NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 für ein hohes Niveau der Cybersicherheit in Unternehmen und Einrichtungen bestimmter Sektoren. In Deutschland setzt sie das NIS-2-Umsetzungsgesetz um, die Pflichten stehen im BSI-Gesetz, kurz BSIG. Betroffene müssen sich registrieren, erhebliche Sicherheitsvorfälle melden und ein Risikomanagement für ihre IT umsetzen.

Kurz zusammengefasst:

• Das deutsche Gesetz gilt seit dem 6. Dezember 2025.
• Maßgeblich sind Sektor und Größe, das BSI spricht von rund 29.500 Einrichtungen.
• Prüfen muss jedes Unternehmen selbst, das BSI teilt die Betroffenheit nicht mit.
• Die Geschäftsleitung ist persönlich eingebunden.
• Auch nicht betroffene Zulieferer können die Regeln indirekt spüren.

Wer darunterfällt

Das BSIG fragt zuerst nach der Tätigkeit. Die Anlagen 1 und 2 nennen die Sektoren: Anlage 1 unter anderem Energie, Gesundheit, Finanzwesen und digitale Infrastruktur, Anlage 2 unter anderem Post- und Kurierdienste, Abfallbewirtschaftung, Lebensmittel, Teile des verarbeitenden Gewerbes wie den Maschinenbau sowie Online-Marktplätze und Suchmaschinen. Dazu kommt die Größe nach § 28 BSIG:

Für einzelne Einrichtungsarten gelten Sonderregeln. Betreiber kritischer Anlagen, DNS-Diensteanbieter und Top-Level-Domain-Registries zum Beispiel sind unabhängig von diesen Werten besonders wichtige Einrichtungen. Teilzeitkräfte zählen laut BSI anteilig, Auszubildende nicht. Einmaliges Überschreiten reicht laut BSI nicht, die Schwelle muss in zwei aufeinanderfolgenden Geschäftsjahren überschritten sein.

Welche Pflichten das Gesetz nennt

§ 30 BSIG verlangt technische und organisatorische Maßnahmen, die dem Stand der Technik entsprechen und zur Risikolage und Größe passen. Der Mindestkatalog liest sich wie eine gute IT-Sicherheitsliste und reicht vom Umgang mit Vorfällen über Backups und Notfallpläne bis zur Mehr-Faktor-Authentifizierung und zum Umgang mit jeder Sicherheitslücke in Beschaffung und Wartung. Die Umsetzung ist zu dokumentieren.

Einen erheblichen Sicherheitsvorfall melden Einrichtungen in drei Stufen:

• 24 Stunden: frühe Erstmeldung nach Kenntnis des Vorfalls.
• 72 Stunden: Meldung mit erster Bewertung.
• Ein Monat danach: Abschlussmeldung, bei laufendem Vorfall erst eine Fortschrittsmeldung.

Registrieren müssen sich Einrichtungen spätestens drei Monate, nachdem sie erstmals oder erneut betroffen sind, nach § 33 BSIG über ein Portal des BSI. Die Geschäftsleitung muss die Maßnahmen nach § 38 BSIG umsetzen und überwachen, regelmäßig an Schulungen teilnehmen und haftet bei schuldhafter Pflichtverletzung nach den Regeln ihrer Rechtsform.

Bei bestimmten Verstößen sieht § 65 BSIG Geldbußen von bis zu 10 Millionen Euro für besonders wichtige und bis zu 7 Millionen Euro für wichtige Einrichtungen vor. Bei einem Gesamtumsatz über 500 Millionen Euro können es bis zu 2 Prozent beziehungsweise 1,4 Prozent des Gesamtumsatzes sein.

Was das für deinen Betrieb und deine Website bedeutet

Für den kleinen Handwerksbetrieb ist die erste Frage: Passt meine Tätigkeit überhaupt zu einer Einrichtungsart der Anlagen? Eine Einrichtungsart „Firmenwebsite“ steht dort nicht. Wer aber Hosting, Rechenzentrumsdienste oder Managed Services anbietet, sollte genauer hinsehen, denn die Anlage 1 nennt unter anderem Anbieter von Rechenzentrums- und Cloud-Diensten, Betreiber eines CDN und Managed Services Provider. Das BSI stellt eine Betroffenheitsprüfung bereit, nennt sie aber ausdrücklich eine rechtlich unverbindliche Hilfestellung.

Kaufmännisch zählt zusätzlich die Lieferkette. Betroffene Einrichtungen müssen nach § 30 BSIG auch die Sicherheit ihrer Lieferkette berücksichtigen. Das BSI schreibt deshalb, dass nicht betroffene Unternehmen indirekt betroffen sein können, wenn sie an solche Einrichtungen liefern. Solche Anforderungen können also per Vertrag bei dir ankommen. Wer das Risiko aus Software-Angriffen über Lieferanten sehen will, findet ein Beispiel im Beitrag zum Supply-Chain-Angriff auf WordPress-Plugins. NIS2 ist dabei nicht mit dem Cyber Resilience Act zu verwechseln, der Produkte regelt. Auf EU-Ebene hat die Kommission am 20. Januar 2026 zudem gezielte Änderungen an der Richtlinie vorgeschlagen. Ob und wann sie kommen, ist offen.

Diese Hinweise ersetzen keine Rechtsberatung.

Häufige Fragen

Gilt NIS2 auch für kleine Unternehmen?

Eine pauschale Ausnahme gibt es laut BSI nicht, es kommt auf die Größenschwellen und die Einrichtungsart an. Für einzelne Arten gelten die Schwellen nicht, etwa für DNS-Diensteanbieter. Unter den EU-Vorschlägen von 2026 ist eine Änderung für kleine DNS-Anbieter, beschlossen ist sie nach unserem Stand nicht.

Woher erfahre ich, ob mein Unternehmen betroffen ist?

Das BSI teilt das nicht mit, die Prüfung liegt beim Unternehmen. Hilfe bietet die Betroffenheitsprüfung des BSI. Sie ist unverbindlich, bei Unklarheiten rät das BSI zu externer Rechtsberatung.

Muss ich mich sofort registrieren?

Das Gesetz gibt betroffenen Einrichtungen höchstens drei Monate, nachdem sie erstmals oder erneut betroffen sind. Eine allgemeine Übergangsfrist nennt das BSI nicht.

Wird die Haftung der Geschäftsleitung durch Delegieren geringer?

§ 38 BSIG verpflichtet die Geschäftsleitung, die Maßnahmen umzusetzen und zu überwachen. Bei ausgelagerter IT bleibt die Verantwortung laut BSI bei der Einrichtung, Verträge allein genügen nicht.

Was unterscheidet NIS2 von der DSGVO?

Die DSGVO schützt personenbezogene Daten. NIS2 zielt auf die Sicherheit der IT und der Dienste bestimmter Einrichtungen, auch wenn keine personenbezogenen Daten im Spiel sind.

Fragt dein Auftraggeber nach deiner IT-Sicherheit?

Wir sehen uns gemeinsam an, wie deine Website dabei aufgestellt ist. Die Frage der Betroffenheit klärst du mit dem Rechtsbeistand.