NIS2 ist in Deutschland geltendes Recht
Die jahrelange Warteschleife ist beendet. Das deutsche Umsetzungsgesetz trat am 6. Dezember 2025 in Kraft und fasste das BSI-Gesetz neu. Damit gelten Registrierungs-, Risiko- und Meldepflichten für besonders wichtige und wichtige Einrichtungen. Beiträge über Referentenentwürfe, erwartete Termine und mögliche Verschiebungen sind heute Entwicklungsgeschichte. Für Entscheidungen zählt der geltende Gesetzestext – nicht die letzte Präsentation, die zufällig noch im Projektordner liegt.
NIS2 ist kein einzelnes IT-Projekt. § 30 BSIG verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen. Sie sollen Störungen vermeiden und Folgen von Sicherheitsvorfällen begrenzen. Dabei sind Risikoexposition, Größe, Umsetzungskosten sowie Wahrscheinlichkeit und Schwere möglicher Vorfälle zu berücksichtigen. Das ist anspruchsvoll, aber vernünftig: Ein mittelständischer Betrieb braucht keine Sicherheitsarchitektur eines internationalen Konzerns, wohl aber eine nachvollziehbare Antwort auf seine tatsächlichen Risiken.
Die erste Frage lautet daher nicht, welches Produkt noch gekauft werden sollte. Zunächst ist zu klären, ob das Unternehmen in den Geltungsbereich fällt, welche Leistungen besonders wichtig sind und wovon deren Erbringung abhängt. Erst aus diesem Zusammenhang entsteht ein belastbares Sicherheitsniveau. Wer mit dem Werkzeug beginnt, bevor er das Problem verstanden hat, bekommt im besten Fall ein neues Werkzeug. Das Problem bleibt häufig erstaunlich unbeeindruckt.
Welche Pflichten jetzt gelten
Betroffene Einrichtungen müssen ihre Einstufung klären und dokumentieren. Danach folgen Registrierung, Risikomanagement und ein belastbarer Meldeprozess. Die Registrierung erfolgt über das BSI-Portal. Nach § 33 BSIG ist sie grundsätzlich spätestens drei Monate nach erstmaliger oder erneuter Einstufung vorzunehmen. Änderungen registrierter Angaben sind unverzüglich, spätestens innerhalb von zwei Wochen nach Kenntnis, zu aktualisieren. Diese Fristen verlangen eine klare Zuständigkeit und dürfen nicht zwischen Recht, IT und Verwaltung liegen bleiben.
- Einstufung anhand von Einrichtungsart, Sektor, Mitarbeiterzahl, Umsatz und Bilanzsumme dokumentieren.
- Risikomanagementmaßnahmen nach § 30 BSIG umsetzen und ihre Einhaltung dokumentieren.
- Erhebliche Sicherheitsvorfälle über den vorgesehenen Meldeweg fristgerecht melden.
- Verantwortlichkeiten, Erreichbarkeit und Vertretungen festlegen.
- Geschäftsleitung in Steuerung, Überwachung und Schulung einbinden.
Bei einem erheblichen Sicherheitsvorfall sieht § 32 BSIG ein gestuftes Verfahren vor. Die frühe Meldung muss unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis erfolgen. Innerhalb von 72 Stunden folgt grundsätzlich eine ausführlichere Meldung; ein Abschlussbericht ist regelmäßig spätestens einen Monat nach der 72-Stunden-Meldung vorgesehen. Niemand muss nach 24 Stunden schon alles wissen. Das Unternehmen muss aber erkennen, dass etwas Relevantes passiert ist, und handlungsfähig sein.
Dafür sollten Meldewege, Entscheidungskompetenzen und Vertretungen vorbereitet sein. Wer bewertet die Erheblichkeit? Wer kommuniziert mit dem BSI? Wer stimmt Angaben mit Technik, Recht, Datenschutz und Geschäftsleitung ab? Solche Fragen erst während eines Angriffs zu diskutieren, kostet Zeit, die das Gesetz nicht zusätzlich liefert. Ein kurzer Probelauf zeigt meist schneller als jede Richtlinie, ob Telefonnummern, Rollen und Portalzugänge tatsächlich funktionieren.
Die Geschäftsleitung trägt Verantwortung
§ 38 BSIG verpflichtet Geschäftsleitungen, die Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen. Außerdem müssen sie regelmäßig an Schulungen teilnehmen, um Risiken und deren Auswirkungen auf die erbrachten Dienste beurteilen zu können. Das macht Informationssicherheit zur Führungsaufgabe. Delegieren lässt sich die operative Arbeit; die Verantwortung für Richtung, Priorität und Kontrolle bleibt oben.
Dafür muss nicht jede Führungskraft technische Details beherrschen. Sie muss verstehen, welche Leistungen kritisch sind, welche wesentlichen Risiken bestehen, welche davon akzeptiert werden und ob Notfall- und Wiederherstellungsverfahren funktionieren. Sinnvolle Berichte verbinden Risiken mit betrieblichen Auswirkungen. Eine Ampel im Monatsbericht ersetzt diese Fragen nicht, selbst wenn sie erfreulich grün ist.
Vom Gesetzestext in den betrieblichen Alltag
Ein nüchterner Start besteht aus fünf Schritten: Geltungsbereich prüfen, kritische Leistungen und Abhängigkeiten erfassen, vorhandene Maßnahmen bewerten, Lücken nach Risiko priorisieren und Fortschritt kontrollieren. Technik, Menschen, Prozesse und Dienstleister gehören zusammen. Ein aktuelles Patchmanagement nützt wenig, wenn ein externer Zugang dauerhaft weitreichende Rechte besitzt. Ein Notfallplan hilft wenig, wenn niemand ihn kennt oder die Wiederherstellung nie getestet wurde.
Zu den gesetzlichen Themen gehören unter anderem Vorfallbewältigung, Betriebskontinuität, Sicherung und Wiederherstellung, Lieferkettensicherheit, Schwachstellenbehandlung, Wirksamkeitskontrollen, Schulung, Kryptografie, Zugriffskontrolle und Mehrfaktor-Authentisierung. Das ist keine Einkaufsliste. Bei einem Fernwartungszugang greifen beispielsweise Lieferkette, Berechtigungen, Protokollierung, Authentisierung und Notfallorganisation ineinander. Alles hängt mit allem zusammen – auch wenn Organigramme gelegentlich etwas anderes nahelegen.
Wer bereits ein Informationssicherheitsmanagement betreibt, sollte es systematisch gegen die gesetzlichen Pflichten prüfen. Vorhandene ISO-27001-Strukturen können helfen, ersetzen diese Prüfung aber nicht automatisch. Wer am Anfang steht, braucht zuerst Transparenz und Verantwortlichkeit: Welche Leistungen müssen verfügbar bleiben, welche Systeme tragen sie und wer entscheidet über Risiken? Danach lassen sich Maßnahmen und Nachweise sinnvoll aufbauen.
Dokumentation sollte belegen, wie die Einstufung zustande kam, welche Risiken bewertet wurden, warum Maßnahmen angemessen sind und ob sie wirken. Praktische Nachweise sind getestete Wiederanläufe, geprüfte Berechtigungen, Schulungsnachweise, Lieferantenbewertungen und Übungsprotokolle. Ein unterschriebenes Konzept kann wichtig sein. Noch wichtiger ist, dass die darin beschriebene Wiederherstellung nicht zum ersten Mal im Ernstfall ausprobiert wird.
Auch Lieferanten gehören in dieses Bild. Verträge, technische Zugänge und Abhängigkeiten sollten nach Kritikalität bewertet werden. Entscheidend ist nicht, von jedem kleinen Anbieter einen dicken Fragebogen zurückzubekommen. Entscheidend ist, bei einem wirklich wichtigen Dienst zu wissen, welche Sicherheitsanforderungen gelten, wie ein Vorfall gemeldet wird und welche Alternative besteht. Ein Vertrag ersetzt keinen Rückfallweg.
Kurz gesagt
NIS2 gilt in Deutschland seit dem 6. Dezember 2025. Betroffene Unternehmen müssen sich einstufen und registrieren, Risiken beherrschen, erhebliche Vorfälle gestuft melden und ihre Geschäftsleitung wirksam einbinden. Der vernünftige Weg führt von der kritischen Geschäftsleistung über ihre Abhängigkeiten zum Risiko und von dort zur passenden Maßnahme. Wer nur eine Checkliste abheftet, erfüllt vielleicht Papier. Widerstandsfähiger wird das Unternehmen dadurch noch nicht.
Quellen und weiterführende Informationen
Zuletzt fachlich geprüft: