NIS2 in Deutschland: Was jetzt wirklich gilt – und was Ihr Unternehmen sofort tun muss

Seit dem 6. Dezember 2025 ist das deutsche NIS2-Umsetzungsgesetz in Kraft. Für fast 30.000 Unternehmen wird Cybersicherheit damit zur gesetzlichen Pflicht – mit echter Haftung für die Geschäftsführung. Was das für Sie bedeutet und wie enthus Sie begleitet.

Kurz & klar: Was ist passiert?

Nach langem Warten ist es so weit: Am 6. Dezember 2025 ist das NIS-2-Umsetzungsgesetz (NIS2UmsuCG) in Deutschland offiziell in Kraft getreten. Das novellierten BSI-Gesetz (BSIG) dehnt den Kreis der regulierten Unternehmen massiv aus. Wer bisher nur aus der Ferne auf KRITIS-Themen geschaut hat, findet sich jetzt womöglich selbst in der Pflicht.

Die Zahlen sprechen für sich: Rund 29.500 Unternehmen und Organisationen in Deutschland fallen unter die neuen Anforderungen. Erste Frist war der 6. März 2026 – die Registrierung im BSI-Portal. Laut einer parlamentarischen Anfrage hatten sich zwei Wochen vor Ablauf dieser Frist erst gut 4.800 der betroffenen Einrichtungen registriert. Das sind weniger als 20 Prozent. Die anderen riskieren empfindliche Konsequenzen.

Betrifft mich das überhaupt? Die wichtigsten Eckdaten

Die entscheidende Frage für viele mittelständische IT-Entscheider lautet: „Falle ich wirklich darunter?" Die Antwort hängt von zwei Faktoren ab: der Branche und der Unternehmensgröße.

Betroffen sind grundsätzlich Unternehmen ab 50 Mitarbeitenden oder mehr als 10 Millionen Euro Jahresumsatz, die in einem der definierten Sektoren tätig sind. Dazu gehören unter anderem:

• Energie, Transport und Verkehr
• Gesundheitswesen und Trinkwasser
• Digitale Infrastruktur und Cloud-Dienste
• Bankwesen und Finanzmarktinfrastruktur
• Verarbeitendes Gewerbe (Fahrzeuge, Elektronik, Medizinprodukte)
• Post- und Kurierdienste, Lebensmittelproduktion, Forschung

Webinar Aufzeichnung ansehen

NIS2 im Griff mit Docusnap

Jetzt ansehen

Ein wichtiger Punkt, der häufig übersehen wird: Die Lieferkette. Auch Unternehmen unterhalb der Schwellenwerte werden zunehmend von größeren Auftraggebern vertraglich verpflichtet, NIS2-Standards einzuhalten. Compliance wird zur Grundvoraussetzung für Geschäftsbeziehungen.

Unser Tipp: Nutzen Sie den BSI-Betroffenheitscheck auf der Website des Bundesamts für Sicherheit in der Informationstechnik (bsi.bund.de). Der erste Schritt kostet nichts – das Nichtwissen kann teuer werden.

Was droht bei Untätigkeit?

NIS2 ist kein Papier-Tiger. Die Sanktionen sind real und können empfindlich treffen:

• Für besonders wichtige Einrichtungen: Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes
• Für wichtige Einrichtungen: bis zu 7 Millionen Euro oder 1,4 % des Umsatzes
• Bereits die verspätete Registrierung beim BSI kann mit bis zu 500.000 Euro geahndet werden

Was viele Geschäftsführerinnen und Geschäftsführer noch nicht auf dem Schirm haben: § 38 BSIG führt eine explizite persönliche Leitungsverantwortung ein. Das bedeutet: Die Geschäftsleitung muss die Umsetzung der Risikomanagementmaßnahmen nicht nur formal genehmigen, sondern eigenverantwortlich überwachen. Verstöße können zu persönlicher Haftung führen – und in schweren Fällen sogar strafrechtliche Relevanz haben.

BSI-Präsidentin Claudia Plattner brachte es auf den Punkt: NIS-2 sei ein „Gamechanger für die Sicherheit und Stabilität unseres Landes."

Was müssen betroffene Unternehmen konkret tun?

Das Gesetz definiert in § 30 BSIG zehn Mindestanforderungen, die betroffene Unternehmen umsetzen müssen. Wir fassen die wichtigsten zusammen:

1. Registrierung beim BSI (portal.bsi.bund.de): Zweistufiger Prozess über ELSTER-Organisationszertifikat und anschließende Registrierung im BSI-Portal. Achtung: Das Zertifikat kann mehrere Wochen in der Beantragung dauern – wer noch nicht gestartet hat, sollte sofort handeln.
2. Risikoanalyse und Sicherheitsmaßnahmen: Ein dokumentiertes Risikomanagement für alle IT-Systeme, die für die Leistungserbringung genutzt werden. Das ist kein einmaliges Projekt, sondern ein dauerhafter Prozess.
3. Meldepflichten bei Sicherheitsvorfällen: Erhebliche Vorfälle müssen innerhalb von 24 Stunden an das BSI gemeldet werden – eine Frist, die ohne vorbereite Prozesse kaum einzuhalten ist.
4. Business Continuity Management: Pläne für den Fortbetrieb und die Wiederherstellung nach Sicherheitsvorfällen.
5. Lieferkettensicherheit: Überprüfung von Zulieferern und Dienstleistern auf ihre Sicherheitsstandards.
6. Schulungen der Geschäftsleitung: Ja, auch die Führungsetage muss sich regelmäßig in Cybersicherheit fortbilden.

Wie enthus Sie dabei unterstützt

Wir wissen: Das alles klingt nach viel Arbeit – und das ist es auch. Aber es muss nicht überwältigend sein, wenn man es strukturiert angeht und einen erfahrenen Partner an der Seite hat.

Bei enthus begleiten wir Sie durch den gesamten NIS2-Prozess: von der ersten Betroffenheitsanalyse über die Registrierung beim BSI bis hin zum Aufbau des notwendigen Informationssicherheits-Managementsystems (ISMS). Gemeinsam mit unseren Partnern – darunter Fortinet für Gateway Security und SentinelOne für Endpoint-Schutz – haben wir die technischen Bausteine für eine NIS2-konforme IT-Infrastruktur fest im Griff.

Unsere Empfehlung für den Start: Buchen Sie ein kostenloses Erstgespräch. In 30 Minuten klären wir gemeinsam, ob Sie betroffen sind, welche Maßnahmen bereits vorhanden sind und wo die dringendsten Lücken bestehen. Kein Verkaufsgespräch – ein ehrlicher Check auf Augenhöhe.

Schreiben Sie uns einfach an hallo@enthus.de. Wir melden uns bei Ihnen.

← Alle Beiträge