Aktualisiert: August 2026
Inhalt
Kurzfassung: Das NIS2-Umsetzungsgesetz gilt in Deutschland seit dem 6. Dezember 2025. Die gesetzliche Registrierungsfrist nach § 33 BSIG endete am 6. März 2026, die Nachfrist des BSI am 31. Juli 2026. Beide Termine sind verstrichen. Von rund 29.500 betroffenen Einrichtungen waren zuletzt etwa 18.500 im BSI-Portal registriert – rund 11.000 fehlen weiterhin. Wer nicht registriert ist, ist seit August 2026 im Verzug, und die Registrierungspflicht besteht unverändert fort.
Der aktuelle Stand: beide Fristen sind abgelaufen
Anders als in vielen älteren Ratgebern steht bei NIS2 kein Stichtag mehr bevor – die entscheidenden Termine liegen bereits hinter uns. Das verändert die Ausgangslage für betroffene Unternehmen grundlegend: Es geht nicht mehr um Vorbereitung, sondern um das Schließen einer bestehenden Lücke.
| Datum | Was gilt | Status |
|---|---|---|
| 06.12.2025 | NIS2-Umsetzungsgesetz tritt in Kraft (BSIG-neu) | in Kraft |
| 06.03.2026 | Gesetzliche Registrierungsfrist nach § 33 BSIG | abgelaufen |
| 31.07.2026 | Nachfrist des BSI (Vollzugszurückhaltung) | abgelaufen |
| seit 08/2026 | Aktive Durchsetzung durch das BSI | läuft |
Wichtig zur Einordnung: Der 31. Juli 2026 war keine gesetzliche Fristverlängerung, sondern eine angekündigte Zurückhaltung des BSI bei der Vollstreckung. Die eigentliche Rechtspflicht bestand bereits seit dem 6. März 2026. Wer die Registrierung bis heute nicht nachgeholt hat, sollte das unverzüglich tun – sie bleibt verpflichtend, unabhängig davon, wie viel Zeit seither vergangen ist.
Bei wichtigen und besonders wichtigen Einrichtungen kann das BSI anlassbezogene und stichprobenartige Prüfungen durchführen (§§ 61, 62 BSIG-neu). Für KMU bedeutet das in der Praxis: Der Nachweis über umgesetzte Sicherheitsmaßnahmen muss vorliegen, bevor eine Prüfung ins Haus steht – nicht erst danach.
Wen NIS2 in Heidelberg betrifft
NIS2 erweitert den Kreis betroffener Unternehmen deutlich. Viele Heidelberger KMU, die bisher keine sektorspezifischen IT-Sicherheitsvorschriften beachten mussten, fallen nun unter die Bestimmungen des BSIG.
Maßgeblich ist die Kombination aus Branche und Unternehmensgröße. Betroffen sind unter anderem Pharma- und Chemieindustrie, Logistik und Transport, digitale Dienstleister, Energie- und Wasserversorgung, Abfallwirtschaft, Lebensmittelproduktion sowie Teile des verarbeitenden Gewerbes. Als Schwellenwert gelten in der Regel 50 Mitarbeitende oder 10 Millionen Euro Jahresumsatz – abhängig vom Sektor.
Bei Verstößen drohen gestaffelte Bußgelder: Für Mängel im Risikomanagement bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes bei besonders wichtigen Einrichtungen, bis zu 7 Millionen Euro oder 1,4 % bei wichtigen Einrichtungen – jeweils der höhere Betrag. Für ein Versäumnis der Registrierungspflicht selbst sind Bußgelder bis zu 500.000 Euro vorgesehen.
Persönliche Haftung der Geschäftsführung
Der für Geschäftsführer wichtigste Punkt steht in § 38 BSIG-neu: Die Geschäftsleitung muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und sich regelmäßig schulen lassen. Diese Pflicht ist persönlich – sie lässt sich nicht wirksam an die IT-Abteilung oder einen Dienstleister delegieren.
Praktische Folge: Kommt es zu einem Schaden und war das Risikomanagement erkennbar unzureichend, steht ein Organisationsverschulden im Raum. D&O-Versicherungen greifen in solchen Konstellationen typischerweise nicht, weil Organisationsverschulden als grob fahrlässig gewertet werden kann. Genau deshalb ist eine belastbare, jederzeit vorzeigbare Dokumentation kein Formalismus, sondern der eigentliche Schutz der Geschäftsführung.
NIS2-Checkliste: Diese Maßnahmen müssen Sie umsetzen
Die folgenden Maßnahmen leiten sich aus den Risikomanagementanforderungen nach § 30 BSIG-neu (Art. 21 NIS2) ab.
Technische Sicherheitsmaßnahmen
Backup und Recovery
- Automatisierte, regelmäßige Backups aller kritischen Daten einrichten
- Wiederherstellungsprozesse mindestens vierteljährlich testen und die Tests dokumentieren
- Backups räumlich getrennt und mindestens teilweise unveränderlich (immutable) lagern
Wie sich Wiederherstellungszeiten planen und nachweisen lassen, behandeln wir ausführlich unter Backup & Disaster Recovery.
Netzwerksicherheit
- Professionelle Firewall mit aktuellem Regelwerk und Update-Stand betreiben
- Netzwerk in Sicherheitszonen segmentieren
- Datenverkehr kontinuierlich auf verdächtige Aktivitäten überwachen
Angriffserkennung am Endpoint
- Verhaltensbasierte Erkennung statt reiner Signaturprüfung einsetzen
- Sicherheitsereignisse zentral und revisionssicher protokollieren
- Reaktionswege für erkannte Angriffe vorab festlegen (z. B. automatische Geräteisolation)
Details dazu: EDR, MDR & SIEM für KMU.
Zugangskontrollen
- Multi-Faktor-Authentifizierung für alle kritischen Systeme aktivieren
- Nur minimal notwendige Berechtigungen vergeben (Least Privilege)
- Alle Benutzerzugänge vollständig dokumentieren und regelmäßig überprüfen
Patch-Management
- Systematischen Plan für Software-Updates etablieren
- Sicherheitskritische Patches vorrangig behandeln
- Updates vor dem Produktiveinsatz testen
Organisatorische Anforderungen
Risikomanagement
- Gesamte IT-Infrastruktur systematisch auf Schwachstellen analysieren
- Risiken und zugehörige Schutzmaßnahmen dokumentieren
- Risikobewertung mindestens jährlich aktualisieren
Mitarbeiterschulungen
- Team regelmäßig zu aktuellen IT-Sicherheitsthemen schulen
- Bewusstsein für Phishing und Social Engineering schärfen
- Schulungsmaßnahmen schriftlich festhalten – auch die der Geschäftsleitung (§ 38 BSIG-neu)
Lieferantenmanagement
- Sicherheitsstandards der eigenen IT-Dienstleister prüfen
- Verbindliche Sicherheitsklauseln vertraglich vereinbaren
- Einhaltung der vereinbarten Standards regelmäßig kontrollieren
Incident Response und Meldepflichten
Notfallplan
- Detaillierten Notfallplan für Sicherheitsvorfälle erstellen
- Klare Zuständigkeiten und Eskalationswege festlegen
- Notfallprozesse in regelmäßigen Übungen trainieren
Ein durchgespieltes Beispiel für den Ernstfall: Ransomware-Angriff – Notfallplan für KMU.
Meldepflichten nach § 32 BSIG-neu
- Frühwarnung an das BSI innerhalb von 24 Stunden
- Aktualisierte Meldung mit erster Bewertung innerhalb von 72 Stunden
- Abschlussbericht innerhalb eines Monats
- Jeden Vorfall lückenlos dokumentieren und im Nachgang auswerten
Praktische Umsetzung in Heidelberger KMU
Die typische Herausforderung im Mittelstand ist nicht fehlender Wille, sondern fehlende Kapazität: umfangreiche Anforderungen bei begrenzten internen Ressourcen und oft ohne eigene IT-Abteilung. Managed Services sind hier der realistische Weg – der IT-Dienstleister übernimmt Implementierung, laufende Überwachung und, entscheidend für NIS2, die fortlaufende Dokumentation.
Sinnvoll ist es, die einzelnen Bausteine nicht isoliert zu betrachten. Server, Arbeitsplätze, Cloud-Dienste und Sicherheitssysteme greifen ineinander; erst als abgestimmtes Gesamtbild ergeben sie einen belastbaren Nachweis. Wie sich die Bausteine aufeinander aufbauen lassen, zeigt unser Reifegrad-Modell zur Cyber-Resilienz.
Zwei Bausteine für die konkrete Umsetzung
Die Anforderungen aus § 30 BSIG-neu (Risikomanagement) und Art. 21 Abs. 2 lit. e + f NIS2 (Schwachstellen-Management und Wirksamkeits-Bewertung) lassen sich ohne externe Unterstützung kaum revisionssicher dokumentieren. Zwei unserer Services schließen genau diese Lücken:
- Managed Pentesting (vPenTest) – monatlicher automatisierter Netzwerk-Pentest ab 6,90 €/Endpoint/Monat. Sie erhalten ein Evidence-Paket, das als technischer Nachweis für NIS2, DSGVO Art. 32, ISO 27001 A.8.8 und TISAX 5.2 dient und Audit-, Versicherungs- und Freigabeprozesse unterstützt.
- SaaS Security für Microsoft 365 & Google Workspace – Schutz vor Account-Übernahme, Phishing und KI-gestützten Angriffen auf Ihre Cloud-Identitäten. Ergänzt den Pentest um die zweite Säule: Prävention auf Identitätsebene.
Häufig gestellte Fragen
Die NIS2-Registrierungsfrist ist abgelaufen – was gilt jetzt?
Die gesetzliche Frist nach § 33 BSIG endete am 6. März 2026, die Nachfrist des BSI am 31. Juli 2026. Beide sind verstrichen, die Registrierungspflicht besteht aber unverändert fort und sollte unverzüglich nachgeholt werden. Seit August 2026 gilt keine Vollzugszurückhaltung mehr.
Wie viele Unternehmen sind bisher für NIS2 registriert?
Von rund 29.500 betroffenen Einrichtungen in Deutschland waren zuletzt etwa 18.500 im BSI-Portal erfasst. Rund 11.000 Einrichtungen – gut ein Drittel – fehlen weiterhin. Nicht registriert zu sein ist damit zwar verbreitet, aber kein Schutz vor Konsequenzen.
Sind auch kleinere Heidelberger Unternehmen von NIS2 betroffen?
Ja, die Schwellenwerte wurden deutlich gesenkt. Bereits ab 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz können Sie je nach Branche betroffen sein. Maßgeblich ist die Kombination aus Sektor und Unternehmensgröße.
Haftet die Geschäftsführung bei NIS2 persönlich?
Nach § 38 BSIG-neu muss die Geschäftsleitung die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und sich schulen lassen. Diese Pflicht ist persönlich und nicht wirksam delegierbar. Bei Organisationsverschulden greift der D&O-Schutz typischerweise nicht.
Mit welchen Strafen muss ich bei NIS2-Verstößen rechnen?
Für Mängel im Risikomanagement bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (besonders wichtige Einrichtungen) beziehungsweise 7 Millionen Euro oder 1,4 % (wichtige Einrichtungen) – jeweils der höhere Betrag. Für ein Versäumnis der Registrierungspflicht sind bis zu 500.000 Euro vorgesehen.
Wir haben bereits einen IT-Dienstleister – reicht das für NIS2?
Nicht automatisch. Entscheidend ist, ob die Maßnahmen nach § 30 BSIG-neu tatsächlich umgesetzt und nachweisbar dokumentiert sind. Viele Betreuungsverträge decken den laufenden Betrieb ab, aber nicht die für NIS2 nötige Dokumentation und Wirksamkeitsprüfung. Ein Blick in den bestehenden Vertrag klärt das schnell.
Kann ich die NIS2-Anforderungen ohne externe Hilfe umsetzen?
Technisch ja. In der Praxis scheitert es im Mittelstand meist an Kapazität und an der fortlaufenden Dokumentation, die im Prüfungsfall vorliegen muss. Viele Unternehmen kombinieren daher interne Zuständigkeit mit externer Umsetzung.
Womit beginne ich die NIS2-Umsetzung am besten?
Mit zwei Schritten: erstens der Registrierung beim BSI, falls noch nicht erfolgt. Zweitens einer Bestandsaufnahme, welche der Maßnahmen nach § 30 BSIG-neu bereits umgesetzt sind und wo die Dokumentation fehlt. Daraus ergibt sich die Priorisierung von selbst.
Unklar, ob Sie betroffen sind – oder fehlt die Dokumentation?
In einem kostenlosen 30-minütigen Gespräch klären wir, ob Ihr Unternehmen unter NIS2 fällt, wo Ihre Nachweise aktuell lückenhaft sind und welche Schritte in Ihrem Fall wirklich nötig sind. Kein Auftrag, keine Verpflichtung.
Kostenloses Erstgespräch buchen →
Oder direkt anrufen: 06221 647280
