NIS2 umsetzen: Pflichten, Fristen und der Weg zur Compliance

Was ist NIS2?

NIS2 (Richtlinie (EU) 2022/2555) ist der EU-weite Rechtsrahmen für Cybersicherheit. Sie löst die erste NIS-Richtlinie ab und erfasst deutlich mehr Sektoren. Die Mindestanforderungen sind strenger und EU-weit einheitlicher, dazu kommen spürbare Sanktionen. Ziel ist ein hohes gemeinsames Sicherheitsniveau für kritische und wichtige Dienste in der EU.

Wo steht die Umsetzung in Deutschland und Österreich?

NIS2 ist eine Richtlinie. Die Pflichten für Unternehmen entstehen erst durch die nationalen Umsetzungsgesetze. In Deutschland und Österreich sind diese Gesetze in Kraft:

Es gibt keine Übergangsfrist: In Deutschland gelten die Pflichten seit dem Tag nach der Verkündung. Nur die Meldepflicht griff formal erst mit Einrichtung des Meldewegs (§ 32 Abs. 1 BSIG). Das BSI-Portal ist seit dem 6. Januar 2026 freigeschaltet. Wie Österreich NIS2 umsetzt, einschließlich Selbstdeklaration und Strafdrohung bei fehlenden Schulungen, steht im Beitrag NISG 2026: NIS2 in Österreich.

Wer ist von NIS2 betroffen?

NIS2 unterscheidet zwischen wesentlichen und wichtigen Einrichtungen (das deutsche BSIG nennt die erste Kategorie „besonders wichtige Einrichtungen", § 28 BSIG). Maßgeblich ist die Kombination aus betroffenem Sektor (z. B. Energie, Transport, Gesundheit, Trinkwasser, digitale Infrastruktur, öffentliche Verwaltung, aber auch Maschinenbau, Chemie, Lebensmittel, Post und mehr) und der Unternehmensgröße. Vereinfacht gesagt greift NIS2 ab mittelgroßen Unternehmen, in der Regel ab 50 Beschäftigten oder ab mehr als 10 Mio. € Jahresumsatz und zugleich mehr als 10 Mio. € Bilanzsumme. Einzelne Einrichtungen fallen unabhängig von der Größe darunter. Eine erste Einordnung liefert unsere NIS2-Betroffenheitsprüfung.

Die wichtigsten Pflichten

Governance (Art. 20): Die Leitungsorgane müssen die Risikomanagement-Maßnahmen billigen, ihre Umsetzung überwachen und an Schulungen teilnehmen. Bei Verstößen sind sie persönlich verantwortlich. In Deutschland regelt das § 38 BSIG (inklusive Haftung der Geschäftsleitung), in Österreich § 31 NISG 2026.

Risikomanagement (Art. 21): Gefordert sind zehn Maßnahmenbereiche, darunter Incident Handling, Business Continuity und Krisenmanagement, Lieferkettensicherheit, Cyberhygiene und Schulungen sowie Konzepte zur Bewertung der Wirksamkeit der Maßnahmen. National umgesetzt ist das in § 30 Abs. 2 BSIG bzw. § 32 Abs. 4 NISG 2026. Alle zehn Bereiche erklärt unser Beitrag zu den NIS2-Anforderungen nach Art. 21.

Meldepflichten (Art. 23): Erhebliche Sicherheitsvorfälle sind gestaffelt zu melden. In Deutschland gehen die Meldungen nach § 32 BSIG an die gemeinsame Meldestelle von BSI und BBK, in Österreich nach § 34 NISG 2026 an das zuständige CSIRT.

Meldepflichten & Fristen

• Frühwarnung innerhalb von 24 Stunden nach Kenntnis.
• Meldung des Vorfalls innerhalb von 72 Stunden.
• Abschlussbericht innerhalb von einem Monat.

Diese Meldekette unter Zeitdruck einzuhalten, gehört in der Praxis zu den schwierigsten Aufgaben. Deshalb ist sie ein typischer Teil realistischer Übungsszenarien.

Registrierung

Betroffene Einrichtungen müssen sich bei der zuständigen Behörde registrieren (in Deutschland beim BSI) und bestimmte Stammdaten angeben. Die Frist ist knapp: drei Monate, nachdem eine Einrichtung erstmals unter das Gesetz fällt (§ 33 BSIG). Wie das abläuft, lesen Sie unter NIS2-Registrierung beim BSI.

Sanktionen

NIS2 sieht empfindliche Bußgelder vor: für besonders wichtige (wesentliche) Einrichtungen bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu 7 Mio. € oder 1,4 %. Es gilt jeweils der höhere Betrag (§ 65 BSIG; § 45 NISG 2026). Hinzu kommt die persönliche Verantwortlichkeit der Leitungsorgane.

Die unterschätzte Pflicht: regelmäßig testen und üben

Maßnahmen auf dem Papier reichen nicht. NIS2 verlangt, ihre Wirksamkeit zu bewerten und den Betrieb auch im Krisenfall aufrechtzuerhalten. Mit Tabletop-Übungen geht das mit wenig Aufwand: Ihr Team spielt ein realistisches Szenario durch, trifft Entscheidungen und übt die Meldekette. Am Ende steht ein After-Action-Report, den Sie im Audit vorlegen können. SecDrills führt durch die Übung und erstellt diesen Report automatisch.

NIS2-Umsetzung in 6 Schritten

1. Betroffenheit klären und als wesentliche oder wichtige Einrichtung einordnen.
2. Bei der zuständigen Behörde registrieren.
3. Risikomanagement-Maßnahmen nach Art. 21 etablieren.
4. Leitungsorgane einbinden und schulen (Art. 20).
5. Melde- und Krisenprozesse definieren (Art. 23).
6. Regelmäßig üben, dokumentieren und verbessern, zum Beispiel mit Tabletop-Übungen.

Häufige Fragen