NIS-2: Pflichten, Fristen, und was jetzt zu tun ist
Das deutsche NIS-2-Gesetz ist seit Dezember 2025 in Kraft, die Kulanzfrist für die Registrierung endete am 31. Juli 2026. Diese Seite erklärt, wer betroffen ist, was jetzt gilt und welche Pflichten unser NOC und unser SOC im Betrieb übernehmen.
NIS-2 ist die EU-Richtlinie zur Netzwerk- und Informationssicherheit. Deutschland hat sie mit dem NIS2UmsuCG umgesetzt, in Kraft seit dem 6. Dezember 2025. Sie verpflichtet geschätzt 30.000 Unternehmen, weit über klassische KRITIS-Betreiber hinaus: wichtige und besonders wichtige Einrichtungen in 18 Sektoren, als Faustregel ab 50 Beschäftigten oder 10 Millionen Euro Umsatz.
Bin ich betroffen?
Das BSI bietet einen anonymen Selbsttest an: NIS-2-Betroffenheitsprüfung (betroffenheitspruefung-nis-2.bsi.de). Das Ergebnis ist unverbindlich, und die schwierigere Frage kommt meist danach: welche der Pflichten Ihr Haus selbst erfüllen muss und welche ein Dienstleister tragen kann.
Beides klären wir in einem kostenlosen 30-Minuten-Gespräch: ob Sie betroffen sind, in welcher Kategorie, und was das konkret für Ihren Betrieb bedeutet. Kein Tool, keine Formulare, ein Gespräch mit den Leuten, die die Systeme später betreiben.
Registrierung verpasst? Auf die Reihenfolge kommt es an.
Die gesetzliche Registrierungsfrist nach § 33 BSIG endete am 6. März 2026, die Kulanzfrist des BSI am 31. Juli 2026. Seitdem gilt die Durchsetzung: Die fehlende Registrierung ist eine Ordnungswidrigkeit mit Bußgeld bis 500.000 Euro. Zehntausende Einrichtungen sind weiter nicht registriert. Gehört Ihre dazu, ist das die sinnvolle Reihenfolge:
Erstens die Kategorie klären, denn sie bestimmt die Pflichten. Zweitens sofort beim BSI registrieren, spät ist deutlich besser als nie. Drittens die Meldekette einrichten, denn die Fristen laufen ab dem Vorfall, nicht ab Ihrer Bereitschaft. Viertens die Maßnahmen zum Risikomanagement nach § 30 BSIG dokumentieren. Wir unterstützen alle vier Schritte und betreiben den technischen Teil dauerhaft.
Die 24-Stunden-Meldekette, ohne eigenes SOC
Die Meldepflichten sind der Teil von NIS-2 mit dem härtesten Zeitdruck, und sie gelten seit Inkrafttreten des Gesetzes:
| Binnen 24 Stunden | Erstmeldung des erheblichen Vorfalls an das BSI |
| Binnen 72 Stunden | Folgemeldung mit einer ersten Bewertung |
| Binnen eines Monats | Abschlussbericht zu Ursache, Auswirkung und Gegenmaßnahmen |
Einen Angriff um 2 Uhr nachts zu erkennen, zu bewerten und binnen 24 Stunden zu melden, ist ohne Betrieb rund um die Uhr kaum leistbar. Genau das ist die Aufgabe unseres SOC: durchgehende Angriffserkennung, qualifizierte Bewertung und die Fristen der Meldekette als eingespielter Ablauf.
Was unser NOC und SOC übernehmen, und was bei Ihnen bleibt
Wir übernehmen die betrieblichen Pflichten: Angriffserkennung (für KRITIS-Betreiber einschließlich SzA), die Meldekette, Monitoring, Datensicherungs- und Wiederanlaufprozesse, Patch- und Firewall-Betrieb und die Dokumentation, nach der Prüfer fragen.
Was Ihnen kein Dienstleister abnehmen kann: die Verantwortung der Geschäftsleitung (§ 38 BSIG macht sie persönlich und nicht delegierbar, einschließlich Schulungspflicht), die Sicherheit der Lieferkette in Ihrem Einkauf und Ihre internen Richtlinien. Diese Grenze benennen wir ehrlich, und genau dort arbeiten wir Hand in Hand mit Ihrer Geschäftsleitung und Ihren Rechtsberatern.
Die Fristen im Überblick
| 6. Dezember 2025 | NIS2UmsuCG in Kraft, Meldepflichten gelten seitdem |
| 6. März 2026 | Ende der gesetzlichen Registrierungsfrist (§ 33 BSIG) |
| 31. Juli 2026 | Ende der BSI-Kulanzfrist, seitdem Durchsetzung |
| Ab Dezember 2028 | Nachweise der Maßnahmen für besonders wichtige Einrichtungen auf Verlangen |
| KRITIS-Betreiber | Zusätzlich: Systeme zur Angriffserkennung und Nachweisprüfungen alle drei Jahre |
Häufige Fragen
Gilt NIS-2 auch für mein Unternehmen?
Als Faustregel: ja, wenn Ihr Unternehmen zu einem der 18 Sektoren gehört und mindestens 50 Beschäftigte oder 10 Millionen Euro Jahresumsatz hat. Auch kleinere Unternehmen können erfasst sein, etwa als Teil einer kritischen Lieferkette. Der BSI-Selbsttest gibt eine erste Antwort, ein kurzes Gespräch die belastbare.
Die Registrierungsfrist ist abgelaufen. Was passiert jetzt?
Die fehlende Registrierung ist eine Ordnungswidrigkeit mit Bußgeld bis 500.000 Euro, und seit dem 31. Juli 2026 ist die Durchsetzung möglich. Eine späte Registrierung ist trotzdem deutlich besser als keine: Sie zeigt Umsetzungswillen und nimmt den einfachsten Bußgeldhebel vom Tisch.
Reicht eine ISO-27001-Zertifizierung für NIS-2?
Sie hilft sehr, weil sich die Maßnahmen weit überschneiden, und sie wird als Nachweis zählen. Sie ersetzt die NIS-2-Pflichten aber nicht automatisch: Registrierung, Meldekette und die Pflichten der Geschäftsleitung gelten unabhängig von jedem Zertifikat.
Haftet die Geschäftsleitung persönlich?
§ 38 BSIG verpflichtet die Geschäftsleitung persönlich, die Maßnahmen zum Risikomanagement zu billigen und zu überwachen, und diese Pflicht ist nicht delegierbar. Er verlangt außerdem regelmäßige Schulungen. Deshalb gehört die Entscheidung über NIS-2 auf die Leitungsebene, nicht nur in die IT.
Klären Sie Ihren NIS-2-Stand in 30 Minuten
Nennen Sie uns Ihre Branche und grob Ihre Größe. Wir sagen Ihnen, ob und wie Sie betroffen sind, welche Pflichten unser NOC und unser SOC tragen können und wo Sie Geschäftsleitung und Recht brauchen statt Technik.
Diese Seite informiert allgemein mit Stand August 2026 und ersetzt keine Rechtsberatung.