NIS2: Welche Unternehmen betroffen sind — und welche Pflichten jetzt gelten

Die NIS-2-Richtlinie (EU) 2022/2555 verpflichtet Unternehmen in 18 Sektoren zu Cybersicherheits-Maßnahmen, Registrierung und Meldepflichten. In Deutschland gilt sie seit dem 6. Dezember 2025 über das NIS2UmsuCG — ohne Übergangsfrist. Betroffen ist, wer in einem regulierten Sektor tätig ist und mindestens 50 Beschäftigte oder mehr als 10 Millionen Euro Umsatz hat. Dieser Beitrag zeigt, ob Sie dazugehören.

Hinweis: Dieser Beitrag ist allgemeine Information und ersetzt keine Rechtsberatung. Maßgeblich sind die Richtlinie (EU) 2022/2555 und das neu gefasste BSIG; Details konkretisieren Rechtsverordnungen und die BSI-Praxis. Stand: Juli 2026.

1. Was ist NIS2?

NIS2 steht für die zweite EU-Richtlinie über die Sicherheit von Netz- und Informationssystemen — die Richtlinie (EU) 2022/2555 vom 14. Dezember 2022 (Quelle: EUR-Lex). Sie löst die erste NIS-Richtlinie von 2016 ab und verfolgt ein klares Ziel: ein einheitlich hohes Cybersicherheits-Niveau in der gesamten EU. Dafür weitet sie den Kreis der verpflichteten Unternehmen deutlich aus — von wenigen Betreibern kritischer Infrastrukturen auf 18 Sektoren.

Anders als die EU-Verpackungsverordnung oder die Produktsicherheitsverordnung ist NIS2 keine Verordnung, sondern eine Richtlinie: Sie wirkt erst über ein nationales Umsetzungsgesetz. In Deutschland ist das das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), das das BSI-Gesetz (BSIG) grundlegend neu gefasst hat (Quellen: Bundesregierung, BSIG). Wichtig zu wissen: Das Gesetz kennt keine Schonfrist — die Pflichten gelten seit dem Tag des Inkrafttretens.

2. NIS2 in Deutschland: Die Zeitleiste

Deutschland hat die EU-Umsetzungsfrist deutlich verpasst — seit Dezember 2025 ist das Thema aber verbindlich. Die Registrierungsfrist für bereits betroffene Einrichtungen ist im März 2026 abgelaufen (Quellen: Bundesregierung, BSI, DIHK):

Für die Praxis heißt das: NIS2 ist kein „kommendes" Gesetz mehr, auf das man sich vorbereiten könnte — es gilt. Wer jetzt erst einsteigt, arbeitet die Pflichten nach, statt ihnen zuvorzukommen. Das ist kein Grund zur Panik, aber ein Grund für einen strukturierten Fahrplan (dazu Abschnitt 7).

3. Bin ich betroffen? Sektoren und Schwellenwerte

Die Betroffenheit folgt einer Zwei-Faktoren-Logik: Sektor plus Unternehmensgröße. Als Faustregel gilt: Wer in einem der 18 regulierten Sektoren tätig ist und mindestens 50 Beschäftigte oder mehr als 10 Millionen Euro Jahresumsatz hat, fällt unter das Gesetz (Quelle: DIHK). Die 50-Beschäftigten-Logik kennen viele Unternehmen bereits von den Pflichten aus dem Hinweisgeberschutzgesetz — NIS2 koppelt sie zusätzlich an den Sektor.

Die Richtlinie unterteilt die Sektoren in zwei Gruppen (Quelle: EUR-Lex, Anhänge I und II; das deutsche BSIG übernimmt sie in seinen Anlagen):

Sektoren mit hoher Kritikalität (Anhang I, 11 Sektoren):

• Energie · Verkehr · Bankwesen · Finanzmarktinfrastrukturen · Gesundheitswesen
• Trinkwasser · Abwasser · Öffentliche Verwaltung · Weltraum
• Digitale Infrastruktur (u. a. Rechenzentren, Cloud- und DNS-Anbieter) · Verwaltung von IKT-Diensten (Managed-Service-Provider im B2B)

Sonstige kritische Sektoren (Anhang II, 7 Sektoren):

• Post- und Kurierdienste · Abfallbewirtschaftung · Forschung
• Produktion, Herstellung und Handel mit chemischen Stoffen
• Produktion, Verarbeitung und Vertrieb von Lebensmitteln (industrielle Produktion und Großhandel)
• Verarbeitendes Gewerbe (u. a. Medizinprodukte, Elektronik und Optik, Maschinenbau, Fahrzeugbau)
• Anbieter digitaler Dienste (Online-Marktplätze, Online-Suchmaschinen, soziale Netzwerke)

Je nach Sektor und Größe ordnet das BSIG Unternehmen in zwei Kategorien ein (Quelle: BSIG § 28; Stand Juli 2026):

Für den Mittelstand besonders relevant: Das verarbeitende Gewerbe macht viele Hersteller ab 50 Beschäftigten zu „wichtigen Einrichtungen" — vom Maschinenbauer bis zum Elektronik-Hersteller mit eigenem Direktvertrieb. Und wer als IT-Dienstleister Systeme seiner Kunden betreibt, kann als Managed-Service-Provider sogar in den Anhang-I-Bereich fallen. Verbindliche Klarheit für Ihren Einzelfall schafft die kostenlose Betroffenheitsprüfung des BSI — den Link finden Sie in den Quellen am Ende des Beitrags.

4. Diese Pflichten gelten jetzt

Betroffene Einrichtungen — ob „besonders wichtig" oder „wichtig" — treffen vier Pflichtenblöcke (Quellen: BSI, DIHK, BSIG):

Registrierung beim BSI (§ 33 BSIG): Sie melden Ihre Einrichtung über das BSI-Portal an; dafür brauchen Sie ein ELSTER-Organisationszertifikat. Die Frist beträgt drei Monate, nachdem ein Unternehmen unter das Gesetz fällt — für Bestandsfälle lief sie am 6. März 2026 ab. Das BSI stellt klar: Die gesetzliche Registrierungsfrist ist bereits abgelaufen. Nachzügler sollten die Registrierung unverzüglich nachholen, statt auf ein Anschreiben zu warten (Quelle: BSI).

Risikomanagement-Maßnahmen (§ 30 BSIG): Der Katalog verlangt geeignete, verhältnismäßige technische und organisatorische Maßnahmen entlang von zehn Mindestbereichen (Quelle: EUR-Lex, Art. 21 Abs. 2):

• Risikoanalyse und Sicherheitskonzepte für Ihre Informationssysteme
• Bewältigung von Sicherheitsvorfällen (Incident-Management)
• Backup-Management, Wiederherstellung und Krisenmanagement für den Betrieb im Ernstfall
• Sicherheit der Lieferkette — inklusive Ihrer IT-Dienstleister
• Sicherheit bei Einkauf, Entwicklung und Wartung von Systemen inkl. Schwachstellen- und Update-Management
• Wirksamkeits-Bewertung der eigenen Maßnahmen
• Cyberhygiene und Schulungen — Grundpraktiken wie Updates und Passwort-Regeln, geschulte Mitarbeiter
• Kryptografie und Verschlüsselung nach Konzept
• Personalsicherheit, Zugriffskontrolle und Asset-Management
• Multi-Faktor-Authentifizierung und gesicherte Kommunikationssysteme

Zugriffskontrolle und Multi-Faktor-Authentifizierung lassen sich in der Praxis am saubersten über eine zentrale Anmeldung umsetzen. Wie Unternehmen Zugriffskontrolle per Single Sign-On umsetzen, beschreibt unser separater Leitfaden — inklusive der Frage, wie SAML, OpenID Connect und SCIM zusammenspielen.

Meldepflichten bei erheblichen Vorfällen (§ 32 BSIG): Ein erheblicher Sicherheitsvorfall löst eine dreistufige Meldekaskade an das BSI aus (Quelle: DIHK):

Pflichten der Geschäftsleitung (§ 38 BSIG): NIS2 macht Cybersicherheit ausdrücklich zur Chefsache. Die Geschäftsleitung muss die Risikomanagement-Maßnahmen billigen und ihre Umsetzung überwachen, sich regelmäßig schulen lassen — und kann diese Verantwortung nicht vollständig delegieren. Bei Pflichtverletzung droht die persönliche Haftung (Quelle: BSI).

Quellen: BSI — NIS-2-Betroffenheitsprüfung und BSI — NIS-2-regulierte Unternehmen (öffnen in neuem Tab). Stand: Juli 2026 — Angaben ohne Gewähr. Die vollständige Quellenliste finden Sie am Ende des Beitrags.

5. Bußgelder: Was bei Verstößen droht

Die Sanktionen orientieren sich an der DSGVO-Logik — Höchstrahmen statt Bagatellbeträge (Quelle: EUR-Lex, Art. 34):

• Wesentliche bzw. besonders wichtige Einrichtungen: Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes — je nachdem, welcher Betrag höher ist.
• Wichtige Einrichtungen: bis zu 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes.
• Zusätzlich: behördliche Anordnungen des BSI, verbindliche Anweisungen zur Mängelbeseitigung — und die persönliche Haftung der Geschäftsleitung nach § 38 BSIG (Quelle: BSIG).

Wie streng die deutsche Bußgeldpraxis ausfallen wird, muss sich erst zeigen — das Gesetz ist jung. Verlassen sollte sich darauf niemand: Die Meldekaskade macht Versäumnisse sichtbar, und spätestens ein gemeldeter Vorfall wirft die Frage auf, ob die Pflichten vorher erfüllt waren.

6. Nicht direkt betroffen? Die Lieferkette erreicht Sie trotzdem

Viele Händler und Dienstleister atmen an dieser Stelle auf: Der klassische Einzelhandel — auch als Online-Shop — ist kein NIS-2-Sektor. Wer nur Waren an Endkunden verkauft, ist in der Regel nicht direkt verpflichtet. Aufatmen heißt aber nicht abhaken, denn NIS2 wirkt über zwei Umwege weiter:

Erstens die Lieferkette: Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette aktiv managen (Quelle: EUR-Lex, Art. 21 Abs. 2). In der Praxis reichen sie diese Pflicht weiter — als Sicherheits-Fragebogen, Vertragsklausel oder Audit-Anforderung an Zulieferer und Dienstleister. Wer B2B-Kunden in regulierten Sektoren beliefert, bekommt NIS2 also auf den Tisch, ohne selbst im Gesetz zu stehen. Belegbare Basismaßnahmen werden damit zum Wettbewerbsvorteil im B2B-Vertrieb.

Zweitens die Grenzfälle: Ein Online-Händler mit eigener Fertigung kann als verarbeitendes Gewerbe gelten, ein Lebensmittel-Großhändler fällt in den Lebensmittel-Sektor, ein Marktplatz-Betreiber unter die digitalen Dienste. Die Einordnung hängt an Ihrer tatsächlichen Tätigkeit — nicht am Etikett „Händler". Welche Schutzmaßnahmen unabhängig von jeder Gesetzespflicht sinnvoll sind, zeigt unser Praxis-Leitfaden zur IT-Sicherheit im Mittelstand — dort geht es um das Wie (Passwörter, MFA, Backups), hier um das Ob und Was des Gesetzes.

7. 5 Schritte: NIS2 pragmatisch umsetzen

NIS2-Umsetzung ist kein Konzernprojekt mit hundert Seiten Dokumentation — im Mittelstand zählt ein sauberer, dokumentierter Fahrplan. Als IT- und Prozess-Partner richten wir Infrastruktur, Zugriffe und Abläufe so ein, dass die Maßnahmen dauerhaft gelebt werden statt nur auf Papier zu stehen. So gehen Sie vor:

Die technische Basis vieler Maßnahmen liegt in Systemen, die Sie ohnehin betreiben: Eine sauber konfigurierte Microsoft-365-Umgebung bringt Multi-Faktor-Authentifizierung, Zugriffskontrolle und Verschlüsselung mit; ein gehärtetes Cloud-Hosting für die Warenwirtschaft deckt Backups und Wiederherstellung ab. Wer das strukturiert aufsetzt, erfüllt einen großen Teil des Maßnahmenkatalogs nebenbei — und senkt sein Ausfallrisiko unabhängig von jeder Prüfung.

8. Fazit: Betroffenheit klären schlägt Abwarten

NIS2 ist seit Dezember 2025 deutsches Recht — ohne Übergangsfrist, mit abgelaufener Registrierungsfrist und klaren Melde- und Maßnahmenpflichten. Die wichtigste Aufgabe ist deshalb die einfachste: Klären Sie mit der BSI-Betroffenheitsprüfung schwarz auf weiß, ob Ihr Unternehmen dazugehört, und dokumentieren Sie das Ergebnis. Betroffene arbeiten danach die Pflichten strukturiert ab — Registrierung, Maßnahmen-Abgleich, Meldeprozess. Nicht-Betroffene nutzen die zehn Mindestmaßnahmen als kostenlose Checkliste, denn die Sicherheits-Anforderungen ihrer B2B-Kunden kommen ohnehin.

Sie möchten Betroffenheit, IT-Landschaft und Prozesse nicht allein sortieren? Im Rahmen unserer Digitalisierungs-Beratung gehen wir Infrastruktur, Zugriffe und Verantwortlichkeiten gemeinsam durch — pragmatisch und ohne Compliance-Theater. Und wenn Sie EU-Digitalrecht im Blick behalten wollen: Was die KI-Verordnung (EU AI Act) von Unternehmen verlangt, haben wir im gleichen Praxis-Format aufbereitet. Anders als NIS2 regelt der Cyber Resilience Act nicht Ihren Betrieb, sondern die Cybersicherheit der Produkte, die Sie herstellen oder vertreiben.

Ein Thema, das unmittelbar an die NIS2-Maßnahmen zu Zugriffskontrolle und Multi-Faktor-Authentifizierung anschließt, kommt 2027 dazu: Mit der staatlich bereitgestellten EU-Identitäts-Wallet lassen sich Identität und Alter aus geprüften Nachweisen belegen, statt über Passwörter und Ausweiskopien. Wie die EUDI-Wallet Login und Altersnachweis im Shop verändert und welche Registrierung Sie dafür bräuchten, lesen Sie im eigenen Beitrag.

Hinweis: Dieser Artikel ist allgemeine Information und ersetzt keine Rechtsberatung. Die genannten Pflichten, Schwellenwerte, Fristen und Bußgeldrahmen aus Richtlinie (EU) 2022/2555 und BSIG entsprechen dem Stand Juli 2026; Details können sich durch Rechtsverordnungen, BSI-Vorgaben und Rechtsprechung ändern. Für Ihren konkreten Fall ziehen Sie bitte die offiziellen Quellen oder eine fachkundige Rechtsberatung heran.

9. Häufige Fragen zu NIS2

Was genau ist NIS2?

NIS2 ist die zweite EU-Richtlinie zur Netz- und Informationssicherheit — Richtlinie (EU) 2022/2555. Sie soll das Cybersicherheits-Niveau in der EU vereinheitlichen und erweitert den Kreis der verpflichteten Unternehmen deutlich auf 18 Sektoren. In Deutschland setzt das NIS2UmsuCG die Richtlinie um; es ist am 6. Dezember 2025 in Kraft getreten (Quellen: EUR-Lex, Bundesregierung).

Wer ist von NIS2 betroffen?

Betroffen sind Unternehmen, die in einem der 18 NIS-2-Sektoren tätig sind und mindestens 50 Beschäftigte haben oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme erreichen — von Energie und Gesundheit über das verarbeitende Gewerbe bis zu digitalen Diensten. Verbindliche Klarheit schafft die Betroffenheitsprüfung des BSI (Quellen: DIHK, BSI, Stand Juli 2026).

Wann ist NIS2 in Deutschland in Kraft getreten?

Die EU-Richtlinie gilt seit dem 16. Januar 2023, die Umsetzungsfrist lief am 17. Oktober 2024 ab. Deutschland hat verspätet umgesetzt: Das NIS-2-Umsetzungsgesetz wurde im November 2025 beschlossen und ist am 6. Dezember 2025 in Kraft getreten — ohne Übergangsfristen für die Pflichten (Quellen: EUR-Lex, Bundesregierung).

Muss ich mich für NIS2 beim BSI registrieren?

Ja — betroffene Einrichtungen müssen sich über das BSI-Portal registrieren (§ 33 BSIG). Dafür benötigen Sie ein ELSTER-Organisationszertifikat. Die Frist von drei Monaten lief für Unternehmen, die schon bei Inkrafttreten betroffen waren, am 6. März 2026 ab. Wer sich noch nicht registriert hat, sollte das unverzüglich nachholen (Quellen: BSI, DIHK).

Was passiert, wenn man NIS2 nicht umsetzt?

Bei Verstößen drohen Bußgelder: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes für wesentliche beziehungsweise besonders wichtige Einrichtungen, bis zu 7 Millionen Euro oder 1,4 Prozent für wichtige Einrichtungen. Zusätzlich kann die Geschäftsleitung persönlich haften, wenn sie ihre Pflichten verletzt (Quellen: EUR-Lex Art. 34, BSIG).

Gilt NIS2 auch für kleine Unternehmen?

In der Regel nein: Unternehmen unter 50 Beschäftigten und mit höchstens 10 Millionen Euro Umsatz fallen meist nicht unter NIS2. Größenunabhängige Ausnahmen gibt es aber, etwa für Betreiber kritischer Anlagen, qualifizierte Vertrauensdienste und Teile der digitalen Infrastruktur. Im Zweifel schafft die BSI-Betroffenheitsprüfung Klarheit (Quellen: BSI, DIHK, Stand Juli 2026).

Ist ein normaler Online-Shop von NIS2 betroffen?

Der reine Einzelhandel ist kein NIS-2-Sektor — ein klassischer Online-Shop ist deshalb meist nicht direkt betroffen. Anders kann es aussehen, wenn Sie einen Online-Marktplatz betreiben, im Lebensmittel-Großhandel tätig sind, mit Chemikalien handeln oder als Hersteller zum verarbeitenden Gewerbe zählen. Prüfen Sie den Einzelfall mit dem BSI-Tool (Quelle: EUR-Lex, Stand Juli 2026).

10. Quellen & offizielle Informationen

Die Angaben in diesem Beitrag stützen sich auf folgende offizielle und fachliche Quellen (Stand Juli 2026). Externe Quellen öffnen in einem neuen Tab.

• EUR-Lex — Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie) — amtlicher Richtlinientext mit Sektoren-Anhängen, Maßnahmenkatalog und Sanktionsrahmen (Primärquelle).
• Gesetze im Internet — BSIG (neu gefasst durch das NIS2UmsuCG) — amtlicher deutscher Gesetzestext mit §§ 28, 30, 32, 33 und 38 (Primärquelle).
• Bundesregierung — Umsetzung der NIS-2-Richtlinie — Inkrafttreten am 6. Dezember 2025 und Einordnung (offizielle Stelle).
• BSI — NIS-2-regulierte Unternehmen — Registrierung in zwei Schritten, Portal und Pflichten der Geschäftsleitung (offizielle Stelle).
• BSI — NIS-2-Betroffenheitsprüfung — offizielles Online-Tool zur Selbsteinschätzung der Betroffenheit (offizielle Stelle).
• DIHK — NIS-2: Mehr Verantwortung für Cybersicherheit — Schwellenwerte, Registrierungs- und Meldefristen aus Unternehmenssicht (Fachquelle).