NIS2 in Deutschland: Neue Cybersicherheitsanforderungen für 29.500 Unternehmen

Einleitung: NIS2 wird deutsches Recht

Die Netzwerk- und Informationssicherheitsrichtlinie 2 (NIS2) der Europäischen Union wurde in deutsches Recht umgesetzt, wobei das Umsetzungsgesetz am 5. Dezember 2025 in Kraft getreten ist. Deutschlands Umsetzung durch Änderungen des BSI-Gesetzes (Gesetz über das Bundesamt für Sicherheit in der Informationstechnik) schafft umfassende neue Cybersicherheitspflichten für geschätzte 29.500 Unternehmen in Deutschland. Dies stellt eine massive Ausweitung gegenüber den rund 4.500 Einrichtungen dar, die unter der ursprünglichen NIS-Richtlinie erfasst waren, und bringt eine breite Palette mittelständischer und großer Unternehmen erstmals unter die verpflichtende Cybersicherheitsregulierung.

Die Ausweitung des Anwendungsbereichs spiegelt die Realität wider, dass Cybersicherheitsbedrohungen Organisationen in allen Sektoren betreffen, nicht nur traditionelle Betreiber kritischer Infrastrukturen. Unternehmen, die noch nie einer Cybersicherheitsregulierung unterlagen, müssen nun ein strukturiertes Sicherheitsmanagement implementieren, einschließlich des Schutzes ihrer Dokumentenmanagement- und Archivierungssysteme.

BSI-Registrierungsfrist: 6. März 2026

Unternehmen, die in den Anwendungsbereich der NIS2-Umsetzung fallen, müssen sich bis zum 6. März 2026 beim Bundesamt für Sicherheit in der Informationstechnik (BSI), der deutschen Bundesbehoerde für Cybersicherheit, registrieren. Diese Registrierung ist verpflichtend und erfordert von Organisationen detaillierte Angaben zu ihrem Betrieb, ihrer IT-Infrastruktur und ihrem Cybersicherheitsstatus.

Die Registrierungsanforderungen umfassen:

• Identifikation der Einrichtung: Firmenname, Registrierungsnummer, Sektorklassifizierung und Kontaktinformationen
• Umfangserklaerung: Beschreibung der Dienste und Systeme, die in den NIS2-Anwendungsbereich fallen
• Benennung eines Sicherheitsansprechpartners: Ernennung eines verantwortlichen Sicherheitsbeauftragten als primärer BSI-Kontakt
• Vorfallmeldefaehigkeit: Nachweis, dass die Organisation in der Lage ist, Sicherheitsvorfaelle innerhalb der vorgeschriebenen Fristen zu melden

Unternehmen, die sich nicht bis zum 6. März 2026 registrieren, drohen sofortige Durchsetzungsmassnahmen. Das BSI hat angekündigt, aktiv Organisationen zu identifizieren und zu kontaktieren, die sich hätten registrieren müssen, dies aber nicht getan haben. Die fehlende Registrierung ist an sich bereits ein Compliance-Verstoss, der mit Sanktionen belegt werden kann.

Wer ist betroffen: Sektor- und Groessenkriterien

NIS2 in Deutschland gilt für Organisationen in 18 Sektoren, unterteilt in Sektoren mit hoher Kritikalitaet und sonstige kritische Sektoren. Die Groessenschwelle liegt grundsätzlich bei Unternehmen mit mindestens 50 Beschäftigten oder EUR 10 Millionen Jahresumsatz, wobei bestimmte Sektoren niedrigere Schwellenwerte haben. Betroffene Sektoren umfassen:

• Sektoren mit hoher Kritikalitaet: Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienstleistungsmanagement und öffentliche Verwaltung
• Sonstige kritische Sektoren: Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, Verarbeitendes Gewerbe, digitale Anbieter und Forschung

Die Einbeziehung des verarbeitenden Gewerbes ist für Deutschland besonders bedeutsam, da sie Tausende von Mittelstandsunternehmen erstmals unter NIS2 bringt. Diese Unternehmen müssen nun Cybersicherheitsmassnahmen implementieren, die nicht nur ihre Produktionssysteme, sondern auch ihre Verwaltungs- und Dokumentenmanagement-Infrastruktur schützen.

Bußgelder: EUR 10 Millionen oder 2% des weltweiten Jahresumsatzes

Deutschlands NIS2-Umsetzung beinhaltet empfindliche Strafen bei Nichteinhaltung. Bußgelder können bis zu EUR 10 Millionen oder 2% des gesamten weltweiten Jahresumsatzes der Organisation betragen, je nachdem, welcher Betrag höher ist. Dieses Sanktionsrahmenwerk soll sicherstellen, dass auch die größten Konzerne ihre Cybersicherheitspflichten ernst nehmen.

Sanktionen können für verschiedene Verstöße verhängt werden:

• Versäumnis, angemessene Sicherheitsmassnahmen umzusetzen: Nichteinhaltung der technischen und organisatorischen Mindestanforderungen
• Versäumnis der BSI-Registrierung: Nichtabschluss der verpflichtenden Registrierung bis zur Frist
• Versäumnis der Vorfallmeldung: Nichtmeldung bedeutender Cybersicherheitsvorfaelle innerhalb der vorgeschriebenen 24-Stunden-Erstmeldung und 72-Stunden-Detailberichtsfrist
• Versäumnis der Zusammenarbeit mit dem BSI: Nichtbereitstellung angeforderter Informationen oder Behinderung von Prüfungen und Inspektionen

Die persönliche Haftung der Geschäftsführung ist in der deutschen Umsetzung ebenfalls verankert. Geschäftsführer und Vorstaende können persönlich haftbar gemacht werden, wenn sie nicht sicherstellen, dass angemessene Cybersicherheitsmassnahmen umgesetzt und aufrechterhalten werden.

Cybersicherheitsmassnahmen für Dokumentenmanagementsysteme

NIS2 verlangt von Organisationen die Umsetzung risikobasierter Cybersicherheitsmassnahmen über ihre gesamte IT-Infrastruktur hinweg, einschließlich Dokumentenmanagement- und Archivierungssystemen. Spezifische Anforderungen im Bereich Dokumentenmanagement umfassen:

• Verschlüsselung: Daten im Ruhezustand und bei der Übertragung müssen mit starker Verschlüsselung geschützt werden
• Zugriffskontrolle: Rollenbasierte Zugriffskontrollen mit Mehrfaktor-Authentifizierung für kritische Systeme
• Vorfallerkennung und -reaktion: Ueberwachungsfaehigkeiten zur Erkennung unbefugter Zugriffe auf sensible Dokumente
• Geschaeftskontinuitaet: Backup- und Disaster-Recovery-Verfahren für kritische Dokumentenarchive
• Lieferkettensicherheit: Bewertung der Cybersicherheitsrisiken durch Drittanbieter, einschließlich Cloud-Speicher- und Dokumentenmanagement-Anbietern