NIS2-Schnellcheck — Betroffenheit in 30 Sekunden prüfen

Die NIS2-Richtlinie (EU 2022/2555) ist eine EU-weite Cybersicherheitsvorschrift, die in Deutschland durch das NIS2-Umsetzungsgesetz umgesetzt wurde. Sie verpflichtet Unternehmen in 18 kritischen Sektoren zu technischen und organisatorischen Sicherheitsmaßnahmen. Das Gesetz ist seit Dezember 2025 in Kraft.

Betroffen sind Unternehmen in 18 Sektoren (Energie, Gesundheit, Transport, Digitale Infrastruktur, u.v.m.) ab 50 Mitarbeitern oder bei einem Jahresumsatz und einer Bilanzsumme von jeweils über 10 Mio. EUR. Bestimmte Sektoren wie DNS-Dienste, TLD-Registries und qualifizierte Vertrauensdiensteanbieter sind größenunabhängig betroffen.

Bußgelder nach § 65 BSIG richten sich gegen die Einrichtung: bis zu 10 Mio. EUR bei besonders wichtigen Einrichtungen (bwE), bis zu 7 Mio. EUR bei wichtigen Einrichtungen (wE). Die Umsatzvarianten (2 % bzw. 1,4 % des Umsatzes des Unternehmens, dem die Einrichtung angehört) greifen erst ab einem Gesamtumsatz von mehr als 500 Mio. EUR. Davon getrennt zu betrachten ist die Organhaftung: Die Geschäftsleitung trägt nach § 38 BSIG die Umsetzungs- und Überwachungspflicht und haftet bei schuldhafter Verletzung der eigenen Einrichtung auf Schadensersatz. Als letztes Mittel kann die zuständige Aufsichtsbehörde unzuverlässigen Geschäftsleitungen besonders wichtiger Einrichtungen die Ausübung ihrer Tätigkeit vorübergehend untersagen (§ 61 Abs. 9 Satz 2 Nr. 2 BSIG).

Das NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 ohne Vacatio legis in Kraft getreten; für Registrierung und Nachweise gelten gestaffelte Fristen (u. a. drei Monate für die Registrierung nach § 33 Abs. 1 BSIG). Die Registrierungsfrist beim BSI lief bis zum 6. März 2026. Betroffene Einrichtungen müssen die Anforderungen bereits jetzt erfüllen.

Artikel 21 der NIS2-Richtlinie definiert 10 Maßnahmen-Bereiche, in Deutschland umgesetzt in § 30 BSIG: Risikoanalyse, Incident Response, Business Continuity, Lieferkettensicherheit, sichere Entwicklung, Wirksamkeitsbewertung, Cyberhygiene-Schulungen, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung. Die Geschäftsleitung muss diese Risikomanagement-Maßnahmen umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1 BSIG). Verletzt sie diese Pflicht schuldhaft, haftet sie der eigenen Einrichtung auf Schadensersatz (§ 38 Abs. 2 BSIG). Zusätzlich muss die Geschäftsleitung regelmäßig an Schulungen teilnehmen (§ 38 Abs. 3 BSIG).

Nein, dieser Schnellcheck dient der Ersteinschätzung und ersetzt keine rechtliche Beratung. Er basiert auf den Schwellenwerten des NIS2-Umsetzungsgesetzes (§28-29 BSIG) und gibt eine fundierte Indikation, ob Ihr Unternehmen betroffen sein könnte.