Stand der Korrektur 06.11.2026: Die Registrierungsfrist und die Größenschwelle nach § 28 BSIG sind richtiggestellt, der 31. Juli 2026 war keine gesetzliche Frist; präzisiert ist, woher die 18 Sektoren stammen und seit wann die Risikomanagement-Pflichten gelten.
Kurz gefasst: Wer in Deutschland zu einer der 18 NIS2-relevanten Branchen gehört und mindestens 50 Mitarbeitende oder mehr als 10 Millionen Euro Jahresumsatz bei zugleich mehr als 10 Millionen Euro Jahresbilanzsumme hat, muss sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren. Die gesetzliche Frist dafür beträgt drei Monate und ist für die meisten Unternehmen im März 2026 abgelaufen. Betroffen sind schätzungsweise 29.000 bis 30.000 Unternehmen in Deutschland – deutlich mehr als bislang unter dem alten IT-Sicherheitsgesetz.
Für Geschäftsführerinnen und Geschäftsführer: Was heißt das konkret?
Drei Fragen, die Sie sich jetzt stellen sollten:
- Sind wir betroffen? Prüfen Sie Branche und Unternehmensgröße anhand der Kriterien weiter unten – in wenigen Minuten erledigt.
- Was kostet uns Nichtstun? Bußgelder bis 10 Millionen Euro, persönliche Haftungsrisiken für die Geschäftsleitung und im Ernstfall ein Sicherheitsvorfall ohne funktionierenden Notfallplan.
- Wie viel Zeit bleibt? Die gesetzliche Registrierungsfrist ist für die meisten Unternehmen im März 2026 abgelaufen. Wer erst später unter NIS2 fällt, etwa durch Wachstum oder ein neues Geschäftsfeld, hat ab diesem Zeitpunkt drei Monate. Die Risikomanagement-Pflichten gelten seit dem 6. Dezember 2025 ohne Übergangsfrist, und ihre Umsetzung braucht Zeit – warten Sie damit nicht länger.
Der Rest dieses Beitrags liefert die Details für die Umsetzung – sowohl für die Geschäftsführung als auch für IT-Verantwortliche.
Was ist NIS2 – und warum jetzt?
Die NIS2-Richtlinie ist eine EU-weite Vorgabe zur Cybersicherheit kritischer und wichtiger Einrichtungen. Deutschland hat sie mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) am 6. Dezember 2025 in Kraft gesetzt – ohne Übergangsfrist. Die ursprüngliche Registrierungsfrist beim BSI lief bereits im März 2026 ab. Bis dahin hatte sich nur ein Teil der betroffenen Unternehmen registriert. Der 31. Juli 2026, der danach vielfach als Nachfrist genannt wurde, war keine gesetzliche Frist. Berichten zufolge wollte das BSI verspätete Registrierungen bis zu diesem Tag dulden; amtlich veröffentlicht hat es dazu nichts, auf seiner Themenseite steht nur: „Die gesetzliche Registrierungsfrist ist bereits abgelaufen.“ Wer sich nicht oder nicht rechtzeitig registriert, riskiert ein Bußgeld von bis zu 500.000 Euro (§ 65 BSIG).
Für Geschäftsführerinnen und Geschäftsführer heißt das: Die Frage „betrifft uns das überhaupt?“ muss jetzt beantwortet sein – nicht erst, wenn eine Behörde nachfragt.
Selbst-Check: Sind Sie betroffen?
Die NIS2-Richtlinie nennt 18 Sektoren in zwei Anhängen; das deutsche BSI-Gesetz fasst sie in seinen Anlagen 1 und 2 zu je sieben Sektoren zusammen und regelt die Bundesverwaltung gesondert (§ 29 BSIG):
- Anhang 1 (besonders kritisch): Energie, Transport, Bankwesen, Finanzmarktinfrastruktur, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienstleistungsmanagement, öffentliche Verwaltung, Weltraum
- Anhang 2 (kritisch): Post- und Kurierdienste, Abfallwirtschaft, Chemikalienproduktion, Lebensmittelproduktion und -vertrieb, verarbeitendes Gewerbe, Anbieter digitaler Dienste, Forschung
Innerhalb dieser Sektoren gilt die Pflicht ab folgenden Schwellenwerten:
- mindestens 50 Beschäftigte oder
- mehr als 10 Millionen Euro Jahresumsatz und mehr als 10 Millionen Euro Jahresbilanzsumme (bei beiden Schwellen zählen Zahlen verbundener Unternehmen und anteilig die von Partnerunternehmen grundsätzlich mit)
Die Einstufung erfolgt in zwei Stufen: besonders wichtige Einrichtungen (Anhang-1-Sektoren mit mindestens 250 Beschäftigten oder über 50 Millionen Euro Umsatz bei gleichzeitig über 43 Millionen Euro Bilanzsumme) und wichtige Einrichtungen (alle übrigen Unternehmen oberhalb der Schwellenwerte). Die Selbsteinschätzung ist Pflicht des Unternehmens – das BSI prüft nicht von sich aus vorab, ob Sie betroffen sind.
Praxis-Tipp: Wenn Sie unsicher sind, ob Ihr Unternehmen unter einen der 18 Sektoren fällt, lohnt sich ein Blick auf den offiziellen BSI-Selbstcheck sowie eine kurze Rücksprache mit Ihrem IT-Dienstleister oder Datenschutzbeauftragten – besser einmal zu viel geprüft als eine Frist verpasst.
Auch mittelbar Betroffene sollten aufmerksam werden: Wer als Zulieferer, IT-Dienstleister oder Software-Anbieter für ein NIS2-pflichtiges Unternehmen arbeitet, wird über die Lieferketten-Sicherheitspflicht (siehe unten) faktisch mit in die Verantwortung genommen – auch ohne selbst unmittelbar registrierungspflichtig zu sein. Größere Auftraggeber werden in den kommenden Monaten vermehrt Sicherheitsnachweise von ihren Zulieferern einfordern.
Was ist konkret zu tun?
1. Registrierung beim BSI
Die Registrierung erfolgt über das BSI-Melde- und Informationsportal (MIP). Erforderlich sind unter anderem Kontaktdaten, Sektor-Zuordnung, Unternehmensgröße und eine Selbsteinschätzung der Einrichtungskategorie.
2. Zehn Risikomanagement-Bereiche umsetzen
Das NIS2UmsuCG verlangt technische und organisatorische Maßnahmen in zehn Bereichen, darunter:
- Konzepte für Risikoanalyse und Sicherheit der Informationssysteme
- Bewältigung von Sicherheitsvorfällen (Incident Response)
- Aufrechterhaltung des Betriebs, Backup-Management und Krisenmanagement
- Sicherheit der Lieferkette (Lieferanten- und Dienstleisterprüfung)
- Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen
- Bewertung der Wirksamkeit von Risikomanagement-Maßnahmen
- Basis-Konzepte für Cyberhygiene und Schulungen
- Konzepte zu Kryptografie und Verschlüsselung
- Personalsicherheit, Zugriffskontrolle und Anlagenmanagement
- Verwendung von Mehr-Faktor-Authentifizierung (MFA) und gesicherter Kommunikation
3. Meldepflichten bei Sicherheitsvorfällen
Bei erheblichen Sicherheitsvorfällen gilt ein gestuftes Meldeverfahren gegenüber dem BSI: eine Frühwarnung innerhalb von 24 Stunden, eine vollständigere Meldung innerhalb von 72 Stunden sowie ein Abschlussbericht spätestens einen Monat später. Wer hierfür keinen Prozess hat, muss ihn jetzt aufbauen – im Ernstfall zählt jede Stunde.
Fristen und Bußgelder im Überblick
| Was | Termin / Höhe |
|---|---|
| Registrierungsfrist BSI | drei Monate ab Eintritt der Pflicht (§ 33 Abs. 1 BSIG), für die meisten Unternehmen im März 2026 abgelaufen |
| Bußgeld besonders wichtige Einrichtungen | bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes (je nachdem, was höher ist) |
| Bußgeld wichtige Einrichtungen | bis 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes |
Zusätzlich zum Bußgeldrisiko drohen bei Pflichtverletzungen persönliche Haftungsfragen für die Geschäftsleitung sowie – im Fall eines tatsächlichen Sicherheitsvorfalls ohne funktionierendes Risikomanagement – Betriebsunterbrechungen, Reputationsschäden und Folgekosten, die weit über das Bußgeld hinausgehen können.
Für Technik-Verantwortliche heißt das konkret: Die zehn Risikomanagement-Bereiche sind keine einmalige Dokumentationsübung, sondern verlangen belastbare, wiederholt geprüfte Prozesse – insbesondere MFA-Rollout, Backup-Tests und ein dokumentiertes Lieferketten-Screening sind häufig die Punkte, die in der Praxis am längsten dauern.
Wie ein Website- und Security-Audit bei der NIS2-Vorbereitung hilft
NIS2 betrifft nicht nur interne Netzwerke und Server – auch die eigene Website und die darüber laufenden Datenflüsse gehören zur Angriffsfläche eines Unternehmens. Ein strukturierter Blick von außen zeigt häufig schnell, wo Nachholbedarf besteht: veraltete Verschlüsselung, ungesicherte Formulare, fehlende Zugriffskontrollen im Content-Management-System oder unklare Verantwortlichkeiten bei Drittanbieter-Einbindungen.
Wir bei Experto Mundi prüfen im Rahmen unserer Website- und Datenschutz-Audits genau solche Schwachstellen – als einen von mehreren Bausteinen auf dem Weg zur NIS2-Konformität. Ein Audit ersetzt keine vollständige NIS2-Umsetzung, kann aber ein guter erster Schritt sein, um zu sehen, wo Ihr Unternehmen heute steht.
Quellen
Bundesamt fuer Sicherheit in der Informationstechnik (BSI), Melde- und Informationsportal (MIP), Informationsseite zur NIS2-Registrierung („Die gesetzliche Registrierungsfrist ist bereits abgelaufen.“, abgerufen am 06.11.2026); § 28 Abs. 2 und § 33 Abs. 1 BSIG (gesetze-im-internet.de, abgerufen am 06.11.2026). Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzuege des Informationssicherheitsmanagements in der Bundesverwaltung (NIS2UmsuCG), verkuendet im Bundesgesetzblatt Teil I am 5. Dezember 2025, in Kraft seit 6. Dezember 2025 (recht.bund.de). Richtlinie (EU) 2022/2555 des Europaeischen Parlaments und des Rates vom 14. Dezember 2022 (NIS-2-Richtlinie), EUR-Lex.
Dieser Beitrag ist eine Risiko-Einschätzung, keine Rechtsberatung. Erstfassung 04.07.2026, korrigiert am 06.11.2026.