Vaeren
ProduktPreiseSchnell-Check AktuellesThemenFristen Über uns Kostenlos testen Login →
Themen-Hub

NIS2

Die zweite EU-Richtlinie zur Netz- und Informationssicherheit und ihre deutsche Umsetzung.

Aktueller Stand · 29. Juli 2026

Die deutsche Umsetzung (NIS2UmsuCG) ist seit dem 6. Dezember 2025 in Kraft, ohne Übergangsfrist. Betroffene Einrichtungen müssen sich beim BSI registrieren; die einmalig verlängerte Frist endet am 31. Juli 2026.

Wer ist betroffen?

Wesentliche Einrichtungen (Annex I)

Energie, Verkehr, Banken, Gesundheit, Wasser, digitale Infrastruktur, ab 250 Mitarbeitenden oder 50 Mio. EUR Umsatz.

Wichtige Einrichtungen (Annex II)

Post, Abfall, Lebensmittel, Hersteller von Industrieprodukten, Forschung, digitale Dienste, ab 50 Mitarbeitenden oder 10 Mio. EUR Umsatz.

Anzahl betroffener Unternehmen DE

Schätzung BMI: rund 30.000 Unternehmen.

Nicht betroffen

Kleinstunternehmen unter 50 Mitarbeitenden und 10 Mio. EUR Umsatz, mit Ausnahme bestimmter Sektoren.

Pflichten im Überblick

1
Risikomanagement etablieren

Cybersicherheits-Risiken systematisch identifizieren, bewerten, behandeln.

gilt seit 6. Dezember 2025
2
Geschäftsleitungs-Verantwortung

Geschäftsleitung haftet persönlich für Risiken. Pflicht zur Cybersecurity-Fortbildung.

gilt seit 6. Dezember 2025
3
Vorfall-Meldung (24/72 Stunden)

Erstmeldung an BSI binnen 24 Stunden, Folgemeldung 72 Stunden, Abschlussbericht 1 Monat.

gilt seit 6. Dezember 2025
4
Supply-Chain-Sicherheit

Cybersecurity-Anforderungen an Zulieferer und Dienstleister sicherstellen.

gilt seit 6. Dezember 2025
5
Business Continuity + Backup

Notfallpläne, regelmäßige Tests, Wiederherstellbarkeit nach Vorfällen.

gilt seit 6. Dezember 2025
6
Mitarbeitenden-Schulung

Regelmäßige Schulung aller Beschäftigten in Cybersecurity-Grundlagen.

laufend

Wichtige Stichtage

Auszug aus dem vollständigen Fristen-Kalender.

  • 17. Oktober 2024 NIS2: EU-Umsetzungsfrist abgelaufen (DE verfehlt) Quelle
  • 6. Dezember 2025 DE NIS2UmsuCG: in Kraft Quelle
  • 31. Juli 2026 NIS2: verlängerte BSI-Registrierungsfrist endet Quelle
  • 1. November 2026 BSI-Lagebericht: Veröffentlichung erwartet Quelle
  • 15. März 2027 ENISA Threat Landscape: Annual Report Quelle

Häufige Fragen

Sind wir betroffen, wenn wir Produkte für Energieversorger liefern? +
Möglicherweise direkt (Annex II Industrieprodukte) und mittelbar (Supply-Chain-Pflicht der Energieversorger gegen Sie). Selbst-Einstufung dringend empfohlen.
Reicht ISO 27001? +
Eine zertifizierte ISO 27001 erfüllt einen Großteil der NIS2-Anforderungen. Ergänzungen sind nötig bei Meldepflichten und Supply-Chain.
Wird das Geschäftsführungs-Haftungsrisiko durchsetzbar? +
Ja. Das NIS2UmsuCG sieht persönliche Haftung der Geschäftsleitung bei Pflichtverletzungen vor. Viele Unternehmen lassen ihre D&O-Versicherung daraufhin prüfen.
Was, wenn wir kein BSI-Kontakt haben? +
Das BSI ist die zentrale nationale Stelle. Vorfälle werden über das Melde- und Lagezentrum gemeldet. Die Registrierung betroffener Einrichtungen ist Pflicht; die verlängerte Frist endet am 31. Juli 2026.
Wieviel kostet die Umsetzung? +
Stark abhängig vom Reifegrad und den bereits vorhandenen Maßnahmen. Belastbare Standardwerte gibt es nicht; wer den eigenen Stand früh erhebt, plant deutlich günstiger als unter Zeitdruck.
Seit wann gilt das deutsche Gesetz? +
Das NIS2UmsuCG ist am 6. Dezember 2025 ohne Übergangsfrist in Kraft getreten. Zentrale Pflichten wie Registrierung, Risikomanagement und Meldewege gelten seitdem.

Weiterführende Quellen