NIS2-Umsetzung - in drei Schritten prüfsicher

In Deutschland gilt NIS2 seit dem 6. Dezember 2025 - an diesem Tag ist das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in Kraft getreten. Der 17. Oktober 2024 war lediglich die EU-Umsetzungsfrist, die Deutschland verstreichen ließ. Eine Übergangsfrist gibt es nicht: Die Pflichten gelten seit dem Tag der Verkündung, und das BSI führt aktive Kontrollen durch.

Unternehmen ab 50 MA oder 10 Mio. € Umsatz in einem der 18 Sektoren. Plus besondere Trigger (KRITIS-Zulieferer, DNS-Betreiber). Kleinunternehmen unter 10 MA / 2 Mio. € sind ausgenommen (Ausnahmen gibt es).

Für besonders wichtige Einrichtungen bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis 7 Mio. € oder 1,4 % - je nachdem, welcher Betrag höher ist. Dazu persönliche Haftung der Geschäftsleitung.

NIS2 = digitale Cybersicherheit (Aufsicht BSI). KRITIS-Dachgesetz = physische Resilienz (Aufsicht BBK). Wer in kritischer Infrastruktur tätig ist, unterliegt meist beiden.

ISO 27001 ist keine Pflicht, aber der schnellste Weg: Wer es hat, deckt 60-70 % der NIS2-Anforderungen ab. Wir empfehlen den Stack ISO 27001 → NIS2 für effiziente Umsetzung.

Meldung an BSI via Portal meldeplattform.bsi.bund.de. Frist: 24 h Frühwarnung, 72 h Erstbewertung, 1 Monat Abschlussbericht. Wir stellen sicher, dass Du einen dokumentierten Meldeprozess hast.

Ja - und die Frist ist bereits abgelaufen: Betroffene Einrichtungen mussten sich bis zum 6. März 2026 beim BSI registrieren, inklusive Kontaktdaten für Meldungen. Wer das versäumt hat, ist säumig und sollte die Registrierung umgehend nachholen; wir übernehmen das mit Dir im Erstgespräch. Die Registrierung selbst ist eine Formalie, die Pflichten dahinter sind es nicht.

Maßgeblich sind die Werte der betroffenen Einrichtung, aber bei Partnerunternehmen und verbundenen Unternehmen können Anteile mitgerechnet werden - eine 30-Mann-GmbH innerhalb einer größeren Gruppe ist damit nicht automatisch raus. Auch der Sektor wird je Einrichtung betrachtet und nicht pauschal für die ganze Gruppe. Das gehen wir im Eligibility-Check strukturiert durch und lassen es im Grenzfall juristisch prüfen.

Die inhaltlichen Sicherheitspflichten sind weitgehend dieselben. Der Unterschied liegt in der Aufsicht: Bei besonders wichtigen Einrichtungen kann die Behörde proaktiv prüfen, bei wichtigen Einrichtungen greift sie im Regelfall anlassbezogen ein. Auch der Bußgeldrahmen ist für besonders wichtige Einrichtungen höher angesetzt.

Nicht zwingend. Unterhalb der Schwellen gibt es Sondertatbestände, etwa für Anbieter öffentlicher elektronischer Kommunikationsdienste, DNS- und TLD-Dienste oder für Einrichtungen, die als einziger Anbieter einer kritischen Leistung gelten. Und selbst wenn Du gesetzlich nicht betroffen bist, reichen Deine Kunden ihre Lieferketten-Pflichten vertraglich an Dich weiter - so trifft es die meisten kleinen Zulieferer zuerst.

Die Leitungsebene muss die Risikomanagement-Maßnahmen billigen, ihre Umsetzung überwachen und dafür nachweislich geschult sein - Delegieren an die IT entbindet davon nicht. Verstöße können nach der Richtlinie neben Bußgeldern gegen das Unternehmen auch persönliche Konsequenzen für die Leitung haben. Wie das im Einzelfall greift, ist eine juristische Frage; wir sorgen dafür, dass Beschlüsse, Schulungen und Freigaben dokumentiert vorliegen.

Nein, gefordert ist ein risikobasierter Ansatz. Du klassifizierst Deine Dienstleister nach Kritikalität und gehst nur bei den wirklich kritischen in die Tiefe: Sicherheitsanforderungen im Vertrag, Nachweise wie ISO 27001 oder strukturierte Fragebögen, definierte Melde- und Reaktionspflichten. Der Getränkelieferant braucht keine Prüfung, der Dienstleister mit Fernwartungszugang in Deine Produktion schon.

Die Umsetzung kannst Du auslagern, die Verantwortung nicht - pflichtig bleibt Dein Unternehmen. Was Du brauchst, sind Verträge mit klaren Sicherheits- und Meldeklauseln, Nachweise über die tatsächlich erbrachten Leistungen und eine eigene Übersicht, wer welchen Teil abdeckt. Wir übernehmen die Umsetzung und liefern die Nachweise in der Form, in der Du sie gegenüber der Aufsicht vorlegen kannst.

Der Eligibility-Check ist eine Sache von Tagen, die Gap-Analyse dauert je nach Größe einige Wochen. Wie lange die Umsetzung braucht, entscheidet Dein Ausgangspunkt: Wer ein gelebtes ISMS hat, schließt die Lücken in Monaten; wer bei null anfängt, plant realistisch mit einem Jahresprojekt. Nach der Gap-Analyse bekommst Du einen Terminplan mit Meilensteinen statt einer Pauschalaussage.

Nein. NIS2 ist ein Gesetz und kein zertifizierbarer Standard, eine offizielle NIS2-Bescheinigung existiert nicht. Nachgewiesen wird über Deine eigene Dokumentation: Risikoanalyse, Richtlinien, Maßnahmen-Nachweise, Schulungs- und Übungsprotokolle, Meldeprozess. Wer gegenüber Kunden etwas vorzeigen will, nutzt dafür in der Regel ein ISO-27001-Zertifikat; wir bauen die Dokumentation so auf, dass sie für beides trägt.