Welche NIS2-Pflichten betreffen Ihr Unternehmen?
Seit dem 6. Dezember 2025 gilt die deutsche NIS2-Umsetzung. Wir klären Ihre Einordnung und übersetzen die relevanten Anforderungen in umsetzbare Arbeitspakete.
Sie sehen, welche Lücken bestehen, wer sich darum kümmert und welche Nachweise benötigt werden. Bereits vorhandene Schutzmaßnahmen und Managementsysteme beziehen wir ein.
Betroffenheit prüfen statt nur Branchen abhaken
Die Zuordnung nach § 28 BSIG hängt von mehreren Kriterien ab. Eine Branche oder eine Beschäftigtenzahl allein reicht für eine belastbare Einordnung nicht aus.
- Tätigkeit und EinrichtungsartWelche Leistungen erbringen Sie tatsächlich? Entscheidend sind die Einrichtungsarten der gesetzlichen Anlagen.
- Größe und UnternehmensstrukturBeschäftigte, Umsatz und Bilanzsumme sowie gegebenenfalls Partner- und verbundene Unternehmen berücksichtigen.
- Sonderregeln und AusnahmenFür bestimmte Einrichtungen gelten besondere Regeln. Auch sektorale Vorschriften und Ausnahmen müssen einbezogen werden.
Beispiele sind keine Betroffenheitsentscheidung
Relevante Bereiche können etwa Energie, Verkehr, Gesundheit, Wasser, digitale Dienste oder bestimmte Herstellungsbereiche sein. Für Finanzunternehmen sind insbesondere die DORA-bezogenen Ausnahmen zu prüfen; auch bei Energie und Telekommunikation gelten besondere Vorschriften.
Registrierung, Risikomanagement und Meldewege
Nach der Einordnung folgt die praktische Umsetzung. Welche Pflichten greifen, ist unter Berücksichtigung der jeweiligen Sonderregeln zu klären.
Registrierung rechtzeitig vorbereiten
§ 33 BSIG sieht grundsätzlich eine Registrierung spätestens drei Monate nach erstmaliger oder erneuter Einordnung vor. Angaben und Ansprechpartner sollten deshalb frühzeitig zusammengestellt werden. Für kritische Anlagen gilt eine gesonderte Regelung.
Verantwortung im Unternehmen verankern
§ 30 BSIG umfasst unter anderem Risikoanalyse, Vorfallbewältigung, Wiederanlauf, Lieferkettensicherheit und Wirksamkeitskontrolle. Die Geschäftsleitung muss die Umsetzung nach § 38 überwachen und regelmäßig an Schulungen teilnehmen.
Meldungen bei erheblichen Sicherheitsvorfällen
Für meldepflichtige Einrichtungen gilt nach § 32 BSIG grundsätzlich dieser Ablauf:
- 24 Stunden: frühe ErstmeldungUnverzüglich, spätestens 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls.
- 72 Stunden: VorfallmeldungUnverzüglich, spätestens 72 Stunden nach Kenntnis: Angaben bestätigen oder aktualisieren und erste Bewertung übermitteln.
- Ein Monat: AbschlussmeldungSpätestens einen Monat nach der Vorfallmeldung nach § 32 Absatz 1 Nummer 2.
Dauert der Vorfall noch an, ist zu diesem Zeitpunkt eine Fortschrittsmeldung vorgesehen; die Abschlussmeldung folgt nach abschließender Bearbeitung. Zwischenmeldungen können angefordert werden. Andere Meldepflichten sind gesondert zu prüfen.
Meldepflichten nach § 32 BSIG →BSI-Hinweise zu Portal und Meldewegen →
So unterstützen wir Ihre Umsetzung
- BetroffenheitsanalyseTätigkeiten und Struktur einordnen; Kriterien, Annahmen und offene Fragen nachvollziehbar dokumentieren.
- Gap-Analyse und MaßnahmenplanVorhandene Regelungen prüfen und Lücken nach Risiko, Aufwand und Abhängigkeiten priorisieren.
- Meldeprozess und NotfallvorsorgeVerantwortung, Eskalation, verfügbare Informationen und Meldewege in einem praktikablen Ablauf zusammenführen.
- Steuerung und NachweiseMaßnahmen verfolgen, Wirksamkeit bewerten und Ergebnisse für Geschäftsführung und Verantwortliche aufbereiten.
Projektarbeit und laufende ISB-Funktion passend abgrenzen
Aufbau- und Umsetzungsaufgaben sowie eine mögliche laufende ISB-Unterstützung stimmen wir getrennt im Leistungsumfang ab. Die Verantwortung der Geschäftsleitung bleibt bestehen.
Häufige Fragen zu NIS2
Wir betrachten Tätigkeiten, Einrichtungsarten, Unternehmensgröße und Struktur sowie Sonderregeln. Daraus entsteht eine nachvollziehbare Einordnung mit dokumentierten Annahmen und offenen Fragen. Bei rechtlichen Auslegungsfragen ist eine gesonderte rechtliche Klärung einzubeziehen.
Grundsätzlich spätestens drei Monate nach erstmaliger oder erneuter Einordnung nach § 33 BSIG. Eine bereits verstrichene Frist beginnt durch eine neue Prüfung nicht erneut. Den zutreffenden Zeitpunkt und Meldeweg müssen Sie anhand Ihrer konkreten Situation klären; kritische Anlagen unterliegen einer gesonderten Regelung.
Nein. Ein vorhandenes ISMS kann wichtige Bausteine liefern. Registrierung, gesetzliche Meldeprozesse, konkrete Pflichten der Geschäftsleitung und weitere einschlägige Anforderungen müssen trotzdem gesondert geprüft und umgesetzt werden.
Die DORA-bezogenen Ausnahmen des § 28 Absatz 6 BSIG müssen berücksichtigt werden. Eine pauschale Zuordnung allein über den Finanzsektor wäre zu kurz gegriffen. Wir betrachten die konkrete Einrichtung und ihre Tätigkeiten.
Hilfreich sind eine Beschreibung Ihrer Leistungen, Standorte und Unternehmensstruktur, Größenangaben sowie vorhandene Sicherheitsrichtlinien und Nachweise. Teilen Sie sensible Unterlagen erst über einen abgestimmten Übertragungsweg.
NIS2 einordnen und die nächsten Schritte planen
Wir besprechen Ihre Ausgangslage und klären, welche Informationen für die Betroffenheitsanalyse und die weitere Umsetzung benötigt werden.
René Telemann
Leiter Geschäftsbereich Cyber- & Informationssicherheit