NIS2 in Deutschland: wer betroffen ist, welche Pflichten gelten und was nachzuweisen ist

29. Juli 2026

Das Wichtigste in Kürze

Betroffen sind achtzehn Sektoren ab in der Regel 50 Beschäftigten oder 10 Mio. € Umsatz - die Einstufung müssen Sie selbst vornehmen
Artikel 21 verlangt keine Dokumente, sondern wirksame Maßnahmen und ein Verfahren, das die Wirksamkeit bewertet
Die Meldekette läuft in 24 Stunden, 72 Stunden und einem Monat - ab Kenntnis, nicht ab Behebung
Die Geschäftsleitung billigt, überwacht und haftet; Schulungspflicht gilt auch für sie
Als Zulieferer erreicht Sie NIS2 meist zuerst über den Fragebogen eines Kunden

NIS2 wird in vielen Unternehmen als Dokumentationsaufgabe verstanden: ein paar Richtlinien schreiben, ein Verzeichnis pflegen, fertig. Das ist die teuerste mögliche Fehleinschätzung. Die Richtlinie verlangt wirksame Maßnahmen - und ausdrücklich ein Verfahren, das prüft, ob sie wirken. Ein Ordner mit Richtlinien beantwortet diese Frage nicht.

Dieser Artikel ordnet ein, wer betroffen ist, welche Pflichten aus Artikel 21 folgen, wie die Meldefristen laufen, was die Geschäftsleitung persönlich betrifft, welcher Bußgeldrahmen gilt - und welcher Teil davon sich technisch nachweisen lässt.

Was NIS2 ist und wie es in Deutschland gilt

NIS2 ist die Richtlinie (EU) 2022/2555. Sie hat die ursprüngliche NIS-Richtlinie abgelöst, den Kreis der erfassten Sektoren deutlich erweitert und die Pflichten verschärft. Als Richtlinie gilt sie nicht unmittelbar: verbindlich für Sie ist die nationale Umsetzung.

In Deutschland erfolgt diese Umsetzung durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), mit dem das BSI-Gesetz (BSIG) geändert wird. Zuständige Behörde ist das Bundesamt für Sicherheit in der Informationstechnik (BSI).

Praktisch heißt das dreierlei:

Die Pflichten selbst stehen in der Richtlinie und sind in allen Mitgliedstaaten im Kern gleich. Wer international arbeitet, kann sie einmal umsetzen.
Schwellenwerte, Registrierungswege, Fristen und Bußgeldhöhen ergeben sich aus dem nationalen Recht und können abweichen.
Die Einstufung ist eine Selbsteinschätzung. Es kommt kein Bescheid, der Ihnen mitteilt, dass Sie betroffen sind. Sie müssen es selbst feststellen und sich beim BSI registrieren.

Dieser Beitrag ist eine informative Einordnung, keine Rechtsberatung. Den aktuellen Stand der deutschen Umsetzung, Ihre konkrete Einstufung und die für Sie geltenden Fristen klären Sie mit dem BSI und mit rechtlicher Beratung.

Wer betroffen ist

Zwei Bedingungen müssen zusammenkommen: Sektor und Größe.

Sektor. Die Anhänge der Richtlinie nennen achtzehn Sektoren, unter anderem Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, öffentliche Verwaltung, Raumfahrt, Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste und Forschung.

Bemerkenswert ist, wie weit „verarbeitendes Gewerbe“ und „Verwaltung von IKT-Diensten“ reichen: Maschinenbau, Medizinprodukte, Elektronik und praktisch jeder Managed-Service-Provider fallen darunter - für Hersteller vernetzter Produkte heißt das, dass auch die Geräte selbst in den Nachweis gehören, nicht nur die IT dahinter (siehe IoT- und Embedded-Penetrationstests). Viele mittelständische Unternehmen sind erfasst, die sich selbst nicht als kritische Infrastruktur sehen.

Größe. In der Regel gilt die Schwelle ab 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz beziehungsweise Bilanzsumme. Für einige Sektoren - insbesondere Anbieter digitaler Infrastruktur wie DNS-Dienste, Vertrauensdiensteanbieter und TLD-Registries - gelten die Schwellen nicht: dort ist die Tätigkeit selbst das Kriterium.

Unterschieden wird zwischen besonders wichtigen und wichtigen Einrichtungen. Die Pflichten sind weitgehend identisch; der Unterschied liegt in der Aufsichtsintensität und im Bußgeldrahmen. Besonders wichtige Einrichtungen unterliegen einer proaktiven Aufsicht, wichtige Einrichtungen werden anlassbezogen geprüft.

Die Pflichten aus Artikel 21

Artikel 21 Absatz 2 listet zehn Kategorien von Risikomanagementmaßnahmen. Vier davon lassen sich nicht durch Dokumentation erfüllen, sondern nur durch Prüfung:

Anforderung	Was sie praktisch verlangt	Womit sie sich nachweisen lässt
Art. 21 Abs. 2 lit. e) Sicherheit bei Erwerb, Entwicklung und Wartung, einschließlich Schwachstellenmanagement	Schwachstellen werden systematisch gefunden, bewertet und behoben	Laufende Schwachstellenanalyse plus periodischer Test
Art. 21 Abs. 2 lit. f) Verfahren zur Bewertung der Wirksamkeit der Maßnahmen	Es wird gemessen, ob die Maßnahmen einen Angreifer tatsächlich aufhalten	Penetrationstest mit Bericht und Retest
Art. 21 Abs. 2 lit. d) Sicherheit der Lieferkette	Auch Integrationen, APIs und Drittkomponenten sind im Blick	Test der Schnittstellen und der Cloud-Konfiguration
Art. 21 Abs. 2 lit. g) Cyberhygiene und Schulungen	Mitarbeitende erkennen Angriffe und melden sie	Phishing-Simulation mit Vorher-Nachher-Messung und Schulung

Die übrigen Kategorien - Risikoanalyse, Vorfallsbewältigung, Geschäftskontinuität, Kryptografie, Zugriffskontrolle, Mehrfaktor-Authentifizierung - sind überwiegend organisatorisch. Sie sind wichtig, aber sie sind nicht das, was in einer Prüfung am schwersten zu belegen ist.

Der Punkt, den lit. f) macht, ist der entscheidende: Die Richtlinie fragt nicht, ob Sie eine Firewall haben. Sie fragt, ob Sie geprüft haben, dass sie das tut, wofür Sie sie gekauft haben.

Meldepflichten und ihre Fristen

Artikel 23 sieht eine dreistufige Meldekette für erhebliche Sicherheitsvorfälle vor:

Stufe	Frist	Inhalt
Frühwarnung	innerhalb von 24 Stunden	Erste Meldung: Vorfall bekannt, mutmaßlich rechtswidrige Handlung, mögliche grenzüberschreitende Auswirkung
Vorfallsmeldung	innerhalb von 72 Stunden	Aktualisierte Bewertung, Schweregrad, Auswirkungen, soweit bekannt Indikatoren für eine Kompromittierung
Abschlussbericht	innerhalb eines Monats	Ausführliche Beschreibung, Ursache, ergriffene Maßnahmen, grenzüberschreitende Auswirkungen

Zwei Dinge werden hier regelmäßig unterschätzt. Erstens laufen die Fristen ab Kenntniserlangung, nicht ab Behebung - eine Frühwarnung nach 24 Stunden ist zu erstellen, während der Vorfall noch läuft. Zweitens ist die 24-Stunden-Frist keine Aufgabe, die sich improvisieren lässt: Wer meldet, an wen, mit welchen Angaben, wer entscheidet über „erheblich“, wer informiert die Geschäftsleitung. Wenn das erst im Ernstfall geklärt wird, ist die Frist vorbei.

Deshalb kennzeichnen wir in unseren Testberichten Befunde, die im Falle einer Ausnutzung ein meldepflichtiges Ereignis darstellen würden. So lässt sich der Meldeweg an einem konkreten Fall durchspielen, bevor er gebraucht wird.

Was die Geschäftsleitung betrifft

Artikel 20 ist der Teil, der NIS2 von früheren Regelwerken unterscheidet. Die Leitungsorgane müssen die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen, und die Richtlinie sieht eine Verantwortlichkeit für Verstöße vor. Zusätzlich besteht eine Schulungspflicht für die Leitungsorgane selbst, damit sie Risiken beurteilen können.

Praktisch heißt das: Ein Geschäftsführer kann sich nicht darauf zurückziehen, dass die IT zuständig war. Die Billigung muss dokumentiert sein, und sie sollte sich auf etwas Prüfbares stützen - ein Testbericht mit Befunden, Maßnahmenplan und Retest ist genau das.

Bußgelder

Artikel 34 der Richtlinie setzt den Rahmen:

Besonders wichtige Einrichtungen: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
Wichtige Einrichtungen: bis zu 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes.

Hinzu kommen aufsichtsrechtliche Maßnahmen: Anweisungen, verbindliche Auflagen, die Anordnung von Sicherheitsaudits und die Veröffentlichung von Verstößen. Die konkreten Beträge und Verfahren ergeben sich aus der nationalen Umsetzung.

Wenn Sie Zulieferer sind

Der häufigste Weg, auf dem NIS2 ein Unternehmen erreicht, ist kein Behördenschreiben, sondern ein Fragebogen eines Kunden. Artikel 21 Absatz 2 lit. d) verpflichtet betroffene Einrichtungen zur Sicherheit ihrer Lieferkette, und diese Anforderung wird vertraglich weitergereicht.

Für Sie als Zulieferer bedeutet das: Sie sind vielleicht nicht direkt reguliert, aber Sie müssen dieselben Nachweise vorlegen können - sonst verlieren Sie den Auftrag an jemanden, der es kann. Ein aktueller Testbericht mit Retest-Bestätigung beantwortet dabei mehr Fragen des Fragebogens als jede Selbstauskunft.

Wo Sie anfangen

Einstufung klären. Sektor und Größenschwelle prüfen, Ergebnis dokumentieren - auch ein begründetes „nicht betroffen“ ist ein brauchbares Ergebnis.
Registrierung. Falls betroffen, beim BSI registrieren.
Lückenanalyse gegen Artikel 21. Zehn Kategorien, ehrlich bewertet. Was existiert, was existiert nur auf dem Papier, was fehlt.
Meldeprozess aufsetzen und üben. Die 24-Stunden-Frist entscheidet sich an der Vorbereitung.
Wirksamkeit prüfen. Penetrationstest mit Bericht, Maßnahmenplan und Retest - das ist der Nachweis für lit. f) und zugleich der Beleg, auf den die Geschäftsleitung ihre Billigung stützen kann.
Wiederholen. Mindestens jährlich und nach jeder wesentlichen Änderung.

Wenn Sie bereits nach ISO 27001 zertifiziert sind, haben Sie einen großen Teil davon abgedeckt - aber nicht alles. Wo genau der Unterschied liegt, gehen wir im Artikel ISO 27001 und NIS2 durch.

NIS2 in Deutschland - häufige Fragen

Wer ist in Deutschland von NIS2 betroffen?

Betroffen sind Einrichtungen aus den achtzehn in den Anhängen der Richtlinie (EU) 2022/2555 genannten Sektoren, die die Größenschwellen überschreiten - in der Regel ab 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz beziehungsweise Bilanzsumme. Unterschieden wird zwischen besonders wichtigen und wichtigen Einrichtungen; für einige Sektoren wie Anbieter digitaler Infrastruktur gelten die Schwellen nicht. Die Einstufung ist eine Selbsteinschätzung, die die Einrichtung selbst vornehmen muss.

Verlangt NIS2 ausdrücklich einen Penetrationstest?

Nicht wörtlich. Artikel 21 Absatz 2 lit. e) verlangt Sicherheit bei Erwerb, Entwicklung und Wartung einschließlich Schwachstellenmanagement, und lit. f) verlangt Konzepte und Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen. Ein Penetrationstest ist der etablierte Weg, diese Wirksamkeitsbewertung zu erzeugen, und in der Praxis das, was Auditoren und Aufsichtsbehörden als Nachweis erwarten.

Welche Meldefristen gelten bei einem Sicherheitsvorfall?

Artikel 23 der Richtlinie sieht eine dreistufige Meldekette vor: eine Frühwarnung innerhalb von 24 Stunden nach Kenntnis des erheblichen Vorfalls, eine Vorfallsmeldung mit erster Bewertung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats. Zuständige Stelle in Deutschland ist das BSI. Die Fristen laufen ab Kenntniserlangung, nicht ab Behebung - deshalb muss der Meldeweg vorher geübt sein.

Welche Bußgelder drohen bei Verstößen?

Artikel 34 der Richtlinie sieht für besonders wichtige Einrichtungen Geldbußen von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vor, je nachdem welcher Betrag höher ist, und für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent. Hinzu kommen aufsichtsrechtliche Maßnahmen. Die konkrete Ausgestaltung ergibt sich aus der nationalen Umsetzung.

Was bedeutet NIS2 für die Geschäftsleitung persönlich?

Artikel 20 der Richtlinie verpflichtet die Leitungsorgane, die Risikomanagementmaßnahmen zu billigen und ihre Umsetzung zu überwachen, und sieht eine Verantwortlichkeit für Verstöße vor. Zusätzlich müssen die Mitglieder der Leitungsorgane an Schulungen teilnehmen. Cybersicherheit ist damit ausdrücklich keine rein delegierbare IT-Aufgabe mehr.

Gilt NIS2 auch für uns als Zulieferer?

Direkt nur, wenn Sie selbst Sektor und Größenschwelle erfüllen. Indirekt sehr wahrscheinlich: Artikel 21 Absatz 2 lit. d) verpflichtet betroffene Einrichtungen zur Sicherheit der Lieferkette, weshalb sie diese Anforderungen vertraglich an ihre Dienstleister weitergeben. In der Praxis erreicht die Regulierung viele Unternehmen zuerst als Fragebogen eines Kunden und nicht als Behördenschreiben.

Menü