NIS2-Richtlinie (EU) 2022/2555

Was Unternehmen jetzt wissen müssen

Cybersicherheit ist jetzt Gesetz. NIS2 verpflichtet ca. 29.500 deutsche Unternehmen zu nachweisbarer Sicherheit über Energieversorger bis hin zu Maschinenbauer.

Prüfen Sie jetzt, ob Sie betroffen sind und was zu tun ist.

Was ist die NIS2-Richtlinie (EU) 2022/2555?

Seit Dezember 2025 geltendes Recht und viele Betroffene wissen es nicht

NIS2-Richtlinie (EU) 2022/2555 ist die europäische Richtlinie über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union. Sie löst die erste NIS2-Richtlinie von 2016 ab und erweitert deren Anwendungsbereich erheblich: Statt weniger Betreiber kritischer Infrastrukturen erfasst NIS2 nun 18 Sektoren und unterscheidet zwischen „besonders wichtigen“ und „wichtigen“ Einrichtungen. In Deutschland wurde die Richtlinie durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in nationales Recht überführt, das im Wesentlichen das BSI-Gesetz (BSIG) neu fasst. Zuständige Aufsichtsbehörde ist das Bundesamt für Sicherheit in der Informationstechnik (BSI).

Die 18 Sektoren im Überblick

Wen nimmt die NIS2 in die Pflicht

NIS2 unterteilt die betroffenen Branchenin zwei Gruppen: elf Sektoren mit hoher Kritikalität (Anhang I der Richtlinie) und sieben sonstige kritische Sektoren (Anhang II).

Sektoren mit hoher Kritikalität (Anhang I)

Energie (Strom, Fernwärme und -kälte, Erdöl, Erdgas, Wasserstoff)
Verkehr (Luft-, Schienen-, Schiffs- und Straßenverkehr)
Bankwesen (Kreditinstitute)
Finanzmarktinfrastrukturen (Handelsplätze, zentrale Gegenparteien)
Gesundheitswesen (u.a. Krankenhäuser, Labore, Pharma- und Medizinprodukthersteller)
Trinkwasser (Lieferanten und Versorger)
Abwasser (Sammlung, Entsorgung, Behandlung)
Digitale Infrastrukturen (u.a. Rechenzentren, Cloud-Anbieter, DNS-Dienste, TLD-Registrierungsstellen, Vertrauensdienste, Telekommunikmation)
Verwaltung von IKT-Diensten (Managed Service Provider und Managed Security Provider im B2B-Bereich)
Öffentliche Verwaltung (Einrichtungen der Zentralregierung und auf regionaler Ebene)
Weltraum (Betreiber von Bodeninfrastrukturen)

Sonstige kritische Sektoren (Anhang II)

Post- und Kurrierdienste
Abfallbewirtschaftung
Produktion, herstellung und Handel mit chemischen Stoffen
Produktion, Verarbeitung und Vertrieb von Lebensmitteln
Verarbeitendes Gewerbe (u.a. Medizinprodukte, Datenverarbeitungsgeräte, elektronik, Optik, Maschinenbau, Farhzeugbau)
Anbieter Digitaler Dienste (Online-Marktplätze, Online-Suchmaschinen, soziale Netzwerke)
Forschung (Forschungseinrichtungen)

Wer ist betroffen? Die Schwellenwerte

Sie finden sich in einem der 18 Sektoren wieder?

Ob Ihr Unternehmen unter NIS2 fällt, entscheidet neben der Branche vor allem die Unternehmensgröße Als Faustregel gilt: Betroffen sind mittlere Unternehmen ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme sowie große Unternehmen ab 250 Beschäftigten oder mehr als 50 Millionen Euro Umsatz und mehr als 43 Millionen Euro Bilanzsumme, jeweils sofern sie in einem der 18 Sektoren tätig sind. Große Unternehmen der Anhang I Sektoren gelten in der Regel als „besonders wichtige Einrichtungen“, mittlere Unternehmen sowie die Anhang II-Sektoren als „wichtige Einrichtungen“.

Einige Einrichtungen fallen unabhängig von ihrer Größe unter NIS2, darunter Betrieber kritischer Anlagen (KRITIS), qualifizierte Vertrauensdienstanbieter, TLD-Regierungsstellen und DNS-Dienstanbieter.

Jeder Tag zählt – die Regierungsfrist endete am 31.07.2026.

Welche Anforderungen stellt NIS2 an Unternehmen?

Von der Risikoanalyse bis zum Meldeprozess

NIS2 verlangt von allen betroffenen Einrichtungen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen zum Schutz ihrer IT-Systeme und Prozesse.

Der Maßnahmenkatalog (Art. 21 der Richtlinie bzw. § 30 BSIG) umfasst mindestens:

Konzepte für die Risikoanalyse und für die Sicherheit von Informationssystemen
Bewältigung von Sicherheitsvorfällen (Incident Management)
Aufrechterhaltung des Betriebs: Backup-Management, Wiederherstellung, Krisenmanagement (Business Continuity Management)
Sicherheit der Lieferkette einschließlich der Beziehungen zu Dienstleistern und Zulieferern
Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen, inkl. Schwachstellenmanagement
Konzepte und Verfahren zur Bewertung der Wirksamkeit der Maßnahmen
Grundlegende Cyberhygiene und Schulungen der Mitarbeitenden
Einsatz von Kryptografie und Verschlüsselung
Personalsicherheit, Zugriffskontrolle und Management von IT-Assets
Multi-Faktor-Authentifizierung und gesicherte Kommunikationssysteme

Hinzu kommen strenge Meldepflichten bei erheblichen Sicherheitsvorfällen: eine Erstmeldung an das BSI innerhalb von 24 Stunden, eine Folgemeldung innerhalb von 72 Stunden und ein Abschlussbericht spätestens nach einem Monat. Die Geschäftsleitung ist persönlich verpflichtet, die Risikomanagementmaßnahmen zu billigen und ihre Umsetzung zu überwachen – und haftet bei Pflichtverletzungen. Besonders wichtige Einrichtungen müssen die Umsetzung ihrer Maßnahmen zudem regelmäßig gegenüber dem BSI nachweisen.

Mit unserem integrierten Managementsystem erfüllen Sie alle NIS2-Anforderungen strukturiert und nachweisbar.

Die Anmeldefrist auf einen Blick

NIS-2-Registrierung: BSI-Nachfrist endet am 31. Juli 2026 – danach drohen Bußgelder

Letzte Frist für die NIS-2-Registrierung beim BSI: 31. Juli 2026. Die ursprüngliche gesetzliche Frist (6. März 2026) ist bereits abgelaufen; die vom BSI eingeräumte Nachfrist ist die letzte Gelegenheit, der Registrierungspflicht ohne drohendes Bußgeld nachzukommen. Die Pflichten zum Risikomanagement und zur Vorfallsmeldung gelten unabhängig davon bereits seit Inkrafttreten des Gesetzes am 6. Dezember 2025.

Jeder Tag zählt – die Registrierungsfrist endet am 31. Juli 2026.

Was Sie jetzt erledigen sollten

Schritt für Schritt zur Anmeldung

So funktioniert die Anmeldung beim BSI

Die Registrierung erfolgt online über das BSI-Portal unter meldung.bsi.bund.de und dauert bei guter Vorbereitung weniger als eine Stunde:

Betroffenheit prüfen: Klären Sie anhand von Sektor, Tätigkeit und Unternehmensgröße, ob Ihre Organisation eine besonders wichtige oder wichtige Einrichtung ist. das BSI stellt hierfür eine Online Betroffenheitsprüfung bereit.
Zugang einrichten: Für die Anmeldung benötigen Sie ein Nutzerkonto über „Mein Unternehmenskonto“ (MUK) mit einem ELSTER-Organisationszertifikat – Alternativ ist die Anmeldung per BundID möglich.
Falls noch kein Zugriff vorliegt, sollten Sie es frühzeitig beantragen.
Unternehmensdaten erfassen: Melden Sie sich im BSi-Portal an und hinterlegen Sie die Stammdaten Ihrer Einrichtung: Name, Rechtsform, Registrierungsnummer, Anschrift und Größennummer – exakt wie im Handlesregister eingetragen.
Kontaktpersonen benennen: HinterlegenSie die geforderten Ansprechpartner, insbesondere eine jederzeit erreichbare Kontaktstelle für die Kommunikation mit dem BSi im Ereignisfall.
Sektor zuordnen und absenden: Wählen Sie Sektor und Teilsektor aus, bestätigen Sie die Einstufung Ihrer Einrichtung und senden Sie die Registrierung ab. Sie erhalten eine Bestätigungsmail, die Bestätigung durch das BSI folgt in der Regel innerhalb von zehn Werkstagen.

Das BSI bietet ein kostenloses NIS-2-Starterpaket mit Klick-Anleitungen für Registrierung und Vorfallsmeldung an.

Keine Zeit oder Unsicherheit bei der Einstufung?

Wir begleiten Ihre Registrierung von der Betroffenheitsprüfung bis zur BSi-Bestätigung.

NIS2 ist kein reines IT-Thema, sondern Chefsache. Die Registrierung bis zum 31.07.2026 ist der erste, unverzichtbare Schritt. Wer darüber hinaus Informationssicherheit, Business Continuity und Risiskomanagement systematisch aufbaut, erfüllt nicht nur die gesetzlichen Anforderungen, sondern macht sein Unternehmen nachweisbar wiederstandsfähiger, gegenüber Kunden, Partnern und Aufsichtsbehörden. Gerne unterstützen wir Sie dabei: von der BEtroffenheitsanalyse über die Registrierung bis zum zertifizierungsfähigen Managementsystem (ResilienceHub).

NIS2