NIS-2 ist scharf geschaltet: Was Unternehmen jetzt nachholen müssen

Das NIS-2-Umsetzungsgesetz (NIS2UmsuCG) ist seit dem 6. Dezember 2025 in Kraft. Die gesetzliche Registrierungsfrist beim BSI ist am 6. März 2026 abgelaufen. Und das BSI hatte kommuniziert, dass es die Registrierung der betroffenen Unternehmen bis zum 31. Juli 2026 als abgeschlossen erwartet – diese Frist ist soeben verstrichen.

Wichtig zur Einordnung: Der 31. Juli ist keine neue gesetzliche Frist, sondern das Ende einer faktischen Kulanzphase bei der Durchsetzung. Die rechtliche Pflicht besteht seit März. Wer noch nicht registriert ist, ist nicht „gerade noch rechtzeitig“, sondern bereits im Verzug – und sollte das jetzt geordnet nachholen statt weiter abzuwarten.

Wer überhaupt betroffen ist

NIS-2 betrifft nicht pauschal jedes Unternehmen ab 50 Mitarbeitern. Die Pflichten greifen nur in den 18 Sektoren des Gesetzesanhangs – darunter Energie, Transport, Gesundheit, digitale Infrastruktur, aber auch verarbeitendes Gewerbe und Chemie. Innerhalb dieser Sektoren gelten die Schwellenwerte des § 28 BSIG n.F.:

Wichtige Einrichtungen: ab 50 Mitarbeitern oder mehr als 10 Mio. Euro Umsatz und mehr als 10 Mio. Euro Bilanzsumme.
Besonders wichtige Einrichtungen: ab 250 Mitarbeitern oder mehr als 50 Mio. Euro Umsatz und mehr als 43 Mio. Euro Bilanzsumme.

In Summe geht es um rund 29.500 bis 30.000 Einrichtungen in Deutschland – nach Schätzung von OpenKRITIS etwa 8.250 besonders wichtige und etwa 21.600 wichtige. Zum Vergleich: Unter dem alten KRITIS-Regime waren es rund 4.500. Der Kreis der regulierten Unternehmen hat sich also mehr als versechsfacht. Genau deshalb trifft NIS-2 jetzt viele Mittelständler, die bisher nie mit dem BSI zu tun hatten.

Der Unterschied zwischen den beiden Kategorien ist praktisch relevant: Besonders wichtige Einrichtungen unterliegen einer proaktiven Aufsicht durch das BSI, wichtige Einrichtungen werden anlassbezogen geprüft.

Die Fristenlage – und wo die Unternehmen tatsächlich stehen

Das BSI-Registrierungsportal ist seit dem 6. Januar 2026 freigeschaltet, die gesetzliche Frist endete am 6. März 2026. Registriert hatten sich bis dahin nur rund 11.500 der geschätzt 29.500 betroffenen Einrichtungen – rund 39 Prozent. Bis Anfang April waren es rund 15.500, bis Ende Mai knapp 18.500.

Das heißt nüchtern betrachtet: Ein erheblicher Teil der betroffenen Unternehmen ist auch heute noch nicht registriert. Wer dazu gehört, sollte wissen, was auf dem Spiel steht:

Verstöße gegen die Registrierungspflicht können mit Bußgeldern bis 500.000 Euro belegt werden.
Verstöße gegen die materiellen Pflichten können bis zu 10 Mio. Euro oder 2 % des weltweiten Umsatzes kosten (besonders wichtige Einrichtungen) bzw. 7 Mio. Euro oder 1,4 % (wichtige Einrichtungen) – je nachdem, welcher Betrag höher ist.
Die Geschäftsleitung ist nach § 38 BSIG verpflichtet, die Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen. Operative Aufgaben lassen sich delegieren – die Verantwortung dafür nicht.

Was das Gesetz inhaltlich verlangt

Kern ist § 30 BSIG n.F.: ein Katalog von Risikomanagementmaßnahmen, der unter anderem Risikoanalyse, Incident Handling, Backup- und Krisenmanagement, Lieferkettensicherheit, Verschlüsselung und Zugriffskontrolle umfasst. Dazu kommen gestufte Meldepflichten bei erheblichen Sicherheitsvorfällen:

Erstmeldung binnen 24 Stunden,
aktualisierte Meldung binnen 72 Stunden,
Abschlussbericht binnen eines Monats.

Wer diese Fristen im Ernstfall halten will, braucht vorab definierte Prozesse – im laufenden Vorfall improvisiert das niemand sauber.

Triage für Nachzügler: drei Schritte in dieser Reihenfolge

1. Betroffenheit prüfen und das Ergebnis dokumentieren

Das BSI stellt unter betroffenheitspruefung-nis-2.bsi.de eine Selbsteinschätzung bereit. Führen Sie diese Prüfung durch – heute, nicht im Q4 – und dokumentieren Sie das Ergebnis schriftlich (die Selbsteinschätzung ist rechtlich nicht bindend, aber als Nachweis der Befassung wertvoll). Auch ein negatives Ergebnis ist ein Nachweis: Es belegt, dass sich die Geschäftsleitung mit der Frage befasst hat.

2. Registrieren, auch verspätet

Eine verspätete Registrierung ist besser als keine. Die Erfahrung aus vergleichbaren Regulierungsvorhaben spricht dafür, dass proaktive Nachmeldung anders bewertet wird als Untätigkeit, die erst bei einem Vorfall auffällt.

3. Gap-Assessment gegen § 30

Gleichen Sie den Ist-Zustand strukturiert gegen den Maßnahmenkatalog ab. In der Praxis liegen die größten Lücken meist bei drei Themen: belastbares Risikomanagement mit Managementbeteiligung, geübtes Incident Handling inklusive Meldeprozess und nachweisbar wiederherstellbare Backups mit Notfallkonzept. Aus dem Assessment entsteht ein priorisierter Maßnahmenplan – nicht alles auf einmal, aber alles mit Termin und Verantwortlichem.

Einordnung: Pflicht mit Nebennutzen

NIS-2 verlangt im Kern nichts Exotisches, sondern solide IT-Sicherheit, konsequent umgesetzt und dokumentiert. Wer die Maßnahmen ernsthaft angeht, erfüllt nicht nur eine Rechtspflicht, sondern reduziert real das Risiko, das Angreifer täglich adressieren. Umgekehrt gilt: Ein Zertifikatsordner ohne gelebte Prozesse hilft weder beim Audit noch beim Vorfall. Hinweis am Rande: Die KRITIS-Nachweispflichten mit förmlichen Audits greifen frühestens Ende 2028 – der akute Handlungsdruck liegt jetzt bei Registrierung und Grundmaßnahmen.

Wie sector7 unterstützt

Als inhabergeführtes Haus begleiten wir Unternehmen aus NRW durch Betroffenheitsprüfung, Registrierung und das Gap-Assessment gegen § 30 – mit Compliance-Beratung zu NIS-2, ISO 27001, DORA und TISAX aus einer Hand. Die technische Umsetzung der Maßnahmen, vom Netzwerk-Security-Engineering bis zur 24/7-Überwachung durch unser NOC, leisten wir selbst statt sie weiterzureichen. Auf Wunsch zu festen monatlichen Preisen, damit die NIS-2-Umsetzung budgetierbar bleibt.

Dieser Beitrag ist eine fachliche Einordnung und ersetzt keine Rechtsberatung im Einzelfall.