NIS2: Wo wir heute stehen, was gilt und wer was tun muss

Seit dem 6. Dezember 2025 ist NIS2 in Deutschland geltendes Recht. Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz kam ohne Übergangsfrist – die Pflichten gelten seither sofort. Wer bis heute nichts unternommen hat, ist nicht mehr „frühzeitig dran", sondern im Verzug. Hier steht, wo wir wirklich stehen, was konkret gilt und was jetzt zu tun ist.

Wo wir heute stehen

• 6. Dezember 2025: Das Gesetz tritt in Kraft. Rund 29.500 Unternehmen in Deutschland sind betroffen, in 18 Sektoren.
• 6. Januar 2026: Das BSI-Meldeportal geht live. Hier erfolgt die Registrierung, hier werden später auch Sicherheitsvorfälle gemeldet.
• 6. März 2026: Die gesetzliche Registrierungsfrist von drei Monaten läuft ab.
• 31. Juli 2026: Weil ein erheblicher Teil der betroffenen Unternehmen die Frist gerissen hatte, gewährt das BSI eine Nachfrist bis zu diesem Datum.
• Heute: Auch diese Nachfrist ist verstrichen. Die gesetzliche Registrierungsfrist gilt als abgelaufen. Wer sich noch nicht registriert hat, begeht eine Ordnungswidrigkeit – jeden Tag, den das andauert.

Unternehmen, die erst später erstmals unter die Kriterien fallen – etwa durch Wachstum oder eine Übernahme – haben ab dem Zeitpunkt ihrer Betroffenheit ebenfalls drei Monate Zeit zur Registrierung.

Wer betroffen ist: die Einstufung nach § 28 BSIG

Die Einstufung folgt festen Schwellenwerten und Sektoren. Vereinfacht gilt:

Besonders wichtige Einrichtung

• mindestens 250 Beschäftigte, oder
• Jahresumsatz über 50 Millionen Euro und Jahresbilanzsumme über 43 Millionen Euro,
• in einem der besonders sensiblen Sektoren (Anlage 1) – etwa Energie, Verkehr, Gesundheitswesen, Finanzwesen, digitale Infrastruktur, Trinkwasser, Raumfahrt.

Wichtige Einrichtung

• mindestens 50 Beschäftigte, oder
• Jahresumsatz und Jahresbilanzsumme über jeweils 10 Millionen Euro,
• in den Sektoren der Anlage 1 oder 2 (unter anderem Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, Forschung, digitale Dienste).

Einige Sonderfälle – etwa qualifizierte Vertrauensdiensteanbieter, TLD-Registries oder Betreiber öffentlicher Telekommunikationsnetze – gelten unabhängig von der Größe als besonders wichtig. Wer nicht sicher ist, wo er steht, prüft das über das offizielle Betroffenheitstool des BSI oder lässt es prüfen.

Was konkret verlangt wird

• Risikomanagementmaßnahmen, die dem Stand der Technik entsprechen und alle Gefahren abdecken – nicht nur Cyberangriffe, sondern auch physische Vorfälle und Ausfälle in der Lieferkette.
• Meldepflichten: ein erheblicher Sicherheitsvorfall muss binnen 24 Stunden als Frühwarnung, binnen 72 Stunden als vollständige Meldung an das BSI gehen.
• Verantwortung der Geschäftsleitung: Geschäftsführung und Vorstand müssen die Umsetzung persönlich billigen, überwachen und sich schulen lassen – und haften bei Pflichtverletzung persönlich.
• Registrierung im BSI-Portal mit Stammdaten, Sektor und Kontaktstellen.

Bei Verstößen drohen Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes bei besonders wichtigen Einrichtungen – je nachdem, was höher ist. Schon die verspätete Registrierung allein kann mit bis zu 500.000 Euro geahndet werden.

Wer jetzt was tun muss

Sie wissen noch nicht, ob Sie betroffen sind

Erster Schritt: Betroffenheit klären – Sektor, Mitarbeiterzahl, Umsatz. Das lässt sich in der Regel in wenigen Stunden beantworten.

Sie sind betroffen, aber noch nicht registriert

Die Registrierung jetzt nachholen, nicht länger warten. Jeder weitere Tag verlängert eine bestehende Ordnungswidrigkeit.

Sie sind registriert, aber inhaltlich nicht vorbereitet

Hier beginnt die eigentliche Arbeit: ein Informationssicherheits-Managementsystem aufbauen, Risiken bewerten, Maßnahmen dokumentieren, die Geschäftsleitung einbinden und schulen, einen Meldeprozess einüben, der auch nachts funktioniert.

Wir helfen – aus zwei Häusern, mit einer Stimme

NIS2 ist kein reines Rechtsthema und kein reines IT-Thema. Es ist beides gleichzeitig, und genau deshalb arbeiten wir dabei aus zwei spezialisierten Häusern der L&S Unternehmensgruppe zusammen:

• BES Systemhaus setzt die technischen Anforderungen um: Netzwerksicherheit, Monitoring, Zugriffskonzepte, Backup und Notfallwiederherstellung, Härtung der Infrastruktur, ein Meldeprozess, der im Ernstfall trägt.
• CMD übernimmt die ISMS- und ISO-27001-Beratung: Aufbau des Informationssicherheits-Managementsystems, Risikobewertung, Dokumentation, Vorbereitung auf eine Zertifizierung, Schulung der Geschäftsleitung.

Damit laufen NIS2-Vorbereitung, technische Umsetzung und Dokumentation nicht getrennt in drei Richtungen, sondern als ein gemeinsames Projekt mit einem klaren Fahrplan.

Der erste Schritt

Wenn Sie nicht wissen, wo Sie stehen: Wir klären in einem ersten Gespräch Ihre Betroffenheit, den aktuellen Stand Ihrer Registrierung und was in Ihrem Fall als Nächstes ansteht. Mehr zu unseren Leistungen unter IT-Sicherheit und NIS2-Beratung.

Stand: 2. September 2026 · BES Systemhaus GmbH, Schwabach · Weißenburg · Nürnberg