Kurz gesagt: Das NIS2-Umsetzungsgesetz gilt in Deutschland seit dem 6. Dezember 2025. Betroffen sind Firmen in bestimmten Branchen ab 50 Beschäftigten oder ab mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme, einige auch unabhängig von der Größe. Wer betroffen ist, muss sich beim BSI registrieren, Sicherheitsvorfälle melden und Schutzmaßnahmen umsetzen. Die meisten kleinen Büros, Praxen und Kanzleien sind nicht direkt betroffen, spüren NIS2 aber über ihre Kunden und Lieferanten. (Stand: Oktober 2026)
Was ist NIS2?
NIS2 ist eine EU-Richtlinie für mehr Cybersicherheit. Deutschland hat sie mit dem NIS2-Umsetzungsgesetz umgesetzt, das vor allem das BSI-Gesetz neu fasst. Nach Schätzungen fallen bundesweit rund 29.500 Einrichtungen darunter, deutlich mehr als unter den bisherigen KRITIS-Regeln.
Ist meine Firma betroffen?
Entscheidend sind zwei Fragen: In welcher Branche sind Sie tätig, und wie groß ist Ihr Unternehmen?
Branchen: Unter anderem Energie, Transport und Verkehr, Gesundheitswesen, Wasser und Abwasser, digitale Infrastruktur, IT-Dienstleistungen für andere Unternehmen (Managed Services), Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe in bestimmten Bereichen, digitale Dienste sowie Forschung.
Größe:
- Wichtige Einrichtungen: ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme.
- Besonders wichtige Einrichtungen: ab 250 Beschäftigten oder mehr als 50 Millionen Euro Jahresumsatz und mehr als 43 Millionen Euro Bilanzsumme.
- Einige Anbieter sind unabhängig von der Größe erfasst, zum Beispiel Betreiber öffentlicher Telekommunikationsnetze, DNS-Dienste und Betreiber kritischer Anlagen.
Verbundene Unternehmen werden in der Regel mitgezählt. Das BSI bietet eine Online-Betroffenheitsprüfung an. Prüfen müssen Sie Ihre Betroffenheit selbst, das BSI schreibt Sie nicht an.
Welche Pflichten gelten für betroffene Firmen?
1. Registrierung beim BSI
Die Registrierung läuft über das BSI-Portal. Dafür brauchen Sie ein Konto bei „Mein Unternehmenskonto“, das wiederum ein ELSTER-Organisationszertifikat voraussetzt. Die gesetzliche Frist endete am 6. März 2026, das BSI hatte eine Nachfrist bis zum 31. Juli 2026 eingeräumt. Wer betroffen ist und sich noch nicht registriert hat, sollte das umgehend nachholen.
2. Sicherheitsvorfälle melden
Erhebliche Sicherheitsvorfälle müssen gestaffelt gemeldet werden: eine erste Meldung innerhalb von 24 Stunden, eine ausführlichere Meldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats.
3. Risikomanagement umsetzen
Betroffene Firmen müssen angemessene technische und organisatorische Maßnahmen umsetzen, zum Beispiel:
- Regeln und Verantwortlichkeiten für Informationssicherheit
- Umgang mit Sicherheitsvorfällen
- Datensicherung, Wiederherstellung und Notfallplanung
- Sicherheit in der Lieferkette, also auch bei IT-Dienstleistern
- Mehr-Faktor-Anmeldung, Verschlüsselung und Zugriffskontrolle
- Regelmäßige Schulungen der Mitarbeitenden
4. Verantwortung der Geschäftsleitung
Die Geschäftsführung muss die Maßnahmen billigen, ihre Umsetzung überwachen und selbst regelmäßig an Schulungen teilnehmen. Bei Verstößen droht eine persönliche Haftung.
Bußgelder
Für besonders wichtige Einrichtungen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent.
Kleine Firma, nicht betroffen: Warum NIS2 trotzdem wichtig ist
Eine Arztpraxis mit acht Mitarbeitenden oder ein Steuerbüro in Hannover fällt in der Regel nicht unter NIS2. Trotzdem kommt das Thema an:
- Über Kunden: Betroffene Firmen müssen ihre Lieferkette absichern und fragen bei Zulieferern und Dienstleistern nach Sicherheitsmaßnahmen.
- Über Versicherer: Cyberversicherungen fragen ähnliche Punkte ab, etwa Mehr-Faktor-Anmeldung und getestete Backups.
- Über das Risiko selbst: Angreifer prüfen nicht, ob eine Firma unter NIS2 fällt.
Checkliste für kleine Betriebe in Hannover
- Mehr-Faktor-Anmeldung für E-Mail, Microsoft 365 und Fernzugriff aktiv?
- Datensicherung nach der 3-2-1-Regel, mit einer Kopie außer Haus, und Wiederherstellung getestet?
- Updates für Windows, Server, Firewall und Router laufen regelmäßig?
- Jeder Mitarbeitende hat nur die Zugriffsrechte, die er braucht?
- Gibt es einen kurzen Notfallplan: Wen rufen wir an, wenn nichts mehr geht?
- Ist die IT dokumentiert, sodass jemand anderes sie übernehmen könnte?
Wenn Sie mehrere Punkte nicht sicher mit Ja beantworten können, lohnt sich ein IT-Check. Ich setze die technischen Maßnahmen um und dokumentiere sie so, dass Sie sie gegenüber Kunden, Versicherern oder Prüfern vorlegen können. Eine Rechtsberatung zur Betroffenheit ersetze ich nicht. Mehr dazu unter IT-Sicherheit in Hannover und Datensicherung, oder direkt unter 0511 515 445 79.
Häufige Fragen
Gilt NIS2 für Arztpraxen?
Das Gesundheitswesen gehört zu den erfassten Sektoren, aber die Größenschwellen gelten auch hier. Eine typische Praxis mit weniger als 50 Beschäftigten und unter 10 Millionen Euro Umsatz ist in der Regel nicht direkt betroffen. Für Praxen gilt unabhängig davon die IT-Sicherheitsrichtlinie der KBV. Mehr dazu unter IT-Betreuung für Arztpraxen.
Bis wann musste man sich beim BSI registrieren?
Die gesetzliche Frist war der 6. März 2026, das BSI hat eine Nachfrist bis 31. Juli 2026 gewährt. Betroffene Firmen, die noch nicht registriert sind, sollten das sofort nachholen.
Muss mein IT-Dienstleister NIS2 erfüllen?
IT-Dienstleister, die Managed Services anbieten, gehören zu den erfassten Sektoren, wenn sie die Größenschwellen erreichen. Unabhängig davon müssen betroffene Firmen die Sicherheit ihrer Dienstleister in der Lieferkette berücksichtigen.