NIS2/BSIG: Alle Pflichten für betroffene Unternehmen (2026)

Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) hat die Cybersecurity-Pflichten für deutsche Unternehmen seit dem 6. Dezember 2025 ohne Übergangsfrist verschärft — umgesetzt als Novelle des BSI-Gesetzes (BSIG). Die gesetzliche Registrierungsfrist beim BSI lief am 6. März 2026 ab; eine vom BSI kommunizierte Nachfrist endete am 31. Juli 2026. Nach Einschätzung des BSI ist ein erheblicher Teil der betroffenen Unternehmen bislang nicht registriert. Wer jetzt handelt, begrenzt sein Bußgeldrisiko — dieser Artikel listet alle Pflichten mit Paragraphen-Fundstellen.

Zeitachse: Diese Termine sind vorbei

Datum	Ereignis	Status
6.12.2025	Novelliertes BSIG tritt in Kraft (NIS2UmsuCG) — ohne Übergangsfrist	abgelaufen
6.1.2026	BSI-Registrierungsportal wird freigeschaltet	abgelaufen
6.3.2026	Registrierungsfrist nach § 33 Abs. 1 BSIG (3 Monate) endet	abgelaufen
31.7.2026	Vom BSI kommunizierte Nachfrist für die Registrierung	abgelaufen

Eine verspätete Registrierung kann nach § 65 BSIG mit einem Bußgeld belegt werden — sie ist aber immer noch die erste Pflicht, die erfüllt werden sollte.

Von der Richtlinie zum Gesetz: NIS2 und das BSIG

Die EU-Richtlinie 2022/2555 (NIS-2-Richtlinie) verpflichtet Mitgliedstaaten zu einem hohen Cybersicherheitsniveau. Deutschland setzt sie durch das NIS2UmsuCG um, das im Wesentlichen das BSI-Gesetz novelliert. Die Pflichten für Unternehmen stehen daher direkt im BSIG. Das Gesetz unterscheidet besonders wichtige Einrichtungen und wichtige Einrichtungen (§ 28 BSIG). Welche Einrichtung in welche Kategorie fällt, bestimmen die Anlagen 1 (Sektoren) und 2 (Größenmerkmale) zum BSIG (BGBl. 2025 I Nr. 301). Das BSI bietet auf seiner Website einen Selbstcheck zur Betroffenheit an.

Bin ich betroffen? Die wichtigsten Sektoren

Besonders wichtige Einrichtungen gelten unabhängig von ihrer Größe — typischerweise Energie, Trink- und Abwasser, Gesundheit, Finanzmarkt, Transport und digitale Infrastruktur. Wichtige Einrichtungen kommen aus ähnlichen Sektoren und fallen zusätzlich unter die Größenmerkmale der Anlage 2 (im Kern: ab mittelgroßen Unternehmen nach der EU-Definition). Auch Managed Service Provider (MSP) und Managed Security Service Provider (MSSP) sind gesetzlich definiert (§ 2 Nr. 25 und 26 BSIG) und in die Lieferketten-Pflichten eingebunden. Im Zweifel: Betroffenheit prüfen statt abwarten — die Fristen laufen ohne Übergangsfrist.

Die Kernpflichten im Überblick (mit Fundstellen)

Diese Tabelle ist der Kern dieses Artikels — jede Pflicht mit ihrer Fundstelle im novellierten BSIG.

Pflicht	Fundstelle (BSIG)	Was zu tun ist	Frist / Kritikalität
Risikomanagement	§ 30 Abs. 1	Geeignete, verhältnismäßige, wirksame technische und organisatorische Maßnahmen (TOM) gegen Störungen von Verfügbarkeit, Integrität, Vertraulichkeit	Dauerpflicht
Verhältnismäßigkeit	§ 30 Abs. 1 Satz 2	Bewertung anhand Risikoexposition, Größe der Einrichtung, Umsetzungskosten, Eintrittswahrscheinlichkeit und Schwere möglicher Vorfälle	Dauerpflicht
Mindestmaßnahmen	§ 30 Abs. 2	Gefahrenübergreifender Ansatz nach dem Stand der Technik unter Berücksichtigung europäischer und internationaler Normen; mindestens u. a.: Risikoanalyse und -behandlung, Umgang mit Sicherheitsvorfällen, Notfall- und Krisenmanagement, Sicherheit der Lieferkette einschließlich Schwachstellenmanagement, Einsatz von Kryptographie und Verschlüsselung, Zugangsbeschränkung und Authentifizierung (u. a. Mehrfaktor-Authentifizierung), Protokollierung	Dauerpflicht
Erstmeldung	§ 32 Abs. 1 Nr. 1	Frühe Erstmeldung erheblicher Sicherheitsvorfälle; Angabe, ob rechtswidrige oder böswillige Handlungen bzw. grenzüberschreitende Auswirkungen vermutet werden	24 Stunden — kritisch, nachweispflichtig
Folgemeldung	§ 32 Abs. 1 Nr. 2	Meldung mit Bestätigung oder Aktualisierung sowie erster Bewertung: Schweregrad, Auswirkungen, ggf. Kompromittierungsindikatoren	72 Stunden — nachweispflichtig
Abschlussmeldung	§ 32	Abschließende Bewertung des Vorfalls	spätestens 1 Monat nach der Meldung
Registrierung	§ 33 Abs. 1	Registrierung im BSI-Portal, sobald die Einrichtung erstmals oder erneut betroffen ist	3 Monate — Hauptfrist bereits abgelaufen (6.3.2026)
Änderungsmeldung	§ 33 Abs. 5	Änderungen der registrierten Angaben ans BSI	unverzüglich, max. 2 Wochen — nachweispflichtig
Geschäftsleitung: Umsetzung	§ 38 Abs. 1	Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen	Dauerpflicht — nachweispflichtig
Geschäftsleitung: Schulung	§ 38 Abs. 3	Regelmäßige Teilnahme an Schulungen zur IT-Sicherheit (Risiken erkennen, bewerten, beurteilen)	regelmäßig — nachweispflichtig
Audits und Nachweise	§ 39 Abs. 1, § 61 Abs. 3	Ergebnisse durchgeführter Audits, Prüfungen und Zertifizierungen einschließlich aufgedeckter Sicherheitsmängel ans BSI übermitteln (besonders wichtige Einrichtungen: auf Verlangen)	nachweispflichtig
Angriffserkennung (nur KRITIS)	§ 31 Abs. 2	Betreiber kritischer Anlagen: für die Anlage maßgebliche IT-Systeme mit Systemen zur Angriffserkennung ausstatten	Dauerpflicht

Was gilt als „erheblicher Sicherheitsvorfall“?

Die Definition steht in § 2 Nr. 11 BSIG: ein Sicherheitsvorfall, der schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann — oder andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Abzugrenzen ist der Beinahevorfall (§ 2 Nr. 1 BSIG): ein Ereignis, das Verfügbarkeit, Integrität oder Vertraulichkeit hätte beeinträchtigen können, dessen Eintritt aber erfolgreich verhindert wurde. Meldepflichtig nach § 32 sind erhebliche Sicherheitsvorfälle — die interne Dokumentation sollte Beinahevorfälle trotzdem erfassen, weil sie Risiko-Indikatoren sind.

Kurz gemerkt: Die 24-Stunden-Frist ist die frühe Warnung, die 72-Stunden-Frist die Bewertung, die Abschlussmeldung folgt nach einem Monat. Alle Fristen laufen ab Kenntniserlangung, nicht ab Vorfallbeginn.

Bußgelder und persönliche Haftung

Nach § 65 Abs. 5 ff. BSIG drohen besonders wichtigen Einrichtungen Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes — je nachdem, welcher Betrag höher ist. Wichtige Einrichtungen: bis 7 Millionen Euro; bei einem Gesamtumsatz von mehr als 500 Millionen Euro bis 1,4 Prozent des weltweiten Umsatzes (§ 65 Abs. 7 BSIG). Die verspätete Registrierung allein ist bereits bußgeldbewehrt.

Zusätzlich zur Geldseite kann die Aufsichtsbehörde unzuverlässigen Geschäftsleitungen vorübergehend die Ausübung ihrer Tätigkeit untersagen (§ 61 Abs. 9 Nr. 2 BSIG). Die persönliche Verantwortung der Leitungsebene ist damit kein theoretisches Papier: § 38 BSIG verlangt Umsetzung, Überwachung und Schulung ausdrücklich von der Geschäftsleitung (Definition in § 2 Nr. 13 BSIG).

Pragmatische Umsetzung: ISMS als Vehikel

Die Pflichten aus § 30 BSIG sind im Kern ein Informationssicherheits-Managementsystem (ISMS): Risikoanalyse, Maßnahmen, Nachweis, Verbesserung. Wer nach ISO/IEC 27001 zertifiziert ist oder sich am BSI IT-Grundschutz orientiert, deckt große Teile der NIS2-Anforderungen strukturiert ab — und hat die Nachweise gleich dokumentiert. Wichtig: Die Meldewege (24 h / 72 h) müssen vorher stehen. Wer ist Ansprechpartner, wo läuft die Meldung ins BSI-Portal, wer entscheidet über die Erstmeldung?

Wie ein ISO-27001-basiertes ISMS die NIS2-Anforderungen im Einzelnen trägt — inklusive Zuordnung der Kernmaßnahmen aus § 30 BSIG zu den Controls der Norm — beschreibt unsere Schwesterseite IQI im Artikel „NIS-2 Richtlinie und ISO 27001 — Was deutsche Unternehmen wissen müssen"; die zugehörige Beratung zur ISO/IEC 27001 bietet ebenfalls IQI. Abschließender Hinweis: Das Rechtskataster führt diese Pflichten als maschinenlesbares Pflichtenkataster mit Fundstellen — inklusive Nachweispflicht-Flags und Zuständigkeit je Pflicht.

Häufige Fragen zu NIS2

Bin ich von NIS2 betroffen, wenn mein Unternehmen unter 50 Mitarbeitende hat?

Kleine Unternehmen unterhalb der Größenmerkmale der Anlage 2 BSIG sind in der Regel nicht als wichtige Einrichtung erfasst — Ausnahme: Sektoren der besonders wichtigen Einrichtungen (Anlage 1) gelten unabhängig von der Größe. Die Betroffenheit sollte per BSI-Selbstcheck geprüft werden, nicht geraten.

Ich habe die Registrierungsfrist verpasst — was nun?

Unverzüglich im BSI-Portal registrieren (§ 33 BSIG). Eine verspätete Registrierung kann nach § 65 BSIG bußgeldbewehrt sein, aber jede Woche Verzögerung erhöht das Risiko. Die Nachfrist des BSI endete am 31. Juli 2026.

Was muss in der 24-Stunden-Erstmeldung stehen?

Ob der Verdacht besteht, dass der Vorfall auf rechtswidrige oder böswillige Handlungen zurückgeht oder grenzüberschreitende Auswirkungen haben könnte (§ 32 Abs. 1 Nr. 1 BSIG). Eine erste Bewertung folgt in der 72-Stunden-Meldung.

Was ist ein erheblicher Sicherheitsvorfall?

Ein Vorfall mit schwerwiegenden Betriebsstörungen oder finanziellen Verlusten für die eigene Einrichtung oder erheblichen Schäden für Dritte (§ 2 Nr. 11 BSIG).

Haftet die Geschäftsleitung wirklich persönlich?

§ 38 BSIG verpflichtet die Geschäftsleitung zur Umsetzung, Überwachung und regelmäßigen Schulung; die Aufsichtsbehörde kann unzuverlässigen Geschäftsleitungen die Berufsausübung vorübergehend untersagen (§ 61 Abs. 9 Nr. 2 BSIG).

Ersetzt eine ISO-27001-Zertifizierung die NIS2-Pflichten?

Nein, aber ein ISO/IEC-27001-ISMS deckt die Risikomanagement-Pflichten aus § 30 BSIG weitgehend ab und liefert die Nachweise. Meldewege und Registrierung müssen zusätzlich organisiert werden.

Gelten die Pflichten auch für Dienstleister und Zulieferer?

Managed Service Provider und MSSP sind im BSIG definiert (§ 2 Nr. 25, 26) und in die Lieferkettensicherheit (§ 30 Abs. 2) eingebunden; besonders wichtige Einrichtungen müssen die Lieferkette in ihr Risikomanagement einbeziehen.

Welche Fristen gelten aktuell?

Registrierungsfrist (6.3.2026) und BSI-Nachfrist (31.7.2026) sind abgelaufen. Die Meldefristen (24 h / 72 h / 1 Monat) gelten laufend ab Kenntnis eines erheblichen Sicherheitsvorfalls. Das BSI veröffentlicht nach § 5 Abs. 6 BSIG am 6. Dezember 2026 eine Verfahrensbeschreibung zur Schwachstellen-Meldestelle.

Fazit: Die Reihenfolge für nicht registrierte Einrichtungen

NIS2 über das BSIG ist kein Projekt mit Endtermin, sondern ein Dauerzustand mit Nachweispflichten. Für Einrichtungen, die noch nicht registriert sind, ist die Reihenfolge eindeutig:

1. Betroffenheit prüfen (BSI-Selbstcheck, Anlagen 1 und 2 zum BSIG)
2. Registrierung nachholen (§ 33 BSIG)
3. Meldebereitschaft für 24 und 72 Stunden aufbauen (§ 32 BSIG)
4. Technische und organisatorische Maßnahmen nach § 30 BSIG dokumentieren
5. Geschäftsleitung schulen und einbinden (§ 38 BSIG)

Das Rechtskataster hält alle hier zitierten Pflichten als strukturiertes, tagesaktuelles Pflichtenkataster mit Fundstellen bereit — inklusive Nachweispflicht-Flags und Zuständigkeit je Pflicht. Unverbindlich testen: rechtskataster.com.

Rechtskataster.com ist die organisatorische Grundlage Ihres Compliance-Managements und ersetzt keine Rechtsberatung im Sinne des RDG.