NIS2 in Deutschland: Der Leitfaden für KMU

Seit dem 6. Dezember 2025 setzt das neue BSI-Gesetz (BSIG) die EU-Cybersicherheitsrichtlinie NIS2 in Deutschland um. Betroffene Unternehmen müssen sich beim BSI registrieren, Sicherheitsmaßnahmen dokumentieren, erhebliche Vorfälle unverzüglich melden und ihre Geschäftsleitung schulen. Dieser Leitfaden erklärt KMU die wichtigsten Pflichten, den Kostenrahmen und eine praktische Reihenfolge für die Umsetzung.

Was seit dem 6. Dezember 2025 gilt

Deutschland hat die Richtlinie (EU) 2022/2555 mit dem NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) umgesetzt, verkündet am 5. Dezember 2025 (BGBl. 2025 I Nr. 301). Maßgeblich ist seitdem das neu gefasste BSIG, nicht die Richtlinie; alle Paragrafen in diesem Artikel beziehen sich darauf.

• Keine allgemeine Übergangsfrist. Laut BSI-FAQ gelten die Pflichten grundsätzlich ab Inkrafttreten.
• Kein Bescheid vom BSI. Das BSI teilt Unternehmen nicht mit, ob sie betroffen sind. Sie prüfen das selbst.
• Viele fehlen noch im Register. Die Bundesregierung rechnet mit rund 29.850 betroffenen Einrichtungen (BT-Drs. 21/1501). Registriert waren bis zum 30. September 2026 laut BSI 20.141.

Wer betroffen ist, in einem Absatz

Es entscheiden Tätigkeit und Größe (§ 28 BSIG). Wichtige Einrichtung ist, wer eine Tätigkeit aus Anlage 1 oder 2 am Markt anbietet und mindestens 50 Mitarbeiter hat oder Umsatz und Bilanzsumme von jeweils über 10 Mio. €. Besonders wichtige Einrichtung ist, wer eine Tätigkeit aus Anlage 1 ausübt und mindestens 250 Mitarbeiter hat oder über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme. Einige Einrichtungen, etwa Betreiber kritischer Anlagen und DNS-Diensteanbieter, sind unabhängig von der Größe betroffen, und Konzernzahlen können mitzählen. Sektorliste, Zählweise, Sonderfälle und Beispiele stehen im Artikel Fällt Ihr Unternehmen unter NIS2?. Eine erste Einschätzung in rund zwei Minuten gibt unser NIS2-Betroffenheits-Check.

Die vier Kernpflichten

1. Registrierung beim BSI (§ 33)

Spätestens drei Monate, nachdem Ihr Unternehmen erstmals als besonders wichtige oder wichtige Einrichtung gilt, registrieren Sie es im BSI-Portal, unter anderem mit Kontaktdaten, Sektor und Einrichtungsart. Für Unternehmen, die seit Inkrafttreten betroffen sind, endete die Frist am 6. März 2026. Die Pflicht gilt weiter: Wer die Frist verpasst hat, registriert sich jetzt. Fehlende, falsche oder verspätete Angaben können mit bis zu 500.000 € geahndet werden (§ 65 Abs. 2 Nr. 6, Abs. 5 Satz 1 Nr. 5).

2. Risikomanagementmaßnahmen (§ 30)

Betroffene Unternehmen müssen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen ergreifen und deren Einhaltung dokumentieren (§ 30 Abs. 1). § 30 Abs. 2 nennt zehn Bereiche, die mindestens abgedeckt sein müssen, von Risikoanalyse, Vorfallbewältigung, Backups und Lieferkette bis zur Multi-Faktor-Authentifizierung. Die Maßnahmen sollen den Stand der Technik einhalten und einschlägige Normen berücksichtigen. Alle zehn Bereiche mit passenden Maßnahmen aus ISO® 27001 und Beispielen für Nachweise: Die zehn NIS2-Maßnahmen nach § 30 BSIG.

3. Meldung erheblicher Sicherheitsvorfälle (§ 32)

Ein erheblicher Sicherheitsvorfall wird dem BSI in Stufen gemeldet: unverzüglich eine frühe Erstmeldung, spätestens binnen 24 Stunden, und eine Meldung mit erster Bewertung, ebenfalls unverzüglich, spätestens binnen 72 Stunden, jeweils ab Kenntnis, dann spätestens einen Monat nach dieser Meldung die Abschlussmeldung. Dauert der Vorfall noch an, tritt eine Fortschrittsmeldung an die Stelle der Abschlussmeldung (§ 32 Abs. 2). Die Fristen laufen auch am Wochenende. Was als erheblich gilt und was in jede Meldung gehört: NIS2-Meldepflicht: Fristen 24 h, 72 h, 1 Monat und Meldeweg.

4. Pflichten und Schulung der Geschäftsleitung (§ 38)

Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Verletzt sie diese Pflichten schuldhaft, haftet sie der eigenen Einrichtung nach den gesellschaftsrechtlichen Regeln ihrer Rechtsform. Außerdem muss sie regelmäßig an Schulungen teilnehmen, laut Gesetzesbegründung mindestens alle drei Jahre. Inhalte, Form, Nachweis und eine Agenda: NIS2-Schulung der Geschäftsleitung nach § 38 BSIG.

Bußgelder bei Verstößen (§ 65)

Verstöße gegen die Pflichten zu Risikomanagement und Meldungen können bei besonders wichtigen Einrichtungen mit bis zu 10 Mio. € geahndet werden, bei wichtigen mit bis zu 7 Mio. €. Nur bei mehr als 500 Mio. € Gesamtumsatz bemisst sich die Obergrenze stattdessen am Umsatz: 2 Prozent des weltweiten Umsatzes bei besonders wichtigen, 1,4 Prozent bei wichtigen Einrichtungen.

Was die Umsetzung kostet

Die Bundesregierung schätzt den jährlichen Aufwand allein für das Mindestniveau der IT-Sicherheit auf rund 86.000 € je wichtiger und rund 215.000 € je besonders wichtiger Einrichtung, aus Personalstunden und Sachkosten (BT-Drs. 21/1501). Für den einmaligen Aufbau setzt sie vereinfachend etwa denselben Betrag an. Das sind Durchschnittswerte über alle Größen. Sie sind keine Budgetprognose für ein einzelnes KMU. Trennen Sie Ihre Kalkulation in bestehende Sicherheitsarbeit, offene Maßnahmen und laufende Dokumentation und Schulung.

Die Umsetzung in sieben Schritten

Dies ist ein Arbeitsplan, keine gesetzliche Schonfrist. Die Pflichten gelten parallel; dringende Sicherheitslücken und Vorfallmeldungen dürfen nicht auf den Abschluss von Registrierung oder Schulung warten.

1. Betroffenheit prüfen und festhalten. Dokumentieren Sie die Begründung, auch wenn die Antwort „nein“ lautet: Kunden und Prüfer fragen danach.
2. Beim BSI registrieren. Zuerst, weil die Frist läuft oder schon abgelaufen ist.
3. Meldeprozess aufsetzen. Legen Sie fest, wer über die Erheblichkeit entscheidet, wer meldet und wer am Wochenende vertritt.
4. Geschäftsleitung schulen. Die erste Schulung klärt zugleich Rollen und Budget für alles Weitere.
5. Lückenanalyse gegen § 30. Je Bereich Ist-Stand, Verantwortlicher, Termin. Mit ISO® 27001 oder TISAX® setzen Sie dort an: NIS2 und ISO® 27001, NIS2 für Automobilzulieferer.
6. Lücken schließen und Nachweise sammeln. Richtlinien, Risikoregister, Lieferantenbewertungen, Wiederherstellungstests, Schulungsnachweise.
7. Wirksamkeit prüfen. § 30 Abs. 2 Nr. 6 verlangt Verfahren dafür. Bewährt haben sich ein internes Audit und ein Management-Review mindestens einmal im Jahr; damit belegt die Geschäftsleitung zugleich ihre Überwachung.

Warum ein ISMS der praktische Weg ist

NIS2 verlangt kein Zertifikat, aber dokumentierte, aktuelle Maßnahmen, deren Wirksamkeit geprüft wird. Genau das leistet ein Informationssicherheits-Managementsystem (ISMS). Ein ISMS nach ISO® 27001 kann die Umsetzung von § 30 strukturieren. Hinzu kommen die NIS2-eigenen Pflichten: Registrierung, Meldefristen und Schulung der Geschäftsleitung.

Valiido ist eine ISMS-Software mit eigenem NIS2-Framework im Valiido Guide: vom Kapitel Betroffenheit und Registrierung über Vorfälle mit den Fristen 24 Stunden, 72 Stunden und ein Monat bis zu Schulungsvorlagen für Mitarbeiter und Geschäftsleitung. Registrierung und Meldungen geben Sie selbst im BSI-Portal ab; Valiido bereitet sie vor und dokumentiert sie. Da NIS2 meist ab 50 Mitarbeitern greift, brauchen betroffene Unternehmen in der Regel den Pro-Plan für 299 €/Monat (249 €/Monat bei jährlicher Zahlung).

So setzen Sie NIS2 mit Valiido um

Häufig gestellte Fragen

Kann die Geschäftsleitung NIS2 an die IT oder den ISB abgeben?

Die Arbeit ja, die Verantwortung nicht. Die Geschäftsleitung kann Aufgaben übertragen, die Letztverantwortung bleibt bei ihr (BT-Drs. 21/1501, S. 154). Die eigene Schulung nach § 38 Abs. 3 kann sie nicht delegieren.

Prüft das BSI, ob wir die Pflichten erfüllen?

Bei besonders wichtigen Einrichtungen kann das BSI Audits, Prüfungen oder Zertifizierungen durch unabhängige Stellen anordnen (§ 61 BSIG). Bei wichtigen Einrichtungen prüft es, wenn Tatsachen die Annahme rechtfertigen, dass Pflichten nicht oder nicht richtig umgesetzt werden (§ 62 BSIG).

Wir sind zu klein für NIS2. Müssen wir trotzdem etwas tun?

Oft ja, indirekt: Nach § 30 Abs. 2 Nr. 4 BSIG müssen betroffene Kunden die Sicherheit ihrer Lieferkette steuern und geben Anforderungen an ihre Lieferanten weiter. Ein dokumentiertes ISMS ist die übliche Antwort auf deren Fragebögen.