Betroffen sind oft auch mittelgrosse Firmen in wichtigen Sektoren und ihre Zulieferer. Wer unsicher ist, sollte die Betroffenheit prüfen lassen.
Wie funktioniert NIS2 in der Praxis?
Die NIS2-Richtlinie, Richtlinie (EU) 2022/2555, verpflichtet Unternehmen in bestimmten Sektoren zu Risikomanagement-Massnahmen, zu einer gestuften Meldepflicht bei erheblichen Sicherheitsvorfällen und zu einer persönlichen Verantwortung der Leitungsebene für die Umsetzung.
In Deutschland wurde die Richtlinie mit dem Gesetz zur Umsetzung der NIS-2-Richtlinie (NIS2UmsuCG) umgesetzt: Es wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet und ist am 6. Dezember 2025 ohne Übergangsfrist in Kraft getreten. Das Gesetz ändert vor allem das BSI-Gesetz (BSIG) und erweitert dessen Anwendungsbereich von rund 4.500 auf rund 29.500 betroffene Unternehmen in 18 Sektoren.
Wen betrifft NIS2 in Deutschland und der Schweiz?
Das deutsche Gesetz unterscheidet zwei neue Kategorien: „wichtige Einrichtungen“ und „besonders wichtige Einrichtungen“, je nach Sektor, Mitarbeiterzahl, Umsatz und Bilanzsumme. Die zugrunde liegende Grössenklasse orientiert sich an der EU-Definition mittlerer und grosser Unternehmen: Die NIS2-Richtlinie verweist dafür auf die Empfehlung 2003/361/EG der EU-Kommission, wonach ein mittleres Unternehmen weniger als 250 Beschäftigte und höchstens 50 Millionen Euro Jahresumsatz oder höchstens 43 Millionen Euro Bilanzsumme hat.
Damit können auch Unternehmen betroffen sein, die sich bisher nicht als kritisch verstanden haben, etwa als Zulieferer eines betroffenen Konzerns. Die Schweiz kennt keine direkte NIS2-Umsetzung, Schweizer Zulieferer betroffener EU-Unternehmen erhalten vergleichbare Anforderungen aber häufig vertraglich weitergereicht.
Was müssen Sie jetzt konkret tun?
Deutsche Unternehmen mussten sich laut BSI bis Ende 2025 in „Mein Unternehmenskonto“ registrieren, die eigentliche Meldefunktion beim BSI für Sicherheitsvorfälle ist seit dem 6. Januar 2026 nutzbar. Wer unsicher ist, ob er betroffen ist, sollte die Prüfung nicht aufschieben, denn das Gesetz gilt ohne Übergangsfrist.
- Betroffenheit prüfen: Sektor, Grösse, Rolle in der Lieferkette
- Registrierung beim BSI über das Meldeportal
- Risikomanagement- und technische Schutzmassnahmen umsetzen
- Meldeprozess für erhebliche Sicherheitsvorfälle einrichten
- Verantwortung der Leitungsebene dokumentieren
Welche Fehler passieren bei NIS2 am häufigsten?
Der häufigste Fehler ist, die eigene Betroffenheit gar nicht zu prüfen, weil man sich als „zu klein“ oder „nicht kritisch“ einschätzt, obwohl NIS2 deutlich mehr Unternehmen erfasst als die Vorgängerregelung. Fast ebenso häufig wird der Meldeprozess erst nach einem Vorfall aufgebaut, obwohl die Fristen ab dem ersten erheblichen Sicherheitsvorfall laufen.
Ein dritter Fehler ist, NIS2 als reines IT-Thema zu behandeln, obwohl die Leitungsebene persönlich verantwortlich ist und Risikoentscheidungen nachvollziehbar dokumentieren muss.
Aufwand und Kostentreiber bei der NIS2-Umsetzung
Der Aufwand hängt davon ab, ob bereits ein ISMS wie ISO 27001 besteht, dann deckt es einen grossen Teil der Anforderungen ab, wie viele Systeme und Lieferanten in die Risikobewertung einbezogen werden müssen, und ob bereits ein funktionierender Meldeprozess existiert. Unternehmen ohne jede Vorarbeit brauchen zunächst eine Betroffenheits- und Gap-Analyse, bevor sich der weitere Aufwand seriös einschätzen lässt.
Zusammenhang mit anderen Normen
Ein bestehendes ISMS nach ISO 27001 deckt einen grossen Teil der NIS2-Anforderungen ab. Für den Finanzsektor gilt neben oder statt NIS2 die spezifischere DORA-Verordnung. Wer sowohl NIS2- als auch DSGVO-Pflichten erfüllen muss, sollte den Meldeprozess für Sicherheitsvorfälle einmal gemeinsam bauen, da sich die Fristen unterscheiden, aber oft denselben Vorfall betreffen.
| Kategorie | Grössenordnung |
|---|---|
| Besonders wichtige Einrichtungen | Grosse Unternehmen in Anhang-I-Sektoren, ab 250 Beschäftigte oder über 50 Mio. Euro Umsatz und über 43 Mio. Euro Bilanzsumme, sowie bestimmte Einrichtungen unabhängig von der Grösse, zum Beispiel KRITIS-Betreiber |
| Wichtige Einrichtungen | Mittlere Unternehmen in Anhang-I- und Anhang-II-Sektoren, ab 50 Beschäftigte oder über 10 Mio. Euro Umsatz, unterhalb der Schwelle für besonders wichtige Einrichtungen |
Häufige Fragen
Ist NIS2 in Deutschland schon in Kraft?
Ja. Das NIS2-Umsetzungsgesetz wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet und ist am 6. Dezember 2025 ohne Übergangsfrist in Kraft getreten.
Was ist der Unterschied zwischen wichtigen und besonders wichtigen Einrichtungen?
Die Einordnung richtet sich nach Sektor und Grösse: Besonders wichtige Einrichtungen sind in der Regel grössere Unternehmen in besonders kritischen Sektoren, wichtige Einrichtungen umfassen zusätzlich mittlere Unternehmen und weitere Sektoren.
Wie viele Unternehmen sind in Deutschland betroffen?
Das BSI nennt rund 29.500 Unternehmen in 18 Sektoren, gegenüber rund 4.500 unter der früheren Regelung.
Bis wann musste man sich beim BSI registrieren?
Nach Angaben des BSI bis Ende 2025 über „Mein Unternehmenskonto“, die Meldefunktion für Sicherheitsvorfälle ist seit dem 6. Januar 2026 nutzbar.
Was passiert, wenn wir NIS2 ignorieren?
Das Gesetz sieht Aufsicht durch das BSI und Sanktionen vor, zusätzlich haftet die Leitungsebene persönlich für die Umsetzung.
Quellen
- Richtlinie (EU) 2022/2555 (NIS2-Richtlinie), EUR-Lex, Amt für Veröffentlichungen der Europäischen Union, 2022
- Cybersicherheitsrecht: NIS-2-Umsetzungsgesetz ab morgen in Kraft, Bundesamt für Sicherheit in der Informationstechnik (BSI), 2025
- Gesetz zur Umsetzung der NIS-2-Richtlinie, BGBl. I Nr. 301, Bundesanzeiger Verlag / Bundesgesetzblatt, 2025