Informations- und Kommunikationstechnik

NIS-2: Neue Vorgaben zur Verbesserung der Cyber-Sicherheit

Zur Stärkung des Schutzes wichtiger Infrastrukturen gegen IT-Störungen und Cyberangriffe hat die Europäische Union 2023 die NIS-2-Richtlinie eingeführt. Geschätzt bundesweit ca. 30.000 Unternehmen sind davon seit spätestens 18.10.2024 betroffen und müssen IT-Sicherheitsmaßnahmen umsetzen und Vorfälle melden.
Mit den neuen Regelungen wird die Zahl der Unternehmen in Deutschland, die künftig Registrierungs-, Nachweis- und Meldepflichten gegenüber dem BSI zu erfüllen haben, deutlich zunehmen. Es wird bundesweit knapp 30.000 betroffenen Unternehmen gerechnet. Dabei erfolgt eine Kategorisierung in „wichtige“ und „besonders wichtige“ Einrichtungen, die in den Fokus der Richtlinie rücken.

Wer ist betroffen?

NIS-2 umfasst nun auch mittlere und große Unternehmen in Sektoren wie Energie, Verkehr, Bankwesen, Gesundheitswesen, digitale Infrastruktur und öffentliche Verwaltung. Somit müssen mehr Unternehmen Maßnahmen zur Cybersicherheit ergreifen, um den neuen Anforderungen zu entsprechen. Ob Unternehmen gemäß §28 betroffen sind, müssen diese eigenständig prüfen. Sie werden nicht automatisch dazu informiert.
Kriterien sind:
Hinzu kommen spezielle IT-Einrichtungen wie beispielsweise qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries oder DNS-Diensteanbieter. Gegebenenfalls kann das BSI auch eine Betroffenheit anordnen.
Die IHK-Organisation hat im Mai 2024 in einem Positionspapier Stellung bezogen. Eine Forderung der IHK-Organisation wurde inzwischen erfüllt: Mit der „NIS-2-Betroffenheitsprüfung“ bietet das BSI das zentrale Werkzeug zur Prüfung, ob ein Unternehmen voraussichtlich von der nationalen Umsetzung der NIS-2-RL in Deutschland erfasst sein wird an.

Was müssen betroffene Unternehmen tun?

Wird eine Betroffenheit festgestellt, bestehen diverse Pflichten, die insbesondere von der Einstufung („wichtig“ oder „besonders wichtig“) abhängen.
Zahlreiche Fragen zu NIS-2 beantwortet das BSI in einem FAQ-Katalog.

Aktueller Stand

Den Gesetzentwurf zur Umsetzung in deutsches Recht hat das Bundeskabinett am 24. Juli 2024 verabschiedet. Für die Wirtschaft spielt dabei insbesondere das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz des Bundes eine Rolle.
Informationen zum aktuellen Stand bis zur Verkündung und Gültigkeit finden Sie hier.

Wichtige Information: NIS‑2 – Registrierungspflicht beim BSI bis 31. Juli 2026

Mit dem Inkrafttreten des neuen BSI-Gesetzes am 6. Dezember 2025 wurde die europäische NIS‑2-Richtlinie in deutsches Recht umgesetzt. Ziel ist es, die Cybersicherheit deutlich zu stärken – insbesondere bei Unternehmen mit hoher Bedeutung für Wirtschaft, Versorgung und Gesellschaft. Betroffene Unternehmen müssen sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren.
Die Registrierung hätte ursprünglich bis zum 6. März 2026 erfolgen müssen. Das BSI geht davon aus, dass ein erheblicher Teil der betroffenen Unternehmen noch nicht registriert ist. Laut BSI muss die Registrierung nun spätestens bis zum 31. Juli 2026 abgeschlossen sein.
Wir empfehlen Unternehmen, die Betroffenheit zu prüfen und die Einschätzung zu dokumentieren. Zudem empfehlen wir, sich beim BSI-Portal zu registrieren, was noch nicht die NIS-2 Registrierung bedeutet, sondern den grundsätzlichen Zugang zu Angeboten des BSI wie die Allianz für Cybersicherheit. Die NIS-2 Registrierung kann dort erfolgen, muss aber nicht.

Im Detail, was sollten Sie jetzt konkret tun?

1. Prüfen und dokumentieren Sie umgehend Ihre NIS2-Betroffenheit
  • Nutzen Sie die BSI-FAQ und Betroffenheitsprüfung.
  • Ziehen Sie ggf. rechtliche Beratung hinzu.
  • Sowohl bei Registrierung als auch bei Nicht‑Betroffenheit ist eine Dokumentation der Entscheidung wichtig als Nachweis gegenüber dem BSI.
2. Starten Sie die Registrierung im BSI‑Portal: https://portal.bsi.bund.de/
  • Diese Registrierung ermöglicht den Zugriff auf das BSI-Portal und ist nicht die eigentliche NIS-2-Registrierung. Im BSI-Portal selbst wird neben einigen weiteren Angeboten (z. B. Beitritt zur „Allianz für Cybersicherheit“) die eigentliche NIS-2 Registrierung optional angeboten.
  • Die Registrierung selbst erfolgt über das Unternehmenskonto (MUK) mit ELSTER‑Zertifikat. Sie benötigen dafür die Steuernummer der jeweiligen juristischen Person und Kontaktdaten eines Ansprechpartners. Per Briefpost erhält das Unternehmen nach dem Abschicken einen Aktivierungscode. Achtung: Dieser Brief wird nicht an den Ansprechpartner verschickt, sondern an die Elster-Kontaktadresse des Unternehmens (Buchhaltung, Personalabteilung etc.). Gibt man den Aktivierungscode ein, erhält der Ansprechpartner per Mail das für Logins nötige Zertifikat.
  • Wichtig: Jede juristische Person muss sich separat registrieren
3. Klären Sie vorab intern Verantwortlichkeiten
  • Wer ist zuständig für die Registrierung im BSI-Portal und die interne Zuteilung von Berechtigungen?
    Der Ansprechpartner der erstmaligen Registrierung ist der Verwalter für alle nachfolgenden Registrierungen. Die Registrierungen sind an den jeweils genannten Ansprechpartner gebunden.
  • Wer verwaltet wie die ELSTER-Zertifikate und die zugehörigen Passwörter des Unternehmens?
    Falls die Verantwortung bei einzelnen Personen liegt, sollten sichere Passwörter verwendet und in einem Passwort‑Safe gespeichert werden.

Weiterführende Informationen

Wir informieren Sie zu allen Themen rund um NIS 2. Als Einstieg können die DIHK-Webinare zur NIS2-Umsetzung dienen.