Häufige Fragen zu NIS2

In der Regel nicht. NIS2 greift ab 50 Mitarbeitern oder 10 Mio. Euro Jahresumsatz und 10 Mio. Euro Bilanzsumme. Es gibt aber Ausnahmen: Bestimmte Einrichtungen sind unabhängig von ihrer Größe betroffen — darunter DNS-Diensteanbieter, TLD-Registrierungen, qualifizierte Vertrauensdiensteanbieter sowie Anbieter öffentlicher Telekommunikationsnetze. Auch wer als Zulieferer für eine betroffene Einrichtung arbeitet, bekommt die Anforderungen vertraglich weitergereicht, ohne selbst unter das Gesetz zu fallen.

Drei Fragen entscheiden: Fällt Ihre Tätigkeit in einen der 18 NIS2-Sektoren? Erreichen Sie die Schwellenwerte bei Mitarbeitern, Umsatz und Bilanzsumme? Und greift eine der größenunabhängigen Sonderregeln? Der kostenlose Betroffenheitscheck führt Sie in etwa fünf Minuten durch genau diese Prüfung und nennt auch die wahrscheinliche Einstufung. Dokumentieren Sie das Ergebnis schriftlich — die Einstufung ist eine Pflichtangabe bei der BSI-Registrierung.

Die Einstufung ergibt sich aus Sektor und Größe und bestimmt Aufsichtsregime und Bußgeldrahmen. Besonders wichtige Einrichtungen sind ab 250 Mitarbeitern oder 50 Mio. Euro Umsatz betroffen und unterliegen proaktiver Aufsicht durch das BSI; ihnen drohen bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes. Wichtige Einrichtungen beginnen bei 50 Mitarbeitern oder 10 Mio. Euro Umsatz, werden nur anlassbezogen geprüft und riskieren bis zu 7 Mio. Euro oder 1,4 %. Die inhaltlichen Pflichten nach § 30 BSIG sind für beide Kategorien identisch.

Das NIS2UmsuCG erfasst 18 Sektoren. Zu den Sektoren mit hoher Kritikalität zählen Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienstleistungsmanagement, öffentliche Verwaltung und Weltraum. Hinzu kommen sonstige kritische Sektoren: Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe (u. a. Medizinprodukte, Elektronik, Maschinenbau, Fahrzeugbau), digitale Dienste und Forschung. Eine Übersicht mit Zuordnung finden Sie unter NIS2-Sektoren.

Direkt nur dann, wenn der Zulieferer selbst in einem NIS2-Sektor tätig ist und die Schwellenwerte erreicht. Indirekt trifft es deutlich mehr Unternehmen: Betroffene Einrichtungen müssen nach § 30 Abs. 2 BSIG die Sicherheit ihrer Lieferkette steuern und geben Anforderungen vertraglich weiter — etwa Meldepflichten bei Vorfällen, Nachweise zum Sicherheitsniveau und Auditrechte. Wer für einen betroffenen Kunden arbeitet, sollte sich darauf einstellen, auch ohne eigene Betroffenheit.

Für die Größenbestimmung wird das Unternehmen als wirtschaftliche Einheit betrachtet, Partner- und verbundene Unternehmen werden also anteilig beziehungsweise vollständig einbezogen. Eine 30-Personen-Tochter eines Konzerns mit 4.000 Beschäftigten ist damit in aller Regel betroffen. Maßgeblich für die Zuständigkeit in Deutschland ist die Niederlassung: Unternehmen mit Sitz oder Hauptniederlassung in Deutschland unterliegen dem NIS2UmsuCG und dem BSI.

Nein, aber Sie haben einen erheblichen Vorsprung. Ein bestehendes ISMS nach ISO 27001 deckt große Teile der zehn Maßnahmenbereiche des § 30 BSIG ab. NIS2 verlangt darüber hinaus explizit die BSI-Registrierung, die gesetzlichen Meldefristen von 24 und 72 Stunden, nachweisbare Schulungen der Geschäftsleitung und die Steuerung der Lieferkette. Eine Zertifizierung ersetzt die gesetzliche Pflicht nicht, verkürzt aber die Gap-Analyse deutlich.

Ja, Einrichtungen der öffentlichen Verwaltung sind ein eigener NIS2-Sektor. Für den Bund gelten die Anforderungen unmittelbar. Für Länder und Kommunen hängt die Umsetzung von den jeweiligen Landesgesetzen ab, da die Länder eigene Regelungen erlassen. Kommunale Unternehmen wie Stadtwerke oder Klinikverbünde sind dagegen meist bereits über ihren Fachsektor — Energie, Trinkwasser, Gesundheit — direkt erfasst.

Vier Blöcke: Risikomanagement nach § 30 BSIG mit verhältnismäßigen Maßnahmen in zehn Bereichen; Meldepflichten nach § 32 BSIG mit Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden und Abschlussbericht nach einem Monat; Registrierung beim BSI nach § 33 BSIG; und Geschäftsleiterpflichten nach § 38 BSIG, also Überwachung der Umsetzung, Teilnahme an Schulungen und persönliche Haftung.

Risikoanalyse und Sicherheitskonzepte; Bewältigung von Sicherheitsvorfällen; Business Continuity und Krisenmanagement; Sicherheit der Lieferkette; Sicherheit bei Beschaffung, Entwicklung und Wartung; Verfahren zur Bewertung der Wirksamkeit der Maßnahmen; Cyberhygiene und Schulungen; Kryptografie und Verschlüsselung; Personalsicherheit und Zugriffskontrolle; sowie Multi-Faktor-Authentifizierung und gesicherte Kommunikation. Der Maßstab ist Verhältnismäßigkeit: Umfang und Tiefe richten sich nach Risikoexposition, Größe und Umsetzungskosten.

Die NIS2-Richtlinie (EU) 2022/2555 ist am 16. Januar 2023 in Kraft getreten, gilt aber nicht direkt für Unternehmen. Maßgeblich ist das deutsche NIS2-Umsetzungsgesetz (NIS2UmsuCG), das am 6. Dezember 2025 in Kraft getreten ist. Seitdem gelten die Pflichten unmittelbar.

Nein. Risikomanagement, Meldeprozesse und Geschäftsleiterschulungen gelten seit Inkrafttreten ohne Übergangsfrist. Nur die BSI-Registrierung hatte eine eigene Frist von drei Monaten und lief bis März 2026. Wer noch nicht registriert ist, sollte das unverzüglich nachholen — die Registrierung ist zugleich technische Voraussetzung dafür, Vorfälle überhaupt melden zu können.

Ja, jede betroffene Einrichtung muss sich nach § 33 BSIG im BSI-Meldeportal registrieren. Benötigt werden Unternehmensdaten, der einschlägige Sektor, die Einstufung als besonders wichtige oder wichtige Einrichtung, eine ständig erreichbare Kontaktstelle für Sicherheitsvorfälle sowie die IP-Bereiche und Domains der betriebenen Dienste. Halten Sie die Kontaktstelle aktuell — an sie richtet das BSI seine Rückfragen im Ernstfall.

Das Gesetz nennt keine abschließende Dokumentenliste, verlangt aber Nachweisbarkeit gegenüber dem BSI. In der Praxis brauchen Sie: eine dokumentierte Betroffenheitseinstufung, eine Risikoanalyse mit Behandlungsplan, Sicherheitsrichtlinien, einen Incident-Response-Plan mit Meldeprozess, Business-Continuity- und Notfallpläne, Nachweise über Schulungen inklusive Geschäftsleitung, Lieferantenverträge mit Sicherheitsanforderungen sowie Belege für die Wirksamkeitsprüfung der Maßnahmen.

§ 30 BSIG verlangt Verfahren zur Bewertung der Wirksamkeit — ohne feste Frequenz. Etabliert hat sich ein jährlicher Review-Zyklus für Risikoanalyse und Richtlinien, ergänzt um anlassbezogene Prüfungen nach jedem erheblichen Sicherheitsvorfall, größeren IT-Änderungen oder neuen Bedrohungslagen. Halten Sie fest, wann geprüft wurde und was daraus folgte; genau danach wird eine Aufsichtsprüfung fragen.

Ja, das ist eine ausdrückliche und nicht delegierbare Pflicht nach § 38 BSIG. Die Geschäftsleitung muss die Umsetzung der Risikomanagementmaßnahmen billigen und überwachen und dafür regelmäßig an Schulungen teilnehmen, um Risiken bewerten zu können. Dokumentieren Sie Teilnahme, Datum und Inhalt — ohne Nachweis lässt sich im Haftungsfall schwer belegen, dass die Sorgfaltspflicht erfüllt wurde.

Drei gestufte Fristen nach § 32 BSIG: 24 Stunden für die Frühwarnung nach Kenntnisnahme, 72 Stunden für die eigentliche Meldung mit erster Bewertung, und ein Monat für den Abschlussbericht mit Ursachenanalyse und ergriffenen Maßnahmen. Dauert die Bewältigung länger, ist ein Fortschrittsbericht fällig und der Abschlussbericht folgt einen Monat nach Abschluss.

Erheblich ist ein Vorfall, der schwerwiegende Betriebsstörungen oder finanzielle Verluste verursachen kann oder andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigen kann. Praktische Beispiele: Ransomware mit Produktionsausfall, Datenabfluss in nennenswertem Umfang, Ausfall eines kritischen Dienstes, erfolgreiche Kompromittierung eines Administratorkontos. Im Zweifel gilt: lieber melden — eine Meldung ohne Erheblichkeit ist folgenlos, eine unterlassene Meldung ist bußgeldbewehrt.

Ja. Die Fristen laufen kalendarisch ab Kenntnisnahme, nicht in Werktagen. Ein Freitagabend entdeckter Vorfall muss bis Samstagabend als Frühwarnung beim BSI liegen. Deshalb gehören eine benannte Rufbereitschaft, hinterlegte Zugangsdaten zum BSI-Portal und eine vorbereitete Meldevorlage zum Incident-Response-Plan — im Ernstfall fehlt die Zeit, das erst zu organisieren.

Nein, die Pflichten bestehen nebeneinander und haben unterschiedliche Adressaten. Sind bei einem Vorfall personenbezogene Daten betroffen, melden Sie binnen 72 Stunden nach Art. 33 DSGVO an die zuständige Datenschutzaufsicht und nach § 32 BSIG an das BSI — mit der zusätzlichen 24-Stunden-Frühwarnung. Ein gemeinsamer Meldeprozess, der beide Wege parallel auslöst, verhindert, dass unter Zeitdruck eine der beiden Meldungen untergeht.

Für besonders wichtige Einrichtungen bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu 7 Mio. Euro oder 1,4 % — es gilt jeweils der höhere Betrag. Bei 600 Mio. Euro Umsatz kann das Bußgeld für eine besonders wichtige Einrichtung also bis zu 12 Mio. Euro betragen. Hinzu kommen mögliche Anordnungen der Aufsicht und die persönliche Haftung der Geschäftsleitung.

Ja. § 38 BSIG verpflichtet die Geschäftsleitung, die Risikomanagementmaßnahmen zu billigen und ihre Umsetzung zu überwachen; bei Pflichtverletzung haftet sie nach den allgemeinen gesellschaftsrechtlichen Regeln gegenüber dem Unternehmen. Die Pflicht ist nicht delegierbar — Sie können die Durchführung an die IT übertragen, die Überwachungsverantwortung bleibt bei der Geschäftsleitung. Details unter Geschäftsführerhaftung.

Teilweise. D&O-Policen decken typischerweise Vermögensschäden aus Pflichtverletzungen von Organen ab, schließen aber vorsätzliches Handeln und in vielen Fällen Bußgelder aus — Geldbußen sind in Deutschland regelmäßig nicht versicherbar. Wer sich absichern will, sollte die Police gezielt auf Cyber- und Compliance-Pflichten prüfen lassen. Der wirksamere Schutz bleibt die dokumentierte Erfüllung der Sorgfaltspflicht.

Das BSI ist die zuständige Aufsichtsbehörde. Bei besonders wichtigen Einrichtungen kann es proaktiv prüfen — durch Vor-Ort-Prüfungen, Sicherheitsaudits und Nachweisanforderungen, auch ohne konkreten Anlass. Wichtige Einrichtungen werden reaktiv geprüft, also nach Vorfällen oder Hinweisen. Das BSI kann außerdem Anordnungen erlassen, Fristen zur Mängelbeseitigung setzen und bei besonders wichtigen Einrichtungen die Abberufung von Leitungspersonen verlangen.

Handeln Sie nachweisbar und dokumentiert. Es gibt keine Amnestie, aber die Aufsicht berücksichtigt Art, Schwere und Dauer des Verstoßes sowie ergriffene Abhilfemaßnahmen. Priorität hat, was ohne Aufsichtsanlass sichtbar wird: BSI-Registrierung nachholen, Meldeprozess mit erreichbarer Kontaktstelle etablieren, Gap-Analyse und Maßnahmenplan mit Terminen dokumentieren. Ein belegter Umsetzungsplan wirkt im Ernstfall deutlich anders als ein leeres Blatt.

Das hängt vom Reifegrad ab, nicht von der Mitarbeiterzahl allein. Wer bereits ein ISMS, Backup-Konzept und Notfallpläne hat, kommt oft mit interner Arbeitszeit und punktuellen Ergänzungen aus. Wer bei null startet, muss mit einem Projekt über mehrere Monate rechnen, dessen größter Posten interne Personalzeit ist — gefolgt von technischen Maßnahmen wie MFA, Monitoring und Backup-Härtung. Eine detaillierte Aufschlüsselung finden Sie im Artikel NIS2 Kosten.

Realistisch sind vier bis sechs Monate bis zu einem belastbaren Grundniveau, wenn parallel das Tagesgeschäft läuft. Schnell umsetzbar sind Registrierung, Meldeprozess und Verantwortlichkeiten. Zeit kosten die Gap-Analyse über alle zehn Maßnahmenbereiche, das Nachziehen technischer Maßnahmen und der Aufbau der Dokumentation. Da die Pflichten bereits gelten, zählt weniger das Enddatum als ein dokumentierter, priorisierter Plan.

Nicht zwingend. Betroffenheitsprüfung, Gap-Analyse und Maßnahmenplanung lassen sich intern strukturiert erledigen, wenn jemand die Verantwortung übernimmt und die Anforderungen sauber übersetzt sind. Externe Unterstützung lohnt sich bei komplexen Konzernstrukturen, bei technischen Spezialthemen und bei der Vorbereitung auf eine Aufsichtsprüfung. Wer intern vorarbeitet, braucht anschließend weniger und gezieltere Beratungstage.

In dieser Reihenfolge: Betroffenheit und Einstufung klären und dokumentieren; Verantwortlichkeiten benennen und die Geschäftsleitung einbinden; BSI-Registrierung erledigen; Meldeprozess mit erreichbarer Kontaktstelle aufsetzen; Gap-Analyse über alle zehn Maßnahmenbereiche; daraus einen priorisierten Maßnahmenplan mit Terminen und Verantwortlichen. Die ausführliche Fassung steht in der NIS2-Compliance-Checkliste.

NIS2 ist ein Querschnittsthema und braucht zwei Rollen. Die Geschäftsleitung trägt die nicht delegierbare Überwachungsverantwortung nach § 38 BSIG. Für die operative Umsetzung braucht es eine benannte Person — häufig IT-Leitung, CISO oder Informationssicherheitsbeauftragter — mit Mandat, Budget und direktem Berichtsweg zur Geschäftsleitung. Fehlt dieser Berichtsweg, scheitert die Umsetzung meist nicht an der Technik, sondern an der Priorisierung.