NIS2 und das neue BSIG
Die Betroffenheit prüft niemand für Sie. Wer unter das neue BSIG fällt, musste sich selbst registrieren und die Maßnahmen ohne Übergangsfrist umsetzen.
Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz ist am 6. Dezember 2025 in Kraft getreten und hat das BSI-Gesetz grundlegend umgebaut. Der Kreis der verpflichteten Einrichtungen ist dabei um ein Vielfaches gewachsen.
- Einrichtungen unter BSI-Aufsicht, zuvor rund 4500
- 29500
- Stunden bis zur ersten Meldung eines erheblichen Vorfalls
- 24
- Millionen Euro Bußgeld im oberen Rahmen, alternativ 2 Prozent des Umsatzes
- 10
Die Pflichten in der Reihenfolge, in der sie anfallen
Schritt 1: Betroffenheit feststellen
Sektor, Größe und Sonderregeln prüfen, verbundene Unternehmen einbeziehen und das Ergebnis schriftlich festhalten. Auch ein negatives Ergebnis will begründet sein.
Schritt 2: Registrieren
Betroffene Einrichtungen melden sich beim BSI an und halten die Angaben aktuell. Die Pflicht besteht unabhängig davon, wie weit die technische Umsetzung ist.
Schritt 3: Risikomanagement aufsetzen
Technische und organisatorische Maßnahmen nach dem Stand der Technik, verhältnismäßig zum Risiko, einschließlich der Sicherheit in der Lieferkette.
Schritt 4: Meldewege einrichten
Erhebliche Vorfälle sind gestuft zu melden, beginnend mit einer Erstmeldung innerhalb von 24 Stunden. Der Ablauf muss geübt sein, bevor er gebraucht wird.
Schritt 5: Geschäftsleitung einbinden
Billigung der Maßnahmen, Überwachung der Umsetzung, Schulung. Alles drei ist zu dokumentieren, sonst lässt es sich später nicht belegen.
Was in der Praxis übersehen wird
- Anforderungen an Dienstleister nehmen die Verträge auf, nicht nur eine interne Richtlinie
- Maßnahmen ohne Dokumentation sind gegenüber der Aufsicht wertlos
- Was als erheblich gilt, ist vorher zu definieren und nicht erst im Vorfall
- Tochtergesellschaften werden in der Verbundbetrachtung oft zu klein gerechnet
- Ein Vorfall kann zugleich eine Datenpanne sein, mit eigener Frist gegenüber der Datenschutzaufsicht
Trifft beides zusammen, laufen zwei Meldewege parallel. Was bei der Meldung einer Datenpanne zu beachten ist, steht unter Datenpanne.
Wie wir unterstützen
Wir prüfen die Betroffenheit belastbar, einschließlich der Verbundstruktur, und begleiten die Registrierung. Für die Umsetzung ordnen wir ein, welche Maßnahmen rechtlich geschuldet sind und welche darüber hinausgehen. Die Anforderungen bringen wir in die Verträge mit Dienstleistern.
Unklar, ob NIS2 gilt?
Wir prüfen die Betroffenheit und sagen, was zuerst zu tun ist.
Betroffenheit prüfen lassenHäufige Fragen
Wie stellen wir fest, ob wir betroffen sind?
Über drei Fragen. Fällt die Tätigkeit in einen der aufgeführten Sektoren? Werden die Schwellen bei Beschäftigtenzahl oder Umsatz erreicht? Und ist eine Sonderregel unabhängig von der Größe einschlägig? Schwierig wird es bei Konzernstrukturen, weil Werte verbundener Unternehmen zusammengerechnet werden können. Eine Selbsteinschätzung ohne Blick auf die Verbundstruktur geht oft daneben.
Wir haben die Registrierung versäumt. Was jetzt?
Nachholen, und zwar dokumentiert. Die Registrierungspflicht besteht fort, sie erlischt nicht mit dem Fristablauf. Eine Nachmeldung aus eigenem Antrieb mit erklärbarer Verzögerung steht anders da als ein Auffallen bei der Aufsicht. Parallel ist zu prüfen, ob die Sicherheitsmaßnahmen stehen, denn die Registrierung ist die sichtbare Pflicht, nicht die aufwendigste.
Was trifft die Geschäftsleitung persönlich?
Sie muss die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen. Dieser Aufgabe kann sie sich nicht durch Delegation entledigen. Hinzu kommt eine Schulungspflicht. Die Verantwortung ist damit nicht mehr allein eine Frage der IT-Abteilung.