NIS2 umsetzen: Pflichten, Fristen und der Weg zur Compliance

Was ist NIS2?

NIS2 (Richtlinie (EU) 2022/2555) ist der EU-weite Rechtsrahmen für Cybersicherheit. Sie löst die erste NIS-Richtlinie ab, erweitert den Kreis der betroffenen Sektoren erheblich und führt einheitlichere, strengere Mindestanforderungen sowie spürbare Sanktionen ein. Ziel ist ein hohes gemeinsames Sicherheitsniveau für kritische und wichtige Dienste in der EU.

Wo steht die Umsetzung in Deutschland und Österreich?

NIS2 ist eine Richtlinie – die Pflichten entstehen erst durch die nationalen Umsetzungsgesetze. In beiden DACH-Kernmärkten sind diese inzwischen verkündet:

Es gibt keine Übergangsfrist: In Deutschland gelten die Pflichten seit dem Tag nach der Verkündung – nur die Meldepflicht griff formal erst mit Einrichtung des Meldewegs (§ 32 Abs. 1 BSIG); das BSI-Portal ist seit dem 6. Januar 2026 freigeschaltet. Details zur österreichischen Umsetzung – inklusive Selbstdeklaration und Schulungs-Straftatbestand – im Beitrag NISG 2026: NIS2 in Österreich.

Wer ist von NIS2 betroffen?

NIS2 unterscheidet zwischen wesentlichen und wichtigen Einrichtungen (das deutsche BSIG nennt die erste Kategorie „besonders wichtige Einrichtungen", § 28 BSIG). Maßgeblich sind die Kombination aus betroffenem Sektor (z. B. Energie, Transport, Gesundheit, Trinkwasser, digitale Infrastruktur, öffentliche Verwaltung, aber auch Maschinenbau, Chemie, Lebensmittel, Post und mehr) und der Unternehmensgröße. Vereinfacht greift NIS2 ab mittelgroßen Unternehmen (in der Regel ab 50 Beschäftigten oder mehr als 10 Mio. € Umsatz); einzelne Einrichtungen fallen unabhängig von der Größe darunter. Eine erste Einordnung liefert unsere NIS2-Betroffenheitsprüfung.

Die wichtigsten Pflichten

Governance (Art. 20): Die Leitungsorgane müssen die Risikomanagement-Maßnahmen billigen, ihre Umsetzung überwachen und an Schulungen teilnehmen – mit persönlicher Verantwortlichkeit bei Verstößen. In Deutschland regelt das § 38 BSIG (inklusive Haftung der Geschäftsleitung), in Österreich § 31 NISG 2026.

Risikomanagement (Art. 21): Gefordert sind zehn Maßnahmenbereiche – darunter Incident Handling, Business Continuity und Krisenmanagement, Lieferkettensicherheit, Cyberhygiene und Schulungen sowie Konzepte zur Bewertung der Wirksamkeit der Maßnahmen (national umgesetzt in § 30 Abs. 2 BSIG bzw. § 32 Abs. 4 NISG 2026). Details finden Sie in unserem Beitrag zu den NIS2-Anforderungen nach Art. 21.

Meldepflichten (Art. 23): Erhebliche Sicherheitsvorfälle sind gestaffelt zu melden – in Deutschland nach § 32 BSIG an die gemeinsame Meldestelle von BSI und BBK, in Österreich nach § 34 NISG 2026 an das zuständige CSIRT.

Meldepflichten & Fristen

• Frühwarnung innerhalb von 24 Stunden nach Kenntnis.
• Meldung des Vorfalls innerhalb von 72 Stunden.
• Abschlussbericht innerhalb von einem Monat.

Diese Meldekette unter Zeitdruck zuverlässig zu bedienen, ist eine der größten praktischen Herausforderungen – und ein typischer Bestandteil realistischer Übungsszenarien.

Registrierung

Betroffene Einrichtungen müssen sich bei der zuständigen Behörde – in Deutschland dem BSI – registrieren und bestimmte Stammdaten bereitstellen. Die Frist ist knapp: drei Monate, nachdem eine Einrichtung erstmals unter das Gesetz fällt (§ 33 BSIG). Wie das abläuft, lesen Sie unter NIS2-Registrierung beim BSI.

Sanktionen

NIS2 sieht empfindliche Bußgelder vor: für besonders wichtige (wesentliche) Einrichtungen bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu 7 Mio. € oder 1,4 % – jeweils der höhere Betrag (§ 65 BSIG; § 45 NISG 2026). Hinzu kommt die persönliche Verantwortlichkeit der Leitungsorgane.

Die unterschätzte Pflicht: regelmäßig testen und üben

Maßnahmen auf dem Papier reichen nicht. NIS2 verlangt, ihre Wirksamkeit zu bewerten und den Betrieb auch im Krisenfall aufrechtzuerhalten. Tabletop-Übungen sind dafür das effizienteste Werkzeug: Ihr Team durchläuft ein realistisches Szenario, trifft Entscheidungen und übt die Meldekette – das Ergebnis ist ein audit-fähiger After-Action-Report. Genau hier setzt SecDrills an.

NIS2-Umsetzung in 6 Schritten

1. Betroffenheit klären und als wesentliche oder wichtige Einrichtung einordnen.
2. Bei der zuständigen Behörde registrieren.
3. Risikomanagement-Maßnahmen nach Art. 21 etablieren.
4. Leitungsorgane einbinden und schulen (Art. 20).
5. Melde- und Krisenprozesse definieren (Art. 23).
6. Regelmäßig üben, dokumentieren und verbessern – z. B. mit Tabletop-Übungen.

Häufige Fragen