NIS2-Umsetzungsgesetz: Was Unternehmen jetzt tun müssen
Zuletzt aktualisiert am 2. Oktober 2026
Von Marcel Kiesslich, TÜV-zertifizierter Datenschutzbeauftragter (TÜV Süd)
Seit Dezember 2025 ist das NIS2-Umsetzungsgesetz (NIS2UmsuCG) in Deutschland in Kraft. Damit setzt der Gesetzgeber die europäische NIS2-Richtlinie (EU) 2022/2555 in nationales Recht um und verschärft die Anforderungen an die Cybersicherheit für Unternehmen erheblich. Für Geschäftsführer und IT-Verantwortliche in kleinen und mittleren Unternehmen (KMU) bedeutet das: Jetzt ist der Zeitpunkt zum Handeln. Wer die neuen Pflichten ignoriert, riskiert empfindliche Bußgelder und persönliche Haftung.
In diesem Ratgeber erfahren Sie, was das NIS2-Umsetzungsgesetz konkret für Ihr Unternehmen bedeutet, ob Sie betroffen sind und welche Schritte Sie jetzt einleiten sollten. Dabei ordnen wir die NIS2-Regelungen auch in den größeren Kontext der aktuellen Datenschutz-Gesetzgebung und Trends ein, denn Cybersicherheit und Datenschutz greifen zunehmend ineinander.
DATUREX GmbH stellt Ihnen einen externen Datenschutzbeauftragten nach Art. 37 DSGVO — inklusive Audit, Schulungen, VVT-Pflege und Datenpannen-Meldung. Kostenlose Ersteinschätzung in 30 Minuten.
→ Leistungen ansehenErsteinschätzung anfragenWas ist das NIS2-Umsetzungsgesetz?
Die Abkürzung NIS steht für „Network and Information Security. Die erste NIS-Richtlinie von 2016 legte bereits EU-weite Mindeststandards für die Cybersicherheit kritischer Infrastrukturen fest. Allerdings zeigte sich schnell, dass der Anwendungsbereich zu eng gefasst war und die Umsetzung in den Mitgliedstaaten zu unterschiedlich ausfiel. Nur rund 4.000 Unternehmen in Deutschland waren von NIS1 betroffen — viel zu wenige angesichts der zunehmenden Bedrohungslage durch Cyberangriffe auf Unternehmen aller Größen und Branchen.
Die NIS2-Richtlinie (EU) 2022/2555, die im Januar 2023 in Kraft trat, ist die vollständige Weiterentwicklung: Sie erweitert den Kreis der betroffenen Unternehmen drastisch, verschärft die Pflichten und harmonisiert die Anforderungen EU-weit. Alle EU-Mitgliedstaaten mussten die Richtlinie bis Oktober 2024 in nationales Recht umsetzen. In Deutschland erfolgte dies durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), das im Dezember 2025 in Kraft getreten ist und das BSI-Gesetz (BSIG) grundsätzlich ändert.
Das übergeordnete Ziel: Ein deutlich höheres und einheitlicheres Cybersicherheitsniveau in Europa. Angesichts zunehmender Cyberangriffe auf Unternehmen aller Größen — laut BSI-Lagebericht 2025 wurden täglich durchschnittlich 68 neue Schwachstellen identifiziert — ist dieser Schritt dringend notwendig. Die Schäden durch Cyberkriminalität in Deutschland beliefen sich laut Bitkom-Studie auf über 200 Milliarden Euro jährlich. Für viele Unternehmen, die bisher nicht im Fokus der Regulierung standen, bedeutet NIS2 einen Paradigmenwechsel: Cybersicherheit wird von einer freiwilligen Best Practice zur gesetzlichen Pflicht.
Welche Unternehmen sind von NIS2 betroffen?
Eine der wesentlichen Änderungen gegenüber NIS1 ist der massiv erweiterte Anwendungsbereich. Das NIS2-Umsetzungsgesetz unterscheidet zwischen zwei Kategorien:
Wesentliche Einrichtungen (Essential Entities)
Hierunter fallen große Unternehmen (ab 150 Mitarbeiter oder 50 Mio. EUR Umsatz) in besonders kritischen Sektoren. Die elf Sektoren hoher Kritikalität umfassen: Energie (Strom, Gas, Öl, Fernwärme, Wasserstoff), Verkehr (Luft, Schiene, Wasser, Straße), Bankwesen, Finanzmarktinfrastruktur, Gesundheit (Krankenhäuser, Labore, Pharma, Medizingeräte), Trinkwasser, Abwasser, digitale Infrastruktur (DNS, TLD, Cloud, Rechenzentren, CDN, Vertrauensdienste), ICT-Dienstleistungsmanagement (B2B), öffentliche Verwaltung und Weltraum. Für besonders wichtige Einrichtungen (in der EU-Richtlinie: wesentliche Einrichtungen) gelten die strengsten Anforderungen, höhere Bußgelder und eine vorausschauende Aufsicht durch das BSI.
Wichtige Einrichtungen (Important Entities)
Diese Kategorie erfasst mittlere Unternehmen (ab 50 Mitarbeiter oder 10 Mio. EUR Jahresumsatz) in sieben weiteren Sektoren: Post- und Kurierdienste, Abfallwirtschaft, Chemie (Herstellung, Produktion, Vertrieb), Lebensmittelproduktion und -vertrieb, verarbeitendes Gewerbe (Maschinenbau, Fahrzeugbau, Elektrogeräte, Medizinprodukte, Computer und Optik), digitale Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke) und Forschungseinrichtungen. Für diese gilt eine reaktive Aufsicht — das BSI wird erst bei konkreten Hinweisen auf Verstöße tätig.
Insgesamt umfasst NIS2 18 Sektoren — fast doppelt so viele wie die Vorgänger-Richtlinie. Schätzungen des Bundesinnenministeriums gehen von rund 30.000 betroffenen Unternehmen allein in Deutschland aus. Für den Wirtschaftsstandort Sachsen und insbesondere Dresden mit seiner starken IT-, Halbleiter- und Fertigungsindustrie ist die Relevanz besonders hoch. Viele mittelständische Zulieferer und IT-Dienstleister der Region dürfen mit einer Betroffenheit rechnen.
Wichtig für KMU: Auch wenn Ihr Unternehmen unter den Schwellenwerten liegt, können Sie indirekt betroffen sein — nämlich dann, wenn Sie als Zulieferer für ein NIS2-reguliertes Unternehmen tätig sind. Die Lieferkettensicherheit ist ein zentraler Bestandteil der neuen Regelung. Ihre Auftraggeber werden künftig vertragliche Nachweise über Ihre Cybersicherheitsmaßnahmen einfordern.
Welche Pflichten entstehen durch NIS2?
Das NIS2-Umsetzungsgesetz definiert umfangreiche Pflichten für betroffene Unternehmen. Die wichtigsten im Überblick:
1. Risikomanagement für Cybersicherheit
Unternehmen müssen ein systematisches Risikomanagement implementieren, das technische, organisatorische und operative Maßnahmen umfasst. Dazu gehören unter anderem vollständige Risikoanalysen, Sicherheitskonzepte, Zugangskontrollen, Verschlüsselung, regelmäßige Sicherheitsüberprüfungen und die Behandlung identifizierter Schwachstellen.
2. Meldepflichten bei Sicherheitsvorfällen
Bei erheblichen Sicherheitsvorfällen gelten strenge Meldefristen:
- Innerhalb von 24 Stunden: Erste Meldung (Frühwarnung) an das BSI
- Innerhalb von 72 Stunden: Detaillierte Meldung mit Bewertung des Vorfalls
- Innerhalb eines Monats: Abschlussbericht mit Ursachenanalyse und ergriffenen Maßnahmen
3. Sicherheit in der Lieferkette
Unternehmen müssen die Cybersicherheitsrisiken in ihrer gesamten Lieferkette systematisch bewerten und geeignete Maßnahmen zur Risikominimierung ergreifen.
4. Persönliche Geschäftsführerverantwortung
Ein Novum mit weitreichenden Konseqünzen: Die Geschäftsführung trägt die persönliche Verantwortung für die Umsetzung der Cybersicherheitsmaßnahmen. Bei Pflichtverletzungen droht eine persönliche Haftung der Leitungsorgane.
5. Technische Mindestmaßnahmen
Das Gesetz definiert einen Katalog konkreter technischer Anforderungen. Dazu zählen unter anderem Multi-Faktor-Authentifizierung, sichere Kommunikation, dokumentierte Backup-Strategien, Incident-Response-Pläne sowie Business-Continuity-Management.
6. Registrierungspflicht beim BSI
Betroffene Unternehmen müssen sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren und eine Kontaktstelle für Cybersicherheitsvorfälle benennen.
NIS2 und DSGVO: Was ist der Zusammenhang?
Für Unternehmen, die bereits DSGVO-Compliance umgesetzt haben, gibt es erfreuliche Synergien. Beide Regelwerke verlangen technische und organisatorische Maßnahmen (TOMs) zum Schutz von Daten und Systemen.
Allerdings gibt es wichtige Unterschiede: Während die DSGVO den Schutz personenbezogener Daten in den Mittelpunkt stellt, fokussiert NIS2 auf die Sicherheit von Netz- und Informationssystemen insgesamt.
Unsere DSGVO-Compliance-Beratung berücksichtigt diese Wechselwirkungen bereits und hilft Ihnen, ein vollständiges Sicherheitskonzept aufzubauen.
Handlungsempfehlungen: So bereiten Sie Ihr Unternehmen vor
Die folgenden sieben Schritte helfen Ihnen, die NIS2-Anforderungen systematisch umzusetzen:
- Betroffenheitscheck durchführen
- Gap-Analyse starten
- Risikomanagement implementieren
- Meldeprozesse einrichten
- Lieferkette prüfen
- Schulungen durchführen
- Dokumentation aufbauen
Unsere Informationssicherheits-Beratung unterstützt Sie dabei, bestehende Lücken zu identifizieren und effizient zu schließen.
Strafen bei Verstößen
- Wesentliche Einrichtungen: Bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes
- Wichtige Einrichtungen: Bis zu 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes
Zum Vergleich: Auch die DSGVO sieht Bußgelder in ähnlicher Höhe vor — wie unser Überblick zu den aktuellen DSGVO-Bußgeldern 2026 zeigt.
Häufig gestellte Fragen (FAQ)
Was ist das NIS2-Umsetzungsgesetz?
Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist das deutsche Gesetz zur Umsetzung der europäischen NIS2-Richtlinie (EU) 2022/2555. Es verschärft die Anforderungen an die Cybersicherheit für Unternehmen in 18 kritischen Sektoren und ist seit Dezember 2025 in Kraft.
Welche Unternehmen sind von NIS2 betroffen?
NIS2 betrifft Unternehmen in 18 Sektoren, die bestimmte Schwellenwerte erreichen: Wesentliche Einrichtungen ab 150 Mitarbeitern oder 50 Mio. EUR Umsatz und wichtige Einrichtungen ab 50 Mitarbeitern oder 10 Mio. EUR Umsatz. Auch kleinere Unternehmen können als Zulieferer indirekt betroffen sein.
Welche Pflichten entstehen durch NIS2?
Die Kernpflichten umfassen: Risikomanagement, Meldepflichten (24h Frühwarnung, 72h detaillierte Meldung), Lieferkettensicherheit, BSI-Registrierung sowie technische Mindestmaßnahmen wie Multi-Faktor-Authentifizierung und Backup-Strategien.
Was passiert bei Verstößen gegen NIS2?
Bei Verstößen drohen Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Besonders ist die persönliche Haftung der Geschäftsführung.
Wie hängen NIS2 und DSGVO zusammen?
NIS2 und DSGVO ergänzen sich: Beide verlangen technische und organisatorische Maßnahmen. Die DSGVO fokussiert auf personenbezogene Daten, während NIS2 die gesamte IT-Sicherheit abdeckt. Die Meldefristen unterscheiden sich (DSGVO: 72h, NIS2: 24h Frühwarnung).
Fazit: Jetzt handeln statt abwarten
Das NIS2-Umsetzungsgesetz markiert einen Wendepunkt für die Cybersicherheit in Deutschland. Mit rund 30.000 betroffenen Unternehmen, erweiterten Pflichten und persönlicher Geschäftsführerhaftung ist klar: Cybersicherheit ist kein optionales IT-Thema mehr, sondern eine rechtliche Notwendigkeit und Chefsache.
Unsere Experten unterstützen Sie bei der Informationssicherheits-Beratung und der DSGVO-Compliance — für einen integrierten Ansatz, der beide Regelwerke abdeckt.
Qüllen: NIS2-Richtlinie (EU) 2022/2555, NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), BSI-Lagebericht 2025, BfDI-Stellungnahme zum NIS2UmsuCG, Bundesministerium des Innern und für Heimat.
NIS2 & Datenschutz professionell umsetzen
Unterstützung bei NIS2 und DSGVO:
- DSGVO-Beratung – Compliance sicherstellen
- TOM Datenschutz – Sicherheitsmaßnahmen dokumentieren
- Datenschutz-Schulungen – Team schulen
Jetzt kostenlose Erstberatung anfragen
NIS2 & Datenschutz professionell umsetzen
Unterstützung bei NIS2 und DSGVO:
Verwandte Beiträge
Professioneller Datenschutz für Ihr Unternehmen
Die DATUREX GmbH ist Ihr zertifizierter externer Datenschutzbeauftragter — bundesweit, persönlich und DSGVO-konform. Ab 150 €/Monat.