Seit dem 6. Dezember 2025 gilt in Deutschland das NIS-2-Umsetzungsgesetz, und mit ihm die größte Ausweitung gesetzlicher Cybersicherheitspflichten, die es hierzulande je gegeben hat. Statt der bislang rund 4.500 KRITIS-Betreiber sind nun etwa 30.000 Einrichtungen reguliert, viele davon mittelständische Unternehmen, die von ihrer Betroffenheit bis heute nichts wissen. Die gesetzliche Frist zur Registrierung beim Bundesamt für Sicherheit in der Informationstechnik (BSI) ist bereits am 6. März 2026 abgelaufen; registriert hatte sich bis Ende Mai erst gut die Hälfte der Betroffenen.
Das BSI reagiert darauf mit einer Nachfrist: Bis zum 31. Juli 2026 sollen alle betroffenen Unternehmen ihre Betroffenheit geklärt und die Registrierung abgeschlossen haben. Wer den Termin verstreichen lässt, muss damit rechnen, dass die Aufsicht ihre bisherige Zurückhaltung aufgibt. Dieser Beitrag erklärt, wer unter das Gesetz fällt, welche Pflichten unabhängig von der Registrierung längst gelten und welche Schritte jetzt anstehen.
30.000
Einrichtungen fallen nach BSI-Schätzung unter das neue Gesetz — statt bisher rund 4.500 KRITIS-Betreibern
~50 %
der Betroffenen waren bis Ende Mai 2026 registriert — die andere Hälfte befindet sich seit dem 6. März im Verzug
10 Mio. €
oder 2 % des weltweiten Jahresumsatzes beträgt der Bußgeldrahmen für besonders wichtige Einrichtungen
Quellen: BSI; § 65 BSIG; Registrierungsstand nach Branchenerhebungen, Stand Mai/Juni 2026
Das Wichtigste in Kürze
- Das NIS-2-Umsetzungsgesetz (NIS2UmsuCG) ist seit dem 6. Dezember 2025 ohne Übergangsfrist in Kraft; die Pflichten gelten seither.
- Betroffen sind Unternehmen aus 18 Sektoren in der Regel ab 50 Beschäftigten oder ab 10 Mio. Euro Umsatz und Bilanzsumme — jedes Unternehmen muss seine Betroffenheit selbst prüfen, das BSI verschickt keine Bescheide.
- Die gesetzliche Registrierungsfrist beim BSI endete am 6. März 2026; die fehlende Registrierung ist ein eigenständiger Bußgeldtatbestand.
- Das BSI erwartet die Registrierung aller Betroffenen nun bis zum 31. Juli 2026 — eine Nachfrist bei der Durchsetzung, kein neuer gesetzlicher Stichtag.
- Unabhängig von der Registrierung gelten Risikomanagement-Pflichten (§ 30 BSIG), Meldepflichten für Sicherheitsvorfälle und persönliche Pflichten der Geschäftsleitung (§ 38 BSIG) samt Schulungspflicht.
- Erste Bußgeldverfahren werden für die zweite Jahreshälfte 2026 erwartet.
Seit Dezember in Kraft, seit März im Verzug
Der Bundestag hat das Gesetz am 13. November 2025 verabschiedet, am 6. Dezember 2025 trat es mit der Verkündung im Bundesgesetzblatt in Kraft. Eine Übergangsfrist sieht es nicht vor: Die materiellen Pflichten gelten seit dem ersten Tag. Am 6. Januar 2026 schaltete das BSI sein Registrierungsportal frei, drei Monate später, am 6. März 2026, endete die gesetzliche Registrierungsfrist. Ergänzend trat am 17. März 2026 das KRITIS-Dachgesetz in Kraft, das für Betreiber kritischer Anlagen zusätzliche Anforderungen an die physische Widerstandsfähigkeit stellt.
NIS-2-Umsetzungsgesetz (NIS2UmsuCG)
Deutsches Umsetzungsgesetz zur europäischen NIS-2-Richtlinie (EU) 2022/2555, das im Kern das BSI-Gesetz (BSIG) neu fasst. Es verpflichtet „besonders wichtige“ und „wichtige“ Einrichtungen aus 18 Sektoren zu Registrierung, Risikomanagement nach § 30 BSIG und zur Meldung erheblicher Sicherheitsvorfälle, und es verankert in § 38 BSIG persönliche Umsetzungs-, Überwachungs- und Schulungspflichten der Geschäftsleitung.
Wer betroffen ist — und warum es viele nicht wissen
Der Anwendungsbereich reicht weit über die klassische kritische Infrastruktur hinaus. Erfasst sind Sektoren wie Energie, Transport, Gesundheit, Trinkwasser und digitale Infrastruktur, aber auch das verarbeitende Gewerbe, Maschinenbau, Lebensmittelproduktion, Chemie und Logistik. Als Faustregel gilt: Wer in einem der 18 Sektoren tätig ist und mindestens 50 Beschäftigte oder mehr als 10 Mio. Euro Jahresumsatz und Bilanzsumme aufweist, sollte von einer möglichen Betroffenheit ausgehen. Das Gesetz unterscheidet dabei zwei Kategorien mit unterschiedlicher Aufsichts- und Sanktionslogik.
Besonders wichtige Einrichtungen
In der Regel Großunternehmen der Anhang-I-Sektoren (ab 250 Beschäftigten oder 50 Mio. Euro Umsatz) sowie bestimmte Betreiber kritischer Anlagen. Sie unterliegen der proaktiven Aufsicht des BSI mit anlasslosen Prüfbefugnissen und einem Bußgeldrahmen bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes.
Wichtige Einrichtungen
Vor allem mittelständische Unternehmen ab 50 Beschäftigten oder 10 Mio. Euro Umsatz in den erfassten Sektoren. Die Aufsicht arbeitet hier anlassbezogen; der Bußgeldrahmen reicht bis 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes. Die materiellen Pflichten sind weitgehend identisch.
Kein Bescheid, keine Entwarnung
Das BSI prüft die Betroffenheit nicht von Amts wegen und verschickt keine Benachrichtigungen. Jedes Unternehmen muss selbst ermitteln, ob es unter das Gesetz fällt; das BSI stellt dafür eine automatisierte Betroffenheitsprüfung als Orientierungshilfe bereit. Wer die Prüfung unterlässt, trägt das Risiko, unbemerkt gegen bestehende Pflichten zu verstoßen.
Die Nachfrist zum 31. Juli richtig einordnen
Der 31. Juli 2026 ist kein neuer gesetzlicher Stichtag, sondern ein Zeichen von Nachsicht bei der Durchsetzung: Das BSI erwartet, dass alle Betroffenen bis zu diesem Datum ihren Status geklärt und die Registrierung über das Portal abgeschlossen haben. Rechtlich war die Registrierung bereits am 6. März fällig; wer sie versäumt hat, befindet sich seither im Verzug, denn die fehlende Registrierung ist nach § 65 BSIG ein eigenständiger Bußgeldtatbestand. Die Nachfrist verschafft also Gelegenheit, den Rückstand ohne aufsichtsrechtliche Folgen aufzuholen. Nach ihrem Ablauf dürfte die Behörde deutlich weniger Zurückhaltung zeigen; Beobachter rechnen mit ersten Bußgeldverfahren gegen säumige Einrichtungen in der zweiten Jahreshälfte 2026.
Die Registrierung selbst erfolgt in zwei Schritten über das BSI-Portal: zunächst die Anlage eines Organisationskontos (erforderlich ist ein ELSTER-Organisationszertifikat), anschließend die eigentliche Meldung mit Stammdaten, Sektorzuordnung und einer benannten Kontaktperson. Der Aufwand ist überschaubar — die eigentliche Arbeit beginnt danach.
Diese Pflichten gelten unabhängig von der Registrierung
Die Registrierung ist nur der formale Einstieg. Materiell verlangt § 30 BSIG angemessene technische und organisatorische Risikomanagementmaßnahmen in zehn Bereichen, darunter Risikoanalyse und Sicherheitskonzepte, Vorfallsbewältigung, Backup- und Wiederanlaufmanagement, Sicherheit der Lieferkette, Zugriffskontrolle und Mehr-Faktor-Authentifizierung sowie Schulung und Sensibilisierung. Für erhebliche Sicherheitsvorfälle gilt ein dreistufiges Melderegime mit engen Fristen.
| Meldestufe | Frist | Inhalt |
|---|---|---|
| Frühwarnung | innerhalb von 24 Stunden | Erstmeldung nach Kenntnis des erheblichen Vorfalls, mit erster Einschätzung zu Ursache und grenzüberschreitenden Auswirkungen. |
| Vollmeldung | innerhalb von 72 Stunden | Bestätigung und Aktualisierung der Frühwarnung mit erster Bewertung von Schweregrad und Auswirkungen. |
| Abschlussbericht | innerhalb eines Monats | Ausführliche Darstellung von Vorfall, Ursache, ergriffenen Maßnahmen und gegebenenfalls fortbestehenden Risiken. |
Die Fristen laufen ab Kenntnis des Vorfalls — ohne eingerichtete Meldewege und geübte Abläufe sind sie im Ernstfall kaum zu halten.
Hinzu kommt die persönliche Verantwortung der Leitungsebene: Nach § 38 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen, sie haftet bei schuldhaften Pflichtverstößen nach den gesellschaftsrechtlichen Regeln auf Schadensersatz, und sie muss regelmäßig — nach der Gesetzesbegründung mindestens alle drei Jahre — an Cybersicherheitsschulungen teilnehmen. Diese Pflichten treffen alle Mitglieder der Geschäftsleitung persönlich und lassen sich weder auf die IT-Leitung delegieren noch vertraglich abbedingen. Bei bestehender ISO-27001-Zertifizierung ist ein großer Teil des Risikomanagements bereits adressiert; Registrierung, Meldefristen und die Leitungspflichten deckt das Zertifikat allerdings nicht ab.
Was Unternehmen jetzt tun sollten
Betroffenheit prüfen und dokumentieren
Klären Sie anhand von Sektor, Beschäftigtenzahl und Umsatz, ob Ihr Unternehmen als wichtige oder besonders wichtige Einrichtung gilt. Die Betroffenheitsprüfung des BSI liefert eine erste Orientierung; halten Sie das Ergebnis schriftlich fest — auch eine begründete Nicht-Betroffenheit ist im Zweifel ein wertvoller Nachweis.
Registrierung bis zum 31. Juli abschließen
Legen Sie das Organisationskonto an (ELSTER-Organisationszertifikat rechtzeitig beantragen, die Ausstellung dauert einige Tage) und registrieren Sie die Einrichtung im BSI-Portal mit Sektorzuordnung und Kontaktperson.
Meldewege einrichten
Definieren Sie, wer einen erheblichen Vorfall erkennt, bewertet und meldet, und hinterlegen Sie die Abläufe für Frühwarnung, Vollmeldung und Abschlussbericht. Verzahnen Sie die Meldekette mit Ihrem Notfall- und Krisenmanagement, damit die 24-Stunden-Frist auch am Wochenende funktioniert.
Risikomanagement gegen § 30 BSIG spiegeln
Nehmen Sie den Ist-Stand Ihrer Sicherheitsmaßnahmen auf und gleichen Sie ihn mit den zehn Pflichtbereichen ab — von der Risikoanalyse über Backups und Lieferkettensicherheit bis zur Mehr-Faktor-Authentifizierung. Aus den Lücken entsteht ein priorisierter Maßnahmenplan mit realistischen Terminen.
Geschäftsleitung einbinden und schulen
Verankern Sie die Billigungs- und Überwachungspflichten der Leitungsebene in Berichtswegen und Beschlüssen, und planen Sie die Cybersicherheitsschulung der Geschäftsleitung ein. Dokumentierte Schulungen und Entscheidungen sind zugleich der wichtigste Entlastungsnachweis für die persönliche Haftung.
Das Wesentliche
Die Nachfrist des BSI zum 31. Juli 2026 ist die letzte Gelegenheit, den Registrierungs-Rückstand ohne aufsichtsrechtliche Folgen aufzuholen — die Pflichten selbst gelten seit Dezember 2025. Wer jetzt Betroffenheit klärt, sich registriert, Meldewege einrichtet und das Risikomanagement gegen § 30 BSIG spiegelt, erledigt den formalen Teil in Tagen und gewinnt eine belastbare Grundlage für alles Weitere, einschließlich der persönlichen Absicherung der Geschäftsleitung.
Häufige Fragen
Wir haben die Frist am 6. März verpasst. Was passiert jetzt?
Die Registrierungspflicht besteht fort, eine verspätete Registrierung ist weiterhin möglich und dringend ratsam. Die fehlende Registrierung ist ein eigenständiger Bußgeldtatbestand; das BSI hat mit der Nachfrist bis zum 31. Juli 2026 aber signalisiert, dass es Nachzüglern zunächst ohne Sanktionen die Gelegenheit zur Nachholung gibt. Nach Ablauf der Nachfrist steigt das Risiko von Aufsichtsmaßnahmen deutlich.
Woher wissen wir, ob unser Unternehmen betroffen ist?
Maßgeblich sind Sektor und Unternehmensgröße: erfasst sind 18 Sektoren, in der Regel ab 50 Beschäftigten oder mehr als 10 Mio. Euro Jahresumsatz und Bilanzsumme. Das BSI stellt unter diesem Link eine automatisierte Betroffenheitsprüfung bereit, die eine erste Einschätzung liefert. Da die Selbsteinstufung rechtliche Folgen hat, empfiehlt sich in Grenzfällen eine dokumentierte Prüfung, etwa gemeinsam mit einem externen Informationssicherheitsbeauftragten.
Was unterscheidet wichtige von besonders wichtigen Einrichtungen?
Die materiellen Pflichten sind weitgehend gleich; Unterschiede bestehen bei Aufsicht und Sanktionen. Besonders wichtige Einrichtungen unterliegen der proaktiven Aufsicht mit anlasslosen Prüfbefugnissen und einem Bußgeldrahmen bis 10 Mio. Euro oder 2 % des Umsatzes, wichtige Einrichtungen einer anlassbezogenen Aufsicht mit bis zu 7 Mio. Euro oder 1,4 %.
Reicht unsere ISO-27001-Zertifizierung für die NIS-2-Konformität?
Sie ist eine hervorragende Grundlage, ersetzt die gesetzlichen Pflichten aber nicht. Registrierung, die dreistufigen Meldefristen und die persönlichen Pflichten der Geschäftsleitung nach § 38 BSIG liegen außerhalb des Zertifikats. Sinnvoll ist eine gezielte Ergänzung des bestehenden Managementsystems um genau diese Bausteine.
Welche Rolle spielt die Geschäftsleitung persönlich?
Nach § 38 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Cybersicherheitsschulungen teilnehmen; bei schuldhaften Verstößen haftet sie auf Schadensersatz. Diese Pflichten treffen alle Leitungsmitglieder persönlich und sind weder delegierbar noch vertraglich ausschließbar. Dokumentation ist deshalb zugleich Entlastungsnachweis.
Wir fallen selbst nicht unter NIS-2 — kann uns das Gesetz trotzdem treffen?
Ja, über die Lieferkette. Regulierte Unternehmen müssen die Sicherheit ihrer Lieferanten und Dienstleister in ihr Risikomanagement einbeziehen und geben Anforderungen zunehmend vertraglich weiter. Wer als Zulieferer regulierter Kunden auftritt, sollte auf Sicherheitsfragebögen und Vertragsklauseln vorbereitet sein. Wie ein belastbares Fundament dafür aussieht, zeigen unser Überblick NIS-2 im Überblick und die BCM-Beratung für den Wiederanlauf-Teil der Anforderungen.
Quellen
Stand der Recherche: 26. Juli 2026. Maßgeblich sind Gesetzestext und die Veröffentlichungen des BSI.
