Was NIS-2 ist
NIS-2 ist eine EU-Richtlinie für Cybersicherheit. In Deutschland wurde sie durch das NIS-2-Umsetzungsgesetz in das BSI-Gesetz überführt, das seit dem 6. Dezember 2025 gilt. Sie verpflichtet Einrichtungen in bestimmten Sektoren zu Sicherheitsmaßnahmen, Meldungen und zur Registrierung beim Bundesamt für Sicherheit in der Informationstechnik (BSI).
Wer ist betroffen?
Entscheidend sind zwei Dinge: der Sektor und die Größe. Erfasst sind unter anderem Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur, IT-Dienstleistungen, produzierendes Gewerbe, Lebensmittel, Abfallwirtschaft, Chemie und Post. Grundsätzlich fallen Unternehmen ab etwa 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme darunter, mit Unterschieden zwischen „besonders wichtigen" und „wichtigen" Einrichtungen. Auch Zulieferer und Dienstleister betroffener Unternehmen spüren die Anforderungen in der Praxis über Verträge.
Ob Sie betroffen sind, sollten Sie anhand der Sektoren und Schwellenwerte des Gesetzes prüfen. Das BSI stellt dafür Hilfen bereit. Im Zweifel hilft eine kurze rechtliche Einordnung.
Was verlangt das Gesetz?
- Risikomanagement: dokumentierte Maßnahmen, unter anderem Risikoanalyse, Umgang mit Sicherheitsvorfällen, Backup und Krisenmanagement, Sicherheit der Lieferkette, Zugriffskontrolle und Mehrfaktor-Authentifizierung, Verschlüsselung.
- Meldepflichten: erhebliche Vorfälle sind gestuft zu melden, nach der Richtlinie mit einer Frühwarnung binnen 24 Stunden und einer Meldung binnen 72 Stunden.
- Verantwortung der Geschäftsleitung: Sie muss Maßnahmen freigeben, überwachen und sich schulen lassen. Eine Delegation entbindet nicht von der Verantwortung.
- Registrierung: betroffene Einrichtungen müssen sich beim BSI registrieren.
- Sanktionen: bei Verstößen drohen Bußgelder im empfindlichen Bereich.
Was Sie jetzt tun können
- Betroffenheit prüfen und die Entscheidung dokumentieren.
- Registrierung beim BSI klären, falls betroffen.
- Bestandsaufnahme: Systeme, Dienste, Berechtigungen, Lieferanten.
- Lücken gegenüber den Pflichten ermitteln und einen priorisierten Maßnahmenplan aufstellen.
- Backup, Notfallplan, Mehrfaktor-Authentifizierung und Berechtigungskonzept in Ordnung bringen.
- Geschäftsleitung schulen und Verantwortlichkeiten festlegen.
Unterstützung durch INZOSO
Wir helfen bei der technischen Umsetzung: Bestandsaufnahme, Härtung, Zugriffs- und Berechtigungskonzepte, Backup und Notfallplanung. Rechtliche Bewertungen nehmen Fachanwälte vor. Dieser Beitrag ist keine Rechtsberatung und gibt den Stand der Recherche wieder; prüfen Sie Fristen und Pflichten anhand der aktuellen Gesetzestexte und der Hinweise des BSI.