Umsetzung in Kraft

NIS-2: Pflichten für Unternehmen

Zur Stärkung des Schutzes wichtiger Infrastrukturen gegen IT-Störungen und Cyberangriffe hat die Europäische Union 2023 die NIS-2-Richtlinie eingeführt. In Deutschland regelt das Gesetz zur Umsetzung der NIS-2-Richtlinie die konkreten Details. Das Gesetz ist am 6. Dezember 2025 in Kraft getreten.
Damit müssen sich ab Beginn des Jahres 2026 circa 30.000 Unternehmen beim BSI registrieren, eigene Sicherheitsvorfälle melden und Risikomanagementmaßnahmen implementieren und dokumentieren.

Welche Unternehmen sind vom NIS2UmsuCG betroffen?

Ob Unternehmen betroffen sind, müssen diese eigenständig prüfen. Sie werden nicht automatisch dazu von den Behörden informiert.
Wird eine Betroffenheit festgestellt, besteht eine Registrierungspflicht. Gegebenenfalls kann das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine Betroffenheit anordnen.
Daher: Prüfen Sie, ob Ihr Unternehmen von der NIS-2 Umsetzung betroffen ist.
Ein Unternehmen ist betroffen, wenn es mehr als 50 Mitarbeitende hat oder wenn dessen Jahresumsatz mehr als zehn Millionen Euro beträgt und wenn es in einem der folgenden Sektoren tätig ist:
  • Post / Kurier, Abfallbewirtschaftung, Chemie, Lebensmittel, Verarbeitendes Gewerbe, Herstellung von Waren, Anbieter digitaler Dienste, Forschung.

Was müssen betroffene Unternehmen tun?

Folgende Pflichten sind für alle betroffenen Unternehmen relevant:
  • Risikomanagementmaßnahmen, Business Continuity Management (Paragrafen 30, 31)
    Dazu gehört zum Beispiel der Einsatz technischer Maßnahmen wie zum Beispiel Kryptografie, Verschlüsselung, Multi-Faktor-Authentifizierung
  • Meldepflichten (Paragraf 32)
  • Registrierungspflicht (Paragrafen 34, 34)
  • Unterrichtungspflichten (Paragraf 35)
  • Billigungs-, Überwachungs- und Schulungspflicht für Geschäftsleiter (Paragraf 38)
Weitere Informationen finden Sie auf der Website des Bundesamt für Sicherheit in der Informationstechnik (BSI).

Wo muss man sich registrieren?

Das BSI sieht einen zweistufigen Registrierungsprozess vor:
Zunächst muss eine Anmeldung beim digitalen Dienst „Mein Unternehmenskonto“ (MUK) erfolgen. Dabei handelt es sich um ein Nutzerkonto für Unternehmen im Sinne des Onlinezugangsgesetzes (OZG). MUK basiert auf der ELSTER-Technologie und nutzt ELSTER-Organisationszertifikate, die üblicherweise bereits in Steuerverfahren genutzt werden. Weitere Informationen zur Registrierung bei MUK stellt das BSI bereit.
Im zweiten Schritt registriert man sein Unternehmen mit dem MUK-Nutzerkonto beim BSI-Portal