NIS2-Anforderungen im Überblick: welche Pflicht wen ab wann trifft

Die zehn Maßnahmenbereiche im Einzelnen stehen auf der Seite § 30 BSIG, die Reihenfolge der Umsetzung im NIS2-Maßnahmenplan. Ob Ihr Unternehmen überhaupt betroffen ist, klärt die Betroffenheitsprüfung.

Welche Anforderungen stellt NIS2 an Unternehmen?

NIS2 ist eine EU-Richtlinie (Richtlinie (EU) 2022/2555). In Deutschland gilt sie über das BSI-Gesetz (BSIG), das mit dem NIS2-Umsetzungsgesetz am 06.12.2025 in Kraft trat; diese Seite gibt die Fassung vom 22.10.2026 wieder. Adressaten sind besonders wichtige und wichtige Einrichtungen. Eine allgemeine Übergangsfrist gibt es nicht. Zeitlich gestaffelt sind nur einzelne Vorschriften zu kritischen Anlagen und Teile der Registrierung (§ 66 BSIG); die Pflichten aus §§ 30, 32 und 38 gelten seit dem Inkrafttreten, unabhängig davon, ob die Registrierung schon erledigt ist.

Pflichtenmatrix: Pflicht, Fundstelle, wer, ab wann

„bwE“ steht für besonders wichtige Einrichtungen, „wE“ für wichtige Einrichtungen. „Seit 06.12.2025“ gilt für Einrichtungen, die zu diesem Zeitpunkt betroffen waren; wer später eine Schwelle überschreitet, ist ab diesem Zeitpunkt betroffen (eigene Einordnung).

Ausnahmen: Für TK-Netzbetreiber, TK-Diensteanbieter und Energieunternehmen, die den §§ 5c bis 5e EnWG unterliegen, gelten unter anderem §§ 30, 32 und 38 nicht (§ 28 Abs. 5). Dasselbe gilt für Finanzunternehmen nach DORA und die Telematikinfrastruktur (§ 28 Abs. 6); die Registrierung bleibt in beiden Fällen. Ist der Betrieb einer Energieanlage nur eine Nebentätigkeit, greift die Ausnahme nicht (§ 28 Abs. 5 Satz 4). Welche Paragrafen genau entfallen und wann die Ausnahme sonst nicht greift, erklärt die Betroffenheitsprüfung.

Unterscheiden sich die Pflichten für besonders wichtige und wichtige Einrichtungen?

Bei Registrierung, Maßnahmen, Meldung und Geschäftsleitung nicht: §§ 30, 32, 33 und 38 richten sich an beide Kategorien gleich. Unterschiede gibt es bei Aufsicht und Bußgeld. Das BSI kann bei besonders wichtigen Einrichtungen von sich aus Audits und Prüfungen anordnen (§ 61), bei wichtigen Einrichtungen nur, wenn Tatsachen einen Verstoß nahelegen (§ 62). Die Höchstbeträge der Bußgelder unterscheiden sich, siehe unten. Betreiber kritischer Anlagen haben zusätzliche Pflichten nach §§ 31 und 39.

Welche Bußgelder drohen bei welcher Pflicht?

Die Höchstbeträge hängen vom verletzten Tatbestand und von der Kategorie ab. Eine Auswahl nach § 65 BSIG:

Bei den Tatbeständen der ersten Zeile halbiert sich der Höchstbetrag bei Fahrlässigkeit nicht (§ 65 Abs. 9). Weitere Tatbestände, etwa zu Nachweisen von Betreibern kritischer Anlagen, haben eigene Höchstbeträge. Die Geschäftsleitung haftet ihrer Einrichtung für schuldhaft verursachte Schäden nach Gesellschaftsrecht (§ 38 Abs. 2); das ordnet die Seite zur Geschäftsleitung ein.

Beispiel: Pflichtenmatrix für einen Kurierdienst

Fiktives Beispiel, kein Kunde. Ein regionaler Kurier- und Paketdienst beschäftigt 90 Personen (gerechnet in Jahresarbeitseinheiten), erzielt 14 Mio. € Umsatz und gehört keinem Konzern an. Post- und Kurierdienste stehen in Anlage 2; ab 50 Mitarbeitern ist das Unternehmen eine wichtige Einrichtung. Die Geschäftsführung lässt die Matrix für das eigene Haus ausfüllen:

Die Matrix zeigt dem Unternehmen schnell, wo es steht: Die Registrierung ist erledigt, bei Meldung und Leitung fehlt das meiste. Diese Punkte kommen im Maßnahmenplan nach vorn.

Typische Lücken beim Umgang mit den NIS2-Anforderungen

NIS2 neben anderen Regelwerken

Neben NIS2 können weitere Regelwerke gelten. Die Abgrenzung im Einzelnen erklären die jeweiligen Fachseiten:

• ISO 27001: Ein umfassend umgesetztes ISMS deckt nach dem BSI einen großen Teil von § 30 ab, ein Zertifikat erfüllt aber nicht automatisch alle BSIG-Pflichten. Eine „NIS2-Zertifizierung“ gibt es nicht. Was einem ISMS für NIS2 fehlt, zeigt NIS2 und ISO 27001.
• IT-Grundschutz: Der IT-Grundschutz ist für NIS2 nicht verpflichtend; eine Zertifizierung danach kann den Nachweis erleichtern. Wie beides zusammenpasst, erklärt Grundschutz-Readiness: NIS2 und IT-Grundschutz.
• C5: Cloud-Anbieter mit C5-Prüfbericht fragen, was davon für NIS2 zählt. Welche Pflichten trotz C5-Prüfbericht bleiben, steht bei C5-Readiness: C5 und NIS2.
• CRA: Die Verordnung (EU) 2024/2847 regelt die Cybersicherheit von Produkten mit digitalen Elementen und die Pflichten der Hersteller und weiterer Wirtschaftsakteure; NIS2 regelt die Pflichten der Einrichtung, die IT betreibt. Die Abgrenzung erklärt CRA-Readiness: CRA, NIS2 und DORA.
• DORA: Für Finanzunternehmen nach DORA gelten §§ 30, 31, 32, 35, 36, 38 und 39 BSIG nicht, registrieren müssen sie sich trotzdem; wie sich NIS2 und DORA im Einzelnen abgrenzen, hängt vom Finanzunternehmen ab und steht auf DORA und NIS2 abgrenzen.
• KRITIS-Dachgesetz: Das KRITIS-Dachgesetz regelt seit dem 17.03.2026 die Resilienz kritischer Anlagen; reine IT-Sicherheitsvorfälle bleiben beim BSIG. Eine Registrierungspflicht nach dem KRITIS-Dachgesetz besteht derzeit nicht, weil die Rechtsverordnung zur Bestimmung kritischer Anlagen noch aussteht.
• Telekommunikation: Für Betreiber öffentlicher TK-Netze und Anbieter öffentlich zugänglicher TK-Dienste gelten §§ 30, 31, 32, 35, 36, 38, 39, 61 und 62 BSIG nach § 28 Abs. 5 nicht, die Registrierung bleibt. Welche Regeln nach dem Telekommunikationsgesetz gelten, erklärt Blackfort Technology: TK-Anbieter unter NIS2 und TKG.

Lieferanten, die selbst nicht betroffen sind, verpflichtet das BSIG nicht unmittelbar. Nach Auffassung des BSI müssen ihre Kunden sie aber zu Sicherheitsanforderungen verpflichten, um § 30 Abs. 2 Nr. 4 zu erfüllen; wie Zulieferer darauf antworten, steht auf der Seite NIS2 für Zulieferer.

Diese Seite ist eine allgemeine Information und keine Rechtsberatung. Welche Pflichten für Ihr Unternehmen gelten, ist im Einzelfall zu prüfen.