NIS-2: Wer sich beim BSI registrieren muss und was jetzt droht

Das NIS-2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten. Es überführt die europäische Richtlinie zur Netz- und Informationssicherheit in deutsches Recht und weitet den Kreis der verpflichteten Unternehmen erheblich aus. Nach Angaben des Bundesamts für Sicherheit in der Informationstechnik (BSI) waren zum 30. Juni 2026 insgesamt 17.945 Einrichtungen registriert, darunter 11.501 „wichtige“ und 6.215 „besonders wichtige“ Einrichtungen. Schätzungen zur Zahl der tatsächlich Betroffenen liegen bei rund 29.000.

Wer betroffen ist

Das Gesetz gilt für Unternehmen ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz, die in einem von 18 Sektoren tätig sind. Dazu gehören neben Energie, Gesundheit und Verkehr auch das verarbeitende Gewerbe in Teilen, etwa Maschinen- und Fahrzeugbau, Elektronik und Medizinprodukte, sowie Lebensmittelproduktion, Chemie, Abfallwirtschaft, Post- und Kurierdienste und digitale Dienste. Für die Region Bodensee-Allgäu mit ihrem hohen Anteil an Zulieferern und Lebensmittelherstellern ist das relevant. Das BSI stellt online eine Betroffenheitsprüfung bereit.

Welche Pflichten gelten

Betroffene Unternehmen müssen sich beim BSI registrieren, ein Risikomanagement für ihre IT einrichten, erhebliche Sicherheitsvorfälle binnen 24 Stunden erstmelden und innerhalb von 72 Stunden eine ausführlichere Meldung nachreichen. Die Geschäftsleitung ist verpflichtet, die Maßnahmen zu billigen und zu überwachen, sich regelmäßig schulen zu lassen und haftet persönlich. Bußgelder reichen bei besonders wichtigen Einrichtungen bis 10 Millionen Euro oder 2 Prozent des weltweiten Umsatzes, bei wichtigen Einrichtungen bis 7 Millionen Euro oder 1,4 Prozent. Eine unterlassene Registrierung kann mit bis zu 500.000 Euro geahndet werden.

Auch Nichtbetroffene spüren es

Wer nicht direkt unter das Gesetz fällt, aber Kunden beliefert, die betroffen sind, bekommt die Anforderungen über die Lieferkette weitergereicht: Fragebögen zur IT-Sicherheit, Nachweise über Backups und Zugriffsschutz, vertragliche Zusicherungen. Das Gesetz verpflichtet betroffene Unternehmen ausdrücklich, die Sicherheit ihrer Lieferkette zu berücksichtigen.

Was Sie jetzt tun sollten

1. Betroffenheit mit dem BSI-Tool prüfen und das Ergebnis dokumentieren, auch wenn es negativ ausfällt.
2. Falls betroffen: Registrierung nachholen, Verantwortliche benennen, Meldeprozess definieren.
3. Unabhängig von der Betroffenheit: Grundmaßnahmen umsetzen, die Kunden ohnehin abfragen werden: Mehrfaktor-Authentifizierung, getestete Backups, Patch-Management, Notfallplan.
4. Geschäftsführung schulen und die Schulung nachweisen.