NIS-2 in Deutschland: Was Unternehmen jetzt organisieren müssen

Betroffenheit prüfen, statt nur Mitarbeitende zu zählen

Ob Ihr Unternehmen als wichtige oder besonders wichtige Einrichtung gilt, richtet sich unter anderem nach seiner Tätigkeit, dem Sektor und seiner Größe. § 28 BSIG nennt für viele wichtige Einrichtungen mindestens 50 Mitarbeitende oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über zehn Millionen Euro. Diese Zahlen allein reichen für eine Einordnung jedoch nicht aus.

Es gibt Sonderfälle, Ausnahmen und Vorgaben zur Berücksichtigung verbundener Unternehmen. Auch kleinere Anbieter können erfasst sein. Prüfen Sie deshalb die konkrete Einrichtungsart und dokumentieren Sie die Einordnung. Die Betroffenheitsprüfung des BSI hilft bei der ersten Orientierung; offene Rechtsfragen gehören in eine qualifizierte rechtliche Prüfung.

Registrierung und Kontakte aktuell halten

§ 33 BSIG sieht grundsätzlich eine Registrierung spätestens drei Monate nach dem erstmaligen oder erneuten Eintritt in die betreffende Kategorie vor. Die NIS-2-Registrierung erfolgt über das BSI-Portal. Das frühere Melde- und Informationsportal MIP ist dafür nicht der richtige Zugang.

Benennen Sie, wer die Registrierung betreut und Änderungen an Kontaktdaten oder anderen Angaben nachhält. Eine einmalige Anmeldung ersetzt weder die Sicherheitsmaßnahmen noch die Meldeprozesse.

Risiken in konkrete Maßnahmen übersetzen

Der Maßnahmenkatalog in § 30 BSIG umfasst technische und organisatorische Aufgaben. Dazu zählen der Umgang mit Sicherheitsvorfällen, Datensicherung und Wiederherstellung, Lieferkettensicherheit, Schwachstellenmanagement, Zugriffsschutz sowie Schulung und Sensibilisierung. Maßnahmen müssen geeignet, verhältnismäßig und wirksam sein; ihre Umsetzung ist zu dokumentieren.

Für die Praxis ist eine Gegenüberstellung hilfreich: Welche Anforderungen sind bereits umgesetzt, welche Nachweise liegen vor und wo fehlen Zuständigkeiten oder technische Maßnahmen? Aus dieser Bestandsaufnahme entsteht ein priorisierter Arbeitsplan. Für bestimmte Einrichtungsarten gelten zusätzlich konkretisierende europäische Anforderungen.

Ein Informationssicherheitsmanagementsystem kann diesen Prozess strukturieren. Eine ISO-27001-Zertifizierung ist jedoch keine pauschale Bestätigung, dass sämtliche NIS-2-Pflichten erfüllt sind.

Meldewege vor dem Vorfall vorbereiten

Für erhebliche Sicherheitsvorfälle sieht § 32 BSIG eine frühe Erstmeldung unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, und eine weitere Meldung spätestens innerhalb von 72 Stunden vor. Die Abschlussmeldung ist grundsätzlich spätestens einen Monat nach dieser weiteren Meldung vorgesehen. Dauert der Vorfall noch an, gelten besondere Vorgaben für eine Fortschrittsmeldung und den Abschluss.

Damit diese Abläufe im Ernstfall funktionieren, müssen interne Eskalation, Vertretung und Informationsbeschaffung vorbereitet sein. Legen Sie fest, wer einen Vorfall bewertet, technische Erkenntnisse zusammenträgt und die Meldung verantwortet. Andere Meldepflichten, etwa aus dem Datenschutz, sind gesondert zu berücksichtigen.

Die Geschäftsleitung bleibt verantwortlich

Die Geschäftsleitung hat nach § 38 BSIG die erforderlichen Risikomanagementmaßnahmen umzusetzen und deren Umsetzung zu überwachen. Hinzu kommt die regelmäßige Teilnahme an Schulungen. Das Thema lässt sich daher nicht vollständig an die interne IT oder einen Dienstleister abgeben.

In der Zusammenarbeit sollten technische Aufgaben, organisatorische Entscheidungen und Berichtswege klar abgegrenzt werden. Auch ein Unternehmen, das selbst nicht direkt erfasst ist, kann als Lieferant mit Sicherheitsanforderungen seiner Kunden konfrontiert werden.

Wie anyWARE und GINDAT unterstützen können

Wir betrachten mit Ihnen die technische Ausgangslage: Infrastruktur, Berechtigungen, Datensicherung, Monitoring und den Umgang mit Schwachstellen. Daraus lassen sich Maßnahmen und Zuständigkeiten für den IT-Betrieb ableiten.

Für Fragen zum Informationssicherheitsmanagement und Datenschutz binden wir bei Bedarf unsere Beteiligung GINDAT ein. Die verbindliche rechtliche Einordnung und die Verantwortung der Geschäftsleitung werden dadurch nicht ersetzt. Ziel ist ein nachvollziehbarer Arbeitsplan, der zu Ihren Anforderungen und Ressourcen passt.

Fachlicher Stand: 28. Oktober 2026. Die verlinkten Gesetzestexte und BSI-Informationen sind die maßgeblichen Quellen für die beschriebenen Pflichten. Die konkrete Anwendung muss für die jeweilige Einrichtung geprüft werden.