NIS2 in Deutschland: 29.500 Unternehmen müssen sich bis April 2026 registrieren

NIS2 ist jetzt deutsches Recht

Am 5. Dezember 2025 hat Deutschland die EU-NIS2-Richtlinie offiziell in nationales Recht umgesetzt und damit umfassende Cybersicherheitsanforderungen für ein breites Spektrum von Unternehmen festgelegt. Der Geltungsbereich ist weitaus größer als bei der ursprünglichen NIS-Richtlinie: Etwa 29.500 Unternehmen in ganz Deutschland unterliegen nun verpflichtenden Cybersicherheitsauflagen, gegenüber rund 4.500 unter dem vorherigen Regime.

Die dringendste Frist ist die BSI-Registrierung, die bis April 2026 abgeschlossen sein muss. Unternehmen, die in den Geltungsbereich fallen und sich nicht registrieren, drohen erhebliche Strafen und regulatorische Prüfungen.

Wer ist betroffen?

NIS2 gilt für Organisationen, die als "wesentliche" oder "wichtige" Einrichtungen in 18 Sektoren eingestuft werden. In Deutschland sind folgende Sektoren betroffen:

• Energie, Verkehr und Wasserversorgung
• Gesundheitswesen und Pharmazie
• Digitale Infrastruktur und IT-Dienstleistungen
• Herstellung kritischer Produkte
• Lebensmittelproduktion und -vertrieb
• Post- und Kurierdienste
• Öffentliche Verwaltung

Die Schwellenwerte basieren auf der Unternehmensgröße: Generell fallen Organisationen mit 50 oder mehr Beschäftigten oder einem Jahresumsatz von über 10 Millionen EUR in einem betroffenen Sektor in den Geltungsbereich. Einige kritische Einrichtungen sind unabhängig von der Größe eingeschlossen.

BSI-Registrierung bis April 2026

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist die zuständige Aufsichtsbehoerde. Alle betroffenen Unternehmen müssen sich bis April 2026 über das BSI-Portal registrieren. Die Registrierung erfordert:

• Unternehmensidentifikationsdaten und Sektorklassifizierung
• Benennung eines verantwortlichen Cybersicherheitsbeauftragten
• Kontaktinformationen für die Vorfallmeldung
• Eine vorläufige Selbstbewertung der aktuellen Cybersicherheitsmassnahmen

Unternehmen, die unsicher sind, ob sie in den Geltungsbereich fallen, sollten umgehend eine Selbstbewertung durchführen. Bis zur Frist zu warten birgt sowohl das Risiko der Nichteinhaltung als auch die praktische Herausforderung einer überstürzten Registrierung.

Zentrale Cybersicherheitsanforderungen

Über die Registrierung hinaus legt NIS2 laufende Pflichten fest, die Folgendes umfassen:

• Risikomanagement: Implementierung technischer und organisatorischer Massnahmen, die den Risiken Ihrer Organisation angemessen sind
• Vorfallmeldung: Meldung bedeutender Cybersicherheitsvorfaelle an das BSI innerhalb von 24 Stunden nach Entdeckung, mit einem vollständigen Bericht innerhalb von 72 Stunden
• Lieferkettensicherheit: Bewertung und Management von Cybersicherheitsrisiken entlang Ihrer Lieferkette und bei Dienstleistern
• Geschaeftskontinuitaet: Aufrechterhaltung von Backup-, Wiederherstellungs- und Krisenmanagementverfahren
• Dokumentation: Führung umfassender Aufzeichnungen über alle Cybersicherheitsrichtlinien, Risikobewertungen und Vorfallreaktionen

Leitungsorgane tragen die persönliche Verantwortung für die Sicherstellung der Einhaltung - eine bedeutende Änderung gegenüber früheren Rahmenwerken, bei denen Cybersicherheit oft ohne Verantwortlichkeit auf Vorstandsebene delegiert wurde.

Dokumentation ist die Grundlage der Compliance

Einer der am meisten unterschätzten Aspekte von NIS2 ist der Dokumentationsaufwand. Regulierungsbehoerden erwarten schriftliche Richtlinien, Risikobewertungsunterlagen, Vorfallprotokolle, Schulungsnachweise und Pruefberichte. Diese Dokumentation muss jederzeit zugänglich, faelschungssicher und für die vom BSI festgelegten Zeitraeume aufbewahrt werden.

Organisationen, die kein strukturiertes Dokumentenmanagement- und Archivierungssystem besitzen, werden Schwierigkeiten haben, die Einhaltung bei Inspektionen nachzuweisen. Diese Infrastruktur jetzt aufzubauen ist weitaus einfacher, als sie nach einer regulatorischen Anfrage nachträglich zu erstellen.