NIS2

NIS2 & Cybersecurity

NIS2UmsuCG seit 06.12.2025 in Kraft (DE), NISG 2026 in AT ab 01.10.2026: 10 § 30 BSIG-Pflichten, § 38 GF-Haftung, ISMS-Aufbau, Lieferketten-Sicherheit, Incident Response 24/72/30.

NIS2-Kit ansehen Top-Artikel

Anwendungsbereich

Wer fällt unter NIS2 in Deutschland?

Das deutsche Umsetzungsgesetz (NIS2UmsuCG) unterscheidet in § 28 BSIG zwei Stufen. Wesentliche Einrichtungen (Essential Entities) sind Unternehmen mit mindestens 250 Mitarbeitenden oder mehr als 50 Mio. EUR Jahresumsatz in einem der 18 Sektoren des Anhangs I — darunter Energie, Verkehr, Bankwesen, Gesundheit, Wasser, digitale Infrastruktur und Cloud-Anbieter. Wichtige Einrichtungen (Important Entities) erfassen mittlere Unternehmen (ab 50 Mitarbeitende oder 10 Mio. EUR Umsatz) in den Sektoren des Anhangs II, etwa Post, Abfall, Lebensmittel und verarbeitendes Gewerbe. Zusätzlich gelten Kleinstunternehmen ab 50 Mitarbeitenden als betroffen, sofern sie in Hochrisiko-Sektoren wie qualifizierten Vertrauensdiensten oder DNS-Diensten tätig sind. Wichtig: Es gibt keine offizielle BSI-Liste der NIS2-Pflichtigen — jedes Unternehmen muss selbst prüfen, ob es unter den Anwendungsbereich fällt. Bei Unsicherheit empfiehlt sich die formale Selbstregistrierung über das BSI-Meldeportal nach § 33 BSIG.

Pflichten

Die 10 Pflichtmaßnahmen aus § 30 BSIG

§ 30 BSIG setzt Art. 21 NIS2-RL um und verpflichtet betroffene Einrichtungen zu zehn technisch-organisatorischen Maßnahmen:

Risikoanalyse und Sicherheitskonzepte für Informationssysteme.
Bewältigung von Sicherheitsvorfällen inklusive Erkennung, Reaktion und Wiederherstellung.
Aufrechterhaltung des Betriebs durch Backup-Management, Disaster Recovery und Krisenmanagement.
Sicherheit der Lieferkette einschließlich Beziehungen zu Direktlieferanten und Diensteanbietern.
Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen, inklusive Schwachstellen-Management.
Konzepte zur Bewertung der Wirksamkeit des Risikomanagements (Sicherheits-Reviews, Audits).
Schulung und Cyber-Hygiene für alle Beschäftigten, einschließlich der Geschäftsleitung.
Kryptografie und Verschlüsselung nach dem Stand der Technik.
Zugangskontrolle und Asset-Management (Personalsicherheit, Berechtigungskonzepte, Inventar).
Multi-Faktor-Authentifizierung und gesicherte Kommunikationssysteme.

Detail-Anleitungen mit ISO-27001-Mapping und 22 Vorlagen finden Sie im Leitfaden § 30 BSIG.

Meldewesen

Meldepflichten und Fristen

§ 32 BSIG normiert ein gestuftes Meldeschema für erhebliche Sicherheitsvorfälle. Innerhalb von 24 Stunden nach Kenntnisnahme ist eine Frühwarnung (Early Warning) an das BSI zu übermitteln — diese enthält eine Erst-Einschätzung, ob der Vorfall rechtswidrig oder böswillig herbeigeführt wurde und ob grenzüberschreitende Auswirkungen vorliegen. Innerhalb von 72 Stunden folgt die Incident Notification mit einer Aktualisierung der Lage, einer ersten Bewertung von Schweregrad und Auswirkungen sowie ggf. Kompromittierungsindikatoren. Spätestens nach einem Monat ist der Final Report mit ausführlicher Beschreibung des Vorfalls, Ursachen, getroffenen Abhilfemaßnahmen und etwaiger grenzüberschreitender Auswirkungen einzureichen. Flankierend regelt § 38 BSIG die persönliche Haftung der Geschäftsleitung: Geschäftsführer und Vorstände müssen die Risikomanagement-Maßnahmen aktiv billigen, ihre Umsetzung überwachen und an regelmäßigen Schulungen teilnehmen. Bei Pflichtverletzungen haften sie persönlich mit ihrem Privatvermögen gegenüber der Gesellschaft — ein Haftungsausschluss durch Gesellschafterbeschluss ist ausgeschlossen.