NIS-2-Richtlinie: betroffen, Pflichten und Bußgelder 2026

Die NIS-2-Richtlinie ist eine EU-Vorgabe für mehr Cybersecurity, die in Deutschland über das NIS-2-Umsetzungsgesetz seit dem 6. Dezember 2025 gilt. Betroffen sind rund 29.500 Unternehmen in 18 Sektoren, meist ab 50 Mitarbeitern oder 10 Mio. EUR Umsatz. Wer darunterfällt, muss zehn Risikomanagement-Maßnahmen umsetzen, Sicherheitsvorfälle binnen 24 Stunden melden und sich beim BSI registrieren. Bei Verstößen drohen Bußgelder bis 10 Mio. EUR, und die Geschäftsführung haftet persönlich.

Dieser Ratgeber erklärt die NIS-2-Richtlinie aus Compliance-Sicht: Was sie regelt, wer betroffen ist, welche Pflichten und Fristen gelten und welche Sanktionen vorgesehen sind. Den Versicherungswinkel vertiefen wir in den weiterführenden Beiträgen zur Cyberversicherung für KMU und zur D&O-Versicherung.

Was ist die NIS-2-Richtlinie?

Die NIS-2-Richtlinie (Network and Information Security Directive 2) ist eine EU-Richtlinie, die einheitliche Mindeststandards für die IT-Sicherheit in wichtigen Wirtschaftssektoren festlegt. Sie ersetzt die erste NIS-Richtlinie von 2016 und erweitert deren Anwendungsbereich deutlich. In nationales Recht gegossen wird sie durch das NIS-2-Umsetzungsgesetz, kurz NIS2UmsuCG, das die Vorgaben im BSI-Gesetz (BSIG) verankert.

Hinter der Reform steht ein einfacher Befund: Angriffe auf Lieferketten, Behörden und Mittelstand haben zugenommen, und die alte Richtlinie erfasste zu wenige Branchen. NIS-2 zieht den Kreis der verpflichteten Unternehmen weiter und macht die Leitungsebene ausdrücklich verantwortlich.

Was sich gegenüber NIS-1 ändert

• Mehr Sektoren: Der Anwendungsbereich wächst von 7 auf 18 Sektoren.
• Mehr Unternehmen: Niedrigere Schwellenwerte erfassen auch den Mittelstand.
• Persönliche Verantwortung der Geschäftsführung für die Cybersecurity-Maßnahmen.
• Strengere Meldepflichten mit festen Fristen (24 Stunden, 72 Stunden, ein Monat).
• Höhere Bußgelder von bis zu 10 Mio. EUR oder 2 % des Jahresumsatzes.
• Verpflichtende Maßnahmen entlang der gesamten Lieferkette.

NIS-2: Wer ist betroffen?

Betroffen sind Unternehmen in 18 Sektoren, die in der Regel mindestens 50 Mitarbeiter beschäftigen oder mehr als 10 Mio. EUR Jahresumsatz erzielen. Das Gesetz trennt dabei zwei Kategorien: besonders wichtige Einrichtungen und wichtige Einrichtungen. Beide unterliegen denselben Sicherheitspflichten, unterscheiden sich aber bei Aufsicht und Bußgeldhöhe.

Ob Ihr Betrieb darunterfällt, hängt von Branche und Größe ab. Der folgende Schnellcheck ordnet Ihre Lage in wenigen Klicks ein. Er ersetzt keine Rechtsberatung, gibt aber eine erste belastbare Einschätzung.

Besonders wichtige Einrichtungen

Ab 250 Mitarbeitern oder 50 Mio. EUR Umsatz gelten Unternehmen in diesen Sektoren als besonders wichtig:

Wichtige Einrichtungen

Ab 50 Mitarbeitern oder 10 Mio. EUR Umsatz zählen unter anderem diese Branchen zu den wichtigen Einrichtungen:

Auch kleinere Betriebe können erfasst sein, etwa wenn sie als kritischer Alleinanbieter gelten oder einen wesentlichen Dienst für die Allgemeinheit erbringen. Für IT-Dienstleister lohnt deshalb ein genauer Blick. Wer für Mandanten IT betreut, sollte parallel die Absicherung über eine Berufshaftpflichtversicherung prüfen, da Fehler in der Lieferkette schnell zu Haftungsfragen führen.

Welche Pflichten gelten unter NIS-2?

Kernstück der NIS-2-Richtlinie sind zehn Mindestmaßnahmen für das Risikomanagement. Sie gelten für besonders wichtige und wichtige Einrichtungen gleichermaßen. Die Geschäftsführung muss diese Maßnahmen nicht nur dulden, sondern aktiv billigen und ihre Umsetzung überwachen.

1. Risikoanalyse und Konzepte für die Informationssicherheit
2. Behandlung und Bewältigung von Sicherheitsvorfällen
3. Aufrechterhaltung des Betriebs, Backup-Management und Krisenmanagement
4. Sicherheit der Lieferkette
5. Sicherheit bei Beschaffung, Entwicklung und Wartung von IT-Systemen
6. Bewertung der Wirksamkeit von Sicherheitsmaßnahmen
7. Cyberhygiene und Schulungen für Beschäftigte
8. Kryptografie und Verschlüsselung
9. Personalsicherheit und Konzepte für die Zugriffskontrolle
10. Multi-Faktor-Authentifizierung und gesicherte Kommunikation

Meldepflichten mit festen Fristen

Bei einem erheblichen Sicherheitsvorfall greift ein dreistufiges Meldeverfahren an das BSI:

• Innerhalb von 24 Stunden: Erste Warnmeldung an das BSI
• Innerhalb von 72 Stunden: Vollständige Meldung mit erster Bewertung
• Innerhalb von einem Monat: Abschlussbericht mit Ursachenanalyse

Verantwortung der Geschäftsführung

§ 38 BSIG verpflichtet die Leitungsorgane, die Risikomanagement-Maßnahmen zu billigen und ihre Umsetzung zu überwachen. Wer diese Pflicht verletzt, riskiert persönliche Haftung für den entstandenen Schaden. Schadenersatzansprüche aus solchen Pflichtverletzungen lassen sich über eine D&O-Versicherung absichern. Behördliche Bußgelder bleiben dagegen außen vor, sie sind nicht versicherbar.

NIS-2-Checkliste: die ersten Schritte

Die folgende NIS-2-Checkliste hilft Ihnen, die Umsetzung zu strukturieren. Sie ersetzt keine individuelle Prüfung, ordnet die Aufgaben aber in eine sinnvolle Reihenfolge.

1. Betroffenheit klären: Sektor und Größe abgleichen. Nutzen Sie dazu den Schnellcheck weiter oben.
2. Ist-Stand erheben: Welche der zehn Maßnahmen sind bereits umgesetzt, wo bestehen Lücken?
3. Maßnahmenplan aufstellen: Lücken nach Risiko priorisieren und mit Terminen versehen.
4. Lieferkette einbeziehen: Verträge und Sicherheitsniveau wichtiger Dienstleister prüfen.
5. Meldewege festlegen: Zuständigkeiten und 24-Stunden-Prozess dokumentieren.
6. Geschäftsführung einbinden: Maßnahmen formal billigen lassen und Schulungen ansetzen.
7. Beim BSI registrieren: Anmeldung im Meldeportal bis Anfang März 2026.
8. Versicherungsschutz prüfen: Cyber- und D&O-Deckung an die neue Risikolage anpassen.

NIS-2 und das BSI: Registrierung und Aufsicht

Zuständige Behörde ist das Bundesamt für Sicherheit in der Informationstechnik (BSI). Seit dem 6. Januar 2026 nimmt das BSI-Meldeportal Registrierungen entgegen. Betroffene Unternehmen melden sich dort selbst an, benennen einen Ansprechpartner für IT-Sicherheit und hinterlegen grundlegende Angaben zu Branche und Diensten. Die Selbsteinstufung ist Pflicht, eine behördliche Einzelaufforderung gibt es nicht.

Das BSI kann Nachweise verlangen, Audits anordnen und bei Verstößen Maßnahmen durchsetzen. Bei besonders wichtigen Einrichtungen erfolgt die Aufsicht proaktiv, bei wichtigen Einrichtungen anlassbezogen. Die offiziellen Vorgaben und Sektorzuordnungen finden Sie direkt beim BSI.

Welche Bußgelder drohen bei einem Verstoß?

NIS-2 sieht spürbare Sanktionen vor. Maßgeblich ist jeweils der höhere der beiden genannten Beträge.

Neben dem finanziellen Risiko zählt der Reputationsschaden. Ein gemeldeter Vorfall ohne nachweisbares Risikomanagement schwächt die Position gegenüber Kunden und Aufsicht. Das ist ein guter Grund, die Maßnahmen sauber zu dokumentieren, statt sie nur abzuhaken.

Wie hängen NIS-2 und Versicherungen zusammen?

Eine Versicherung ersetzt keine NIS-2-Compliance. Sie kann aber zwei Risiken abfedern, die das Gesetz nicht abnimmt. Erstens deckt eine Cyberversicherung die finanziellen Folgen eines Angriffs ab, etwa IT-Forensik, Datenwiederherstellung und Betriebsunterbrechung. Zweitens schützt eine D&O-Versicherung die Geschäftsführung vor persönlichen Schadenersatzansprüchen aus Pflichtverletzungen.

Beachten Sie die Wechselwirkung: Viele Cyber-Versicherer setzen grundlegende Sicherheitsmaßnahmen voraus, die sich mit den NIS-2-Pflichten überschneiden. Wer die zehn Maßnahmen umsetzt, verbessert damit oft auch seine Ausgangslage im Versicherungsantrag. Wie sich beide Themen für kleinere Betriebe verbinden, lesen Sie im Ratgeber zur Cyber-Risiken für KMU.

Fazit

Hinweis: Die Inhalte auf dieser Seite dienen der allgemeinen Information. Sie ersetzen keine individuelle Rechts- oder Versicherungsberatung durch eine zugelassene Stelle.