NIS2 ist da: Was Unternehmen jetzt wirklich tun müssen

Lange wurde diskutiert, jetzt ist es Realität: Das deutsche NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist am 6. Dezember 2025 in Kraft getreten — ohne Übergangsfrist. Rund 29.500 Unternehmen in Deutschland fallen unter die neuen Pflichten, deutlich mehr als unter das bisherige IT-Sicherheitsgesetz. Und die erste wichtige Frist ist bereits verstrichen: Die Registrierung beim BSI war bis zum 6. März 2026 fällig.

Bin ich überhaupt betroffen?

NIS2 trifft nicht nur Energieversorger und Krankenhäuser. Auch viele Unternehmen und Organisationen aus Branchen wie verarbeitendes Gewerbe, Lebensmittel, Chemie, Logistik, Entsorgung oder digitale Dienste sind erfasst — in der Regel ab 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz. Und selbst wer nicht direkt betroffen ist, spürt die Richtlinie oft indirekt: Große Kunden geben die Anforderungen an ihre Lieferkette weiter und verlangen Nachweise von ihren Zulieferern.

Die wichtigsten Pflichten im Überblick

Betroffene Unternehmen müssen sich beim BSI registrieren, erhebliche Sicherheitsvorfälle melden (Frühwarnung nach 24 Stunden, ausführlicher Bericht nach 72 Stunden) und Risikomanagementmaßnahmen in zehn Bereichen umsetzen. Dazu gehören unter anderem Risikoanalysen, ein funktionierendes Backup-Konzept, Multifaktor-Authentifizierung, Verschlüsselung und die Absicherung der Lieferkette. Die Geschäftsführung haftet persönlich für die Umsetzung — und bei Verstößen drohen Bußgelder von bis zu 10 Millionen Euro.

Pragmatisch starten statt Panik

Die gute Nachricht: Vieles, was NIS2 fordert, ist ohnehin sinnvolle IT-Hygiene. Ein realistischer Fahrplan sieht so aus:

1. Betroffenheit klären — anhand von Branche und Unternehmensgröße prüfen (das BSI bietet dafür eine Betroffenheitsprüfung an). Falls nötig: nachträglich registrieren, das ist weiterhin möglich.
2. Bestandsaufnahme — welche Systeme, Daten und Zugänge sind kritisch? Wo stehen Backups, wer hat Admin-Rechte, gibt es MFA?
3. Lücken priorisieren — zuerst die Maßnahmen mit dem größten Sicherheitsgewinn: Backups testen, MFA einführen, Notfallkontakte und Meldewege definieren.
4. Dokumentieren — NIS2 verlangt Nachweisbarkeit. Wer Maßnahmen umsetzt, sollte sie auch schriftlich festhalten.

Unser Fazit

NIS2 ist kein einmaliges Projekt, sondern ein Dauerzustand — die Anforderungen gelten fortlaufend. Wer jetzt strukturiert startet, verteilt den Aufwand und vermeidet hektische Nachbesserungen, wenn Kunden oder Behörden Nachweise verlangen. Sie sind unsicher, ob Ihr Unternehmen betroffen ist oder wo Sie stehen? Sprechen Sie uns an — wir verschaffen Ihnen in einem kompakten Erstcheck Klarheit.