Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz. Rund 29.500 Unternehmen sind betroffen — viele wissen es nicht. Prüfen Sie es in drei Schritten.
Was ist NIS2?
Die EU-Richtlinie NIS2 (Network and Information Security) verpflichtet Unternehmen in kritischen Sektoren zu Mindeststandards bei der IT-Sicherheit. In Deutschland wurde sie mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) umgesetzt, das am 6. Dezember 2025 ohne Übergangsfrist in Kraft getreten ist. Zuständige Behörde ist das BSI.
Neu ist vor allem die Reichweite: Statt einiger Hundert KRITIS-Betreiber sind nun rund 29.500 Unternehmen erfasst — darunter viele Mittelständler, IT-Dienstleister, Hersteller und Gesundheitseinrichtungen.
Wer ist betroffen?
Entscheidend sind Sektor und Größe:
| Mittleres Unternehmen (ab 50 Mitarbeitende oder > 10 Mio. € Umsatz und Bilanz) | Großunternehmen (ab 250 Mitarbeitende oder > 50 Mio. € Umsatz und > 43 Mio. € Bilanz) | |
|---|---|---|
| Sektoren mit hoher Kritikalität (Energie, Verkehr, Banken, Gesundheit, Wasser, digitale Infrastruktur, IT-Dienstleister/MSP …) | wichtige Einrichtung | besonders wichtige Einrichtung |
| Sonstige kritische Sektoren (Post, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste, Forschung) | wichtige Einrichtung | wichtige Einrichtung |
Unabhängig von der Größe erfasst sind u. a. DNS-Diensteanbieter, TLD-Register, qualifizierte Vertrauensdiensteanbieter und Betreiber kritischer Anlagen (KRITIS).
Welche Pflichten gelten?
- Registrierung beim BSI — die Frist ist inzwischen abgelaufen; wer betroffen ist, sollte sich umgehend registrieren.
- Risikomanagementmaßnahmen nach § 30 BSIG — von Backup und Notfallplan über Zugriffskontrolle und MFA bis zur Lieferkettensicherheit.
- Meldepflichten bei erheblichen Sicherheitsvorfällen: 24 Stunden / 72 Stunden / 1 Monat.
- Verantwortung der Geschäftsleitung inklusive Schulungspflicht und persönlicher Haftung.
- Bußgelder bis 10 Mio. € bzw. 2 % des Jahresumsatzes (besonders wichtige) oder 7 Mio. € bzw. 1,4 % (wichtige Einrichtungen).
Nicht betroffen — und jetzt?
Auch kleine Unternehmen spüren NIS2: Betroffene Kunden müssen ihre Lieferkette absichern und fragen zunehmend nach Nachweisen. Und die Grundmaßnahmen — Firewall, Multi-Faktor-Authentifizierung, getestete Backups, Updates — schützen jedes Unternehmen vor Ransomware.
Hinweis: Dieser Check ist eine vereinfachte Ersteinschätzung und keine Rechtsberatung. Maßgeblich sind das BSIG und die Betroffenheitsprüfung des BSI.