Konstantin Klassen
Das deutsche NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten, ohne Übergangsfrist. Die Registrierungsfrist beim BSI lief am 6. März 2026 ab. Rund 29.500 Unternehmen in Deutschland fallen darunter, und viele davon wissen es bis heute nicht.
Wer betroffen ist
Maßgeblich sind zwei Dinge: Größe und Sektor. Wer mehr als 50 Beschäftigte hat oder über 10 Millionen Euro Jahresumsatz macht und in einem der als wesentlich oder wichtig eingestuften Sektoren tätig ist, fällt darunter. Dazu zählen unter anderem Energie, Verkehr, Gesundheit, digitale Dienste, Abfallwirtschaft und Lebensmittelproduktion. Anders als beim alten IT-Sicherheitsgesetz gibt es keine Benachrichtigung durch die Behörde, die Selbsteinstufung ist Pflicht des Unternehmens.
Warum das auch Ihre Software betrifft
NIS2 verlangt ausdrücklich Sicherheit in der Lieferkette. Das heißt: Auch wenn Sie selbst nicht direkt betroffen sind, können Ihre Kunden es sein, und dann werden deren Anforderungen an Sie durchgereicht. In der Praxis landen diese Fragen auf dem Tisch: Wo liegen die Daten? Wer hat Zugriff? Wie schnell merken Sie einen Vorfall? Gibt es ein Protokoll, das eine Meldung innerhalb von 24 Stunden überhaupt ermöglicht?
Die Meldefristen sind der eigentliche Test
Eine Erstmeldung ist binnen 24 Stunden fällig, eine Bewertung binnen 72 Stunden, ein Abschlussbericht binnen eines Monats. Diese Fristen bestehen ein Unternehmen nicht mit einem Dokument, sondern mit Technik: Wer keine zentrale Protokollierung hat, kann 24 Stunden nach einem Vorfall nicht sagen, was passiert ist. Monitoring und Logging sind damit von der Kür zur Pflicht geworden.
Geschäftsleitungshaftung und Bußgelder
Bußgelder reichen bis 10 Millionen Euro. Bemerkenswerter ist aber, dass die Geschäftsleitung persönlich in der Pflicht steht: Die Billigung und Überwachung der Risikomaßnahmen ist nicht delegierbar. Das ist ein Unterschied zu vielen anderen Compliance-Themen, die in der IT-Abteilung enden.
Was jetzt konkret zu tun ist
Erstens: Prüfen, ob Sie betroffen sind, die Frist ist verstrichen, eine verpätete Registrierung ist trotzdem besser als keine. Zweitens: Feststellen, ob Ihre Systeme im Ernstfall überhaupt aussagefähig sind. Drittens: Die Frage an Ihre Dienstleister weitergeben, bevor Ihre Kunden sie Ihnen stellen. Aus unserer Sicht ist das der Punkt, an dem Architekturentscheidungen teuer werden, wenn sie früher ohne diese Anforderung getroffen wurden.
Quellen: OpenKRITIS zum NIS2-Umsetzungsgesetz; BDO: Sechs Monate NIS-2-Umsetzungsgesetz; secjur: NIS2 Umsetzung Deutschland.
