Die NIS-2-Richtlinie der EU ist in Deutschland seit dem 6. Dezember 2025 geltendes Recht — umgesetzt im neuen BSI-Gesetz (BSIG). Die Bundesregierung rechnet mit rund 20.850 betroffenen Einrichtungen (BT-Drs. 20/13184); zuvor waren es einige Tausend. Für die meisten dieser Betriebe ist Cybersicherheit erstmals eine gesetzliche Pflicht.
Ihr Unternehmen kann betroffen sein, je nach einigen wichtigen Faktoren. In diesem Artikel lesen Sie, was die NIS-2-Richtlinie bedeutet. Wir zeigen, wie Sie prüfen können, ob Ihr Unternehmen unter die Regeln fällt. Bei Bedarf unterstützt Sie unsere NIS2-Beratung bei der vollständigen Umsetzung.
Die NIS-2-Richtlinie will Cybersicherheit in der EU verbessern. Sie reagiert auf steigende Cyberangriffe. Ziel ist ein starker Schutz vor Ransomware, DDoS-Attacken und Phishing.
Die NIS-2-Richtlinie folgt auf die NIS-Richtlinie von 2016. Sie setzt Regeln und Standards für Cybersicherheit in entscheidenden Bereichen. Diese Regelung soll die Widerstandskraft in Branchen wie Energie, Gesundheit und Verkehr stärken.
Die Richtlinie zielt auf zwei wichtige Punkte ab:
Der Grund sind die zunehmenden und gravierenden Folgen von Cyberangriffen. Der Gesetzgeber hat dafür einen Bußgeldrahmen geschaffen, der sich nach der Einstufung der Einrichtung richtet — die Einzelheiten stehen weiter unten.
Eine Richtlinie verpflichtet Unternehmen nicht unmittelbar — maßgeblich ist immer das nationale Gesetz. In Deutschland ist das seit dem 6. Dezember 2025 das neue BSIG. Es erfasst 18 Sektoren, von Energie über Verkehr bis Gesundheit.
Die Regel betrifft nicht nur Großunternehmen, sondern auch mittlere mit über 50 Leuten. Unternehmen, die KRITIS betreiben, müssen egal wie groß sie sind, handeln.
Die Bundesregierung beziffert die Zahl der betroffenen Einrichtungen in Deutschland auf rund 20.850 (BT-Drs. 20/13184). Kursierende Schätzungen von 30.000 oder 40.000 Unternehmen stammen aus früheren Entwurfsstadien und sind überholt.
| Kennzahl | Wert | Fundstelle |
|---|---|---|
| Betroffene Einrichtungen in Deutschland | rund 20.850 | BT-Drs. 20/13184 |
| Sektoren | 18 (Anlagen 1 und 2 zum BSIG) | § 28 BSIG |
| BSIG in Kraft seit | 6. Dezember 2025 | NIS2UmsuCG |
Die NIS-2-Richtlinie will die Cybersicherheit in der EU stärken. Alle Mitgliedstaaten müssen diese Richtlinie im nationalen Recht verankern.
Die NIS-2-Richtlinie ist in der EU eine große Sache. Vor allem KRITIS-Betreiber in Deutschland müssen jetzt handeln. Auch kleine Unternehmen müssen sehr sichere IT einführen. So wird das hohe Cybersicherheitsniveau in Europa gesichert.
Viele wichtige Bereiche wie Energie und Gesundheit fallen unter KRITIS. Sie müssen für Cyberangriffe vorsorgen und diese melden. Das sichert kritische Systeme und Dienste vor Gefahren.
Zudem müssen sie eine Kontaktstelle und IT-Störungen melden. Der Stand der Technik bei IT-Sicherheit ist wichtig und muss gezeigt werden. Das tun sie alle zwei Jahre beim BSI.
Die NIS-2-Richtlinie macht Deutschland und die EU sicherer. Sie stellt sicher, dass kritische Einrichtungen stark gegen Angriffe sind. So wird die Sicherheit für alle verbessert.
Die NIS-2-Richtlinie soll die Cybersicherheit in wichtigen Wirtschaftsbereichen Europas stärken. Sie erfasst 18 Sektoren; in Deutschland stehen sie in den Anlagen 1 und 2 zum BSIG.
Die Regeln umfassen Bereiche wie Energie, Transport und Banken, aber auch Gesundheit und Wasser. Auch die Digitale Welt, die öffentliche Verwaltung und die Raumfahrt sind betroffen. So werden viele Unternehmen geschützt, die für uns alle wichtig sind.
Das BSIG unterscheidet zwei Gruppen. Besonders wichtige Einrichtungen sind Betriebe ab 250 Beschäftigten — oder solche mit mehr als 50 Mio. € Jahresumsatz und mehr als 43 Mio. € Bilanzsumme. Wichtige Einrichtungen beginnen bei 50 Beschäftigten — oder wenn Jahresumsatz und Bilanzsumme jeweils über 10 Mio. € liegen (§ 28 Abs. 2 Nr. 3 BSIG). Auf das „und" kommt es an: Wer nur den Umsatz prüft, hält zu viele Betriebe für betroffen. Ohne Schwelle erfasst sind unter anderem Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter und DNS-Dienste.
| Sektor | Besonders wichtige Einrichtungen | Wichtige Einrichtungen |
|---|---|---|
| Energie | Strom, Gas, Öl, Fernwärme | Erneuerbare Energien, Energieeffizienz |
| Transport | Straße, Schiene, Luft- und Seeverkehr | Post und Kurier |
| Finanzwesen | Banken, Börsen, Versicherungen | Finanzdienstleistungen |
| Gesundheit | Krankenhäuser, Rettungsdienste | Medizinprodukte, Pharmazie |
| Wasser | Trinkwasser, Abwasser | – |
| Digitale Infrastruktur | Internetknoten, DNS-Dienste | Cloud-Dienste, Datencenter |
| Öffentliche Verwaltung | Bundes- und Landesbehörden | Kommunale Verwaltung |
| Raumfahrt | Satellitenbetrieb, Raumfahrtinfrastruktur | – |
Die EU-Kommission möchte mit diesen Regeln wichtige Sektoren besser schützen. Dadurch soll weniger Schaden durch Cyberangriffe entstehen. Unternehmen müssen deshalb viel in IT-Sicherheit investieren, wenn sie von der NIS-2-Richtlinie betroffen sind.
Ein neues Gesetz der EU, die NIS-2-Richtlinie, richtet sich an Firmen jeder Größe, nicht nur große Konzerne. Durch diese Regelung werden viele mehr Firmen in Deutschland und Europa als zuvor mitmischen.
Maßgeblich ist nicht mehr die Richtlinie, sondern § 28 BSIG. Wichtige Einrichtungen: ab 50 Beschäftigten, oder Umsatz und Bilanzsumme jeweils über 10 Mio. €. Besonders wichtige Einrichtungen: ab 250 Beschäftigten, oder Umsatz über 50 Mio. € und Bilanzsumme über 43 Mio. €.
Diese Schwellen stehen seit dem 6. Dezember 2025 im BSIG. Damit sind erstmals auch viele mittelständische Betriebe erfasst, die bisher mit Cybersicherheitsregulierung nichts zu tun hatten.
Ob Ihr Betrieb dazugehört, klären Sie in wenigen Minuten mit unserem kostenlosen NIS2-Schnellcheck — ohne Anmeldung.
Die Anforderungen sind für viele Betriebe neu. Seit dem 6. Dezember 2025 müssen rund 20.850 Einrichtungen in Deutschland sie erfüllen — eine Übergangsfrist für die Risikomanagement-Maßnahmen sieht das BSIG nicht vor.
Unternehmen müssen bestimmte Schritte für ihre Netz- und Informationssicherheit unternehmen. Dazu zählen ein wirksames Management von Cyber-Risiken und die Kontrolle von Sicherheitsvorfällen. Weiterhin ist die Sicherung der Geschäftskontinuität von Bedeutung.
Gemeldet wird in drei Stufen (§ 32 BSIG): eine frühe Erstmeldung binnen 24 Stunden, eine Meldung mit erster Bewertung binnen 72 Stunden und eine Abschlussmeldung binnen eines Monats nach der 72-Stunden-Meldung. Dauert der Vorfall länger an, tritt an ihre Stelle eine Fortschrittsmeldung. Eine Zwischenmeldung verlangt das Bundesamt nur auf Ersuchen.
| Unternehmensgröße | Mitarbeiter | Jahresumsatz | Jahresbilanzsumme | Einordnung | Mögliche Strafe |
|---|---|---|---|---|---|
| Groß | ≥ 250 | ≥ 50 Mio. € | ≥ 43 Mio. € | Besonders wichtige Einrichtung | Bis zu 10 Mio. € — ab 500 Mio. € Gesamtumsatz stattdessen bis zu 2 % davon |
| Mittel | 50 – 249 | ≥ 10 Mio. € | ≥ 10 Mio. € | Wichtige Einrichtung | Bis zu 7 Mio. € (ab 500 Mio. € Gesamtumsatz stattdessen bis zu 1,4 % davon) |
Unternehmen müssen frühzeitig mit der NIS-2-Umsetzung beginnen. Es ist wichtig, sich rechtzeitig mit den Anforderungen auseinanderzusetzen, um rechtzeitig alles nötige zu tun.
Die NIS-2-Richtlinie ist sehr wichtig für die EU. Sie betrifft Firmen, die wichtige Infrastrukturen schützen müssen. Diese Unternehmen müssen digitale Dienste sicherstellen. Wenn sie dies nicht tun, gibt es hohe Strafen.
Für besonders wichtige Einrichtungen reicht der Rahmen bis 10 Mio. €, für wichtige Einrichtungen bis 7 Mio. € — und zwar für einen bestimmten Katalog von Verstößen. Erst ab 500 Mio. € Gesamtumsatz treten 2 % beziehungsweise 1,4 % des weltweiten Gesamtumsatzes an die Stelle des Festbetrags; es ist also nicht „je nachdem, was höher ist" — das ist der Mechanismus der DSGVO. Eine versäumte Registrierung ist mit bis zu 500.000 € bewehrt (§ 65 Abs. 5 Nr. 5 BSIG).
Das gilt seit dem 6. Dezember 2025. Daneben steht die Verantwortung der Geschäftsleitung — allerdings anders, als es oft dargestellt wird; dazu der nächste Abschnitt.
| Verstöße | Höhe der Strafen |
|---|---|
| Besonders wichtige Einrichtungen | Bis zu 10 Mio. € (ab 500 Mio. € Gesamtumsatz stattdessen bis zu 2 % davon) |
| Wichtige Einrichtungen | Bis zu 7 Mio. € (ab 500 Mio. € Gesamtumsatz stattdessen bis zu 1,4 % davon) |
| Versäumte Registrierung | Bis zu 500.000 € (§ 65 Abs. 5 Nr. 5 BSIG) |
| Verstoß gegen die Schulungspflicht (§ 38 Abs. 3) | Kein Bußgeld — § 38 steht nicht im Katalog des § 65 |
Die EU droht mit harten Strafen. Dies zeigt, wie wichtig die Regeln der NIS-2-Richtlinie sind. Unternehmen müssen also ihre Cybersicherheit dringend verbessern. Sie sollten rasch ihre Maßnahmen checken und nötigenfalls ändern.
Seit dem 6. Dezember 2025 nimmt das BSIG die Unternehmensleitung ausdrücklich in die Pflicht. Wichtig ist, was dort nicht steht: Die Haftung nach § 38 Abs. 2 BSIG besteht gegenüber der eigenen Einrichtung und greift nur, soweit das Gesellschaftsrecht keine eigene Regelung enthält. Eine Haftung gegenüber Dritten begründet die Norm nicht, und einen Prozentsatz vom Jahresumsatz nennt sie ebenfalls nicht.
Diese Regeln stellen sicher, dass Führungskräfte die NIS-2-Richtlinie ernst nehmen. Sie sollen sicherstellen, dass die Cybersicherheit im Unternehmen verbessert wird. Falls sie gegen die Auflagen verstoßen, können hohe Strafen drohen.
Die NIS-2-Richtlinie macht klar, dass Unternehmensschutz bei Cyberattacken nicht nur ein technisches Thema ist. Auch die Führungskräfte sind direkt verantwortlich. Dieser Trend setzt die Führungsebene unter Druck, sich intensiver um die Cybersicherheit zu kümmern.
Am 16. Januar 2023 trat die NIS-2-Richtlinie in Kraft; die Mitgliedstaaten hatten bis zum 17. Oktober 2024 Zeit für die Umsetzung. Deutschland hat diese Frist verstreichen lassen — das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) und mit ihm das neue BSIG gelten erst seit dem 6. Dezember 2025. Wer bis dahin abgewartet hat, ist seither in der Pflicht.
Betroffen sind in Deutschland rund 20.850 Einrichtungen (BT-Drs. 20/13184) — darunter viele mittelständische Betriebe aus Maschinenbau, Produktion und Handel, die bisher nichts mit Cybersicherheitsregulierung zu tun hatten.
Das BSIG erfasst 18 Sektoren (Anlagen 1 und 2). Ob eine Einrichtung betroffen ist, entscheidet sich am Sektor und an der Größe nach § 28 — bei den Umsatzschwellen zählen Jahresumsatz und Bilanzsumme zusammen, nicht einer von beiden.
| Meilenstein | Datum |
|---|---|
| NIS-2-Richtlinie in Kraft | 16. Januar 2023 |
| Umsetzungsfrist der Mitgliedstaaten | 17. Oktober 2024 (in Deutschland versäumt) |
| Neues BSIG in Kraft | 6. Dezember 2025 |
| Registrierung beim BSI | binnen drei Monaten nach Eintritt der Betroffenheit (§ 33 Abs. 1 BSIG) |
Die betroffenen Firmen müssen sich schnell an die neue Richtlinie anpassen. Sie müssen ihre Netzwerke und Systeme sicher machen. Auch das Risikomanagement ist wichtig.
Um die NIS-2-Richtlinie richtig umzusetzen, müssen betroffene Unternehmen zuerst genau hinschauen. Das heißt, sie sollten analysieren, wie stark sie von der neuen EU-Richtlinie NIS 2 beeinflusst sind. Diese Betroffenheitsanalyse hilft, das herauszufinden.
Dann kommt die Gap-Analyse. Hier prüfen die Unternehmen, wo es noch an Cybersicherheit fehlt. Sie vergleichen ihre Maßnahmen mit den Vorschriften der NIS-2-Richtlinie. Besonderes Augenmerk liegt auf dem Risikomanagement, den Meldepflichten bei Sicherheitsvorfällen und der Haftung der Unternehmensleitung.
Ob Ihr Unternehmen betroffen ist, klären Sie in fünf Minuten mit dem kostenlosen NIS2-Schnellcheck — ohne Anmeldung. Wenn Sie das Ergebnis lieber mit jemandem durchgehen: In unserem NIS2-Betroffenheitscheck nehmen wir Sektor, Größe und Lieferkette gemeinsam durch.
Rund 20.850 Einrichtungen in Deutschland müssen sich damit befassen. Die wichtigsten Schritte:
Für betroffene Unternehmen sind diese ersten Schritte sehr wichtig. Sie helfen dabei, das neue Ziel der NIS-2-Richtlinie zu erreichen: Ein hohes gemeinsames Cybersicherheitsniveau.
Wir beraten KMU zu IT-Sicherheit, Datenschutz und NIS2 – persönlich und praxisnah.
Kostenlose Erstberatung buchenSeit dem 6. Dezember 2025 ist NIS-2 in Deutschland geltendes Recht. Für rund 20.850 Einrichtungen — viele davon Mittelständler — ist IT-Sicherheit damit keine Frage der Sorgfalt mehr, sondern eine gesetzliche Pflicht mit Bußgeldrahmen und einer ausdrücklichen Verantwortung der Geschäftsleitung.
Es ist wichtig, jetzt zu handeln. Unternehmen sollten prüfen, was zu tun ist. So können sie Strafen umgehen und auch in Zukunft wettbewerbsfähig bleiben.
Obwohl die Umsetzung uns viel abverlangt, bringt sie uns allen mehr Sicherheit. Die neue Richtlinie ist eine Chance, die Cybergefahren besser zu bekämpfen.
Inhaltsverzeichnis
Informationssicherheit und Datenschutz werden oft verwechselt. Erfahren Sie die zentralen Unterschiede, Gemeinsamkeiten und warum Ihr Unternehmen beides braucht.
Weiterlesen: Informationssicherheit vs. Datenschutz – Wo liegt der Unterschied?
IT-Security Studium Dauer: Bachelor dauert 6-8, Master 2-4 Semester. Studienformen, Kosten und schnellere Alternativen im Vergleich. Jetzt planen!
Weiterlesen: Wie lange dauert ein IT-Security Studium?
Berufe in der IT-Sicherheit: Vom Pentester bis zum CISO. Aufgaben, Gehälter und Karrierewege im Überblick. Jetzt passenden Job finden!
Weiterlesen: Welche Berufe gibt es in der IT-Sicherheit?Über den Autor
Datenschutzberater & Geschäftsführer
Nils ist TÜV-zertifizierter Datenschutzbeauftragter. Seit über 13 Jahren betreut er Mittelständler bei DSGVO, NIS2 und dem EU AI Act. Geschäftsführer der frag.hugo Informationssicherheit GmbH und der datuno GmbH, leitet außerdem die BVMID-Geschäftsstelle Hamburg Süd/Ost.
Vier Klicks zum schriftlichen Festpreis-Angebot — oder direkt anrufen. Wir hören zu, sortieren Ihr Thema und sagen Ihnen ehrlich, ob wir helfen können.
Lieber erstmal schreiben? Kontaktformular
