Seit dem 6. Dezember 2025 ist das NIS2-Umsetzungsgesetz in Kraft. Es hat das BSI-Gesetz (BSIG) grundlegend neu gefasst und den Kreis der regulierten Unternehmen in Deutschland stark erweitert. Statt einiger Tausend Betreiber kritischer Infrastrukturen sind nun auch viele mittlere Unternehmen in zahlreichen Sektoren erfasst, von Energie und Gesundheit über Logistik und Lebensmittel bis zu digitalen Diensten und Teilen der verarbeitenden Industrie. Zehn Monate nach dem Start sollten die Grundlagen stehen. Dieser Beitrag fasst zusammen, wo Unternehmen jetzt stehen sollten.
Sind Sie betroffen?
Das Gesetz unterscheidet besonders wichtige und wichtige Einrichtungen. Entscheidend sind zwei Fragen: Sind Sie in einem der aufgeführten Sektoren tätig, und erreichen Sie die Größenschwelle? Grob gilt, dass mittlere Unternehmen ab 50 Beschäftigten oder mit mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme erfasst sein können. Für einige Dienste, etwa bestimmte digitale Infrastruktur, gilt das Gesetz unabhängig von der Größe. Die Einstufung nimmt jede Einrichtung selbst vor. Eine Bestätigung durch das BSI gibt es nicht. Halten Sie Ihre Einschätzung deshalb schriftlich mit Begründung fest.
Registrierung nach § 33 BSIG
Betroffene Einrichtungen müssen sich beim BSI registrieren, und zwar spätestens drei Monate, nachdem sie erstmals unter das Gesetz fallen. Für alle, die schon beim Inkrafttreten erfasst waren, endete diese Frist am 6. März 2026. Weil sich deutlich weniger Unternehmen gemeldet hatten als erwartet, rief das BSI dazu auf, die Registrierung bis Ende Juli 2026 nachzuholen. Auch dieser Termin ist verstrichen.
Wer bis heute nicht registriert ist, sollte das ohne weiteren Aufschub erledigen. Die Registrierung läuft über das BSI-Portal. Voraussetzung ist ein Zugang über „Mein Unternehmenskonto“, das auf einem ELSTER-Zertifikat aufbaut. Planen Sie dafür einige Tage ein, weil Zugangsdaten teils per Post kommen. Ändern sich die gemeldeten Angaben, etwa die Kontaktstelle, müssen Sie das dem BSI zeitnah mitteilen.
Maßnahmen nach § 30 BSIG
Kern des Gesetzes sind angemessene Maßnahmen des Risikomanagements. § 30 nennt zehn Bereiche, die mindestens abzudecken sind. In eigenen Worten zusammengefasst:
- Konzepte zur Risikoanalyse und zur Sicherheit der Informationssysteme
- Bewältigung von Sicherheitsvorfällen
- Aufrechterhaltung des Betriebs, Backup und Wiederherstellung, Krisenmanagement
- Sicherheit der Lieferkette
- Sicherheit bei Beschaffung, Entwicklung und Wartung, einschließlich Umgang mit Schwachstellen
- Bewertung der Wirksamkeit der Maßnahmen
- Cyberhygiene und Schulungen
- Kryptographie und Verschlüsselung
- Personalsicherheit, Zugriffskontrolle und Verwaltung von Anlagen
- Multi-Faktor-Authentifizierung und gesicherte Kommunikation
Angemessen heißt: Die Maßnahmen sollen zum Risiko, zur Größe der Einrichtung und zu den Kosten passen und den Stand der Technik berücksichtigen. Das Gesetz schreibt keine Zertifizierung vor. Im Ernstfall müssen Sie aber belegen können, was Sie umgesetzt haben.
Meldepflichten nach § 32 BSIG
Erhebliche Sicherheitsvorfälle sind dem BSI in drei Stufen zu melden: eine erste Meldung innerhalb von 24 Stunden, nachdem Sie Kenntnis erlangt haben, eine ausführlichere Meldung innerhalb von 72 Stunden und ein Abschlussbericht spätestens einen Monat nach dieser Meldung. Diese Fristen sind nur zu halten, wenn vorher feststeht, wer entscheidet, ob ein Vorfall erheblich ist, wer meldet und wer vertritt. Eine Meldekette, die erst im Vorfall entworfen wird, kommt zu spät.
Pflichten der Geschäftsleitung nach § 38 BSIG
§ 38 richtet sich direkt an die Leitung. Sie muss die Maßnahmen nach § 30 umsetzen und deren Umsetzung überwachen. Außerdem müssen die Mitglieder der Geschäftsleitung regelmäßig an Schulungen teilnehmen, damit sie Risiken erkennen und Maßnahmen beurteilen können. Die Aufgabe lässt sich nicht vollständig an die IT abgeben. Verletzt die Leitung ihre Pflichten schuldhaft, kann sie gegenüber der Einrichtung haften. Dokumentieren Sie deshalb Entscheidungen, Berichte an die Leitung und Schulungsnachweise.
Prioritäten für die nächsten Wochen
- Einstufung prüfen und dokumentieren. Mit Begründung, Sektor und Größenmerkmalen.
- Registrierung nachholen oder Angaben prüfen. Stimmen Kontaktstelle und Daten noch?
- Meldekette festlegen und üben. Zuständige, Vertretungen, Kriterien für Erheblichkeit, Vorlagen für die drei Meldestufen.
- Lückenanalyse zu § 30. Wo stehen Sie in den zehn Bereichen? Was fehlt, kommt mit Termin und Verantwortlichen in einen Maßnahmenplan.
- Leitung einbinden. Regelmäßige Berichte, dokumentierte Entscheidungen und eine erste Schulung der Geschäftsleitung.
Was das für Sie bedeutet
Wenn Sie betroffen sind, gelten die Pflichten bereits. Registrierung und Meldekette haben Vorrang, weil hier Fristen laufen und Versäumnisse bußgeldbewehrt sind. Danach folgt die schrittweise Umsetzung der Maßnahmen. Wer bereits ein ISMS nach ISO 27001 betreibt, hat viel davon schon erledigt und ergänzt vor allem Registrierung, Meldewege und die Rolle der Leitung.
In Sightadel sind die Maßnahmen nach § 30 in Prüfpunkte gegliedert, die Meldekette liegt als Vorlage bereit, und Beschlüsse und Schulungen der Leitung halten Sie als Nachweis fest. Mehr auf der Seite zu NIS2. Selbst ausprobieren: 14 Tage kostenlos testen. Für die rechtliche Einschätzung Ihres Einzelfalls ziehen Sie bitte Ihre Rechtsberatung hinzu.
Stand: 7. Oktober 2026 · Keine Rechtsberatung. Maßgeblich sind Norm bzw. Gesetz in der geltenden Fassung.
