NIS2-Compliance ist in Deutschland kein Entwurf mehr. Seit dem 6. Dezember 2025 gilt NIS2 als bindendes nationales Recht: Organisationen qualifizieren sich nach § 28 BSIG als besonders wichtige oder wichtige Einrichtungen, je nach Sektor und Größe, müssen sich innerhalb von drei Monaten beim BSI registrieren, und eine allgemeine Übergangsfrist gibt es nicht.
Was das NIS2UmsuCG geändert hat
Das NIS2UmsuCG setzt die Richtlinie (EU) 2022/2555 in deutsches Recht um, rund 14 Monate nach Ablauf der EU-Frist am 17. Oktober 2024. Verkündet im BGBl. 2025 I Nr. 301, trat es am 6. Dezember 2025 ohne allgemeine Übergangsfrist in Kraft; die Pflichten gelten unverzüglich. In der Praxis spricht man vom BSIG n. F., dem neu gefassten Gesetz über das Bundesamt für Sicherheit in der Informationstechnik.
Der Umfang ist die eigentliche Veränderung: Eine über Handelsblatt und das IDW-Knowledge-Paper berichtete BSI-Schätzung beziffert die Zahl regulierter Einrichtungen auf rund 29.500, nach rund 4.500 im KRITIS-Zeitalter.
Wer ist von NIS2 in Deutschland betroffen?
Den Umfang regelt § 28 BSIG, und er unterscheidet zwei regulierte Kategorien plus eine Restgruppe. Keine Behörde verkündet die Einordnung: Das BSI benachrichtigt keine Organisation, jede Einrichtung bewertet ihre Betroffenheit selbst (BSI-FAQ).
Besonders wichtige Einrichtungen (§ 28 Abs. 1) umfassen Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter sowie Betreiber von Top-Level-Domain-Registern und DNS-Dienstanbieter, jeweils unabhängig von der Größe; Telekommunikationsanbieter ab 50 Beschäftigten oder mit Umsatz und Bilanzsumme jeweils über 10 Millionen Euro; und alle übrigen Anlage-1-Einrichtungen ab 250 Beschäftigten oder mit einem Umsatz über 50 Millionen Euro und einer Bilanzsumme über 43 Millionen Euro.
Wichtige Einrichtungen (§ 28 Abs. 2) umfassen nicht qualifizierte Vertrauensdiensteanbieter, kleine Telekommunikationsanbieter (weniger als 50 Beschäftigte und höchstens 10 Millionen Euro) sowie alle übrigen Einrichtungen mit Tätigkeit nach Anlage 1 oder Anlage 2 ab 50 Beschäftigten oder mit Umsatz und Bilanzsumme jeweils über 10 Millionen Euro. Unterhalb beider Schwellen liegen die sonstigen Einrichtungen; auch sie prüfen ihre Betroffenheit selbst.
Anlage 1 nennt sieben Sektorengruppen: Energie, Verkehr, Finanzen, Gesundheit, Wasser, digitale Infrastruktur und Weltraum. Anlage 2 ergänzt Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, Fertigung, digitale Anbieter und Forschung, oft zu 18 Sektoren verdichtet. Das Gesundheitswesen zeigt, wie weit das Netz reicht: Apotheken gelten als Anbieter von Gesundheitsdienstleistungen, und eine Schätzung der Bundesärztekammer bringt rund 800 MVZ und 200 Verbandspraxen neu in den Anwendungsbereich.
Zwei Grenzregeln sind wichtig: § 28 Abs. 3 lässt vernachlässigbare Geschäftstätigkeiten außer Betracht, und § 28 Abs. 6 nimmt vollständig DORA-regulierte Finanzunternehmen aus den Kernpflichten heraus. Betreiber kritischer Anlagen beachten außerdem das KRITIS-Dachgesetz, das parallel mit eigenen Fristen gilt: unser Artikel zum KRITIS-Dachgesetz.
Müssen Sie sich noch registrieren, obwohl die Frist am 6. März 2026 abgelaufen ist?
Ja, und hier stehen viele Einrichtungen heute. § 33 BSIG verlangt die Registrierung innerhalb von drei Monaten, nachdem eine Einrichtung erstmals besonders wichtig oder wichtig geworden ist. Das Portal ist seit dem 6. Januar 2026 live, die gesetzliche Frist für bereits erfasste Einrichtungen lief am 6. März 2026 ab. In der Fachkommunikation war von einer Nachfrist bis zum 31. Juli 2026 die Rede. Ob man dieses Fenster mitrechnet oder nicht: Die Pflicht ist nicht erloschen.
Die nachgeholte Registrierung bleibt verpflichtend und separat sanktionierbar, mit Bußgeldern bis 500.000 Euro, und § 33 Abs. 3 erlaubt dem BSI, die Registrierung selbst zu ersetzen, wenn eine Einrichtung untätig bleibt. Die Reihenfolge ändert sich nicht: Betroffenheit nach § 28 prüfen, dokumentieren, registrieren, Portaldaten aktuell halten. Unsere Bereitschaftscheckliste stellt zehn Fragen, die den echten Stand offenlegen.
Die Kernpflichten nach den §§ 28 bis 32 BSIG
§ 30 BSIG verankert das Risikomanagement: Einrichtungen müssen verhältnismäßige technische und organisatorische Maßnahmen treffen, um die Verfügbarkeit, Integrität und Vertraulichkeit der Systeme zu schützen, mit denen sie ihre Dienstleistungen erbringen. § 30 Abs. 2 nennt zehn Mindestmaßnahmenbereiche: Risikoanalyse und IT-Sicherheitskonzepte; Incident-Handling; Geschäftskontinuität, Backup und Krisenmanagement; Sicherheit in der Lieferkette; Sicherheit bei Beschaffung, Entwicklung und Wartung einschließlich Schwachstellenbehandlung; Wirksamkeitsbewertung; Schulung und Sensibilisierung; Kryptografiekonzepte; Personalsicherheit, Zugriffskontrolle und Asset-Management; Mehrfaktor-Authentifizierung und gesicherte Kommunikation. § 30 Abs. 1 Satz 3 ergänzt eine Dokumentationspflicht, die das BSI mit dem Rechenschaftsgrundsatz nach Art. 5 Abs. 2 DSGVO vergleicht. Maßnahmen, die existieren, aber nicht nachgewiesen werden können, lassen diese Pflicht unerfüllt.
§ 32 BSIG ergänzt die Meldepflicht: Erhebliche Vorfälle müssen über ein stufenweises Verfahren mit festen Fristen das BSI erreichen; Einzelheiten in unserem Artikel zu den NIS2-Meldefristen.
Die Aufsicht unterscheidet sich nach Kategorie: § 61 BSIG sieht für besonders wichtige Einrichtungen eine proaktive Aufsicht vor, § 62 eine reaktive für wichtige Einrichtungen, die ihre Maßnahmen schon vor jedem Vorfall nachweisen können müssen; Dokumentationsbereitschaft ist keine Formsache.
Welche Bußgelder und welche Haftung der Geschäftsleitung bringt NIS2?
§ 65 BSIG setzt den Bußgeldrahmen. Kernverstöße, darunter Fehler beim Risikomanagement und bei der Meldepflicht, tragen Obergrenzen von 10 Millionen Euro für besonders wichtige und 7 Millionen Euro für wichtige Einrichtungen; bei weltweitem Jahresumsatz über 500 Millionen Euro greift zusätzlich ein umsatzbezogener Rahmen, maßgeblich ist der höhere Betrag (§ 65 Abs. 6 und 7). Die versäumte Registrierung liegt in einer eigenen Stufe mit Bußgeldern bis 500.000 Euro.
§ 38 BSIG macht aus der Aufsicht persönliche Verantwortung. Die Geschäftsleitung muss die Maßnahmen nach § 30 umsetzen und überwachen und regelmäßig selbst an Schulungen teilnehmen (§ 38 Abs. 3). Die Haftung folgt dem allgemeinen Gesellschaftsrecht: Organmitglieder haften für schuldhaft verursachte Schäden. Cybersicherheit ist ein Tagesordnungspunkt der Geschäftsführung mit namentlich benannten Verantwortlichen, kein delegiertes IT-Thema.
Personalsicherheit als Teil des Risikomanagements
Die Systeme, die § 30 Abs. 1 schützt, lassen sich am leichtesten von Menschen schädigen, die legitimen Zugriff haben. Deshalb verlangt § 30 Abs. 2 Nr. 9 Konzepte für die Sicherheit des Personals, für die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen: Personal ist ein eigener Risikovektor.
Operativ bedeutet die Pflicht, Menschen zu prüfen, bevor Zugriff gewährt wird, und die Prüfungstiefe an der Zugriffsstufe auszurichten: Need-to-know und geringste Berechtigung sind die Bezugspunkte, Rollenwechsel und Austritte Teil des Konzepts. Soweit die Durchführungsverordnung (EU) 2024/2690 nach § 30 Abs. 3 BSIG gilt, konkretisiert Anlage Punkt 10 sie: Einstellungsbedingungen, Überprüfung des Personals, Umgang mit Beendigungen einschließlich fortgeltender Vertraulichkeitspflichten und ein dokumentierter Disziplinarprozess. Erwägungsgrund 22 ist die zitierfähige Basis der Union für Hintergrundprüfungen: Zuverlässigkeitsprüfungen können das Führungszeugnis oder die bisherige Berufsausübung einbeziehen, soweit es die Aufgaben erfordern.
Die Hintergrundüberprüfung ist die beweisproduzierende Maßnahme: Registerdaten, Sanktionslisten, Adverse Media und Beschäftigungshistorie aus öffentlichen Quellen, abgeschlossen mit menschlicher Endprüfung. Indicium strukturiert diesen Schritt mit datierten Quellen und menschlicher Finalprüfung, damit die Entscheidung dokumentiert und überprüfbar ist. Screening bleibt eine verhältnismäßige Maßnahme innerhalb einer Konzeptpflicht, kein Automatismus für jede Beschäftigte; es entspricht ISO/IEC 27001:2022 A.6.1, arbeitsvertragliche Regelungen A.6.2, der Austrittsprozess A.6.5.
Wie tief die Prüfung im Einzelfall gehen sollte, steht in unserem Artikel zur Personalsicherheit nach § 30 BSIG.
Häufige Fragen
Bin ich von NIS2 betroffen, und welcher Sektor gilt für mein Unternehmen?
Betroffen ist, wer in einem Sektor nach Anlage 1 oder Anlage 2 BSIG tätig ist und die Schwellenwerte des § 28 erreicht. Für wichtige Einrichtungen liegt die Marke bei 50 Beschäftigten oder Umsatz und Bilanzsumme jeweils über 10 Millionen Euro; höhere Schwellen und mehrere größenunabhängige Kategorien, darunter Betreiber kritischer Anlagen und DNS-Anbieter, ergeben den Rang besonders wichtig. Jede Einrichtung prüft ihre Betroffenheit selbst.
Ab wie vielen Mitarbeitern gilt NIS2?
Die 50-Beschäftigte-Marke ist der häufigste Auslöser: Mit einer Tätigkeit nach Anlage 1 oder Anlage 2 macht sie eine Einrichtung zur wichtigen Einrichtung, auch ohne den Umsatz. Ab 250 Beschäftigten in einer Anlage-1-Tätigkeit oder mit einem Umsatz über 50 Millionen Euro und einer Bilanzsumme über 43 Millionen Euro zählt die Einrichtung als besonders wichtig. Mehrere Kategorien zählen unabhängig von der Beschäftigtenzahl.
Muss ich mich noch beim BSI registrieren, obwohl die Frist am 6. März 2026 abgelaufen ist?
Ja. Die gesetzliche Frist vom 6. März 2026 ist verstrichen, die beschriebene Nachfrist lief am 31. Juli 2026 aus, aber die nachgeholte Registrierung bleibt verpflichtend und separat sanktionierbar, mit Bußgeldern bis 500.000 Euro. § 33 Abs. 3 erlaubt dem BSI zudem, die Registrierung zu ersetzen. Registrieren Sie jetzt und dokumentieren Sie die Betroffenheitsprüfung nach § 28.
Gilt NIS2 auch für Banken und Versicherer trotz DORA?
Finanzunternehmen, die vollständig unter DORA reguliert sind, sind nach § 28 Abs. 6 BSIG von den Kernpflichten ausgenommen, konkret von den §§ 30, 31, 32, 35, 36, 38 und 39; ihre Personalsicherheit folgt den eigenen DORA-Regeln. Einrichtungen außerhalb des vollen DORA-Anwendungsbereichs, darunter Betreiber kritischer Anlagen, Gesundheitseinrichtungen und Energieunternehmen, bleiben im BSIG.
Dieser Beitrag gibt eine allgemeine Orientierung zu NIS2 und ersetzt keine Rechtsberatung; für eine verbindliche Einschätzung Ihrer Pflichten wenden Sie sich an qualifizierten Rechtsbeistand.