Das NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025 — ohne Übergangsfrist. Rund 29.500 Unternehmen stehen seither unter Aufsicht des BSI, zuvor waren es etwa 4.500. Wir klären zuerst, ob Sie dazugehören, holen eine versäumte Registrierung nach und bauen die Maßnahmen nach § 30 BSIG so auf, dass sie im Ernstfall nachweisbar sind — nicht nur dokumentiert.
Die Pflichten gelten seit dem ersten Tag. Was fehlt, ist bei den meisten Unternehmen nicht der Wille, sondern die Klarheit darüber, dass sie gemeint sind.
Die gesetzliche Frist endete am 6. März 2026. Die vom BSI eingeräumte Duldung für Nachzügler lief am 31. Juli 2026 aus. Wer jetzt nicht registriert ist, bewegt sich ohne jeden Schutzschirm — und die fehlende Registrierung ist für sich genommen bußgeldbewehrt.
Der Cyber Security Report 2026 zeigt: Etwa 48 Prozent der befragten Unternehmen schätzen ihre eigene regulatorische Betroffenheit zu niedrig ein. Der teuerste Fehler bei NIS2 ist nicht eine lückenhafte Maßnahme, sondern die Annahme, das Thema betreffe einen nicht.
§ 30 BSIG verlangt von betroffenen Einrichtungen ausdrücklich, die Sicherheit ihrer Lieferkette zu steuern. Deshalb landen Sicherheitsfragebögen zunehmend bei Dienstleistern, die selbst gar nicht reguliert sind — und beantwortet werden müssen sie trotzdem.
Nach § 38 BSIG muss die Geschäftsleitung die Maßnahmen billigen und ihre Umsetzung überwachen; für schuldhafte Verletzungen haftet sie persönlich, ein Haftungsverzicht ist unwirksam. Delegieren lässt sich die Arbeit, nicht die Verantwortung.
Betroffen ist, wer in einem der 18 Sektoren tätig ist und die Größenschwellen erreicht. Die Klasse entscheidet darüber, wie streng die Aufsicht prüft und wie hoch der Bußgeldrahmen liegt.
| Kriterium | Besonders wichtige Einrichtung | Wichtige Einrichtung |
|---|---|---|
| Größe | ab 250 Beschäftigte oder mehr als 50 Mio. € Umsatz und mehr als 43 Mio. € Bilanzsumme | ab 50 Beschäftigte oder mehr als 10 Mio. € Umsatz und Bilanzsumme |
| Aufsicht | Proaktiv — das BSI kann ohne Anlass prüfen | Reaktiv — Prüfung bei Hinweisen auf Verstöße |
| Bußgeldrahmen | bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes | bis 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes |
| Registrierung | Pflicht, unabhängig von der Klasse | Pflicht, unabhängig von der Klasse |
| Maßnahmen nach § 30 | Identisch — der Katalog gilt für beide Klassen gleichermaßen | Identisch — der Katalog gilt für beide Klassen gleichermaßen |
Die Größenschwellen sind nur die halbe Wahrheit: Bestimmte Einrichtungen — etwa qualifizierte Vertrauensdiensteanbieter, TLD-Registries oder DNS-Dienste — fallen unabhängig von ihrer Größe unter das Gesetz. Genauso wenig schützt ein Sektor per se: Entscheidend ist die konkrete Tätigkeit, nicht die Selbstbeschreibung im Handelsregister.
Hinter den zehn Maßnahmenbereichen des § 30 BSIG steht nichts anderes als ein funktionierendes Informationssicherheits-Managementsystem. Wer ISO/IEC 27001:2022 bereits umsetzt, hat den Großteil der Anforderungen erfüllt — die verbleibende Lücke ist überwiegend regulatorischer, nicht technischer Natur.
Von der ersten Einschätzung bis zu dem Punkt, an dem Sie einer Aufsichtsanfrage gelassen entgegensehen.
Prüfung Ihrer Tätigkeit gegen die 18 Sektoren, der Größenschwellen und der konzernweiten Zurechnung — mit einem schriftlichen Ergebnis, das auch dann trägt, wenn es „nicht betroffen“ lautet. Denn auch diese Feststellung will belegt sein.
Abgleich Ihrer bestehenden Maßnahmen mit allen zehn Anforderungsbereichen des Gesetzes — priorisiert nach Risiko und Aufwand, nicht nach Reihenfolge im Gesetzestext.
Aufbereitung der Angaben für das BSI-Portal, Benennung der Kontaktstellen und Einrichtung der Erreichbarkeit rund um die Uhr, die das Gesetz voraussetzt. Verspätete Registrierungen holen wir strukturiert nach.
Ein eingeübter Ablauf für Erstmeldung binnen 24 Stunden, Folgemeldung nach 72 Stunden und Abschlussbericht nach einem Monat — inklusive Entscheidungsbaum, wer meldet, wann gemeldet wird und was in eine Meldung gehört.
Technische und organisatorische Umsetzung der zehn Bereiche — bei Apple-Flotten direkt über Mosyle MDM erzwungen statt in einer Richtlinie behauptet: Verschlüsselung, Patchstand, Zugriffskontrolle, Gerätekonformität.
Nachweisführung für Aufsicht und Kunden, Vorbereitung der Geschäftsleitung auf ihre Billigungs- und Überwachungspflicht sowie belastbare Antworten auf Lieferkettenfragebögen.
Betroffenheitsanalyse mit schriftlichem Ergebnis: betroffen, nicht betroffen oder über die Lieferkette gebunden — und in welcher Klasse.
Registrierung beim BSI, Kontaktstellen benennen, Meldeweg festlegen. Was Fristen hat, kommt zuerst — alles andere danach.
Gap-Analyse gegen § 30 und Umsetzung der Lücken, priorisiert nach Risiko. Technische Maßnahmen werden erzwungen, nicht empfohlen.
Dokumentation, Schulung der Geschäftsleitung, Probelauf des Meldeprozesses und ein jährlicher Rhythmus zur Überprüfung der Wirksamkeit.
Ein großer Teil unserer Kundschaft — Kreativstudios, Filmproduktionen, Architekturbüros, IT-Dienstleister — fällt nicht selbst unter das Gesetz. Gefragt werden sie trotzdem, weil ihre Auftraggeber es müssen. Wer darauf eine strukturierte Antwort hat, gewinnt Aufträge, für die andere nachreichen müssen.
Stand: August 2026. Rechtslage nach dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG).
Ja, beide. Die gesetzliche Frist endete am 6. März 2026, drei Monate nach Inkrafttreten des NIS2-Umsetzungsgesetzes. Das BSI hat anschließend angekündigt, verspätete Registrierungen bis zum 31. Juli 2026 zu dulden und in diesem Zeitraum von Maßnahmen abzusehen. Das war eine Ermessensentscheidung der Behörde, keine Verlängerung der gesetzlichen Frist — und auch dieser Zeitraum ist inzwischen vorbei. Wer bis heute nicht registriert ist, sollte das umgehend nachholen: Die Registrierung ist eine eigenständige Pflicht, ihre Verletzung ein eigenständiger Bußgeldtatbestand, und eine späte Registrierung ist in jedem Fall besser als gar keine.
Es ist der größte Teil der Strecke, aber nicht das Ziel. Ein gelebtes ISMS nach ISO/IEC 27001:2022 deckt erfahrungsgemäß 70 bis 80 Prozent der Anforderungen aus § 30 BSIG ab, weil beide auf demselben Grundgedanken beruhen: risikobasiert steuern statt Maßnahmen abhaken. Was ISO 27001 nicht mitbringt, sind die spezifisch regulatorischen Teile — die Registrierung beim BSI, die Meldeketten mit 24-Stunden-Erstmeldung, die formale Schulungs- und Überwachungspflicht der Geschäftsleitung nach § 38 BSIG sowie die Nachweispflicht gegenüber der Aufsicht. Diese Lücke ist in der Regel in Wochen zu schließen, nicht in Monaten.
Weil § 30 BSIG die Sicherheit der Lieferkette ausdrücklich zu den Pflichten der betroffenen Einrichtung zählt. Ein reguliertes Unternehmen muss die Sicherheit seiner Dienstleister bewerten und steuern — und gibt diese Anforderung vertraglich an Sie weiter. Das trifft besonders IT-Dienstleister, Cloud- und Hosting-Anbieter, Wartungsfirmen und Agenturen mit Zugriff auf Systeme oder unveröffentlichtes Material. Für Sie entsteht daraus keine gesetzliche Pflicht, sondern eine vertragliche: Sie werden gefragt, Sie müssen antworten, und die Qualität Ihrer Antwort entscheidet über den Auftrag.
Ja. § 38 BSIG verpflichtet die Geschäftsleitung, die Risikomanagementmaßnahmen zu billigen und ihre Umsetzung zu überwachen, und sieht eine persönliche Haftung für schuldhafte Pflichtverletzungen vor. Ein Verzicht des Unternehmens auf Ersatzansprüche ist gesetzlich ausgeschlossen. Die operative Arbeit lässt sich delegieren — an einen internen oder externen Informationssicherheitsbeauftragten —, die Überwachungspflicht selbst nicht. Praktisch heißt das: Die Geschäftsleitung muss regelmäßig und nachweisbar informiert werden, und diese Nachweise müssen dokumentiert vorliegen.
Das hängt fast vollständig vom Ausgangspunkt ab. Die Betroffenheitsanalyse und eine belastbare Registrierung sind eine Sache von Tagen. Ein Unternehmen mit bestehendem ISMS schließt die verbleibenden Lücken meist in vier bis acht Wochen. Ohne dokumentiertes Sicherheitsmanagement ist mit vier bis neun Monaten bis zu einem prüffesten Stand zu rechnen — wobei die kritischen Punkte, allen voran Registrierung, Meldeprozess und Notfallkontakte, gleich zu Beginn stehen und nicht ans Ende der Umsetzung gehören.
Nein. Wir arbeiten technisch und organisatorisch: Betroffenheit einschätzen, Maßnahmen nach § 30 BSIG aufbauen, Nachweise strukturieren, Meldeprozesse einüben. Die verbindliche rechtliche Bewertung — insbesondere bei unklarer Sektorenzuordnung, Konzernstrukturen oder laufenden Aufsichtsverfahren — gehört in die Hände einer spezialisierten Kanzlei. Wir arbeiten in solchen Fällen zu und liefern die technische Grundlage, auf der juristisch entschieden wird.
Sektoren, Schwellenwerte und Lieferketten-Durchgriff in einer Prüfung zum Selbermachen.
Die Rolle, die NIS2 praktisch voraussetzt — ohne eigene Planstelle.
Das ISMS, das 70 bis 80 Prozent der NIS2-Anforderungen mitbringt.
Zero-Trust, Risikobewertung und Security Awareness als technischer Unterbau.