NIS-2-Richtlinie: Sind Sie betroffen? Jetzt prüfen und registrieren

Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz. Es verpflichtet rund 30.000 Unternehmen, sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) zu registrieren, Sicherheitsvorfälle zu melden und Risikomanagementmaßnahmen umzusetzen.
Wichtig: Die gesetzliche Registrierungsfrist endete am 6. März 2026, die Nachfrist des BSI am 31. Juli 2026 1216. Wer noch nicht registriert ist, sollte dies jetzt nachholen.

Hintergrund

NIS steht für „Network and Information Security" (Netz- und Informationssicherheit). Die EU-Richtlinie NIS-2 ist die Nachfolgerin der NIS-1-Richtlinie und schafft einen einheitlichen Mindeststandard für Cybersicherheit in allen Mitgliedstaaten. In Deutschland wurde sie durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) umgesetzt, das das BSI-Gesetz ergänzt. Der Gesetzestext im Bundesgesetzblatt ist öffentlich verfügbar.

Sind Sie betroffen?

Betroffen sind nicht nur klassische KRITIS-Betreiber. Durch die sogenannte Size-Cap-Regel fallen auch viele mittelständische Unternehmen aus Industrie, Produktion, Logistik, Gesundheitswirtschaft oder digitalen Diensten darunter.
Die Prüfung erfolgt in zwei Schritten:
  1. Branche: Ihr Sektor steht in Anhang I (hohe Kritikalität, z. B. Energie, Gesundheit, Verkehr) oder Anhang II (weitere kritische Sektoren).
  2. Größe: Es genügt jeweils ein erfülltes Kriterium.
Kriterium Wichtige Einrichtung Besonders wichtige Einrichtung
Mitarbeitende ab 50 ab 250
Jahresumsatz über 10 Mio. € über 50 Mio. €
Jahresbilanz über 10 Mio. € über 43 Mio. €
Insgesamt geht es um rund 25.000 wichtige und 5.000 bis 10.000 besonders wichtige Einrichtungen. Auch Zulieferer und Dienstleister direkter Betroffener können indirekt betroffen sein. Sicherheit in der Lieferkette (BSI)
Pflicht ist die Betroffenheitsprüfung: NIS-2-Betroffenheitsprüfung des BSI

Was ist zu tun?

  1. Nutzerkonto anlegen: Anmeldung bei Mein Unternehmenskonto (MUK) (Link bitte prüfen). Das Konto basiert auf ELSTER-Organisationszertifikaten, die oft schon in Steuerverfahren genutzt werden. Das BSI empfiehlt, es bis Ende 2025 anzulegen.
  2. Registrierung im BSI-Portal: Mit dem MUK-Konto. Das Portal ist seit dem 6. Januar 2026 freigeschaltet und dient auch als Meldestelle für erhebliche Sicherheitsvorfälle.
  3. Pflichten umsetzen und dokumentieren:
    • Risikomanagement und Informationssicherheits-Managementsystem (ISMS) aufbauen
    • Erhebliche Sicherheitsvorfälle zeitnah an das BSI melden
  4. Cyberangriffe anzeigen: bei der örtlichen Polizei. Die Zentrale Ansprechstelle Cybercrime (ZAC) des LKA Niedersachsen kann hinzugezogen oder direkt kontaktiert werden.

Verantwortung und Sanktionen

  • Die Geschäftsleitung trägt die Verantwortung, persönlich haftend.
  • Verstöße können bei besonders wichtigen Einrichtungen mit Bußgeldern bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes geahndet werden.
  • Das BSI bietet NIS-2-Geschäftsführungsschulungen sowie ein FAQ auf seiner Website an.

Unterstützung für KMU

  • FitNIS2-Navigator: kostenloses Online-Tool von Deutschland sicher im Netz e. V. und der Universität Paderborn für Betroffenheitsprüfung, Sicherheitsanalyse und Maßnahmenplan
Stand: 10/2026