NIS2 Checkliste — 10 Punkte die Sie jetzt prüfen sollten

Sie haben gehört, dass NIS2 jetzt auch in Deutschland gilt. Jetzt fragen Sie sich: Was ist konkret zu tun? Diese Checkliste gibt Ihnen einen ersten Überblick — ohne Juristendeutsch, aber mit der Vorschrift, auf die sich jeder Punkt stützt.

Zur Einordnung: Die EU-Mitgliedstaaten sollten die NIS2-Richtlinie (EU) 2022/2555 bis zum 17. Oktober 2024 umsetzen [1]. Deutschland hat das mit dem NIS2-Umsetzungsgesetz (BGBl. 2025 I Nr. 301) nachgeholt. Das neu gefasste BSI-Gesetz (BSIG) gilt seit dem 6. Dezember 2025 [2][3]. Erst seitdem gelten die Pflichten für Unternehmen in Deutschland, und zwar ohne Übergangsfrist. Eine ausführlichere Fassung mit Prüfpunkten für jede Projektphase finden Sie in unserer NIS2-Compliance-Checkliste.

Die 10-Punkte-Checkliste

• ☐ 1. Prüfen: Ist das Unternehmen betroffen? (Sektor + Schwellenwerte, § 28 BSIG)
• ☐ 2. Registrierung beim BSI abschließen oder nachholen und Angaben aktuell halten (§ 33 BSIG)
• ☐ 3. Risikoanalyse durchführen oder beauftragen (§ 30 BSIG)
• ☐ 4. Sicherheitsrichtlinien und Maßnahmen dokumentieren (oder Vorlagen nutzen) — die Grundlage für spätere Nachweise
• ☐ 5. Incident-Response- und Meldeprozess definieren (Wer meldet innerhalb von 24 Stunden?)
• ☐ 6. Backup-, Wiederherstellungs- und Krisenplan erstellen
• ☐ 7. Sicherheit der Lieferkette prüfen (unmittelbare Anbieter und Dienstleister)
• ☐ 8. Multi-Faktor-Authentifizierung einsetzen, vorrangig für privilegierte Zugänge und Remote-Zugang
• ☐ 9. Mitarbeiterschulungen planen
• ☐ 10. Geschäftsleitung einbinden: Umsetzung verantworten, überwachen und regelmäßig schulen

Die 10 Punkte im Detail

1. Betroffenheit prüfen

Das BSIG unterscheidet besonders wichtige und wichtige Einrichtungen (§ 28 BSIG). Entscheidend sind zwei Fragen: Fällt die Tätigkeit unter eine der Einrichtungsarten in Anlage 1 oder Anlage 2 des BSIG? Und erreicht das Unternehmen die Größenschwellen? Als wichtige Einrichtung gilt in der Regel, wer mindestens 50 Beschäftigte hat oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweist. Besonders wichtig sind Einrichtungen der Anlage 1 ab 250 Beschäftigten oder mit einem Jahresumsatz von über 50 Millionen Euro und zugleich einer Jahresbilanzsumme von über 43 Millionen Euro. Einrichtungen, die nur unter Anlage 2 fallen, sind auch bei großer Unternehmensgröße „wichtige“ Einrichtungen. Für einige Arten gelten keine Größenschwellen, etwa für Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries und DNS-Diensteanbieter [4].

Daten von Partner- und verbundenen Unternehmen werden grundsätzlich mitgezählt, es sei denn, die IT des Unternehmens ist von ihnen unabhängig (§ 28 Abs. 4 BSIG). Für Telekommunikationsanbieter, bestimmte Energieunternehmen und Finanzunternehmen im Anwendungsbereich der DORA-Verordnung gelten Sonderregeln (§ 28 Abs. 5 und 6 BSIG); die Registrierungspflicht bleibt davon unberührt [4]. Eine erste, rechtlich nicht bindende Orientierung bietet die NIS-2-Betroffenheitsprüfung des BSI [5]. Mehr dazu lesen Sie in unserem Beitrag Bin ich betroffen?

2. Beim BSI registrieren

Betroffene Einrichtungen hatten sich spätestens drei Monate nach Inkrafttreten des Gesetzes, also bis zum 6. März 2026, beim BSI zu registrieren (§ 33 Abs. 1 BSIG). Für Einrichtungen, die erst später in den Anwendungsbereich fallen, läuft dieselbe Dreimonatsfrist ab diesem Zeitpunkt. Wer die Registrierung versäumt hat, sollte sie unverzüglich nachholen: Die Pflicht besteht fort, und eine unterlassene Registrierung kann mit einem Bußgeld von bis zu 500.000 Euro geahndet werden (§ 65 Abs. 2 Nr. 6 und Abs. 5 Nr. 5 BSIG) [6][7].

Die Registrierung erfolgt zweistufig: zuerst über „Mein Unternehmenskonto“ (MUK), danach im BSI-Portal [8]. Ändern sich die gemeldeten Angaben, sind die Änderungen dem BSI unverzüglich, spätestens jedoch binnen zwei Wochen zu übermitteln (§ 33 Abs. 5 BSIG) [6].

3. Risikoanalyse durchführen

Kern der Pflichten ist § 30 BSIG. Einrichtungen müssen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen ergreifen. Wie weit diese gehen müssen, hängt unter anderem von der Risikoexposition, der Größe der Einrichtung und den Umsetzungskosten ab (§ 30 Abs. 1 BSIG). Die Maßnahmen sollen den Stand der Technik einhalten und müssen auf einem gefahrenübergreifenden Ansatz beruhen. An erster Stelle der zehn Mindestmaßnahmen stehen „Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik“ (§ 30 Abs. 2 Nr. 1 BSIG) [9]. Eine Übersicht aller zehn Maßnahmen finden Sie unter Maßnahmen nach Art. 21.

4. Dokumentieren und Nachweise vorbereiten

Die Einhaltung der Risikomanagementpflichten ist durch die Einrichtungen zu dokumentieren (§ 30 Abs. 1 Satz 3 BSIG) [9]. Diese Dokumentation ist zugleich die Grundlage für spätere Nachweise. Die Nachweispflichten unterscheiden sich je nach Einrichtungsart:

• Betreiber kritischer Anlagen weisen die Umsetzung alle drei Jahre durch Sicherheitsaudits, Prüfungen oder Zertifizierungen gegenüber dem BSI nach. Den ersten Zeitpunkt legt das BSI fest (§ 39 BSIG) [10].
• Bei besonders wichtigen Einrichtungen kann das BSI Audits, Prüfungen oder Zertifizierungen durch unabhängige Stellen anordnen. Nachweise von weiteren besonders wichtigen Einrichtungen kann es frühestens drei Jahre nach Inkrafttreten des Gesetzes anfordern (§ 61 Abs. 1 und 3 BSIG) [11].
• Bei wichtigen Einrichtungen prüft das BSI, wenn Tatsachen die Annahme rechtfertigen, dass sie ihre Pflichten nicht oder nicht richtig umsetzen (§ 62 BSIG) [12].

Vorlagen können den Einstieg erleichtern. Sie orientieren sich an den gesetzlichen Vorgaben, müssen aber an die eigene Einrichtung angepasst werden.

5. Meldeprozess festlegen

Erhebliche Sicherheitsvorfälle sind in mehreren Stufen zu melden (§ 32 Abs. 1 BSIG) [13]:

• innerhalb von 24 Stunden nach Kenntniserlangung eine frühe Erstmeldung, auch mit der Angabe, ob ein rechtswidriger oder böswilliger Hintergrund oder grenzüberschreitende Auswirkungen vermutet werden;
• innerhalb von 72 Stunden eine Meldung mit einer ersten Bewertung von Schweregrad und Auswirkungen;
• auf Ersuchen des BSI eine Zwischenmeldung;
• spätestens einen Monat nach der Meldung eine Abschlussmeldung. Dauert der Vorfall dann noch an, tritt an ihre Stelle zunächst eine Fortschrittsmeldung.

Gemeldet wird an eine gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK), in der Praxis über das BSI-Portal. Nach den Hinweisen des BSI kann grundsätzlich jeder Mitarbeitende melden, sofern für ihn der Zugang zur Meldestelle eingerichtet ist. Auch Dienstleister können zur Meldung ermächtigt werden; die Verantwortung bleibt bei der Einrichtung [14]. Die Frage „Wer meldet innerhalb von 24 Stunden?“ sollte deshalb vor dem ersten Vorfall geklärt sein, einschließlich Vertretung und Zugängen. Details finden Sie unter Meldepflichten.

6. Backup und Wiederherstellung planen

§ 30 Abs. 2 Nr. 3 BSIG verlangt Maßnahmen zur „Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement“ [9]. Ein Backup allein genügt dafür in der Regel nicht. Wiederherstellung und Krisenorganisation sollten geplant und getestet sein.

7. Lieferkette absichern

Zu den Mindestmaßnahmen gehört die „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“ (§ 30 Abs. 2 Nr. 4 BSIG) [9]. Das bedeutet nicht, dass jeder Lieferant selbst unter NIS2 fällt. Die Pflicht liegt bei der regulierten Einrichtung. Sie bewertet die Sicherheitsrisiken ihrer Lieferbeziehungen und legt in der Regel vertraglich fest, welche Sicherheitsanforderungen Lieferanten und Dienstleister erfüllen sollen.

8. Multi-Faktor-Authentifizierung einführen

§ 30 Abs. 2 Nr. 10 BSIG nennt die „Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung“ sowie gesicherte Kommunikation [9]. Für welche Zugänge MFA nötig ist, legt das Gesetz nicht fest. Privilegierte Konten und Fernzugriffe werden jedoch häufig für Angriffe genutzt und sind daher ein naheliegender Startpunkt. Für die in § 30 Abs. 3 BSIG genannten digitalen Einrichtungsarten, etwa Cloud-Anbieter, Rechenzentren und Managed Service Provider, haben die Vorgaben der Durchführungsverordnung (EU) 2024/2690 Vorrang [15].

9. Mitarbeitende schulen

Das BSIG verlangt „grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik“ (§ 30 Abs. 2 Nr. 7 BSIG) [9]. Ein festes Intervall schreibt das Gesetz dafür nicht vor. Häufigkeit und Inhalte sollten sich am Risiko orientieren, zum Beispiel an Phishing-Gefahren und an der Meldekette aus Punkt 5.

10. Geschäftsleitung einbinden

Nach § 38 Abs. 1 BSIG sind die Geschäftsleitungen verpflichtet, die Risikomanagementmaßnahmen nach § 30 „umzusetzen und ihre Umsetzung zu überwachen“. Außerdem müssen sie regelmäßig an Schulungen teilnehmen (§ 38 Abs. 3 BSIG). Verletzen sie ihre Pflichten, haften sie der Einrichtung für schuldhaft verursachte Schäden nach den Regeln des Gesellschaftsrechts (§ 38 Abs. 2 BSIG) [16]. Eine förmliche Billigung der Maßnahmen schreibt die endgültige Gesetzesfassung nicht vor. Ein dokumentierter Beschluss und regelmäßige Berichte an die Geschäftsleitung können aber helfen, die Überwachung zu belegen.

Wie geht es weiter?

Wer die zehn Punkte abgehakt hat, hat die Grundlagen gelegt, aber noch kein vollständiges Sicherheitsprogramm. Einen Fahrplan in Phasen finden Sie in unserem Beitrag NIS2 umsetzen. Eine erste Selbsteinschätzung bietet der Readiness-Check.

Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Maßgeblich ist das jeweils geltende BSIG.

Quellen

1. Richtlinie (EU) 2022/2555 (NIS2), insbesondere Art. 41 — EUR-Lex, Volltext
2. Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung, BGBl. 2025 I Nr. 301 — recht.bund.de, Bundesgesetzblatt
3. BSI-Gesetz (BSIG) — gesetze-im-internet.de, Volltext
4. § 28 BSIG (besonders wichtige und wichtige Einrichtungen) — gesetze-im-internet.de, Paragrafentext
5. NIS-2-Betroffenheitsprüfung — BSI, Informationsseite
6. § 33 BSIG (Registrierungspflicht) — gesetze-im-internet.de, Paragrafentext
7. § 65 BSIG (Bußgeldvorschriften) — gesetze-im-internet.de, Paragrafentext
8. Zweiter Schritt zur NIS-2-Registrierung: BSI-Portal ab sofort freigeschaltet — BSI, Pressemitteilung vom 6. Januar 2026, Pressemitteilung
9. § 30 BSIG (Risikomanagementmaßnahmen) — gesetze-im-internet.de, Paragrafentext
10. § 39 BSIG (Nachweispflichten für Betreiber kritischer Anlagen) — gesetze-im-internet.de, Paragrafentext
11. § 61 BSIG (Aufsichts- und Durchsetzungsmaßnahmen für besonders wichtige Einrichtungen) — gesetze-im-internet.de, Paragrafentext
12. § 62 BSIG (Aufsichts- und Durchsetzungsmaßnahmen für wichtige Einrichtungen) — gesetze-im-internet.de, Paragrafentext
13. § 32 BSIG (Meldepflichten) — gesetze-im-internet.de, Paragrafentext
14. #nis2know: NIS-2-Meldepflicht — BSI, Informationsseite
15. Durchführungsverordnung (EU) 2024/2690 — EUR-Lex, Volltext
16. § 38 BSIG (Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen) — gesetze-im-internet.de, Paragrafentext

NIS2 Policy-Paket — Richtlinien fertig auf Deutsch →