NIS2 und BSI-Gesetz

Start › IT-Sicherheit › NIS2

Mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) gilt seit dem 6. Dezember 2025 ein neu gefasstes BSI-Gesetz. Statt rund 4.000 KRITIS-Betreibern sind nach Schätzungen etwa 29.000 Unternehmen erfasst, darunter viele Mittelständler, die bisher keine gesetzlichen Cybersicherheitspflichten kannten. Wir prüfen die Betroffenheit, begleiten Registrierung und Umsetzung und beraten Geschäftsleitungen zu ihrer persönlichen Verantwortung.

Ist mein Unternehmen von NIS2 betroffen?

Das BSIG unterscheidet „besonders wichtige“ und „wichtige“ Einrichtungen. Maßgeblich sind der Sektor (Anlagen 1 und 2 zum BSIG, etwa Energie, Transport, Gesundheit, digitale Infrastruktur, IT-Dienstleistungen, Abfall, Chemie, Lebensmittel, Maschinenbau, Post- und Kurierdienste) und die Unternehmensgröße. Eine Übergangsfrist gibt es nicht.

Kategorie	Schwellenwerte (Grundregel)
Besonders wichtige Einrichtung	mindestens 250 Beschäftigte oder mehr als 50 Mio. Euro Jahresumsatz und mehr als 43 Mio. Euro Bilanzsumme, Sektor nach Anlage 1; außerdem Betreiber kritischer Anlagen
Wichtige Einrichtung	mindestens 50 Beschäftigte oder mehr als 10 Mio. Euro Jahresumsatz und Bilanzsumme, Sektor nach Anlage 1 oder 2

Bestimmte Anbieter sind unabhängig von der Größe erfasst, etwa qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Diensteanbieter. Bei Konzernen kommt es auf die Zurechnung von Partner- und verbundenen Unternehmen an; hier liegen in der Praxis die meisten Fehleinschätzungen. Kommt eine Tätigkeit nur als Nebentätigkeit vor, kann sie nach § 28 Abs. 3 BSIG unberücksichtigt bleiben. Diese Prüfung sollte schriftlich dokumentiert werden.

Registrierung beim BSI: Frist verpasst?

Betroffene Einrichtungen mussten sich innerhalb von drei Monaten, also bis zum 6. März 2026, über das BSI-Portal registrieren; Voraussetzung ist ein Konto bei „Mein Unternehmenskonto“. Bis zu diesem Datum hatte sich nur ein Teil der erwarteten Unternehmen gemeldet. Das BSI hat Nachzüglern nach Berichten eine Kulanzfrist bis zum 31. Juli 2026 eingeräumt. Auch diese Frist ist abgelaufen. Wer bisher nicht registriert ist, sollte das nachholen, bevor das BSI von sich aus tätig wird. Die versäumte Registrierung ist eine Ordnungswidrigkeit.

Risikomanagement nach § 30 BSIG

Einrichtungen müssen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen treffen. Das Gesetz nennt Mindestinhalte: Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Backup und Krisenmanagement, Sicherheit der Lieferkette, sichere Entwicklung und Beschaffung, Wirksamkeitsprüfung, Schulungen, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung. Die Maßnahmen sind zu dokumentieren. Aufsichtsrechtlich wird geprüft, ob sie dem Stand der Technik entsprechen und zur Risikolage passen.

Für Verträge bedeutet das: Lieferanten und IT-Dienstleister müssen vertraglich auf ein passendes Sicherheitsniveau verpflichtet werden, mit Melde-, Audit- und Mitwirkungspflichten. Hier setzt unser Mustervertrag zum Cybersecurity-SLA an.

Meldepflichten bei erheblichen Sicherheitsvorfällen

Erhebliche Sicherheitsvorfälle sind dem BSI in drei Stufen zu melden (§ 32 BSIG):

1. Frühe Erstmeldung spätestens 24 Stunden nach Kenntnis, mit Angabe, ob ein rechtswidriger oder böswilliger Hintergrund vermutet wird.
2. Meldung spätestens 72 Stunden nach Kenntnis, mit erster Bewertung von Schwere, Auswirkungen und Kompromittierungsindikatoren.
3. Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung; dauert der Vorfall an, zunächst ein Fortschrittsbericht.

Daneben laufen andere Fristen weiter, insbesondere die 72-Stunden-Frist des Art. 33 DSGVO gegenüber der Datenschutzaufsicht. Was im Ernstfall parallel zu tun ist, beschreiben wir auf der Seite Cyberangriff und Ransomware.

Geschäftsleiterhaftung nach § 38 BSIG

Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen. Diese Aufgabe kann sie nicht vollständig an IT-Leitung oder Informationssicherheitsbeauftragte delegieren. Verletzt sie ihre Pflichten, haftet sie der Einrichtung nach den gesellschaftsrechtlichen Regeln, also bei der GmbH regelmäßig über § 43 GmbHG, bei der AG über § 93 AktG. Außerdem müssen Geschäftsleiter regelmäßig an Schulungen teilnehmen, um Risiken und Maßnahmen beurteilen zu können.

Praktisch empfehlen wir einen Geschäftsleitungsbeschluss über die Maßnahmen, eine feste Berichtslinie der IT-Sicherheit an die Geschäftsführung, Teilnahmebelege für Schulungen und eine Prüfung, ob die D&O-Versicherung Cyber-Pflichtverletzungen abdeckt.

Bußgelder und Aufsicht

Für besonders wichtige Einrichtungen sieht das BSIG Bußgelder bis 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes vor, für wichtige Einrichtungen bis 7 Mio. Euro oder 1,4 Prozent, jeweils der höhere Betrag. Das BSI kann Nachweise anfordern, Audits anordnen und Anweisungen erteilen. Bei besonders wichtigen Einrichtungen kommen weitergehende Befugnisse hinzu.

So gehen wir vor

• Betroffenheitsanalyse mit schriftlicher Begründung, auch für Konzerngesellschaften und Grenzfälle.
• Registrierung und Kommunikation mit dem BSI, auch bei verspäteter Registrierung.
• Gap-Analyse gemeinsam mit Ihren technischen Fachleuten; ein Anwalt unserer Kanzlei ist zugleich Physiker, RA Horak hat zusätzlich Elektrotechnik studiert.
• Richtlinien, Meldeprozess, Geschäftsleitungsbeschluss und Schulung der Organe.
• Anpassung von Liefer-, Outsourcing- und Cloud-Verträgen an die Lieferkettenpflichten.
• Vertretung in Aufsichts- und Bußgeldverfahren.

Für das Erstgespräch helfen uns Handelsregisterauszug, Mitarbeiterzahl und Umsatzzahlen der Gruppe, eine kurze Beschreibung der Geschäftstätigkeit und vorhandene Sicherheitskonzepte.

Häufige Fragen zu NIS2

Wir sind Zulieferer eines betroffenen Unternehmens. Gilt NIS2 für uns?

Unmittelbar nur, wenn Sie selbst die Schwellenwerte in einem erfassten Sektor erreichen. Mittelbar werden Ihre Kunden Sicherheitsanforderungen vertraglich an Sie weitergeben. Diese Klauseln sollten Sie auf Haftung und Umsetzbarkeit prüfen lassen.

Gilt die ISO 27001 als Nachweis?

Eine Zertifizierung ist hilfreich, ersetzt aber nicht die Prüfung, ob alle Mindestinhalte des § 30 BSIG abgedeckt sind. Lieferkette und Meldeprozess fehlen häufig.

Kann die Geschäftsführung die Haftung durch eine Delegation vermeiden?

Nein. Aufgaben können übertragen werden, die Überwachungspflicht bleibt bei der Geschäftsleitung. Entscheidend sind dokumentierte Berichte und Entscheidungen.

Wie verhält sich NIS2 zu DORA?

Für Finanzunternehmen geht DORA als spezielleres Recht weitgehend vor. Einzelheiten auf unserer Seite zu DORA.

Verwandte Themen

• IT-Sicherheit
• Cyberangriff und Ransomware
• Cyber Resilience Act
• Compliance
• Mustervertrag Cybersecurity-SLA
• Rechenzentren