NIS2-Compliance für KMU mit klarer Einordnung und realistischem Umsetzungsweg

NIS2 gilt für Unternehmen aus den Sektoren der Anlagen 1 und 2 BSIG, u. a. Energie, Verkehr, Banken, Gesundheit, Trinkwasser, digitale Infrastruktur, Raumfahrt, Post/Kurier, Abfallwirtschaft, Chemie, Lebensmittel, Herstellung, digitale Anbieter und Forschung. Für Einrichtungen der Bundesverwaltung gelten eigene Regeln (§ 29 BSIG). In der Regel betroffen: Unternehmen dieser Sektoren mit mindestens 50 Mitarbeitenden oder mit über 10 Mio. € Jahresumsatz und über 10 Mio. € Jahresbilanzsumme (§ 28 Abs. 2 Nr. 3 BSIG). IT-Dienstleister können aufgrund ihrer eigenen Tätigkeit unmittelbar unter das BSIG fallen. Andere Lieferanten können mittelbar von Sicherheitsanforderungen ihrer NIS2-pflichtigen Kunden betroffen sein, ohne deshalb selbst als wichtige oder besonders wichtige Einrichtung zu gelten.

Die EU-Umsetzung in nationales Recht war bis 17. Oktober 2024 vorgegeben. In Deutschland ist das NIS2-Umsetzungsgesetz am 6. Dezember 2025 in Kraft getreten (BGBl. 2025 I Nr. 301). Die gesetzlichen Anforderungen sind seit dem 6. Dezember 2025 nach Maßgabe der jeweiligen Vorschriften anwendbar, sobald deren Voraussetzungen für die betreffende Einrichtung erfüllt sind. Besondere Fristen und gesetzliche Ausnahmen bleiben unberührt. So müssen sich besonders wichtige und wichtige Einrichtungen spätestens drei Monate, nachdem sie erstmals oder erneut als solche gelten, beim BSI registrieren (§ 33 Abs. 1 BSIG).

Das BSI-Gesetz unterscheidet „besonders wichtige Einrichtungen“ (§ 28 Abs. 1 BSIG), etwa große Unternehmen mit mindestens 250 Mitarbeitenden oder mit über 50 Mio. € Jahresumsatz und über 43 Mio. € Jahresbilanzsumme in einer Einrichtungsart der Anlage 1, und „wichtige Einrichtungen“ (§ 28 Abs. 2 BSIG), etwa Unternehmen mit mindestens 50 Mitarbeitenden oder mit über 10 Mio. € Jahresumsatz und über 10 Mio. € Jahresbilanzsumme in einer Einrichtungsart der Anlagen 1 oder 2. Für einzelne Tätigkeiten gelten größenunabhängige Sonderregeln. Die Einstufung beeinflusst Sanktionshöhe und Aufsichtsintensität.

Prüfen Sie Branche, Unternehmensgröße und Kritikalität Ihrer Leistungen. Die meisten mittleren und großen Unternehmen in den genannten Sektoren sind betroffen. Im Zweifel empfiehlt sich eine Gap-Analyse oder externe Beratung, um Risiken und Pflichten zu klären und Haftung zu vermeiden.

In Deutschland ist die NIS2-Richtlinie durch das NIS2-Umsetzungsgesetz (BGBl. 2025 I Nr. 301) umgesetzt. Die Pflichten für Einrichtungen stehen im BSI-Gesetz (BSIG).

Erfasst sind neben Betreibern kritischer Anlagen auch mittlere und große Unternehmen in den Einrichtungsarten der Anlagen 1 und 2 BSIG (§ 28 BSIG), darunter Energie, Gesundheit, Transport und Verkehr, digitale Infrastruktur und Dienste, Wasser sowie Abfallbewirtschaftung. Für Einrichtungen der Bundesverwaltung gelten eigene Regeln (§ 29 BSIG).

Zentrale Pflichten in Deutschland:

• Meldepflicht: mehrstufig an die gemeinsame Meldestelle von BSI und BBK – frühe Erstmeldung spätestens 24 Stunden, Meldung mit erster Bewertung spätestens 72 Stunden nach Kenntniserlangung, Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung (§ 32 BSIG)
• Registrierung: beim BSI spätestens drei Monate, nachdem die Einrichtung erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gilt (§ 33 Abs. 1 BSIG)
• Risikomanagement: geeignete, verhältnismäßige und wirksame Maßnahmen nach § 30 BSIG, einschließlich ihrer Dokumentation
• Nachweise: Betreiber kritischer Anlagen weisen die Umsetzung für ihre kritischen Anlagen zu einem vom BSI festgelegten Zeitpunkt und danach alle drei Jahre durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nach (§ 39 Abs. 1 BSIG; Sonderregeln in Abs. 3 und 4); gegenüber einzelnen besonders wichtigen Einrichtungen kann das BSI Audits, Prüfungen oder Zertifizierungen anordnen (§ 61 Abs. 1 BSIG)
• Sanktionen: für Verstöße unter anderem gegen die Pflicht zu Risikomanagementmaßnahmen, deren Dokumentation und die Meldepflichten Geldbußen bis zu 10 Mio. € bei besonders wichtigen bzw. bis zu 7 Mio. € bei wichtigen Einrichtungen; gehört die Einrichtung zu einem Unternehmen mit mehr als 500 Mio. € weltweitem Gesamtumsatz, in diesen Fällen bis zu 2 % bzw. 1,4 % des Gesamtumsatzes; für die übrigen Tatbestände gelten teils niedrigere Obergrenzen (§ 65 BSIG)

Das NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten. Die Anforderungen sind seitdem nach Maßgabe der jeweiligen Vorschriften anwendbar, sobald deren Voraussetzungen für die betreffende Einrichtung erfüllt sind. Mit einer NIS2-Gap-Analyse ermitteln wir mit Ihnen, wo Ihre Organisation steht.

Die Höhe hängt vom Verstoß ab. Für Verstöße unter anderem gegen die Pflicht zu Risikomanagementmaßnahmen, deren Dokumentation und die Meldepflichten sieht § 65 BSIG Geldbußen bis zu 10 Mio. € bei besonders wichtigen und bis zu 7 Mio. € bei wichtigen Einrichtungen vor. Gehört die Einrichtung zu einem Unternehmen mit einem weltweiten Gesamtumsatz von mehr als 500 Mio. €, sind in diesen Fällen bis zu 2 % bzw. 1,4 % des Gesamtumsatzes möglich (§ 65 Abs. 5 bis 8 BSIG). Für die übrigen Tatbestände gelten die jeweiligen, teils niedrigeren Obergrenzen nach § 65 Abs. 5 Satz 1 Nr. 2 bis 6 BSIG. Bei besonders wichtigen Einrichtungen kann die zuständige Aufsichtsbehörde als letztes Mittel unzuverlässigen Geschäftsleitungen die Tätigkeit vorübergehend untersagen, wenn die Einrichtung Anordnungen des BSI trotz Fristsetzung nicht nachkommt und ein Zusammenhang zwischen Durchsetzungsmaßnahme und Anordnung besteht; die Untersagung ist nur bis zur Befolgung der Anordnung zulässig (§ 61 Abs. 9 BSIG).

Geeignete, verhältnismäßige und wirksame Risikomanagementmaßnahmen nach § 30 BSIG, unter anderem zu Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs, Sicherheit der Lieferkette, Schulungen und Kryptographie, einschließlich ihrer Dokumentation; mehrstufige Meldepflichten für erhebliche Sicherheitsvorfälle (§ 32 BSIG); Registrierung beim BSI (§ 33 BSIG); Umsetzungs-, Überwachungs- und Schulungspflichten der Geschäftsleitung (§ 38 BSIG). Audits, Prüfungen oder Zertifizierungen sind nicht für alle Einrichtungen regelmäßig vorgeschrieben: Betreiber kritischer Anlagen erbringen Nachweise nach § 39 BSIG, gegenüber einzelnen besonders wichtigen Einrichtungen kann das BSI sie anordnen (§ 61 Abs. 1 BSIG). Für bestimmte Einrichtungen gelten hinsichtlich der jeweils ausdrücklich genannten Pflichten Ausnahmen nach § 28 Abs. 5 bis 7 BSIG; die Registrierungspflicht nach § 33 wird davon nicht erfasst, die Rückausnahmen des § 28 Abs. 5 Satz 2 bis 4 bleiben unberührt.

NIS2 ergänzt Regelwerke wie die DSGVO und ISO 27001. Während die DSGVO den Schutz personenbezogener Daten regelt, fokussiert NIS2 auf die Cybersicherheit von Netz- und Informationssystemen. Es gibt Überschneidungen bei Risikomanagement, Sicherheitsmaßnahmen und Meldepflichten. Warum eine ISO-27001-Zertifizierung für NIS2 nicht ausreicht, lesen Sie im Beitrag Reicht eine ISO-27001-Zertifizierung für NIS2?

Ein integrierter Compliance-Ansatz ist ratsam, um Doppelarbeit zu vermeiden. Unsere Berater unterstützen Sie dabei, DSGVO-, ISO 27001- und NIS2-Anforderungen harmonisch zu implementieren. Damit schaffen wir eine effiziente Compliance ohne Ressourcenverschwendung.

Ja, für einzelne Sektoren wie Energie, Gesundheit, Transport oder Finanzwesen gelten teils zusätzliche Vorgaben oder Schnittstellen zu anderen Regulierungen:

• Energie-Sektor: EnWG (Energiewirtschaftsgesetz), IT-Sicherheitskatalog
• Finanzwesen: DORA (Digital Operational Resilience Act)
• Kritische Infrastrukturen: KRITIS-Verordnung, BSI-Grundschutz
• Automotive: TISAX (Trusted Information Security Assessment Exchange)

Unternehmen sollten branchenspezifische Anforderungen frühzeitig identifizieren und mit NIS2-Maßnahmen synchronisieren. Unsere Branchenexperten kennen die Schnittstellen und entwickeln maßgeschneiderte Compliance-Strategien für Ihren Sektor.

Das Risikomanagement muss alle IT-Systeme, Prozesse und Lieferanten umfassen, die für die Erbringung Ihrer Dienste relevant sind. Es sind regelmäßige Risikoanalysen, die Umsetzung angemessener technischer und organisatorischer Maßnahmen sowie die kontinuierliche Überprüfung der Wirksamkeit vorgeschrieben. Auch die Sicherheit der Lieferkette ist explizit zu berücksichtigen.

Besonders wichtige und wichtige Einrichtungen müssen die Einhaltung ihrer Risikomanagementpflichten dokumentieren (§ 30 Abs. 1 Satz 3 BSIG). Betreiber kritischer Anlagen weisen die Umsetzung für ihre kritischen Anlagen zu einem vom BSI festgelegten Zeitpunkt – frühestens drei Jahre, nachdem sie erstmals, oder spätestens drei Jahre, nachdem sie erneut als Betreiber gelten – und danach alle drei Jahre durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nach (§ 39 Abs. 1 BSIG; Sonderregeln in Abs. 3 und 4). Gegenüber einzelnen besonders wichtigen Einrichtungen kann das BSI Audits, Prüfungen oder Zertifizierungen anordnen (§ 61 Abs. 1 BSIG). Von anderen besonders wichtigen Einrichtungen kann es Nachweise frühestens drei Jahre nach Inkrafttreten verlangen; für zugelassene Krankenhäuser gilt grundsätzlich ein frühester Zeitpunkt von fünf Jahren, soweit nicht eine Rechtsverordnung einen früheren Zeitpunkt bestimmt (§ 61 Abs. 3 BSIG).

Bei einem erheblichen Sicherheitsvorfall melden besonders wichtige und wichtige Einrichtungen an die gemeinsame Meldestelle von BSI und BBK: unverzüglich, spätestens 24 Stunden nach Kenntniserlangung, eine frühe Erstmeldung; unverzüglich, spätestens 72 Stunden nach Kenntniserlangung, eine Meldung mit erster Bewertung; auf Ersuchen des BSI eine Zwischenmeldung; spätestens einen Monat nach der 72-Stunden-Meldung eine Abschlussmeldung. Dauert der Vorfall zu diesem Zeitpunkt noch an, ist stattdessen eine Fortschrittsmeldung und die Abschlussmeldung nach abschließender Bearbeitung vorzulegen (§ 32 Abs. 1 und 2 BSIG). Die Pflicht gilt frühestens ab Einrichtung des Meldewegs; für bestimmte Einrichtungen gelten Ausnahmen und Rückausnahmen nach § 28 Abs. 5 bis 7 BSIG.

Unternehmen müssen strukturierte Incident-Response-Pläne entwickeln, die klare Rollen, Verantwortlichkeiten und Eskalationswege definieren. Diese umfassen Erkennung, Bewertung, Eindämmung, Beseitigung und Wiederherstellung nach Sicherheitsvorfällen. Regelmäßige Tests und Übungen der Notfallpläne sind verpflichtend, ebenso die Dokumentation aller Aktivitäten für spätere Analysen.

Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen müssen die Risikomanagementmaßnahmen nach § 30 BSIG umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen (§ 38 Abs. 1 und 3 BSIG). Verletzen sie ihre Umsetzungs- oder Überwachungspflichten nach § 38 Abs. 1 BSIG, haften sie ihrer Einrichtung für schuldhaft verursachte Schäden nach den gesellschaftsrechtlichen Regeln (§ 38 Abs. 2 BSIG). Bei besonders wichtigen Einrichtungen kann die zuständige Aufsichtsbehörde als letztes Mittel unzuverlässigen Geschäftsleitungen die Tätigkeit vorübergehend untersagen, wenn die Einrichtung einer BSI-Anordnung trotz Fristsetzung nicht nachkommt und ein Zusammenhang mit der Durchsetzungsmaßnahme besteht, und nur bis zur Befolgung der Anordnung (§ 61 Abs. 9 BSIG). Eine Zertifizierungspflicht folgt aus § 38 BSIG nicht. Die aktive Einbindung und Schulung der Geschäftsleitung ist ein zentraler Punkt unserer Beratung.

Compliance-Beauftragte koordinieren die NIS2-Implementierung, führen Gap-Analysen durch und entwickeln Maßnahmenpläne. Sie überwachen die Einhaltung der Anforderungen, erstellen die erforderliche Dokumentation und fungieren als Schnittstelle zu Behörden. Ihre Aufgabe ist es auch, bestehende Compliance-Strukturen (wie DSGVO) mit NIS2-Anforderungen zu harmonisieren.

Die Interne Revision entwickelt NIS2-spezifische Prüfstandards und führt regelmäßige Audits der Cybersicherheitsmaßnahmen durch. Sie bewertet die Wirksamkeit implementierter Kontrollen, prüft die Vollständigkeit der Dokumentation und identifiziert Schwachstellen im Compliance-System. Ihre unabhängige Bewertung hilft dabei, Risiken frühzeitig zu erkennen und die kontinuierliche Verbesserung zu fördern.

Externe Dienstleister müssen vertraglich zu NIS2-konformen Sicherheitsmaßnahmen verpflichtet werden. Unternehmen sind für die regelmäßige Überprüfung und Bewertung ihrer kritischen Lieferanten verantwortlich. Dies umfasst Due-Diligence-Prüfungen, kontinuierliches Monitoring und die Etablierung von Notfallplänen für den Ausfall wichtiger Dienstleister. Die Lieferkettensicherheit wird zu einem zentralen Compliance-Element.