Thema · NIS2 / BSI-Gesetz

NIS2 in Deutschland: Diese Pflichten gelten jetzt.

Seit dem 6. Dezember 2025 setzt das novellierte BSI-Gesetz (BSIG) die EU-Richtlinie NIS2 in deutsches Recht um — ohne Übergangsfristen. Rund 30.000 Einrichtungen sind betroffen; nach Einschätzung des BSI ist ein erheblicher Teil noch nicht registriert. Diese Seite bündelt alle Pflichten mit Paragraphen-Fundstellen: Registrierung, Risikomanagement, 24-Stunden-Meldung, Geschäftsleitungsverantwortung — und was Nachzügler jetzt zuerst tun.

Registrierungsfrist abgelaufen § 28–38 BSIG Bußgelder bis 10 Mio. € Stand: September 2026

Fristen verpasst? Trotzdem handeln — in dieser Reihenfolge:

Registrierungsfrist (6.3.2026) und BSI-Nachfrist (31.7.2026) sind abgelaufen. Eine verspätete Registrierung ist bußgeldbewehrt (§ 65 BSIG) — sie bleibt trotzdem die erste Pflicht. Danach: Meldebereitschaft für 24 und 72 Stunden aufbauen, Maßnahmen nach § 30 BSIG dokumentieren, Geschäftsleitung schulen (§ 38 BSIG).

Bin ich betroffen? Zwei Kategorien, ein Selbstcheck.

Das BSIG unterscheidet besonders wichtige und wichtige Einrichtungen (§ 28 BSIG). Welche Kategorie greift, bestimmen die Anlagen 1 (Sektoren) und 2 (Größenmerkmale) zum Gesetz.

Besonders wichtige Einrichtungen

Bußgeld bis 10 Mio. € / 2 % Umsatz

Sektoren der Anlage 1 BSIG — u. a. Energie, Trink- und Abwasser, Gesundheit, Finanzmarkt, Transport und digitale Infrastruktur. Die Pflichten gelten unabhängig von der Unternehmensgröße.

Wichtige Einrichtungen

Bußgeld bis 7 Mio. € / 1,4 % Umsatz

Sektoren der Anlagen 1 und 2 oberhalb der Größenmerkmale — im Kern mittlere und große Unternehmen, in der Regel ab etwa 50 Beschäftigten. Auch Managed Service Provider (MSP) und Managed Security Service Provider (MSSP) sind gesetzlich erfasst (§ 2 Nr. 25, 26 BSIG).

Nicht betroffen

Außerhalb des BSIG

Kleine Unternehmen unterhalb der Größenmerkmale der Anlage 2 sind in der Regel nicht erfasst — außer, sie gehören zu einem Anlage-1-Sektor. Im Zweifel gilt: Betroffenheit per BSI-Selbstcheck prüfen, nicht raten.

Rund 30.000 Einrichtungen in Deutschland fallen unter das novellierte BSIG — deutlich mehr als unter dem bisherigen KRITIS-Regime.

Alle Pflichten mit Fundstelle — zum Abhaken.

Der Kern des Gesetzes steht in den §§ 30 bis 39 BSIG. Jede Pflicht hier mit ihrer Fundstelle und ihrer Frist — dieselbe Struktur, in der das Rechtskataster sie auch als maschinenlesbares Pflichtenkataster führt.

Pflicht	Fundstelle	Was zu tun ist	Frist
Risikomanagement	`§ 30 Abs. 1`	Geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen (TOM) gegen Störungen von Verfügbarkeit, Integrität und Vertraulichkeit	Dauerpflicht
Mindestmaßnahmen	`§ 30 Abs. 2`	Gefahrenübergreifender Ansatz nach dem Stand der Technik — u. a. Risikoanalyse, Umgang mit Sicherheitsvorfällen, Notfall- und Krisenmanagement, Sicherheit der Lieferkette inkl. Schwachstellenmanagement, Kryptographie, Zugangsbeschränkung und Mehrfaktor-Authentifizierung, Protokollierung	Dauerpflicht
Erstmeldung	`§ 32 Abs. 1 Nr. 1`	Frühe Meldung erheblicher Sicherheitsvorfälle — inkl. Verdacht auf rechtswidrige Handlungen oder grenzüberschreitende Auswirkungen	24 Stunden
Folgemeldung	`§ 32 Abs. 1 Nr. 2`	Bestätigung oder Aktualisierung plus erste Bewertung: Schweregrad, Auswirkungen, ggf. Kompromittierungsindikatoren	72 Stunden
Abschlussmeldung	`§ 32`	Abschließende Bewertung des Vorfalls	1 Monat
Registrierung	`§ 33 Abs. 1`	Registrierung im BSI-Portal, sobald die Einrichtung erstmals oder erneut betroffen ist	Frist abgelaufen
Änderungsmeldung	`§ 33 Abs. 5`	Änderungen der registrierten Angaben ans BSI melden	2 Wochen
Geschäftsleitung: Umsetzung	`§ 38 Abs. 1`	Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen	Dauerpflicht
Geschäftsleitung: Schulung	`§ 38 Abs. 3`	Regelmäßige Schulungen zur IT-Sicherheit — Risiken erkennen, bewerten, beurteilen	regelmäßig
Audits & Nachweise	`§ 39 Abs. 1`, `§ 61 Abs. 3`	Ergebnisse von Audits, Prüfungen und Zertifizierungen inkl. aufgedeckter Mängel ans BSI übermitteln	nachweispflichtig
Angriffserkennung (KRITIS)	`§ 31 Abs. 2`	Betreiber kritischer Anlagen: maßgebliche IT-Systeme mit Angriffserkennung ausstatten	Dauerpflicht

Nachweispflicht heißt: Die Umsetzung muss dokumentiert und der Behörde auf Verlangen vorlegbar sein. Alle Fristen laufen ab Kenntniserlangung, nicht ab Vorfallbeginn.

Was auf dem Spiel steht.

Bußgelder nach § 65 BSIG

Besonders wichtige Einrichtungen: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes — je nachdem, welcher Betrag höher ist. Wichtige Einrichtungen: bis zu 7 Millionen Euro, bei mehr als 500 Millionen Euro Umsatz bis zu 1,4 Prozent des Weltumsatzes (§ 65 Abs. 5 ff. BSIG). Auch die verspätete Registrierung allein ist bereits bußgeldbewehrt.

Die Aufsichtsbehörde kann darüber hinaus unzuverlässigen Geschäftsleitungen die Ausübung ihrer Tätigkeit vorübergehend untersagen (§ 61 Abs. 9 Nr. 2 BSIG).

Persönliche Verantwortung der Geschäftsleitung

Umsetzen und überwachen: Die Geschäftsleitung muss die Risikomanagementmaßnahmen selbst umsetzen und ihre Wirksamkeit überwachen (§ 38 Abs. 1 BSIG).
Schulungspflicht: Regelmäßige Teilnahme an Schulungen zur IT-Sicherheit ist ausdrücklich vorgeschrieben (§ 38 Abs. 3 BSIG).
Nachweispflicht: Schulungen und Überwachung müssen dokumentiert sein — im Audit zählt nur, was belegt ist.

Vom Gesetzestext zur abgehakten Maßnahme.

Das Rechtskataster führt alle hier genannten Pflichten als strukturiertes, tagesaktuelles Pflichtenkataster — mit Fundstelle, Kritikalität und Nachweispflicht-Flag je Pflicht.

Statt das novellierte BSIG selbst zu durchforsten, erhalten Sie die Pflichten paragraphengenau aufbereitet: Sie weisen sie Verantwortlichen zu, versehen sie mit Fristen und haken sie ab. Das Änderungsmonitoring erkennt Rechtsänderungen paragraphengenau — etwa wenn das BSI am 6. Dezember 2026 die Verfahrensbeschreibung zur Schwachstellen-Meldestelle veröffentlicht (§ 5 Abs. 6 BSIG).

Pflichtenkataster: Alle BSIG-Pflichten mit Fundstelle und Nachweispflicht-Flag — maschinenlesbar und tagesaktuell.
Meldebereitschaft: Verantwortliche und Verteiler für die 24- und 72-Stunden-Fristen vorab festlegen.
ISMS-Anbindung: Wer ISO/IEC 27001 oder BSI IT-Grundschutz nutzt, ordnet die Controls den Maßnahmen nach § 30 BSIG zu.
Änderungsmonitoring: Wöchentlicher Abgleich des Regelwerks mit Ampel-Bewertung jeder Änderung.

FAQ

Häufige Fragen zu NIS2

Was ist NIS2?

NIS2 ist die EU-Richtlinie 2022/2555 für ein hohes gemeinsames Cybersicherheitsniveau in der Union. Deutschland setzt sie durch das NIS2-Umsetzungsgesetz (NIS2UmsuCG) um, das im Wesentlichen das BSI-Gesetz novelliert — in Kraft seit dem 6. Dezember 2025, ohne Übergangsfristen.

Wen betrifft NIS2 in Deutschland?

Rund 30.000 Einrichtungen: besonders wichtige Einrichtungen aus den Sektoren der Anlage 1 BSIG (größenunabhängig) und wichtige Einrichtungen aus den Sektoren der Anlagen 1 und 2 oberhalb der Größenmerkmale — in der Regel ab mittlerer Unternehmensgröße. Die Betroffenheit sollte per BSI-Selbstcheck geprüft werden, nicht geraten.

Ich bin noch nicht registriert — was jetzt?

Unverzüglich im BSI-Portal registrieren (§ 33 BSIG). Die Registrierungsfrist (6.3.2026) und die BSI-Nachfrist (31.7.2026) sind abgelaufen; eine verspätete Registrierung ist bußgeldbewehrt (§ 65 BSIG) — aber jede weitere Woche Verzögerung erhöht das Risiko.

Welche Meldefristen gelten bei einem Sicherheitsvorfall?

Drei Stufen nach § 32 BSIG: Erstmeldung innerhalb von 24 Stunden, Folgemeldung mit erster Bewertung innerhalb von 72 Stunden, Abschlussbericht spätestens einen Monat nach der Meldung. Alle Fristen laufen ab Kenntniserlangung des Vorfalls.

Was ist ein erheblicher Sicherheitsvorfall?

Nach § 2 Nr. 11 BSIG: ein Vorfall, der schwerwiegende Betriebsstörungen oder finanzielle Verluste für die eigene Einrichtung verursacht hat oder verursachen kann — oder der Dritte durch erhebliche materielle oder immaterielle Schäden beeinträchtigt.

Welche Bußgelder drohen?

Besonders wichtigen Einrichtungen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, wichtigen Einrichtungen bis zu 7 Millionen Euro beziehungsweise 1,4 Prozent (§ 65 BSIG). Zusätzlich kann die Aufsicht unzuverlässigen Geschäftsleitungen die Tätigkeit vorübergehend untersagen (§ 61 Abs. 9 Nr. 2 BSIG).

Ersetzt eine ISO-27001-Zertifizierung die NIS2-Pflichten?

Nein — aber ein ISMS nach ISO/IEC 27001 deckt die Risikomanagement-Pflichten aus § 30 BSIG weitgehend ab und liefert die Nachweise gleich mit. Registrierung beim BSI und die Meldewege für 24- und 72-Stunden-Fristen müssen zusätzlich organisiert werden.

Was muss die Geschäftsleitung selbst tun?

Die Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen (§ 38 Abs. 1 BSIG) sowie regelmäßig an Schulungen zur IT-Sicherheit teilnehmen (§ 38 Abs. 3 BSIG). Beides ist nachweispflichtig — Schulungsnachweise gehören ins Audit.

Weiterlesen

Kontakt aufnehmen

NIS2-Pflichten im Kataster abhaken — statt im Aktenordner.

Wir richten Ihr Pflichtenkataster mit allen BSIG-Fundstellen ein, weisen Verantwortliche zu — und ab da bleibt es wöchentlich aktuell.

Kontakt aufnehmen Zur Anmeldung

oder direkt: 02933 786 3185