Die NIS2-Umsetzung 2026 ist in Deutschland in ihrer zweiten Phase angekommen. Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz gilt seit dem 6. Dezember 2025, die gesetzliche Registrierungsfrist beim BSI ist abgelaufen. Für die meisten Unternehmen beginnt damit erst die eigentliche Arbeit: Das neue BSI-Gesetz (BSIG) verlangt wirksame Sicherheitsmaßnahmen, einen funktionierenden Meldeprozess und eine Geschäftsleitung, die beides steuert. Dieser Beitrag zeigt, welche Aufgaben in den nächsten zwölf Monaten Vorrang haben.
Wo steht die NIS2-Umsetzung 2026 in Deutschland?
Die Registrierung ist noch lückenhaft: Bis zum 30. Juni 2026 hatten sich laut BSI 17.729 Einrichtungen im BSI-Portal registriert, davon 11.501 wichtige und 6.215 besonders wichtige Einrichtungen. Betroffen sind nach Schätzung des BSI rund 29.500 Einrichtungen. Bis zum selben Stichtag gingen 692 NIS2-Erstmeldungen zu Sicherheitsvorfällen ein.
Registrieren muss sich jede Einrichtung spätestens drei Monate, nachdem sie unter das Gesetz fällt (§ 33 BSIG). Für alle, die bereits am 6. Dezember 2025 betroffen waren, endete die Frist am 6. März 2026. Wer noch nicht registriert ist, sollte das umgehend nachholen – sonst drohen Bußgelder von bis zu 500.000 Euro. Wer registriert ist, muss Änderungen, etwa geänderte Kontaktdaten oder öffentliche IP-Adressbereiche, binnen zwei Wochen nachtragen.
Was erwartet das BSI nach der Registrierung?
Das BSI erwartet, dass registrierte Einrichtungen ihre Pflichten nun strukturiert umsetzen und belegen können. Seine NIS-2-Checkliste nennt als Schritte: Verantwortlichkeiten festlegen, die Meldepflicht erfüllen, die Geschäftsleitung schulen und Risikomanagementmaßnahmen umsetzen. Für die Umsetzung als Projekt beschreibt die #nis2know-Roadmap des BSI sechs Phasen – von der Grundsatzklärung bis zur kontinuierlichen Verbesserung.
Ein Detail mit Folgen: Die Einhaltung der Risikomanagementpflichten ist zu dokumentieren (§ 30 Abs. 1 BSIG). Fehlt diese Dokumentation, ist das bereits eine Ordnungswidrigkeit – mit demselben Bußgeldrahmen wie fehlende Maßnahmen. Er reicht bis zu 10 Millionen Euro bei besonders wichtigen und bis zu 7 Millionen Euro bei wichtigen Einrichtungen; bei mehr als 500 Millionen Euro Gesamtumsatz bis zu 2 beziehungsweise 1,4 Prozent des weltweiten Umsatzes.
Priorität 1: Wie verankert die Geschäftsleitung NIS2?
Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen (§ 38 BSIG). Verletzt sie die Umsetzungs- oder Überwachungspflicht, haftet sie der Einrichtung für schuldhaft verursachte Schäden nach Gesellschaftsrecht. Das BSI hat im April 2026 eine Handreichung zur Geschäftsleitungsschulung veröffentlicht. Sie empfiehlt eine ausführliche Erstschulung mit regelmäßigen Folgeschulungen; ein festes Intervall schreibt das Gesetz nicht vor. Anlässe für eine Auffrischung sind etwa ein Wechsel in der Geschäftsleitung oder eine deutlich veränderte Risikolage.
Dokumentieren Sie jede Schulung mit Anbieter, Teilnehmenden, Datum, Dauer und Inhalten. Ob die Schulung wirkt, zeigt sich laut BSI daran, dass die Geschäftsleitung nachvollziehbar an Entscheidungen im Risikomanagement mitwirkt. Ein regelmäßiges Sicherheitsreporting an die Geschäftsleitung schafft dafür die Grundlage.
Priorität 2: Wie wird das Risikomanagement nach § 30 BSIG belastbar?
Belastbar wird das Risikomanagement, wenn die zehn Mindestbereiche aus § 30 Abs. 2 BSIG auf einer aktuellen Risikoanalyse beruhen, priorisiert umgesetzt und auf Wirksamkeit geprüft werden. Die Maßnahmen müssen verhältnismäßig sein, sollen den Stand der Technik einhalten und alle IT-Systeme, Komponenten und Prozesse erfassen, die Sie für Ihre Dienste nutzen.
Bewährt hat sich eine Gap-Analyse gegen die zehn Bereiche mit einem Maßnahmenplan, der Verantwortliche und Termine nennt. Vorrang verdienen Maßnahmen mit hoher Schutzwirkung: Multi-Faktor-Authentifizierung, getestete Backups und Wiederanlaufpläne, ein aktuelles Verzeichnis der IT-Werte (Asset-Management) sowie ein gelebtes Schwachstellen- und Patch-Management.
Priorität 3: Ist Ihr Meldeprozess in 24 Stunden einsatzfähig?
Einsatzfähig ist ein Meldeprozess, wenn Ihr Team einen erheblichen Sicherheitsvorfall erkennen, bewerten und binnen 24 Stunden an das BSI melden kann. § 32 BSIG verlangt eine frühe Erstmeldung nach spätestens 24 Stunden, eine Meldung nach 72 Stunden und eine Abschlussmeldung spätestens einen Monat danach. Dauert der Vorfall dann noch an, folgt zunächst eine Fortschrittsmeldung.
Das BSI gibt dazu klare Hinweise: Die Frist beginnt, sobald eine Mitarbeiterin oder ein Mitarbeiter innerhalb der Arbeitszeit Kenntnis von einem erheblichen Sicherheitsvorfall erlangt. Es gilt „Schnelligkeit vor Vollständigkeit“. Angaben lassen sich per Folgemeldung korrigieren, eine abgegebene Meldung lässt sich aber nicht zurückziehen. Richten Sie im BSI-Portal mehrere meldeberechtigte Personen ein und regeln Sie, wie Warnungen des BSI auch außerhalb der Geschäftszeiten die richtigen Ansprechpersonen erreichen. Ob ein Vorfall erheblich ist, bewerten Sie nach § 2 Nr. 11 BSIG; das BSI verweist ergänzend auf die Kriterien der Durchführungsverordnung (EU) 2024/2690.
Priorität 4: Was verlangt NIS2 von der Lieferkette?
NIS2 verlangt, die Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern und Dienstleistern in das Risikomanagement einzubeziehen (§ 30 Abs. 2 Nr. 4 BSIG). Zulieferer werden dadurch nicht automatisch selbst reguliert. Laut BSI müssen regulierte Einrichtungen ihre Zulieferer aber zur Einhaltung entsprechender Sicherheitsanforderungen verpflichten. Das BSI empfiehlt unter anderem vertragliche Vereinbarungen zu Risikomanagement, Vorfallbewältigung und Patch-Management. Beginnen Sie mit den Dienstleistern, die kritische Prozesse stützen oder privilegierten Zugriff haben – etwa IT-Betrieb, Cloud und Fernwartung.
Priorität 5: Welche Nachweise sollten Sie vorhalten?
Halten Sie Nachweise so vor, dass Sie sie auf Anforderung kurzfristig vorlegen können. Die Aufsicht des BSI ist abgestuft:
- Betreiber kritischer Anlagen weisen die Umsetzung alle drei Jahre durch Audits, Prüfungen oder Zertifizierungen nach; den ersten Zeitpunkt legt das BSI fest (§ 39 BSIG).
- Besonders wichtige Einrichtungen kann das BSI einzeln verpflichten, Audits, Prüfungen oder Zertifizierungen durch unabhängige Stellen durchführen zu lassen, und die Einhaltung auch vor Ort prüfen. Von den übrigen kann es frühestens drei Jahre nach Inkrafttreten des Gesetzes Nachweise anfordern (§ 61 BSIG).
- Wichtige Einrichtungen prüft das BSI, wenn Tatsachen auf Pflichtverstöße hindeuten (§ 62 BSIG).
Zum Nachweisordner gehören Risikoanalyse, Maßnahmenplan mit Umsetzungsstand, Richtlinien, Schulungsnachweise der Geschäftsleitung, Meldungen, Übungsprotokolle und Lieferantenbewertungen.
Wie sieht ein realistischer 12-Monats-Plan aus?
Ein realistischer Plan arbeitet die fünf Prioritäten in vier Quartalen ab. Unsere Empfehlung für die kommenden zwölf Monate:
- Quartal 1: Registrierungsdaten prüfen, mindestens zwei Personen für die koordinierende Rolle benennen, wie es das BSI empfiehlt, die Geschäftsleitung schulen und den Meldeprozess mit Rollen, Vorlagen und Meldeberechtigten festlegen.
- Quartal 2: Risikoanalyse und Gap-Analyse gegen § 30 BSIG, priorisierter Maßnahmenplan, schnelle Maßnahmen wie Multi-Faktor-Authentifizierung und Backup-Tests.
- Quartal 3: kritische Dienstleister bewerten, Verträge ergänzen, Notfall- und Krisenmanagement üben.
- Quartal 4: Wirksamkeit prüfen, internes Audit durchführen, der Geschäftsleitung berichten und den Nachweisordner vervollständigen.
Für ein internationales Industrieunternehmen hat unser Team in der Rolle des Informationssicherheitsbeauftragten NIS2 und TISAX in einer gemeinsamen Security-Governance verankert (Referenz). Bei der Priorisierung und Umsetzung begleitet Sie unsere NIS2-Beratung. Fehlt intern die Kapazität für die koordinierende Rolle, übernimmt ein externer Informationssicherheitsbeauftragter diese Aufgabe.