NIS2 umsetzen — Ein Schritt-für-Schritt-Plan für Unternehmen

NIS2 klingt überwältigend. Doch die Umsetzung lässt sich in überschaubare Schritte aufteilen. Dieser Leitfaden zeigt einen pragmatischen Weg — und ordnet jeden Schritt der jeweiligen Pflicht im BSI-Gesetz (BSIG) zu.

Ausgangslage: Die Pflichten gelten bereits

Deutschland hat die NIS2-Richtlinie (EU) 2022/2555 mit dem Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung umgesetzt (BGBl. 2025 I Nr. 301 vom 5. Dezember 2025, häufig als NIS2UmsuCG bezeichnet) [1]. Kern des Gesetzes ist ein neu gefasstes BSIG, das am 6. Dezember 2025 in Kraft getreten ist [2]. Eine Übergangsfrist für das Risikomanagement (§ 30 BSIG), die Meldepflichten (§ 32 BSIG) und die Pflichten der Geschäftsleitung (§ 38 BSIG) sieht das Gesetz nicht vor.

Die Monatsangaben in den folgenden Phasen sind deshalb ein interner Projektplan, keine gesetzlichen Fristen. Betroffene Einrichtungen sind bereits jetzt verpflichtet. Wer erst startet, sollte die beiden dringendsten Punkte — Registrierung und Meldefähigkeit — an den Anfang stellen.

Phase 1 — Bestandsaufnahme (Monat 1)

• Betroffenheit bestätigen: Einordnung als besonders wichtige oder wichtige Einrichtung nach § 28 BSIG in Verbindung mit den Anlagen 1 und 2 prüfen. Die NIS-2-Betroffenheitsprüfung des BSI liefert dafür eine erste, rechtlich nicht bindende Einschätzung [3][4]
• BSI-Registrierung nachholen, falls noch nicht erfolgt: Die Frist nach § 33 Abs. 1 BSIG (drei Monate nach Inkrafttreten) endete am 6. März 2026; die Pflicht besteht fort. Die Registrierung erfolgt zweistufig über „Mein Unternehmenskonto“ und das BSI-Portal [5][6]
• Meldefähigkeit sicherstellen: Zuständigkeiten, Meldeweg und Kriterien für einen „erheblichen Sicherheitsvorfall“ festlegen. Nach § 32 BSIG gelten eine frühe Erstmeldung binnen 24 Stunden, eine Meldung binnen 72 Stunden und eine Abschlussmeldung spätestens einen Monat nach der Meldung [7][8]
• Assets inventarisieren (IT und OT)
• Risikoanalyse starten (§ 30 Abs. 2 Nr. 1 BSIG)
• Lückenanalyse gegenüber § 30 BSIG durchführen, der Art. 21 der NIS2-Richtlinie umsetzt [9][10]

Phase 2 — Dokumentation (Monat 2–3)

• Sicherheitsrichtlinien erstellen oder anpassen (§ 30 Abs. 2 Nr. 1, 8 und 9 BSIG). Die Einhaltung der Maßnahmen ist nach § 30 Abs. 1 BSIG zu dokumentieren [9]
• Incident-Response-Plan aufsetzen (§ 30 Abs. 2 Nr. 2 BSIG) und die Meldeschritte nach § 32 BSIG darin verankern
• BCM-Plan dokumentieren: Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement (§ 30 Abs. 2 Nr. 3 BSIG)
• Lieferantenliste prüfen: Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern (§ 30 Abs. 2 Nr. 4 BSIG)

Phase 3 — Umsetzung technischer Maßnahmen (Monat 3–6)

• MFA einführen (§ 30 Abs. 2 Nr. 10 BSIG nennt Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung)
• Patch-Management formalisieren (§ 30 Abs. 2 Nr. 5 BSIG: Wartung von Systemen einschließlich Management von Schwachstellen)
• Netzwerksegmentierung prüfen (besonders OT)
• Logging und Monitoring einrichten

Netzwerksegmentierung und Protokollierung nennt das BSIG nicht ausdrücklich. Die Maßnahmen sollen aber nach § 30 Abs. 2 BSIG den Stand der Technik einhalten, und beides gehört in der Regel dazu. Für die elf in § 30 Abs. 3 BSIG genannten Einrichtungsarten, etwa Cloud-Anbieter, Rechenzentren und Managed Service Provider, hat die Durchführungsverordnung (EU) 2024/2690 Vorrang. Ihr Anhang regelt unter anderem Überwachung und Protokollierung (Nr. 3.2), Sicherheitspatch-Management (Nr. 6.6), Netzsegmentierung (Nr. 6.8) und Multifaktor-Authentifizierung (Nr. 11.7) [11].

Phase 4 — Schulung und Kontrolle (laufend)

• Mitarbeiterschulungen und Sensibilisierung (§ 30 Abs. 2 Nr. 7 BSIG)
• Geschäftsführungs-Briefing: Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1 BSIG) und regelmäßig an Schulungen teilnehmen (§ 38 Abs. 3 BSIG) [12]
• Interne Audits: Wirksamkeit der Maßnahmen bewerten (§ 30 Abs. 2 Nr. 6 BSIG). Betreiber kritischer Anlagen müssen die Umsetzung zusätzlich alle drei Jahre gegenüber dem BSI nachweisen; den ersten Zeitpunkt legt das BSI fest (§ 39 BSIG) [13]
• Registrierungsangaben aktuell halten: Änderungen der Angaben sind dem BSI nachzumelden (§ 33 Abs. 5 BSIG) [6]

Wer ist zuständig? BSI, BBK und Fachaufsicht

Das BSI ist nach § 40 Abs. 1 BSIG die zentrale Melde- und Anlaufstelle für besonders wichtige und wichtige Einrichtungen [14]. Registrierung und Meldungen laufen über eine gemeinsam vom BSI und vom Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) eingerichtete Stelle, in der Praxis das BSI-Portal [5][8]. Bußgelder setzt in den meisten Fällen das BSI fest (§ 65 Abs. 10 BSIG). Für eine versäumte Registrierung sind bis zu 500.000 Euro möglich (§ 65 Abs. 2 Nr. 6 und Abs. 5 Nr. 5 BSIG) [15].

Es gibt wichtige Ausnahmen:

• Für Betreiber öffentlicher Telekommunikationsnetze und -dienste sowie für Energieunternehmen, die den §§ 5c bis 5e EnWG unterliegen, gelten unter anderem die §§ 30, 32 und 38 BSIG nicht (§ 28 Abs. 5 BSIG). Für sie greifen die Sonderregeln in TKG und EnWG.
• Für Finanzunternehmen im Anwendungsbereich der DORA-Verordnung (EU) 2022/2554 gelten diese Paragrafen ebenfalls nicht (§ 28 Abs. 6 BSIG).
• Die Registrierungspflicht nach § 33 BSIG gilt in beiden Fällen weiter [3].

Als weitere Behörden für die Aufsicht über die Anwendung der NIS2-Richtlinie nennt § 40 Abs. 2 BSIG die Bundesnetzagentur und die BaFin [14].

Daneben regelt das KRITIS-Dachgesetz (BGBl. 2026 I Nr. 66, in Kraft seit 17. März 2026) die physische Resilienz kritischer Anlagen. Zentrale Anlaufstelle dafür ist das BBK. Betreiber müssen sich dort spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, registrieren (§ 8 KRITISDachG). Maßgeblich dafür ist eine Rechtsverordnung des Bundesinnenministeriums, die noch nicht in Kraft ist. Eine Registrierungspflicht nach dem KRITIS-Dachgesetz besteht derzeit also noch nicht [16].

Stand der Umsetzung in Zahlen

Laut BSI hatten sich bis zum 30. September 2026 insgesamt 20.141 Einrichtungen nach NIS-2 im BSI-Portal registriert, davon 13.252 wichtige und 6.837 besonders wichtige Einrichtungen. 1.447 der besonders wichtigen Einrichtungen sind KRITIS-Betreiber [17]. Zum Start des BSI-Portals ging das BSI von rund 29.500 betroffenen Unternehmen und Institutionen der Bundesverwaltung aus [5]. Der Abstand legt nahe, dass sich noch nicht alle betroffenen Einrichtungen registriert haben. Die Ausgangszahl ist allerdings eine Schätzung, keine Zählung.

Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Maßgeblich ist das jeweils geltende BSIG.

Quellen

1. Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung, BGBl. 2025 I Nr. 301 — recht.bund.de, Bundesgesetzblatt
2. BSI-Gesetz (BSIG) — gesetze-im-internet.de, Volltext
3. § 28 BSIG (besonders wichtige und wichtige Einrichtungen) — gesetze-im-internet.de, Paragrafentext
4. NIS-2-Betroffenheitsprüfung — BSI, Informationsseite
5. Zweiter Schritt zur NIS-2-Registrierung: BSI-Portal ab sofort freigeschaltet — BSI, Pressemitteilung vom 6. Januar 2026, Pressemitteilung
6. § 33 BSIG (Registrierungspflicht) — gesetze-im-internet.de, Paragrafentext
7. § 32 BSIG (Meldepflichten) — gesetze-im-internet.de, Paragrafentext
8. #nis2know: NIS-2-Meldepflicht — BSI, Informationsseite
9. § 30 BSIG (Risikomanagementmaßnahmen) — gesetze-im-internet.de, Paragrafentext
10. Richtlinie (EU) 2022/2555 (NIS2) — EUR-Lex, Volltext
11. Durchführungsverordnung (EU) 2024/2690 — EUR-Lex, Volltext
12. § 38 BSIG (Pflichten der Geschäftsleitungen) — gesetze-im-internet.de, Paragrafentext
13. § 39 BSIG (Nachweispflichten für Betreiber kritischer Anlagen) — gesetze-im-internet.de, Paragrafentext
14. § 40 BSIG (zentrale Melde- und Anlaufstelle) — gesetze-im-internet.de, Paragrafentext
15. § 65 BSIG (Bußgeldvorschriften) — gesetze-im-internet.de, Paragrafentext
16. KRITIS-Dachgesetz (KRITISDachG), insbesondere § 8 — gesetze-im-internet.de, Volltext
17. NIS-2 in Zahlen — BSI, Stand 30. September 2026, Statistik

Alle Produkte zur NIS2-Umsetzung →

Für ein durchgetaktetes, wochenweises Vorgehen mit einem konkreten Deliverable pro Woche — statt Monatsphasen — siehe den 90-Tage-NIS2-Plan für KMU, der genau diesen Fahrplan in 13 Wochen ohne externe Beratung herunterbricht. Wenn Sie doch externe Unterstützung brauchen, finden Sie Anbieter in unserer Übersicht der NIS2-Berater.