Dies ist eine allgemeine Information zur Orientierung und keine Rechtsberatung. Für die Einstufung Ihres Unternehmens und Einzelfragen empfehlen wir eine Abstimmung mit einer Rechtsanwältin oder einem Rechtsanwalt.
Ein Kunde fragt nach Ihrem IT-Sicherheitskonzept. Die Versicherung will wissen, wie Ihre Datensicherung aussieht. Und in der Zeitung steht wieder etwas von NIS2 und Millionenbußgeldern. Wenn Sie sich fragen, ob Sie damit gemeint sind, geht es Ihnen wie vielen Geschäftsführern in Bonn und Umgebung.
Die gute Nachricht: Ob Sie NIS2 betroffen sind, lässt sich oft in wenigen Minuten eingrenzen. Und wenn ja, ist der Einstieg weniger kompliziert, als die Schlagzeilen vermuten lassen. In diesem Artikel erfahren Sie, wer unter NIS2 fällt, welche Fristen gelten, was Sie konkret tun müssen und womit Sie noch heute anfangen können.
Das Wichtigste in Kürze
- Das deutsche NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025, ohne Übergangsfrist (Umsetzung ins BSI-Gesetz).
- Betroffen sind Einrichtungen aus bestimmten Sektoren ab einer bestimmten Größe; das BSI nennt rund 29.500 Einrichtungen in Deutschland.
- Die gesetzliche Registrierungsfrist beim BSI endete für bereits Betroffene am 6. März 2026. Eine vom BSI kommunizierte Kulanz bis 31. Juli 2026 war Vollzugspraxis, kein neuer gesetzlicher Termin, und ist abgelaufen. Nachholen bleibt Pflicht und ist weiterhin möglich.
- Erhebliche Sicherheitsvorfälle müssen gestuft gemeldet werden: frühe Erstmeldung innerhalb von 24 Stunden, Folgemeldung innerhalb von 72 Stunden, Abschluss- oder Fortschrittsmeldung spätestens einen Monat nach der Folgemeldung (§ 32 BSIG).
- Auch wer selbst nicht betroffen ist, wird oft von Kunden, Banken oder Versicherungen nach Nachweisen gefragt.
Was ist NIS2 und was hat sich geändert?
NIS2 ist eine EU-Richtlinie zur Cybersicherheit. In Deutschland wurde sie durch das NIS2-Umsetzungsgesetz in das BSI-Gesetz (BSIG) übernommen. Neu ist vor allem, dass deutlich mehr Unternehmen erfasst werden als zuvor. Früher betraf das Thema vor allem Betreiber kritischer Infrastrukturen. Jetzt kommen viele mittelständische Unternehmen hinzu, zum Beispiel aus dem verarbeitenden Gewerbe, der Lebensmittelproduktion, der Abfallwirtschaft oder dem Bereich digitaler Dienste und IT-Dienstleistungen.
Aufsichtsbehörde ist das Bundesamt für Sicherheit in der Informationstechnik (BSI).
Bin ich NIS2 betroffen? So prüfen Sie es
Entscheidend sind zwei Fragen: Gehört Ihr Unternehmen zu einem der erfassten Sektoren (Anlagen 1 und 2 zum BSIG)? Und: Ist es groß genug?
| Einstufung | Größe (vereinfacht) | Aufsicht und Bußgeldrahmen |
|---|---|---|
| Wichtige Einrichtung | ab 50 Beschäftigten oder Jahresumsatz und Bilanzsumme jeweils über 10 Mio. € | überwiegend anlassbezogene Aufsicht; Bußgelder bis 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes |
| Besonders wichtige Einrichtung | ab 250 Beschäftigten oder Jahresumsatz über 50 Mio. € und Bilanzsumme über 43 Mio. € | intensivere Aufsicht; Bußgelder bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes |
Die Größenschwellen gelten nur in Verbindung mit dem Sektor. Es gibt Sonderfälle, etwa bei bestimmten digitalen Diensten oder Betreibern kritischer Anlagen, teilweise unabhängig von der Unternehmensgröße. Die Tabelle ist eine Orientierung, keine Einzelfallentscheidung.
Der schnellste Weg zur ersten Klarheit: Die NIS-2-Betroffenheitsprüfung des BSI ist anonym nutzbar. Das Ergebnis ist laut BSI rechtlich nicht bindend und ersetzt keine Selbstprüfung. Wir begleiten Sie gern dabei und helfen, das Ergebnis und die nächsten technischen Schritte zu dokumentieren.
Hinweis für IT-Dienstleister: Auch Unternehmen, die IT-Dienste für andere betreiben (zum Beispiel Managed Service), können selbst unter NIS2 fallen — wenn Sektor und Größe zusammenpassen. Ob das für Sie gilt, klären BSI-Betroffenheitsprüfung und bei Bedarf eine Rechtsberatung; das Ergebnis ist ohne Rechtsgarantie und kann sich mit Wachstum oder neuem Geschäft ändern. Meurologic hilft bei der technischen Umsetzung und Dokumentation, ersetzt aber keine juristische Einstufung.
Fristen und Stand im Oktober 2026
| Datum | Ereignis |
|---|---|
| 6. Dezember 2025 | NIS2-Umsetzungsgesetz in Kraft, ohne Übergangsfrist |
| 6. März 2026 | Gesetzliche Registrierungsfrist beim BSI (drei Monate nach Inkrafttreten) für alle, die bereits bei Inkrafttreten betroffen waren |
| 31. Juli 2026 | Vom BSI kommunizierte Kulanz für Nachmeldungen; kein neuer gesetzlicher Termin; inzwischen abgelaufen |
| laufend | Meldepflichten bei erheblichen Sicherheitsvorfällen |
Wer erst später betroffen wird, etwa durch Wachstum oder eine neue Geschäftstätigkeit, muss sich innerhalb von drei Monaten nach Eintritt der Betroffenheit registrieren.
Wenn Sie betroffen und noch nicht registriert sind: Holen Sie es nach. Eine verspätete Registrierung hebt den Fristverstoß nicht auf, zeigt dem BSI aber, dass Sie handeln. Die unterlassene Registrierung kann als Ordnungswidrigkeit mit einem Bußgeld von bis zu 500.000 € geahndet werden. In der Praxis wird nicht jeder Verstoß mit der Höchstsumme belegt; entscheidend ist nachvollziehbares Handeln und Dokumentation.
Praxistipp: Die Registrierung läuft zweistufig: zuerst „Mein Unternehmenskonto“ (MUK, ELSTER-Organisationszertifikat), dann Registrierung im BSI-Portal. Beantragen Sie das Zertifikat früh, die Einrichtung kann einige Tage dauern. Wir unterstützen Sie bei der technischen Vorbereitung und der Dokumentation.
Was NIS2 von Ihnen verlangt
1. Risikomanagement
Betroffene Einrichtungen müssen angemessene technische und organisatorische Maßnahmen umsetzen. Sie orientieren sich am Stand der Technik und umfassen unter anderem:
- Risikoanalyse und Sicherheitskonzepte
- Bewältigung von Sicherheitsvorfällen
- Backup-Management, Notfall- und Krisenmanagement
- Sicherheit der Lieferkette
- Sicherheit bei Beschaffung, Entwicklung und Wartung, einschließlich Schwachstellenmanagement
- Bewertung der Wirksamkeit der Maßnahmen
- Cyberhygiene und Schulungen
- Verschlüsselung
- Zugriffskontrolle, Personalsicherheit und Verwaltung der IT-Bestände
- Mehrfaktor-Authentifizierung und gesicherte Kommunikation
Das ist kein einmaliges Projekt, sondern ein laufender, dokumentierter Prozess. Viele Bausteine gehören ohnehin zu einer soliden IT-Betreuung; siehe Leistungen – Sicherheit.
2. Meldepflichten bei erheblichen Sicherheitsvorfällen
- Frühe Erstmeldung an das BSI unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis
- Folgemeldung mit erster Bewertung innerhalb von 72 Stunden nach Kenntnis
- Abschlussmeldung spätestens einen Monat nach der Folgemeldung; dauert der Vorfall noch an, zuerst Fortschrittsmeldung (§ 32 BSIG)
Die Meldepflicht gilt auch dann, wenn die Registrierung noch aussteht. Zusätzlich kann eine Meldung an die Datenschutzaufsicht nach DSGVO nötig sein; beide Wege laufen getrennt. Praxis zum Vorfallablauf: Ransomware: erste 24 Stunden.
3. Verantwortung der Geschäftsleitung
Die Geschäftsleitung muss die Maßnahmen billigen und überwachen und sich zum Thema schulen lassen. Bei schuldhaften Pflichtverletzungen kann sie gegenüber dem Unternehmen haften. Cybersicherheit ist damit Chefsache und lässt sich nicht allein an die IT delegieren. Details zur Haftung sollten Sie rechtlich einordnen lassen.
Und wenn ich gar nicht betroffen bin?
Dann sind Sie womöglich trotzdem gefragt. Unternehmen, die selbst nicht unter NIS2 fallen, können mittelbar betroffen sein, weil größere Kunden Anforderungen entlang der Lieferkette weitergeben. Auch Banken und Versicherer fragen zunehmend nach Backup-Konzept, Zugriffsschutz und Notfallplan. Wer das belegen kann, hat bei Ausschreibungen und Verhandlungen einen Vorteil, ohne dass man „NIS2-Betroffenheit“ vortäuschen müsste.
Die ersten 5 Schritte
- Betroffenheit klären und registrieren. BSI-Betroffenheitsprüfung durchführen, Ergebnis dokumentieren, bei Bedarf MUK/ELSTER beantragen und im BSI-Portal registrieren. Eine Kontaktstelle für Meldungen benennen.
- Bestandsaufnahme und Risikoanalyse. Welche Systeme, Daten und Dienstleister sind für den Betrieb kritisch? Was passiert, wenn sie ausfallen? Das Ergebnis ist die Grundlage für alles Weitere.
- Backup und Wiederherstellung absichern. Backup nach der 3-2-1-Regel, mindestens eine Kopie getrennt vom Netz oder unveränderbar, und vor allem: regelmäßig getestete Wiederherstellung. Ein Backup ohne Test ist ein Versprechen ohne Beleg.
- Zugänge, Updates und E-Mail schützen. Mehrfaktor-Authentifizierung (siehe auch Passkeys für Betriebe), zeitnahe Updates, Firewall und Endpunktschutz, E-Mail-Sicherheit inklusive sinnvoller Archivierung. Welche Produkte passen, klären wir an Ihrer Umgebung, nicht als Katalogwerbung.
- Notfallplan und Meldeprozess aufbauen. Wer entscheidet im Ernstfall? Wer meldet an das BSI innerhalb von 24 Stunden? Wo liegen die Notfallkontakte, auch offline? Einmal im Jahr üben, und die Geschäftsleitung einbinden.
Sie müssen nicht alles auf einmal umsetzen. Wichtig ist ein dokumentierter Fahrplan, der zeigt, dass Sie das Thema ernst nehmen.
Häufige Fragen zu NIS2
Gilt NIS2 auch für kleine Unternehmen?
Die Pflichten gelten grundsätzlich ab einer bestimmten Größe und nur in den erfassten Sektoren. Kleinere Unternehmen sind oft nicht direkt betroffen, werden aber mittelbar über Kunden und Lieferketten angesprochen.
Muss ich mich noch beim BSI registrieren?
Wenn Sie betroffen sind und noch nicht registriert: Ja. Die Pflicht besteht weiterhin; gesetzliche Frist und BSI-Kulanz sind abgelaufen. Nachholen ist sinnvoll und möglich.
Welche Strafen drohen?
Der Bußgeldrahmen reicht bei besonders wichtigen Einrichtungen bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, bei wichtigen Einrichtungen bis 7 Mio. € oder 1,4 %. Für eine unterlassene Registrierung liegt der Rahmen bei bis zu 500.000 €. Entscheidend bleibt nachvollziehbare Dokumentation Ihrer Maßnahmen.
Brauche ich eine ISO-27001-Zertifizierung?
Nein, sie ist nicht vorgeschrieben. Sie kann helfen, Maßnahmen zu strukturieren. NIS2 enthält zusätzliche Pflichten wie Registrierung, Meldeverfahren und Geschäftsleitungspflichten, die eine Zertifizierung allein nicht abdeckt.
Was ist ein „erheblicher Sicherheitsvorfall“?
Vereinfacht: ein Vorfall, der den Betrieb Ihrer Dienste stark stört oder erheblichen Schaden verursachen kann, zum Beispiel ein Ransomware-Angriff. Ob eine Meldepflicht besteht, sollte im Notfallplan vorab geklärt sein, damit im Ernstfall keine Zeit verloren geht.
Kann Meurologic bei der Umsetzung helfen?
Ja, bei Bestandsaufnahme, technischer Absicherung (Backup, Zugänge, E-Mail, Monitoring), Dokumentation und Vorbereitung des Meldeprozesses. Rechtliche Einzelfragen zur Einstufung klären Sie bitte zusätzlich mit Rechtsberatung; wir arbeiten gern mit Ihrem Anwalt zusammen.
Ihr nächster Schritt: unverbindlicher NIS2-Schnellcheck
Sie müssen nicht alles allein klären. In einem unverbindlichen 30-Minuten-Gespräch prüfen wir gemeinsam:
- ob Sie voraussichtlich betroffen sein könnten und wie die Registrierung abläuft
- wo Ihre größten technischen Lücken liegen (Backup, Zugänge, E-Mail, Notfallplan)
- welche drei Maßnahmen Sie als Erstes angehen sollten
Ohne Verpflichtung, ohne Verkaufsdruck, und mit einem Ergebnis, das Sie Ihrer Geschäftsführung oder Ihrem Auftraggeber zeigen können.
Termin vereinbaren · Telefon 0228 823 403 10
Weiterführende Quellen:
BSI Betroffenheitsprüfung ·
BSI FAQ zu NIS-2 ·
BSI Meldepflicht ·
BSI-Portal ·
§ 32 BSIG ·
IHK Bonn/Rhein-Sieg – IT-Sicherheit
Meurologic ist Ihr IT-Partner in Bonn. Seit 2005 betreuen wir mittelständische Unternehmen, Praxen und Kanzleien in Bonn und Umgebung bei IT-Sicherheit, Backup, Virtualisierung, Microsoft 365 und mehr. Kontakt: 0228 823 403 10 · service@meurologic.de · Maarstr. 84, 53227 Bonn
