Das NIS-2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025, ohne Übergangsfrist für die Sicherheitsmaßnahmen. Der Weg: Betroffenheit prüfen, falls betroffen beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren und den Meldeweg für Sicherheitsvorfälle festlegen. Für Unternehmen, die schon beim Inkrafttreten erfasst waren, endete die Registrierungsfrist am 6. März 2026, ein Grund, es jetzt nachzuholen; wer erst später erfasst wird, hat ab dann drei Monate (§ 33). Das BSI schätzt rund 29.500 betroffene Unternehmen und Bundeseinrichtungen; bis zum 30. Juni 2026 hatten sich 17.729 Unternehmen registriert.
Betroffen ist, wer in einem Sektor der Anlagen 1 und 2 des BSI-Gesetzes tätig ist und die Größenschwelle erreicht: ab 50 Beschäftigten oder bei Umsatz und Bilanzsumme von jeweils über zehn Millionen Euro. Bei den Finanzwerten müssen beide Grenzen überschritten sein. Einzelne Einrichtungsarten sind unabhängig von der Größe erfasst.
Die Geschäftsleitung muss die Maßnahmen billigen, umsetzen und überwachen und regelmäßig an Schulungen teilnehmen. Bei schuldhafter Pflichtverletzung haftet sie dem eigenen Unternehmen.
Dieser Beitrag ist Teil 5 der Serie „KI ordentlich einführen". Teil 1 gibt den Überblick, Teil 2 behandelt die KI-Verordnung, Teil 3 die Mitbestimmung, Teil 4 den Datenschutz.
NIS-2 ist der Fremdkörper in dieser Serie. Mit künstlicher Intelligenz hat das Regelwerk nichts zu tun; es geht um IT-Sicherheit und darum, wie widerstandsfähig ein Betrieb gegen Störungen ist.
Es steht trotzdem hier, weil es auch Unternehmen trifft, die KI einführen, und weil es zum Teil dieselbe Arbeit verlangt: wissen, welche Systeme man betreibt, wer wofür zuständig ist und was im Störungsfall passiert.
Ob Sie betroffen sind: zwei Fragen
Erstens der Sektor. Das BSI-Gesetz nennt Sektoren in zwei Anlagen. Anlage 1: Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, Digitale Infrastruktur (darunter IT-Dienstleister wie Anbieter von Managed Services) und Weltraum. Anlage 2: Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe, Anbieter digitaler Dienste und Forschung. Beim verarbeitenden Gewerbe zählen bestimmte Teilbereiche, etwa Maschinenbau, Fahrzeugbau, Medizinprodukte und elektrische Ausrüstungen. Einzelne Einrichtungsarten gelten unabhängig von der Größe.
Zweitens die Größe. Nach § 28 BSI-Gesetz gilt als wichtige Einrichtung, wer mindestens 50 Beschäftigte hat oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über zehn Millionen Euro. Als besonders wichtige Einrichtung gilt in den Anlage-1-Sektoren, wer mindestens 250 Beschäftigte hat oder über 50 Millionen Euro Umsatz und über 43 Millionen Euro Bilanzsumme erreicht. Partner- und verbundene Unternehmen können hinzuzurechnen sein (§ 28 Absatz 4); Sonderfälle klärt die Rechtsberatung.
Was tatsächlich verlangt wird
§ 30 BSI-Gesetz listet zehn Maßnahmen: Risikoanalyse und Sicherheitskonzepte, Bewältigung von Vorfällen, Betriebsfortführung mit Backup und Wiederherstellung, Sicherheit der Lieferkette, sichere Beschaffung und Entwicklung, Bewertung der Wirksamkeit, Schulung und Sensibilisierung, Verschlüsselung, Personal- und Zugriffssteuerung sowie Mehrfaktor-Authentifizierung. Die Maßnahmen sind zu dokumentieren.
Neben der Maßnahme zählt der Nachweis, dass sie wirkt; die Dokumentationspflicht verlangt ihn. Ein Beispiel: Dass Backups laufen, zeigt noch nicht, dass sich daraus ein arbeitsfähiger Betrieb herstellen lässt. Dazu gehört ein Wiederherstellungstest mit festgehaltenem Ergebnis. Bei Zugriffsrechten gilt Entsprechendes: Prüfung und Entzug gehören festgehalten.
Dazu die Meldepflichten. Bei einem erheblichen Sicherheitsvorfall gilt nach § 32 eine Staffel: Erstmeldung binnen 24 Stunden nach Kenntnis, Folgemeldung mit erster Bewertung binnen 72 Stunden, Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung. Dauert der Vorfall an, tritt zunächst eine Fortschrittsmeldung an deren Stelle.
Drei Fälle aus der Praxis
Der Sondermaschinenbauer mit 140 Beschäftigten. In diesem Beispiel gehört das Unternehmen zum verarbeitenden Gewerbe (Anlage 2, Maschinenbau) und überschreitet die Beschäftigtenschwelle: Nach dieser Einordnung ist es eine wichtige Einrichtung. Das Gesetz fragt nach Sektor und Größe, nicht nach dem Selbstverständnis. Unabhängig von NIS-2 gilt der Cyber Resilience Act (Verordnung (EU) 2024/2847) für Hersteller von Produkten mit digitalen Elementen: Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle bestehen seit dem 11. September 2026, die übrigen Pflichten ab dem 11. Dezember 2027.
Der IT-Dienstleister mit 40 Beschäftigten. Als Anbieter von Managed Services gehört er zur Digitalen Infrastruktur (Anlage 1); für diese Einrichtungsart gilt die Größenschwelle. Er hat in diesem Beispiel 15 Millionen Euro Umsatz und 6 Millionen Euro Bilanzsumme. Die 50 Beschäftigten erreicht er nicht, und bei den Finanzwerten liegt die Bilanzsumme unter zehn Millionen: Nach diesen Schwellen ist es nicht erfasst, sofern keine Zurechnung verbundener Unternehmen greift. Wird es durch Wachstum erstmals erfasst, beginnt die Drei-Monats-Frist des § 33.
Der Zulieferer mit 30 Beschäftigten, dessen Sektor in keiner Anlage steht. In diesem Beispiel ist er nicht unmittelbar erfasst. Seine Kunden müssen nach § 30 Absatz 2 Nummer 4 die Sicherheit ihrer Lieferkette berücksichtigen, daher können Fragebögen zu Zugriffsschutz und Notfallplänen kommen, später Vertragsklauseln.
Was die Geschäftsleitung persönlich betrifft
Nach § 38 BSI-Gesetz muss die Geschäftsleitung die Risikomanagementmaßnahmen billigen, umsetzen und ihre Umsetzung überwachen. Sie muss außerdem regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagementpraktiken im IT-Sicherheitsbereich beurteilen zu können. Bei schuldhafter Pflichtverletzung haftet sie der Einrichtung, also dem eigenen Unternehmen, nach den Regeln der jeweiligen Gesellschaftsform.
Der Bußgeldrahmen nach § 65 beträgt bis 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes bei besonders wichtigen und bis 7 Millionen Euro oder 1,4 % bei wichtigen Einrichtungen; bei über 500 Millionen Euro Umsatz gilt jeweils der höhere Betrag. Eine fehlende Registrierung kann mit bis zu 500.000 Euro geahndet werden.
KI-Anbieter gehören zur Lieferkette
§ 30 Absatz 2 Nummer 4 verlangt die Sicherheit der Lieferkette, einschließlich der sicherheitsbezogenen Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern. Wer ein Sprachmodell als Dienst einbindet, nimmt einen solchen Anbieter auf, je nach Einbindung mit Zugriff auf Firmenwissen und mit einer Verfügbarkeit, von der Abläufe abhängen. Für ein NIS-2-pflichtiges Unternehmen gehört er damit typischerweise zu dem, was zu bewerten und zu dokumentieren ist. Drei Fragen helfen dabei: Welche Daten erhält der Dienst? Welche Abläufe hängen von ihm ab? Was geschieht bei Ausfall oder Sicherheitsvorfall?
Was jetzt zu tun ist
- Betroffenheit prüfen und dokumentieren. Sektor und Größe, mit Datum und Begründung, auch bei negativem Ergebnis; Anlass für eine erneute Prüfung ist etwa Wachstum über eine Schwelle.
- Registrieren, falls betroffen. Wer schon seit Dezember 2025 erfasst ist, holt die Registrierung jetzt nach. Nötig sind ein ELSTER-Organisationszertifikat und die Anmeldung im BSI-Portal.
- Den Meldeweg festlegen. Wer entscheidet innerhalb von 24 Stunden, dass gemeldet wird, wer schreibt, wer vertritt?
- Die zehn Maßnahmen mit dem Bestand abgleichen. Für jede Lücke eine verantwortliche Person und einen Termin festlegen.
- Die Schulung der Geschäftsleitung einplanen. Die Teilnahme wird dokumentiert.
- KI-Anbieter aufnehmen. In die Lieferantenbewertung und die Notfallplanung.
Warum sich das ohnehin lohnt
Die Liste aus § 30 beschreibt, was ein Unternehmen braucht, um einen Ausfall zu bewältigen. Das nützt beim ersten Vorfall, unabhängig von jeder Aufsicht.
Läuft parallel ein KI-Vorhaben, lässt sich die Bestandsaufnahme für beides nutzen.
Die weiteren Teile dieser Serie
- Was auf Sie zukommt, wenn Sie KI einführen - der Überblick: alle Regeln, zusammengezogen auf vier Fragen.
- Der AI Act auf einen Blick - was gilt, was der Omnibus verschoben hat und welche Anwendungen betroffen sind.
- Der Betriebsrat - wann Mitbestimmung greift und wie ein Rahmen das nächste Vorhaben beschleunigt.
- Datenschutz und KI - Rechtsgrundlage, Folgenabschätzung und die Frage, wo die Verarbeitung läuft.
- Geschäftsgeheimnisse - welche Schutzmaßnahmen zählen und wie eine Nutzungsregelung aussieht.
- BSI-Gesetz, § 28 (besonders wichtige und wichtige Einrichtungen, Schwellenwerte, Berechnung) - gesetze-im-internet.de
- BSI-Gesetz, Anlage 1 (Sektoren hoher Kritikalität) - gesetze-im-internet.de
- BSI-Gesetz, Anlage 2 (sonstige kritische Sektoren) - gesetze-im-internet.de
- BSI-Gesetz, § 30 (Risikomanagementmaßnahmen, Dokumentation, Absatz 2 Nummer 4 zur Lieferkette) - gesetze-im-internet.de
- BSI-Gesetz, § 32 (Meldepflichten, 24 Stunden / 72 Stunden / ein Monat) - gesetze-im-internet.de
- BSI-Gesetz, § 33 (Registrierungspflicht, Frist von drei Monaten) - gesetze-im-internet.de
- BSI-Gesetz, § 38 (Pflichten der Geschäftsleitung, Haftung, Schulung) - gesetze-im-internet.de
- BSI-Gesetz, § 65 (Bußgeldvorschriften) - gesetze-im-internet.de
- Bundesamt für Sicherheit in der Informationstechnik, Informationen für NIS-2-regulierte Unternehmen und Registrierung - bsi.bund.de
- Bundesamt für Sicherheit in der Informationstechnik, NIS-2 in Zahlen (Registrierungsstand 30. Juni 2026) - bsi.bund.de
- Bundesamt für Sicherheit in der Informationstechnik, FAQ zu NIS-2 (Schätzung rund 29.500 Betroffene) - bsi.bund.de
- Verordnung (EU) 2024/2847 (Cyber Resilience Act) - eur-lex.europa.eu
Dieser Beitrag erschien am 9. August 2026 und gibt den Rechtsstand vom 7. Oktober 2026 wieder; an diesem Tag wurde er geprüft und aktualisiert. Er gibt allgemeine Informationen und ersetzt keine Rechtsberatung im Einzelfall. Wir haben Inhalte und Quellen sorgfältig geprüft, übernehmen aber keine Gewähr für Vollständigkeit, Richtigkeit und Aktualität; maßgeblich sind die verlinkten Originalquellen. Für die verbindliche Einordnung Ihrer Betroffenheit ziehen Sie bitte eine Kanzlei hinzu.