projekt: Risikomanagement, Monitoring und Meldeketten müssen jederzeit funktionieren.

NIS2 auf einen Blick

Merkmal	Fakt
Gesetz	NIS2-Umsetzungsgesetz (NIS2UmsuCG), setzt EU-Richtlinie 2022/2555 um
In Kraft seit	6. Dezember 2025, ohne Übergangsfrist
Betroffene	rund 29.500 Unternehmen in 18 Sektoren
Größenschwelle	i. d. R. ab 50 Beschäftigten oder 10 Mio. € Jahresumsatz
Meldefristen	24 Stunden / 72 Stunden / 1 Monat
BSI-Registrierung	spätestens bis 31. Juli 2026 (Nachfrist)
Bußgeld	bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes
Verantwortung	persönliche Haftung der Geschäftsleitung (§ 38 BSIG)

Was ist NIS2 und warum ist die Richtlinie seit 2025 verbindliche Pflicht?

NIS2 ist die EU-weite Cybersicherheitsrichtlinie (EU) 2022/2555, die Betreiber kritischer und wichtiger Dienste zu einem gesetzlich definierten Mindestniveau an IT-Sicherheit, Meldepflichten und Risikomanagement verpflichtet. In Deutschland setzt das NIS2-Umsetzungsgesetz (NIS2UmsuCG) sie in nationales Recht um, in Kraft seit dem 6. Dezember 2025, ohne Übergangsfrist (BSI, NIS-2-Informationspaket, 2026). Es löst die alte NIS-Richtlinie ab und hebt das Cybersicherheitsniveau für regulierte Einrichtungen in der gesamten EU an.

Die Abkürzung steht für „Network and Information Security“ in der zweiten Fassung. Der Gesetzgeber reagiert damit auf eine Bedrohungslage, die sich zugespitzt hat. Das BSI verzeichnete im Berichtszeitraum durchschnittlich 119 neue Schwachstellen pro Tag, ein Anstieg von rund 24 Prozent gegenüber dem Vorjahr (BSI, Die Lage der IT-Sicherheit in Deutschland 2025).

Warum betrifft das jetzt so viele? Weil NIS2 den Kreis der regulierten Einrichtungen massiv erweitert. Wo früher einige hundert KRITIS-Betreiber im Fokus standen, sind es heute Zehntausende Firmen quer durch die Wirtschaft. Wer bisher davon ausging, „zu klein“ oder „zu unwichtig“ für IT-Sicherheitsauflagen zu sein, sollte diese Annahme prüfen.

NIS2 verpflichtet in Deutschland rund 29.500 Unternehmen aus 18 Sektoren zu einem gesetzlich definierten Mindestniveau an Cybersicherheit (BSI, 2026). Das Gesetz gilt seit dem 6. Dezember 2025 unmittelbar, anders als frühere Regulierung gibt es keine mehrjährige Schonfrist, in der Maßnahmen nur „geplant“ werden dürfen.

Die Bedrohungslage in Zahlen

Kennzahl	Wert	Quelle
Unternehmen von Angriffen betroffen	87 %	Bitkom, Wirtschaftsschutz 2025
Ransomware-Angriffe, die KMU treffen	80 %	BSI-Lagebericht 2025
Schadensanteil durch Cyberangriffe	70 %	Bitkom, Wirtschaftsschutz 2025
IT-Grundschutz, den KMU im Schnitt erfüllen	56 %	BSI-Lagebericht 2025

Wer ist von NIS2 betroffen? Die Betroffenheitsprüfung in der Praxis

Von NIS2 betroffen sind in Deutschland rund 29.500 Unternehmen aus 18 Sektoren, grundsätzlich ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz (BSI, NIS-2-Betroffenheit, 2026). Das Gesetz unterscheidet dabei zwei Kategorien mit unterschiedlicher Aufsichtsintensität und unterschiedlichen Bußgeldrahmen.

Besonders wichtige Einrichtungen sind in der Regel große Unternehmen (ab 250 Beschäftigten oder über 50 Mio. € Umsatz) in hochkritischen Sektoren sowie sämtliche KRITIS-Betreiber. Wichtige Einrichtungen umfassen mittelgroße Unternehmen ab 50 Beschäftigten in den regulierten Bereichen. Beide Kategorien müssen die gleichen technischen Maßnahmen umsetzen, nur die Sanktionshöhe und die Kontrolldichte fallen unterschiedlich aus.

Kriterium	Besonders wichtige Einrichtungen	Wichtige Einrichtungen
Größe (Richtwert)	ab 250 Beschäftigten oder > 50 Mio. € Umsatz	ab 50 Beschäftigten oder > 10 Mio. € Umsatz
Typische Beispiele	KRITIS-Betreiber, Energie, Telekommunikation, große IT-Dienstleister	mittelgroße Firmen in den 18 Sektoren
Aufsicht durch das BSI	proaktiv, inklusive Nachweispflichten	reaktiv, anlassbezogen
Bußgeld-Obergrenze	bis 10 Mio. € oder 2 % Weltumsatz	bis 7 Mio. € oder 1,4 % Weltumsatz
Technische Pflichten (§ 30)	identisch	identisch

Zu den 18 Sektoren zählen unter anderem Energie, Transport, Gesundheit, Wasser, digitale Infrastruktur, IT-Dienstleister und Managed-Service-Provider, öffentliche Verwaltung, Ernährung, Chemie sowie Teile des verarbeitenden Gewerbes. Die konkreten Sektoren sind in den Anlagen 1 (Sektoren hoher Kritikalität) und 2 (sonstige kritische Sektoren) des Gesetzes gelistet.

Ob Sie betroffen sind, entscheidet sich an drei Dingen: Sektor, Unternehmensgröße und Ihre Rolle in der Lieferkette. Selbst ein Betrieb, der nicht direkt reguliert ist, kann über die Vertragsanforderungen seiner Kunden in NIS2-Pflichten geraten. Das Stichwort dazu heißt Lieferkettensicherheit.

Diesen Lieferketten-Effekt unterschätzen viele. Ein kleiner Software-Dienstleister mit 30 Mitarbeitenden fällt formal nicht unter NIS2. Beliefert er aber ein Energieunternehmen, verlangt dieser Kunde vertraglich denselben Sicherheitsstandard. So reicht NIS2 weit über den regulierten Kreis hinaus und wird ganz nebenbei zum Wettbewerbsfaktor.

Unsicher, ob Ihr Unternehmen betroffen ist? Eine strukturierte Betroffenheitsprüfung schafft in wenigen Schritten Klarheit.

Welche Pflichten schreibt NIS2 vor?

NIS2 verpflichtet betroffene Einrichtungen zu zehn Bereichen technischer und organisatorischer Risikomanagementmaßnahmen, festgeschrieben in § 30 NIS2UmsuCG (BSI, 2026). Diese Anforderungen entsprechen Artikel 21 der NIS2-Richtlinie. Hinzu kommen Melde-, Registrierungs- und Nachweispflichten. Die wichtigsten Blöcke im Überblick.

Die zehn Risikomanagement-Maßnahmen nach § 30

Der Maßnahmenkatalog ist bewusst technologieoffen und risikobasiert formuliert. Betroffene Einrichtungen müssen mindestens folgende Bereiche abdecken:

1. Konzepte für Risikoanalyse und Sicherheit der Informationssysteme
2. Bewältigung von Sicherheitsvorfällen (Incident Handling)
3. Aufrechterhaltung des Betriebs: Backup, Wiederherstellung, Krisenmanagement
4. Sicherheit der Lieferkette
5. Sicherheit bei Beschaffung, Entwicklung und Wartung, inklusive Schwachstellenmanagement
6. Bewertung der Wirksamkeit der Sicherheitsmaßnahmen
7. Cyberhygiene und Schulungen
8. Kryptografie und Verschlüsselung
9. Personalsicherheit, Zugriffskontrolle und Asset-Management
10. Multi-Faktor-Authentifizierung und gesicherte Kommunikation

Auffällig: Mehrere Punkte, Wirksamkeitsbewertung, Incident Handling, Schwachstellenmanagement, lassen sich gar nicht einmalig „erledigen“. Sie setzen einen laufenden Betrieb voraus. Dazu später mehr.

Die dreistufige Meldepflicht: 24 Stunden, 72 Stunden, ein Monat

Erhebliche Sicherheitsvorfälle sind dem BSI in einer dreistufigen Kette zu melden, beginnend mit einer Frühwarnung innerhalb von 24 Stunden (BSI, NIS-2-Meldepflicht, 2026). Entscheidend ist: Die Frist startet mit der Kenntnis des Vorfalls, nicht mit dem Abschluss der Analyse.

Die Meldung erfolgt in drei Stufen: 24 Stunden (Frühwarnung), 72 Stunden (Folgemeldung mit erster Bewertung) und ein Monat (Abschlussbericht mit Ursachen und Abhilfe).

Wer 24 Stunden ernst nimmt, merkt schnell: Ohne kontinuierliches Monitoring lässt sich diese Frist kaum halten. Ein Vorfall, den niemand bemerkt, kann auch niemand fristgerecht melden.

Registrierung und Nachweispflichten

Betroffene Einrichtungen müssen sich nach § 33 BSIG innerhalb von drei Monaten nach ihrer Identifizierung beim BSI registrieren und eine Kontaktstelle benennen. Die gesetzliche Erstfrist lief am 6. März 2026 ab, drei Monate nach Inkrafttreten. Weil zahlreiche Unternehmen sie verpassten, hat das BSI eine Nachfrist gewährt: Die Registrierung muss nun spätestens bis zum 31. Juli 2026 abgeschlossen sein (IHK/BSI, 2026). Wer bis dahin nicht registriert ist, riskiert ein Bußgeld, handeln Sie also umgehend. Besonders wichtige Einrichtungen können zudem verpflichtet werden, die Umsetzung ihrer Maßnahmen nachzuweisen.

Persönliche Haftung der Geschäftsleitung nach § 38

NIS2 macht Cybersicherheit zur Chefsache, juristisch bindend. Nach § 38 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen persönlich billigen, ihre Umsetzung überwachen und regelmäßig an Cybersicherheitsschulungen teilnehmen (BSI, 2026). Ein Haftungsverzicht per Gesellschaftervertrag oder Satzung ist gesetzlich ausgeschlossen.

Nach § 38 NIS2UmsuCG haftet die Geschäftsleitung persönlich für die Umsetzung der Cybersicherheitsmaßnahmen, dieser Verantwortung kann sie sich vertraglich nicht entziehen (BSI, 2026). Cybersicherheit ist damit endgültig keine reine IT-Frage mehr, sondern eine Führungsaufgabe mit direkter Managementhaftung.

Was kostet ein Verstoß gegen NIS2? Bußgelder und Haftung

Verstöße gegen NIS2 können mit bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist (BSI, 2026). Diese Obergrenze gilt für besonders wichtige Einrichtungen. Für wichtige Einrichtungen liegt der Rahmen bei bis zu 7 Millionen Euro oder 1,4 Prozent des Weltumsatzes.

Doch das eigentliche Risiko ist selten das Bußgeld allein. Ein erfolgreicher Angriff kombiniert Betriebsausfall, Wiederherstellungskosten, Reputationsschaden und mögliche persönliche Haftung der Führung. Zur Erinnerung: 34 Prozent der befragten Unternehmen erlitten 2025 konkrete Schäden durch Ransomware (Bitkom, Wirtschaftsschutz 2025). Die Sanktion ist also nur die Spitze eines deutlich größeren Kostenblocks.

Von der Pflicht zum laufenden Schutz: Warum NIS2 ein Prozess ist, kein Projekt

NIS2 lässt sich nicht dauerhaft „bestehen“, weil die Bedrohungslage nicht stillsteht: 2025 kamen im Schnitt täglich 119 neue Schwachstellen hinzu (BSI, Die Lage der IT-Sicherheit in Deutschland 2025). Ein Sicherheitskonzept, das im Januar sauber war, hat im März schon Lücken. Deshalb verlangt das Gesetz Wirksamkeitsbewertung, Incident Handling und Schwachstellenmanagement, lauter Daueraufgaben.

Der teuerste Denkfehler vieler Umsetzungsprojekte: Sie enden mit dem Audit-Bericht. Ordner zu, zurück zum Tagesgeschäft. Der laufende Schutz beginnt aber erst dort, wo das Compliance-Projekt aufhört.

Woran erkennt man den Unterschied? Ein Projekt fragt: „Erfüllen wir die Anforderungen?“ Ein laufender Schutz fragt: „Würden wir einen Angriff heute überhaupt bemerken, und schnell genug reagieren?“ Die zweite Frage ist ungleich unangenehmer, aber sie ist die richtige.

Ein statisches Sicherheitskonzept veraltet in dem Moment, in dem die nächste Schwachstelle öffentlich wird, und das passiert praktisch jeden Tag. NIS2-Konformität ist deshalb ein Betriebsmodus, kein Zertifikat für die Wand: laufende Überwachung, regelmäßige Wirksamkeitsprüfung, geprobte Meldeketten.

In der Arbeit mit Microsoft-Umgebungen wie Defender, Entra ID und Microsoft 365 zeigt sich dieses Muster immer wieder: Die Werkzeuge sind vorhanden, aber niemand wertet die Signale konsequent aus. Ein Alert, den am Freitagabend niemand sieht, ist kein Schutz, sondern nur ein Protokolleintrag. Laufender Schutz heißt, dass aus Signalen Reaktionen werden, verlässlich und nachvollziehbar.

Damit verschiebt sich auch die strategische Perspektive. Isolierte Verteidigung skaliert schlecht: Jedes Unternehmen kämpft für sich allein gegen dieselben Angreifer. Ein Modell, in dem eine einmal geprüfte Bedrohung sofort viele Beteiligte schützt, liefert die Kontinuität, die NIS2 verlangt, ohne dass jeder Betrieb das Rad neu erfindet.

Wie setzen Unternehmen NIS2 in der Praxis um? Ein Fahrplan in 7 Schritten

Eine strukturierte NIS2-Umsetzung folgt sieben Schritten, vom Kassensturz bis zum Dauerbetrieb. Dieser Fahrplan hilft besonders mittelständischen Einrichtungen, die im BSI-Bericht 2025 im Schnitt nur 56 Prozent der grundlegenden IT-Sicherheitsanforderungen erfüllten (BSI, 2025) und damit den größten Nachholbedarf haben.

1. Betroffenheit klären. Prüfen Sie Sektor, Größe und Lieferkettenrolle. Dokumentieren Sie das Ergebnis, auch ein „nicht betroffen“ gehört belegt.
2. Ist-Zustand aufnehmen. Erfassen Sie Assets, Datenflüsse und vorhandene Maßnahmen. Eine ehrliche Gap-Analyse gegen die zehn Bereiche des § 30 ist die Basis.
3. Governance verankern. Benennen Sie Verantwortliche, holen Sie die Geschäftsleitung an Bord (§ 38) und planen Sie die verpflichtenden Schulungen.
4. Maßnahmen priorisieren. Schließen Sie zuerst die Lücken mit dem höchsten Risiko: Multi-Faktor-Authentifizierung, Backup-Strategie, Zugriffskontrolle.
5. Melde- und Notfallprozess einüben. Definieren Sie die 24-/72-Stunden-Kette und testen Sie sie in einer Übung, bevor der Ernstfall eintritt.
6. Registrierung und Nachweise erledigen. Melden Sie sich beim BSI, benennen Sie die Kontaktstelle und legen Sie die Dokumentation revisionssicher ab.
7. In den Dauerbetrieb überführen. Richten Sie kontinuierliches Monitoring, regelmäßige Wirksamkeitsprüfungen und ein festes Review-Intervall ein.

Der siebte Schritt ist der wichtigste, und der, den die meisten überspringen.

NIS2 im Microsoft-Umfeld umsetzen. Viele NIS2-Anforderungen lassen sich mit vorhandenen Microsoft-Werkzeugen abdecken, wenn die Signale aus Defender, Entra ID und Sentinel konsequent ausgewertet und in Reaktionen übersetzt werden. So entsteht laufender Schutz.

Laufenden NIS2-Schutz gemeinsam betreiben

NIS2 verlangt Kontinuität, doch kaum ein Unternehmen kann rund um die Uhr allein gegen jede neue Bedrohung anlaufen. UnifiedONE verfolgt deshalb einen Community-Ansatz: Eine einmal validierte Bedrohung schützt automatisch alle verbundenen Mitglieder im Netzwerk („Investigate Once. Protect Many.“). Für NIS2-relevante Microsoft-Umgebungen, Defender, Entra ID, Sentinel und Microsoft 365, bedeutet das laufendes Monitoring und gemeinsame Bedrohungsabwehr nach europäischen Datenschutzstandards.

Machen Sie aus Ihrer NIS2-Pflicht laufenden Schutz. Sprechen Sie mit dem UnifiedONE-Team über kontinuierliches Monitoring für Ihre Microsoft-Umgebung.

Häufige Fragen zu NIS2 (FAQ)

Wer ist von NIS2 betroffen?

Betroffen sind in Deutschland rund 29.500 Unternehmen aus 18 Sektoren, in der Regel ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz (BSI, 2026). Das Gesetz unterscheidet besonders wichtige und wichtige Einrichtungen. Über Lieferkettenanforderungen können auch kleinere Zulieferer faktisch betroffen sein.

Wann tritt NIS2 in Deutschland in Kraft?

Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist in Deutschland seit dem 6. Dezember 2025 in Kraft, ohne Übergangsfrist (BSI, 2026). Die Pflichten gelten damit unmittelbar. Die Registrierung beim BSI muss nach der gewährten Nachfrist spätestens bis zum 31. Juli 2026 abgeschlossen sein.

Welche Pflichten schreibt NIS2 konkret vor?

NIS2 fordert zehn Bereiche an Risikomanagementmaßnahmen nach § 30 NIS2UmsuCG, eine dreistufige Meldepflicht (24 Stunden, 72 Stunden, ein Monat), die Registrierung beim BSI sowie die persönliche Verantwortung der Geschäftsleitung nach § 38 (BSI, 2026). Die Maßnahmen reichen von Multi-Faktor-Authentifizierung bis Lieferkettensicherheit.

Was kostet ein Verstoß gegen NIS2?

Bei besonders wichtigen Einrichtungen drohen Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, bei wichtigen Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent (BSI, 2026). Hinzu kommt die persönliche Haftung der Geschäftsleitung, die sich vertraglich nicht ausschließen lässt.

Was bedeutet „laufender Schutz“ bei NIS2?

Laufender Schutz heißt, dass Cybersicherheit kein einmaliges Projekt bleibt, sondern als Dauerbetrieb läuft: kontinuierliches Monitoring, regelmäßige Wirksamkeitsprüfung und ein eingeübter Meldeprozess. Angesichts von durchschnittlich 119 neuen Schwachstellen pro Tag (BSI, 2025) veraltet ein statisches Konzept sonst binnen Wochen.

Was ist der Unterschied zwischen wichtigen und besonders wichtigen Einrichtungen?

Besonders wichtige Einrichtungen sind meist große Unternehmen (ab 250 Beschäftigten oder über 50 Mio. € Umsatz) sowie alle KRITIS-Betreiber. Sie unterliegen proaktiver Aufsicht und Bußgeldern bis 10 Mio. € oder 2 % des Weltumsatzes. Wichtige Einrichtungen (ab 50 Beschäftigten) werden reaktiv beaufsichtigt, mit Bußgeldern bis 7 Mio. € oder 1,4 %. Die technischen Pflichten nach § 30 sind für beide identisch.

Bis wann müssen sich Unternehmen beim BSI registrieren?

Nach § 33 BSIG gilt eine Frist von drei Monaten ab Identifizierung. Die gesetzliche Erstfrist endete am 6. März 2026. Das BSI hat eine Nachfrist gewährt: Die Registrierung muss spätestens bis zum 31. Juli 2026 abgeschlossen sein (BSI, 2026). Wer sie versäumt, riskiert ein Bußgeld.

Gilt NIS2 auch für kleine Unternehmen?

Unternehmen unter 50 Beschäftigten und 10 Mio. € Umsatz fallen meist nicht direkt unter NIS2. Über die Lieferkettenpflicht (§ 30) können sie aber indirekt betroffen sein: Regulierte Kunden verlangen vertraglich denselben Sicherheitsstandard. Zulieferer kritischer Einrichtungen sollten die NIS2-Anforderungen daher ebenfalls erfüllen.

Fazit: NIS2 als Startpunkt für gelebte Cybersicherheit

NIS2 ist in Deutschland seit Dezember 2025 geltendes Recht, mit klaren Pflichten, harten Fristen und persönlicher Managementhaftung. Wer die Richtlinie nur als Checklisten-Übung behandelt, erfüllt bestenfalls den Buchstaben, nicht den Zweck des Gesetzes.

Der eigentliche Gewinn steckt woanders: NIS2 zwingt Unternehmen, Sicherheit endlich als Dauerbetrieb zu denken statt als Projekt mit Enddatum. Die zehn Maßnahmenbereiche, die Meldekette, die Wirksamkeitsprüfung, all das ergibt erst im laufenden Betrieb Sinn. Wer die Pflicht so anlegt, bekommt am Ende mehr als ein bestandenes Audit: Schutz, der auch samstags um drei Uhr nachts funktioniert.

Der nächste Schritt: Prüfen Sie Ihre NIS2-Betroffenheit und starten Sie anschließend mit Schritt 1 des Fahrplans.

Quellen

• Bundesgesetzblatt, Gesetz zur Umsetzung der NIS-2-Richtlinie (NIS2UmsuCG), BGBl. 2025 I Nr. 301, recht.bund.de
• Gesetze im Internet, BSI-Gesetz (BSIG), §§ 28, 30, 33, 38, gesetze-im-internet.de
• BSI, Die Lage der IT-Sicherheit in Deutschland 2025, bsi.bund.de
• Bitkom, Wirtschaftsschutz 2025, bitkom.org
• BSI, NIS-2, regulierte Unternehmen, bsi.bund.de
• BSI, NIS-2-Meldepflicht (24h/72h/1 Monat), bsi.bund.de
• OpenKRITIS, NIS2-Umsetzungsgesetz in Deutschland, openkritis.de