Das NIS-2-Umsetzungsgesetz verschärft die Anforderungen an die Informationssicherheit. Wer betroffen ist, entscheidet ein Schwellenwert, nicht die Branche allein.
Das NIS-2-Umsetzungsgesetz, kurz BSIG, verschärft die Anforderungen an die Informationssicherheit in Deutschland. Betroffen sind Einrichtungen in bestimmten kritischen Sektoren, sobald sie eine Schwelle überschreiten.
Für die meisten kleinen Unternehmen ändert sich damit wenig. Für einzelne Branchen, für Zulieferer und für Unternehmen, die selbst keine IT betreiben, kann es alles ändern. Entscheidend ist die Frage, ob Ihr Unternehmen in der Liste der betroffenen Einrichtungen steht.
Der Bundestag hat das NIS-2-Umsetzungsgesetz am 13. November 2025 beschlossen. Nach § 32 BSIG melden betroffene Einrichtungen erhebliche Vorfälle binnen 24 Stunden, reichen eine Folgemeldung binnen 72 Stunden nach und schließen nach einem Monat ab.
Wer betroffen ist
Zwei Dinge entscheiden: der Sektor und die Unternehmensgröße. Die Sektoren sind in der Richtlinie und im BSIG benannt. Die Schwellen unterscheiden sich je Sektor, sie liegen aber durchweg deutlich über der Größe eines kleinen Handwerksbetriebs. Wer unterhalb der Schwelle bleibt, ist nicht betroffen - auch dann nicht, wenn er in einer betroffenen Branche arbeitet.
| Kriterium | Was gilt | Für wen es zählt |
|---|---|---|
| Sektor | Energie, Verkehr, Wasser, Gesundheitswesen, Finanzmarkt, digitale Infrastruktur und weitere | Die vollständige Liste steht im BSIG und in den Vorgaben des BSI |
| Unternehmensgröße | Schwellen je Sektor, überwiegend ab 50 oder 250 Mitarbeitenden | Unterhalb der Schwelle greift das Gesetz nicht |
| Ohne eigene IT | Auch Anbieter von Dienstleistungen können betroffen sein | Ihre Dienstleister müssen die Vorgaben einhalten |
| Zulieferer | Unternehmen können vertraglich in die Pflicht einbezogen werden | Wichtig für Kunden in betroffenen Sektoren |
Die Meldepflichten
Die Meldepflicht folgt einem festen Takt. Die erste Meldung binnen 24 Stunden nennt den Vorfall, die betroffenen Systeme und die vorläufige Bewertung. Die Folgemeldung nach 72 Stunden bringt die Einordnung und die Folgen. Nach einem Monat schließt die Meldung mit den Ergebnissen und den getroffenen Maßnahmen ab.
- 1
24 Stunden: Erstmeldung mit Vorfall, betroffenen Systemen und vorläufiger Bewertung.
- 2
72 Stunden: Folgemeldung mit Ursache, Reichweite und Auswirkung auf den Betrieb.
- 3
Ein Monat: Abschlussmeldung mit den Ergebnissen und den getroffenen Maßnahmen.
Was betroffene Einrichtungen jetzt tun müssen
- 1
Registrierung: Betroffene Einrichtungen und ihre Dienstleister werden registriert.
- 2
Melder benennen: Eine Person und eine Vertretung müssen rund um die Uhr erreichbar sein.
- 3
Verträge prüfen: Vereinbarungen mit Dienstleistern brauchen klare Zuständigkeiten für die Meldepflicht.
- 4
Vorsorge treffen: Ein Notfallplan mit Meldewegen gehört zur Umsetzung.
- 5
Üben: Der Ablauf wird geprobt, sonst fehlt im Ernstfall die Reihenfolge.
Und wenn Sie nicht betroffen sind
Für nicht betroffene Unternehmen bleibt die Sicherheitspflicht aus dem BSI-Grundschutz die Grundlage. Der Aufwand dafür ist überschaubar: ein aktuelles Patch, ein geprüftes Backup, ein zweiter Faktor auf den Konten und eine kurze Schulung im Jahr. Diese vier Punkte decken den größten Teil der realen Angriffe ab.
Nach § 32 BSIG gilt für erhebliche Sicherheitsvorfälle eine Erstmeldung innerhalb von 24 Stunden, eine Folgemeldung binnen 72 Stunden und eine Abschlussmeldung nach einem Monat.
Quelle: BSI: NIS-2-Pflichten für regulierte Unternehmen · Fassung vom 13.11.2025
Häufige Fragen zu NIS-2 und BSIG
Alle Fachbegriffe dieser Seite sind einmal abschließend erklärt – im Glossar mit 50 IT-Begriffen.
Passende Leistungen
Wir prüfen mit Ihnen, ob Ihr Sektor und Ihre Größe Sie erfassen und welche Unterlagen fehlen. Im kostenlosen Erstgespräch entsteht eine kurze Liste mit den nächsten Schritten.
Erstgespräch vereinbarenBegriffe aus diesem Beitrag
NIS-2
Die NIS-2-Richtlinie der Europäischen Union verschärft die Anforderungen an die IT-Sicherheit bestimmter Unternehmen.
IT-Notfallplan
Ein IT-Notfallplan beschreibt, wer nach einem Ausfall entscheidet, welche Systeme zuerst wieder laufen und wie der Betrieb in den Normalzustand zurückfindet.
BSI IT-Grundschutz
Der IT-Grundschutz ist die gemeinsame Sicherheitsstandardisierung des Bundesamts für Sicherheit in der Informationstechnik für den privaten und öffentlichen Sektor.
Themen
Themenfeld
IT-Strategie, Betrieb und Kosten für KMU