NIS-2 / NIS2UmsuCG / BSI-Gesetz

Ein Maschinenbauunternehmen mit 300 Beschäftigten geht davon aus, mit kritischer Infrastruktur nichts zu tun zu haben. Fällt seine Tätigkeit jedoch unter die in Anlage 2 BSIG erfasste Herstellung von Maschinen nach NACE-Abteilung 28, kann es aufgrund seiner Größe als wichtige Einrichtung den neuen Cybersicherheitspflichten unterliegen.

Und diese Fehleinschätzung ist in der Praxis besonders relevant. NIS-2 betrifft nicht nur klassische Betreiber kritischer Infrastrukturen.

Der Gesetzgeber rechnet mit rund 29.500 betroffenen Einrichtungen in Deutschland. Zum Ablauf der gesetzlichen Registrierungsfrist am 6. März 2026 waren rund 11.500 registriert. Bis zum 31. Juli 2026 stieg die Zahl nach Angaben des BSI auf mehr als 19.000.

Wer betroffen ist, welche Pflichten seit Dezember 2025 gelten und welche Fristen bereits abgelaufen sind, zeigt der folgende Überblick.

NIS-2 und NIS2UmsuCG einfach erklärt

Die NIS-2-Richtlinie – Richtlinie (EU) 2022/2555 – ist der europäische Rahmen für ein einheitlich hohes Cybersicherheitsniveau. Sie löst die frühere NIS-Richtlinie ab, erweitert den Kreis der regulierten Sektoren erheblich und verschärft Anforderungen an Risikomanagement, Meldewesen und Aufsicht. Als Richtlinie gilt sie nicht unmittelbar, sondern muss national umgesetzt werden.

In Deutschland geschieht das durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG). Es ist ein Artikelgesetz und schafft keinen eigenen Pflichtenkatalog, sondern ändert bestehende Gesetze. Kern ist das vollständig neu gefasste BSI-Gesetz (BSIG). Die materiellen Pflichten stehen dort, was in der Praxis für Verwirrung sorgt: Eine Suche nach dem „NIS2-Gesetz" läuft ins Leere, maßgeblich sind die §§ 28 ff. BSIG.

Das Gesetz vom 2. Dezember 2025 wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet und trat am 6. Dezember 2025 in Kraft. Deutschland lag damit über ein Jahr hinter der europäischen Umsetzungsfrist vom 17. Oktober 2024.

Der Ansatz ist ein anderer als im Datenschutzrecht. Geschützt wird nicht in erster Linie die einzelne Person, sondern die Funktionsfähigkeit von Versorgung, Wirtschaft und Verwaltung. Cybersicherheit wird dabei ausdrücklich zur Leitungsaufgabe erklärt und ist nicht als reine IT-Angelegenheit delegierbar.

Der Handlungsdruck ist messbar. Der Handlungsdruck bleibt hoch. Nach der Bitkom-Studie Wirtschaftsschutz 2026 waren 67 Prozent der befragten Unternehmen nachweislich von Datendiebstahl, Industriespionage oder Sabotage betroffen; weitere 29 Prozent vermuteten entsprechende Angriffe. Bitkom beziffert den Gesamtschaden auf 211 bis 270,8 Milliarden Euro. Auf Cyberattacken entfallen davon 160,4 bis 205,8 Milliarden Euro.

Welche Unternehmen sind von NIS-2 betroffen?

Die Betroffenheit ergibt sich aus zwei Kriterien, die kumulativ vorliegen müssen: die Zugehörigkeit zu einer Einrichtungsart nach Anlage 1 oder Anlage 2 des BSIG und das Erreichen bestimmter Größenschwellen.

Grundsätzlich richtet sich die Größenberechnung nach der KMU-Empfehlung 2003/361/EG. Daten von Partner- oder verbundenen Unternehmen bleiben allerdings unberücksichtigt, wenn die betreffende Einrichtung unter Würdigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände insbesondere hinsichtlich ihrer IT-Systeme, Komponenten und Prozesse unabhängig ist.

Praxishinweis zur Vernachlässigbarkeitsregel:

Nach § 28 Abs. 3 BSIG können Geschäftstätigkeiten unberücksichtigt bleiben, die gemessen an der gesamten Geschäftstätigkeit vernachlässigbar sind. Das Gesetz definiert nicht, was vernachlässigbar bedeutet. Wer eine Tätigkeit als vernachlässigbar einstuft, sollte die zugrunde liegenden Kriterien und Erwägungen dokumentieren, damit die Einordnung gegenüber dem BSI nachvollziehbar begründet werden kann.

Auch nicht unmittelbar betroffene Unternehmen spüren die Regulierung. Sicherheit der Lieferkette gehört zum Pflichtenkatalog, weshalb regulierte Kunden ihre Anforderungen vertraglich weitergeben. Für viele Zulieferer entsteht die Pflicht faktisch über den Vertrag statt über das Gesetz.

Welche NIS-2-Pflichten müssen Unternehmen erfüllen?

Registrierung beim BSI

Besonders wichtige und wichtige Einrichtungen müssen sich nach § 33 Abs. 1 BSIG spätestens drei Monate, nachdem sie erstmals oder erneut als solche gelten, beim BSI registrieren. Übermittelt werden unter anderem Name und Rechtsform, Anschrift und Kontaktdaten, öffentliche IP-Adressbereiche, der einschlägige Sektor sowie die Mitgliedstaaten, in denen Dienste erbracht werden.

Für Unternehmen, die bereits bei Inkrafttreten betroffen waren, lief die Frist am 6. März 2026 ab. Wer die Schwellen später überschreitet, hat ab diesem Zeitpunkt drei Monate. Die Frist ist damit kein einmaliges Datum, sondern eine dauerhafte Pflicht. Änderungen der gemeldeten Angaben sind unverzüglich, spätestens innerhalb von zwei Wochen zu aktualisieren.

Für Einrichtungen, die bereits bei Inkrafttreten des Gesetzes erfasst waren, endete die gesetzliche Dreimonatsfrist am 6. März 2026. Das BSI kommunizierte anschließend gegenüber Wirtschaftsverbänden, dass ausstehende Registrierungen bis zum 31. Juli 2026 nachgeholt werden sollten. Eine Verlängerung der gesetzlichen Frist war damit nicht verbunden. Wer die Registrierung erst danach vornimmt, hat die ursprüngliche Frist bereits versäumt.

Für bestimmte grenzüberschreitende digitale Einrichtungsarten enthält § 34 BSIG eine besondere Registrierungspflicht. Dort beträgt die Aktualisierungsfrist bei Änderungen grundsätzlich drei Monate, nicht zwei Wochen.

Risikomanagement nach § 30 BSIG

Betroffene Einrichtungen müssen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen ergreifen. Der Maßstab ist risikobasiert und berücksichtigt Risikoexposition, Größe der Einrichtung, Umsetzungskosten sowie Eintrittswahrscheinlichkeit, Schwere und gesellschaftliche Auswirkungen möglicher Vorfälle.

Der Mindestkatalog umfasst:

• Konzepte für Risikoanalyse und Sicherheit in der Informationstechnik
• Bewältigung von Sicherheitsvorfällen
• Aufrechterhaltung des Betriebs, insbesondere Backup-Management, Wiederherstellung und Krisenmanagement
• Sicherheit der Lieferkette einschließlich der Beziehungen zu Dienstleistern
• Sicherheit bei Erwerb, Entwicklung und Wartung informationstechnischer Systeme, einschließlich Schwachstellenmanagement
• Verfahren zur Bewertung der Wirksamkeit der Maßnahmen
• Cyberhygiene und Schulungen im Bereich Cybersicherheit
• Konzepte für Kryptografie und Verschlüsselung
• Personalsicherheit, Konzepte für Zugriffskontrolle und Verwaltung von Anlagen
• Multi-Faktor-Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gesicherte Notfallkommunikation

Die Umsetzung ist zu dokumentieren. Ein bestehendes Managementsystem nach ISO/IEC 27001 oder BSI-Grundschutz deckt einen großen Teil ab, ist aber nicht deckungsgleich. Ergänzungsbedarf besteht typischerweise beim gesetzlichen Meldeprozess, beim Geltungsbereich und bei der Nachweisführung gegenüber dem BSI.

Meldepflichten nach § 32 BSIG

Bei einem erheblichen Sicherheitsvorfall greift eine gestufte Meldekette an die gemeinsame Meldestelle von BSI und BBK.

Die 24 Stunden sind der eigentliche organisatorische Prüfstein. Sie laufen ab Kenntniserlangung, nicht ab dem nächsten Werktag. Ohne geübten Meldeprozess mit klarer Rufbereitschaft und definierter Entscheidungskompetenz wird diese Frist im Ernstfall verfehlt.

Für besonders wichtige und wichtige Einrichtungen aus bestimmten Sektoren – darunter Finanzwesen, digitale Infrastruktur, IKT-Dienstemanagement und digitale Dienste – bestehen bei erheblichen Cyberbedrohungen zusätzliche Informationspflichten gegenüber potenziell betroffenen Empfängern. Voraussetzung ist die in § 35 Abs. 2 BSIG vorgesehene Interessenabwägung.

BSI-Aufsicht und Nachweispflichten unter NIS-2

Betreiber kritischer Anlagen müssen die Umsetzung ihrer Maßnahmen dem BSI nach § 39 BSIG regelmäßig durch Audits, Prüfungen oder Zertifizierungen nachweisen, im Grundsatz alle drei Jahre. Besonders wichtige und wichtige Einrichtungen unterliegen keiner turnusmäßigen Nachweispflicht, das BSI kann aber Nachweise anfordern, Prüfungen anordnen und selbst prüfen.

Die Aufsichtsintensität ist abgestuft. Bei besonders wichtigen Einrichtungen darf das BSI proaktiv tätig werden, bei wichtigen Einrichtungen im Grundsatz anlassbezogen, also bei Hinweisen auf Verstöße. Bei der Auswahl soll das BSI risikoorientiert vorgehen.

Pflichten der Geschäftsleitung nach § 38 BSIG

§38 BSIG ist die Vorschrift mit dem größten Geschäftsbezug. Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Verletzt die Geschäftsleitung ihre Pflichten nach § 38 Abs. 1 BSIG schuldhaft und entsteht der Einrichtung dadurch ein Schaden, richtet sich ihre Haftung grundsätzlich nach den für die jeweilige Rechtsform geltenden gesellschaftsrechtlichen Vorschriften. Nur soweit diese keine entsprechende Haftungsregel enthalten, greift die ergänzende Haftungsregel des § 38 Abs. 2 BSIG.

Ein gesetzlich festgelegtes Schulungsintervall gibt es nicht. Ein gesetzlich festgelegter Mindestumfang besteht nicht. Als Orientierung werden durchschnittlich etwa vier Stunden genannt. Häufigkeit und Umfang der Schulungen sind risikobasiert festzulegen. 

NIS-2-Bußgelder und Sanktionen nach § 65 BSIG

Der Bußgeldrahmen des § 65 BSIG ist nach Einrichtungskategorie und Tatbestand gestaffelt.

Neben Bußgeldern kann das BSI unter anderem Prüfungen und Audits anordnen, Mängelbeseitigungsmaßnahmen verlangen und Informations- oder Veröffentlichungspflichten auferlegen. Bei besonders wichtigen Einrichtungen kommen bei fortgesetzter Nichtbefolgung als letztes Mittel weitergehende fachaufsichtliche Maßnahmen in Betracht.

Hinzu kommt die zivilrechtliche Innenhaftung der Geschäftsleitung nach § 38 Abs. 2 BSIG.

Typische NIS-2-Fehler und Compliance-Risiken

Die Umsetzungslücke ist erheblich. In der Gesetzesfolgenabschätzung wurde modellhaft angenommen, dass rund 17 Prozent der betroffenen Unternehmen bereits ausreichende Maßnahmen umsetzen. Grundlage war eine eco-Befragung aus dem Jahr 2023, in der sich 17 Prozent der Befragten als sehr gut gegen Cyberangriffe aufgestellt einschätzten. Die Zahl ist daher keine aktuelle Messung der NIS-2-Compliance im Jahr 2026.

Die Registrierungszahlen von Mitte 2026 – rund 18.500 gegenüber etwa 29.500 erwarteten Einrichtungen – deuten darauf hin, dass ein erheblicher Teil der Wirtschaft die eigene Betroffenheit noch nicht geklärt hat.

 Unerkannte Betroffenheit

Der häufigste Fehler ist die Annahme, NIS-2 betreffe nur klassische Versorger. Anlage 2 erfasst weite Teile der Industrie, darunter Maschinenbau, Kfz- und Fahrzeugbau, Elektro- und Optikindustrie, Chemie, Lebensmittel und Forschung. Auch Managed Service Provider und Rechenzentrumsdienstleister fallen darunter.

 Fehlender Meldeprozess

Die 24-Stunden-Frist setzt voraus, dass ein Vorfall überhaupt zeitnah erkannt, als erheblich bewertet und an eine entscheidungsbefugte Stelle eskaliert wird. Fehlt einer dieser Schritte, ist die Frist praktisch nicht einzuhalten.

 Lieferkette und Dienstleister

Sicherheit der Lieferkette ist ausdrücklich Teil des Pflichtenkatalogs. Wer Kernprozesse ausgelagert hat, muss Sicherheitsanforderungen vertraglich verankern und deren Einhaltung prüfen können. Umgekehrt geraten Zulieferer über Kundenanforderungen unter Druck, auch ohne selbst betroffen zu sein.

 Verhältnis zu anderen Regelwerken

Mehrfachregulierung ist die Regel, nicht die Ausnahme. Für Finanzunternehmen, die in den Anwendungsbereich von DORA fallen, verdrängen die sektorspezifischen DORA-Regelungen zentrale BSIG-Pflichten. § 28 Abs. 6 BSIG enthält hierzu ausdrückliche Ausnahmen. Wer Anforderungen nicht abgleicht, baut Strukturen doppelt auf oder übersieht Lücken.

 Abgrenzung zur DSGVO

Ein Sicherheitsvorfall kann zugleich eine Datenschutzverletzung sein. Dann laufen zwei Meldeprozesse parallel: 24 Stunden an das BSI nach § 32 BSIG und 72 Stunden an die Datenschutzaufsicht nach Art. 33 DSGVO, jeweils mit eigenen Schwellen und Adressaten. Die Erheblichkeitsschwelle des BSIG knüpft an Betriebsstörung und Auswirkungen an, die der DSGVO an das Risiko für die Rechte und Freiheiten natürlicher Personen. Ein einheitlicher Vorfallprozess, der beide Bewertungen abbildet, vermeidet Fristverletzungen.

Risiken im Überblick

• Nicht geprüfte oder falsch eingeschätzte Betroffenheit
• Versäumte Registrierung und fehlende Aktualisierung der Angaben
• Undokumentierte Berufung auf die Vernachlässigbarkeitsregel
• Fehlender oder ungeübter Meldeprozess für die 24-Stunden-Frist
• Managementsystem ohne passenden Geltungsbereich
• Ungeprüfte Sicherheitsanforderungen in der Lieferkette
• Geschäftsleitung ohne dokumentierte Schulung
• Parallele Melde- und Dokumentationspflichten aus DSGVO, DORA und Sektorrecht
• Bußgelder und Aufsichtsmaßnahmen des BSI
• Persönliche Innenhaftung der Geschäftsleitung
• Betriebsunterbrechung und Vertragsstrafen nach einem Vorfall
• Verlust von Aufträgen, wenn Nachweise gegenüber regulierten Kunden fehlen

SBS LEGAL – Kanzlei für IT-Recht und Compliance-Recht

SBS LEGAL berät Unternehmen zu den rechtlichen Anforderungen im Bereich IT-Recht und Compliance-Recht, insbesondere zu NIS-2, dem BSI-Gesetz und den damit verbundenen Cybersicherheitspflichten. Im Mittelpunkt stehen dabei unter anderem die rechtliche Prüfung der NIS-2-Betroffenheit, Pflichten der Geschäftsleitung und regulatorische Anforderungen an Unternehmen.

NIS-2-Betroffenheit und BSIG-Pflichten rechtssicher einordnen

Ob ein Unternehmen als wichtige oder besonders wichtige Einrichtung einzustufen ist, hängt von Branche, Tätigkeit, Unternehmensgröße und möglichen gesetzlichen Sonderregelungen ab. SBS LEGAL unterstützt Unternehmen bei der rechtlichen Einordnung nach § 28 BSIG sowie bei Fragen zu Registrierung, Risikomanagement, Meldepflichten, Lieferkettenanforderungen und Geschäftsleiterverantwortung. Dabei können bestehende Compliance-, Datenschutz- und Informationssicherheitsstrukturen in die rechtliche Bewertung einbezogen und Schnittstellen zu Regelwerken wie DSGVO und DORA berücksichtigt werden.

Der Erstkontakt zu SBS LEGAL ist kostenlos.