NIS2-Mythen 2026: Die 10 häufigsten Irrtümer — und was das Gesetz wirklich sagt

Kaum eine EU-Regulierung hat in den letzten Monaten so viele falsche Annahmen produziert wie die NIS2-Richtlinie. Das liegt weniger an der Richtlinie selbst als an der Kette, über die ihr Inhalt verbreitet wurde: Blogartikel zitieren andere Blogartikel, LinkedIn-Beiträge verkürzen Gesetzestext auf einen Satz, und am Ende bleibt eine Halbwahrheit übrig, die sich hartnäckig hält – bis jemand sie an einem echten Bußgeldbescheid oder einer BSI-Rückfrage misst. Bei der Arbeit mit Mandanten und Lesern dieser Seite tauchen dieselben zehn Irrtümer immer wieder auf, oft von Geschäftsführungen, die sich auf Basis dieser Annahmen bereits (falsch) sicher fühlen.

Dieser Artikel prüft jeden dieser Mythen direkt gegen den Gesetzestext – das Bundesamt für Sicherheit in der Informationstechnik-Gesetz (BSIG) in seiner NIS2-Umsetzungsgesetz-Fassung, die EU-Richtlinie 2022/2555 selbst und, wo nötig, gegen offizielle Behördenquellen. Sie erhalten zu jedem Mythos die knappe Richtigstellung, die passende Rechtsgrundlage und – wo relevant – einen Link zu unseren ausführlicheren Grundlagen zur NIS2-Richtlinie.

Die 10 Mythen im Überblick

Wer wenig Zeit hat, findet hier die Kurzfassung. Die ausführliche Einordnung mit Quellen folgt in den Abschnitten darunter.

Mythos	Fakt in Kürze
1. NIS2 ersetzt KRITIS	NIS2 ergänzt KRITIS, ersetzt es nicht. Beide Pflichtenkreise gelten parallel.
2. Gilt nur für Großkonzerne	Ab 50 Mitarbeitenden oder 10 Mio. € Umsatz + Bilanzsumme greift die Pflicht bereits.
3. Ist nur ein IT-Thema	§ 38 BSIG macht es zur persönlichen Pflicht der Geschäftsleitung.
4. ISO 27001 reicht aus	Deckt ca. 70–80 % ab – Meldefristen, Lieferkette und Haftung bleiben offen.
5. Es gibt keine Frist mehr	Die gesetzliche Frist ist verstrichen – die Nachfrist ist Vollzugskulanz, kein neues Datum.
6. Betrifft nur Tech-Unternehmen	18 Sektoren von Energie bis Lebensmittel fallen unter Anhang I/II.
7. Bußgeld trifft nur die Firma	Geschäftsleitungen haften nach § 38 Abs. 2 BSIG persönlich.
8. Gilt EU-weit identisch	Eine Richtlinie ist kein Gesetz – jedes Land setzt sie unterschiedlich um.
9. Cloud-Anbieter übernimmt das	Auslagerung ändert an der Verantwortung der Einrichtung nichts.
10. Meldepflicht nur bei Datendiebstahl	Auch Betriebsstörungen ohne Datenabfluss lösen die Meldepflicht aus.

Mythos 1: „NIS2 ersetzt die KRITIS-Regulierung“

Das ist der Irrtum, der bei bestehenden KRITIS-Betreibern am meisten Verwirrung stiftet – verständlich, denn beide Regime regeln ähnliche Themen. Tatsächlich gilt: NIS2 ersetzt die deutsche KRITIS-Regulierung nicht, sondern baut sie aus. Ein KRITIS-Betreiber wird über § 28 Abs. 1 Nr. 1 BSIG automatisch als „besonders wichtige Einrichtung“ eingestuft und muss zusätzlich zu seinen bestehenden branchenspezifischen KRITIS-Pflichten alle zehn Risikomanagementmaßnahmen aus § 30 BSIG umsetzen [8].

Die Größenordnung macht den Unterschied deutlich: Rund 30.000 Einrichtungen fallen unter NIS2 (etwa 8.250 besonders wichtige und 21.600 wichtige Einrichtungen), während die klassische KRITIS-Regulierung nur einen Bruchteil davon erfasst [8][9]. Wer schon KRITIS-konform ist, hat einen Vorsprung – aber keinen Freifahrtschein. Eine ausführliche Gegenüberstellung beider Regime, inklusive der doppelten Nachweispflichten, finden Sie in unserem Vergleich NIS2 vs. KRITIS.

Mythos 2: „NIS2 gilt nur für Großkonzerne“

Dieser Mythos hält sich hartnäckig, weil die medial präsenten Bußgelder (10 Mio. € oder 2 % des weltweiten Umsatzes) nach Konzern-Dimension klingen. Die Einstiegsschwelle ist aber deutlich niedriger. Als „wichtige Einrichtung“ gilt bereits, wer mindestens 50 Mitarbeitende beschäftigt oder mehr als 10 Mio. € Jahresumsatz UND mehr als 10 Mio. € Bilanzsumme aufweist [10]. Für „besonders wichtige Einrichtungen“ liegt die Schwelle bei 250 Mitarbeitenden bzw. über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme.

Noch wichtiger für viele Mittelständler: Eine Reihe von Kategorien gilt unabhängig von Größe als besonders wichtige Einrichtung – darunter KRITIS-Betreiber, qualifizierte Vertrauensdiensteanbieter, DNS-Betreiber und Betreiber öffentlicher Kommunikationsnetze [10]. Ein zehnköpfiges Unternehmen mit einem qualifizierten Vertrauensdienst ist damit NIS2-pflichtig, ein 300-Mitarbeiter-Industriebetrieb außerhalb der Anhang-I/II-Sektoren dagegen nicht. Prüfen Sie Ihre konkrete Einstufung mit unserer NIS2-Betroffenheitsprüfung.

Mythos 3: „NIS2 ist nur ein IT-Thema“

Diese Annahme kostet in der Praxis am meisten Zeit, weil sie die Geschäftsleitung aus der Verantwortung nimmt, bevor das Thema überhaupt richtig aufgesetzt ist. § 38 Abs. 1 BSIG verpflichtet die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen ausdrücklich dazu, die Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen und ihre Umsetzung zu überwachen – das ist keine Kann-Bestimmung, sondern eine unmittelbare Organpflicht [2]. Auf EU-Ebene formuliert Artikel 20 der NIS2-Richtlinie dieselbe Pflicht: Die Leitungsorgane müssen die Risikomanagementmaßnahmen billigen und können für Verstöße haftbar gemacht werden [5].

Auch inhaltlich geht § 30 BSIG weit über klassische IT-Sicherheit hinaus: Von den zehn Maßnahmenkategorien betreffen mindestens vier originär organisatorische oder personelle Themen – Aufrechterhaltung des Betriebs (Backup- und Notfallmanagement), Personalsicherheit und Zugriffskontrolle, Schulungen und Sensibilisierung sowie Lieferkettensicherheit [3]. Ein Compliance-Projekt, das ausschließlich in der IT-Abteilung aufgehängt wird, deckt strukturell nur einen Teil der gesetzlichen Anforderung ab.

Mythos 4: „Eine ISO-27001-Zertifizierung reicht aus“

Der Mythos hat einen wahren Kern, der ihn gefährlich macht: Die Überschneidung ist tatsächlich groß. Unabhängige Analysen kommen übereinstimmend auf rund 70–80 % Deckungsgrad zwischen einem ISO-27001-ISMS und den NIS2-Anforderungen [12]. Das verbleibende Viertel bis Drittel sind aber genau die Punkte, an denen Prüfungen und Bußgeldverfahren ansetzen.

Konkret bleiben vier Lücken bestehen, wenn ISO 27001 die einzige Grundlage ist: Erstens verlangt NIS2 operative Meldefähigkeit binnen 24 Stunden für die Frühwarnung – ISO 27001 schreibt ein Incident-Management-Verfahren vor, aber keine externen Meldefristen [3][12]. Zweitens fordert NIS2 eine kontinuierliche Überwachung der Lieferkette statt jährlicher Lieferantenfragebögen. Drittens verlangt NIS2 jederzeit abrufbare Nachweise statt Dokumentation, die erst zur Auditvorbereitung zusammengestellt wird. Viertens bleibt die in § 38 BSIG normierte persönliche Haftung der Geschäftsleitung ein Punkt, den ein ISMS-Zertifikat organisatorisch nicht abdeckt [12]. Aus eigener Erfahrung bei der Begleitung von ISO-zertifizierten Mittelständlern ist genau diese Lücke – Meldefristen und Nachweisfähigkeit – der Teil, der bei der ersten BSI-Rückfrage am schnellsten auffällt, weil er im ISMS schlicht nicht dokumentiert ist.

Mythos 5: „Es gibt keine Frist mehr, also keine Eile“

Dieser Mythos entsteht meist aus einer Verwechslung. § 33 BSIG verlangt die Registrierung spätestens drei Monate, nachdem eine Einrichtung erstmals unter die Regelung fällt [1]; für bereits am 6. Dezember 2025 bestehende Einrichtungen lag der reguläre Stichtag bei drei Monaten danach. Diese gesetzliche Frist ist damit inzwischen verstrichen – sie wurde nicht verlängert, sondern nur ihre Durchsetzung vorübergehend zurückgestellt. Wie unser separater Beitrag zur BSI-Nachfrist bis 31. Juli 2026 im Detail zeigt, handelt es sich dabei um Vollzugskulanz, nicht um ein neues gesetzliches Datum. Wer noch nicht registriert ist, befindet sich rein rechtlich bereits im Verzug – die Behörde übt bis zu diesem Datum nur noch keinen Bußgelddruck aus.

Für Register-Updates gilt ohnehin eine deutlich kürzere Frist: Änderungen an bereits gemeldeten Angaben müssen unverzüglich, spätestens aber binnen zwei Wochen mitgeteilt werden [1]. Wer die Registrierung „auf später“ verschiebt, verschiebt damit auch die interne Vorarbeit – Rollen, Verantwortlichkeiten und Nachweisdokumente lassen sich selten in wenigen Tagen improvisieren.

Mythos 6: „NIS2 betrifft nur Technologie- und IT-Unternehmen“

Wer NIS2 für ein reines Digitalthema hält, hat vermutlich nur die Schlagzeilen zu Cloud-Anbietern und Rechenzentren gelesen. Der tatsächliche Anwendungsbereich umfasst 18 Sektoren, aufgeteilt in zwei Kategorien. Anhang I (hohe Kritikalität, 11 Sektoren) reicht von Energie, Verkehr und Bankwesen über Finanzmarktinfrastruktur, Gesundheitswesen, Trink- und Abwasser bis zu digitaler Infrastruktur, öffentlicher Verwaltung und Raumfahrt. Anhang II (sonstige kritische Sektoren, 7 Sektoren) umfasst unter anderem Post- und Kurierdienste, Abfallwirtschaft, Chemieindustrie, Lebensmittelproduktion, verarbeitendes Gewerbe und Forschung [10].

Ein Schlachthof-Betreiber, ein Möbelhersteller oder ein Wasserverband haben mit „Tech“ im umgangssprachlichen Sinn wenig zu tun – fallen aber ebenso unter NIS2 wie ein Cloud-Anbieter, sofern sie die Größenschwellen erreichen. Die vollständige Sektorenliste mit den jeweiligen NACE-Zuordnungen finden Sie in unserer Betroffenheitsprüfung.

Mythos 7: „Ein Bußgeld trifft nur das Unternehmen, nicht die Geschäftsführung persönlich“

Dieser Mythos übersieht eine der einschneidendsten Neuerungen von NIS2 gegenüber der Vorgängerrichtlinie. § 38 Abs. 2 BSIG bestimmt ausdrücklich: Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften ihrer Einrichtung gegenüber für schuldhaft verursachten Schaden [2]. Das ist eine zivilrechtliche Innenhaftung – unabhängig von den behördlichen Bußgeldern nach § 65 BSIG, die bis zu 10 Mio. € bzw. 2 % des weltweiten Jahresumsatzes (besonders wichtige Einrichtungen) oder bis zu 7 Mio. € bzw. 1,4 % (wichtige Einrichtungen) betragen können [4].

Artikel 20 der NIS2-Richtlinie zieht diese Verantwortung auf EU-Ebene bewusst auf Vorstands- bzw. Geschäftsführungsebene: Die Leitungsorgane müssen die Maßnahmen billigen und regelmäßig geschult werden, und die Delegation operativer Aufgaben an eine IT-Abteilung entbindet sie nicht von dieser Aufsichtspflicht [5]. In der Praxis bedeutet das: Ein dokumentierter Vorstandsbeschluss zur Kenntnisnahme und Freigabe der Maßnahmen ist kein Verwaltungsakt, sondern der Nachweis, dass die Geschäftsleitung ihrer gesetzlichen Pflicht überhaupt nachgekommen ist.

Mythos 8: „NIS2 gilt EU-weit einheitlich und überall gleich“

NIS2 ist eine Richtlinie, kein unmittelbar geltendes EU-Gesetz – sie muss von jedem Mitgliedstaat in nationales Recht umgesetzt werden, und diese Umsetzung fällt in Tempo und Ausgestaltung sehr unterschiedlich aus. Deutschland hat mit dem NIS2UmsuCG und der Novelle des BSIG bereits reagiert; andere Staaten hinken deutlich hinterher. Die EU-Kommission hat Irland, Spanien, Frankreich und die Niederlande am 8. Juli 2026 wegen ausbleibender Umsetzung an den Europäischen Gerichtshof verwiesen – mit Antrag auf Pauschalbetrag und Zwangsgeld pro Tag [13]. Die Niederlande verabschiedeten ihr Umsetzungsgesetz (Cyberbeveiligingswet) erst am 7. Juli 2026, einen Tag vor der eigenen Verweisung, mit Inkrafttreten zum 15. August 2026.

Für Unternehmen mit Tochtergesellschaften oder Lieferanten in mehreren EU-Staaten heißt das konkret: unterschiedliche zuständige Behörden, teils abweichende Meldewege und -fristen, und in einigen Ländern schlicht noch kein anwendbares nationales Gesetz. Wer NIS2 als eine einzige, überall identische Vorschrift behandelt, übersieht genau diese Länder-Fragmentierung – mit der man bei grenzüberschreitenden Konzernstrukturen aktiv umgehen muss, nicht nur zur Kenntnis nehmen.

Mythos 9: „Wenn wir IT und Cloud auslagern, kümmert sich der Anbieter um NIS2“

Das ist einer der teuersten Irrtümer, weil er in der Praxis zu einer klaren Verantwortungslücke führt. Erwägungsgrund 83 der NIS2-Richtlinie stellt klar, dass die Risikomanagement- und Meldepflichten unabhängig davon gelten, ob eine Einrichtung ihre Netz- und Informationssysteme selbst betreibt oder deren Wartung auslagert [7]. Ein Cloud-Anbieter oder Managed-Service-Provider kann Aufgaben übernehmen – die gesetzliche Verantwortung bleibt bei der Einrichtung, die die Leistung einkauft.

Erwägungsgrund 86 verschärft das sogar: Einrichtungen sollen bei der Auswahl eines Managed-Security-Service-Providers „erhöhte Sorgfalt“ walten lassen, gerade weil solche Anbieter tief in die eigenen Systeme integriert sind und selbst ein attraktives Angriffsziel darstellen [7]. Wer im Auslagerungsvertrag keine expliziten NIS2-Pflichten für den Anbieter (Mitwirkung bei Meldefristen, Nachweisrechte, Informationspflichten) verankert hat, trägt im Ernstfall die volle behördliche Verantwortung – ohne vertraglichen Rückgriff.

Mythos 10: „Eine Meldepflicht entsteht nur bei Datendiebstahl“

Wer NIS2-Meldepflichten mit der DSGVO-Meldepflicht bei Datenschutzverletzungen gleichsetzt, unterschätzt den Anwendungsbereich erheblich. Artikel 23 Abs. 3 der NIS2-Richtlinie definiert einen Vorfall als „erheblich“, wenn er entweder (a) eine schwerwiegende Betriebsstörung der Dienste oder einen finanziellen Schaden verursacht hat oder verursachen kann, oder (b) andere natürliche oder juristische Personen durch erheblichen materiellen oder immateriellen Schaden betrifft oder betreffen kann [6]. Eine Beschränkung auf Vertraulichkeits- oder Datenschutzvorfälle enthält der Text nicht.

Praktisch bedeutet das: Ein Ransomware-Ausfall ohne nachgewiesenen Datenabfluss, ein DDoS-Angriff, der die Servicebereitstellung stundenlang unterbricht, oder ein Konfigurationsfehler, der Kunden vom Zugriff ausschließt, können allesamt meldepflichtig sein – unabhängig davon, ob personenbezogene Daten betroffen waren. Die Meldekette (24-Stunden-Frühwarnung, 72-Stunden-Meldung, Abschlussbericht binnen einem Monat) läuft in diesen Fällen genauso wie bei einem klassischen Datenleck.

Was diese Mythen in der Praxis kosten

Die zehn Irrtümer in diesem Artikel haben ein gemeinsames Muster: Sie klingen alle plausibel, weil sie eine komplexe Regelung auf eine bequeme, vereinfachte Version reduzieren. Genau diese Vereinfachung ist das Risiko – nicht, weil die Richtlinie absichtlich kompliziert wäre, sondern weil sie bewusst risikobasiert und branchenübergreifend formuliert ist, um unterschiedlichste Einrichtungen abzudecken. Ein Gap zwischen angenommener und tatsächlicher Rechtslage fällt selten im Alltag auf – sondern meist erst dann, wenn eine Behörde nachfragt, ein Vorfall eintritt oder ein Kunde im Rahmen der Lieferkettenprüfung konkrete Nachweise verlangt.

Der praktikabelste nächste Schritt ist selten, den gesamten Maßnahmenkatalog auf einmal anzugehen. Prüfen Sie zuerst, ob und in welcher Kategorie Ihr Unternehmen überhaupt betroffen ist, klären Sie die Registrierung, und dokumentieren Sie die Rolle der Geschäftsleitung – die drei Punkte, an denen die hier behandelten Mythen am häufigsten zu echten Lücken führen.

Häufige Fragen zu NIS2-Mythen

Ist mein KRITIS-Status automatisch gleichbedeutend mit NIS2-Konformität?
Nein. Der KRITIS-Status löst zusätzliche NIS2-Pflichten aus (automatische Einstufung als besonders wichtige Einrichtung), ersetzt aber keine der zehn Maßnahmen aus § 30 BSIG.

Reicht es, wenn nur die IT-Abteilung die Umsetzung verantwortet?
Nein. § 38 BSIG verpflichtet ausdrücklich die Geschäftsleitung zur Umsetzung und Überwachung – eine rein operative IT-Zuständigkeit erfüllt diese Organpflicht nicht.

Macht eine ISO-27001-Zertifizierung die NIS2-Registrierung überflüssig?
Nein. Registrierung, Meldefristen und persönliche Haftung nach § 33 und § 38 BSIG sind gesetzliche Pflichten, die ein Zertifikat nicht ersetzt, unabhängig vom Reifegrad des ISMS.

Muss ich einen Vorfall auch ohne Datenabfluss melden?
Ja, sofern er eine schwerwiegende Betriebsstörung oder einen finanziellen Schaden verursacht oder verursachen kann (Art. 23 Abs. 3 NIS2-Richtlinie) – unabhängig davon, ob personenbezogene Daten betroffen sind.

Dieser Artikel bietet ausschließlich allgemeine Informationen und stellt keine Rechts- oder Compliance-Beratung dar. Anforderungen können je nach Branche, Rechtsform und Einzelfall abweichen. Ziehen Sie für eine verbindliche Einschätzung Ihrer Situation einen qualifizierten Rechtsanwalt oder Compliance-Spezialisten hinzu.

Quellen

• § 33 BSIG – Registrierung (gesetze-im-internet.de)
• § 38 BSIG – Verantwortung der Geschäftsleitung (gesetze-im-internet.de)
• § 30 BSIG – Risikomanagementmaßnahmen (gesetze-im-internet.de)
• § 65 BSIG – Bußgeldvorschriften (gesetze-im-internet.de)
• NIS2-Richtlinie, Artikel 20 (nis-2-directive.com)
• NIS2-Richtlinie, Artikel 23 (nis-2-directive.com)
• NIS2-Richtlinie, Erwägungsgründe 83 & 86 (nis-2-directive.com)
• OpenKRITIS – NIS2-Umsetzungsgesetz (openkritis.de)
• Interne Quelle: NIS2 vs. KRITIS
• Interne Quelle: NIS2-Betroffenheitsprüfung
• ISO 27001 Is Not NIS2 Compliance: What’s Actually Missing (orbiqhq.com)
• EU Court Action Targets Ireland, Spain, France Over Critical Infrastructure Cyber Law (techtimes.com)