NIS-2 und Kritis: Pflichten für wichtige und besonders wichtige Unternehmen

Was ist NIS-2?

Bei NIS-2 handelt es sich um ein EU-Gesetz zur Verbesserung der IT-Sicherheit, wobei "NIS" für "Network and Information Security" steht.

Durch das "NIS-2 Umsetzungs- und Cybersicherheitsstärkungsgesetz" (NIS2UmsuCG) – wie die Richtlinie in der deutschen Umsetzung heißt – werden betroffene Einrichtungen zu einem höheren IT-Sicherheitsniveau verpflichtet. Das Gesetz bestimmt das Bundesamt für Sicherheit in der Informationstechnik (BSI) als zentrale Anlaufstelle für die Umsetzung und Überwachung der Vorgaben.

Besonders relevant ist IT-Sicherheit für Organisationen und Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen, bei deren Ausfall oder Beeinträchtigung

• nachhaltig wirkende Versorgungsengpässe,
• erhebliche Störungen der öffentlichen Sicherheit
• oder andere schwerwiegende Folgen eintreten würden.

Dementsprechend wurden bisher ca. 2.000 Unternehmen als „Betreiber kritischer Infrastrukturen“ (KRITIS) eingestuft, was sich aus der Zugehörigkeit zu bestimmten Branchen (z. B. Energie) und anhand festgelegter Schwellwerte ergab. Dadurch wird der Kreis der Unternehmen, die IT-Sicherheitspflichten erfüllen müssen, deutlich erweitert. Es wird bundesweit mit 30.000 betroffenen Unternehmen gerechnet (inkl. der ca. 2.000 KRITIS-Unternehmen).

Welche Unternehmen sind vom NIS2UmsuCG betroffen?

Unternehmen werden nicht automatisch darüber informiert, ob sie von NIS-2 betroffen sind. Sie müssen eigenständig prüfen, ob sie unter den Anwendungsbereich des Gesetzes fallen. Betroffene Unternehmen gelten als „wichtige“ oder „besonders wichtige Einrichtung“ im Sinne des § 28.

Hierfür stellt das BSI eine NIS-2 Betroffenheitsprüfung bereit. Kriterien sind

• die Zugehörigkeit zu Branchensektoren (siehe Anhänge 1 und 2 im
  Gesetz zur Umsetzung der NIS-2-Richtlinie sowie BSI: "Sektorspezifische NIS-2-Informationen"),
• die Anzahl der Mitarbeitenden,
• der Jahresumsatz
• und die Jahresbilanzsumme.

Hinzu kommen spezielle IT-Einrichtungen wie beispielsweise qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries oder DNS-Diensteanbieter. Gegebenenfalls kann das BSI auch eine Betroffenheit feststellen.

Unabhängig davon, ob ein Unternehmen von NIS-2 betroffen ist oder nicht, empfiehlt sich die Registrierung beim BSI-Portal als zentrale digitale Plattform des Bundesamts für Sicherheit in der Informationstechnik für Unternehmen und Organisationen. Dort kann man auch ohne NIS-2 Betroffenheit z. B. Warnungen zu Schwachstellen erhalten.

Was müssen betroffene Unternehmen tun?

Wird eine Betroffenheit festgestellt, bestehen diverse Pflichten für Unternehmen und Organisationen, die insbesondere von der Einstufung als "wichtig" oder "besonders wichtig" abhängen. Daher ist es essenziell, das NIS2UmsuCG sorgfältig zu studieren.

Folgende Pflichten sind für betroffene Unternehmen ggf. relevant:

• Registrierungspflicht gemäß §33, §34: Die Registrierung beim BSI begründet die Pflichten nicht erst. Betroffene Einrichtungen müssen die Anforderungen des NIS2UmsuCG bereits erfüllen, sobald sie unter den Anwendungsbereich des Gesetzes fallen. Mehr zur Registrierungspflicht im entsprechenden Abschnitt.

• Risikomanagementmaßnahmen & Business Continuity Management gemäß §§ 30, 31: Dazu gehört z. B. der Einsatz technischer Maßnahmen wie Kryptografie, Verschlüsselung oder Multi-Faktor-Authentifizierung.

• Meldepflichten gemäß §32

• Unterrichtungspflichten gemäß §35

• Billigungs-, Überwachungs- und Schulungspflicht für Geschäftsleiter gemäß §38: siehe BSI-Hinweise zur "NIS-2-Geschäftsleitungsschulung"

Für Betreiber kritischer Anlagen gelten zusätzliche spezifische Anforderungen.

Zusätzlich zu den Gesetzesänderungen des NIS2UmsuCG soll es Rechtsverordnungen geben (siehe §56 "Ermächtigung zum Erlass von Rechtsverordnungen"). Darin soll folgendes geregelt werden:

• Sicherheitszertifikate und Anerkennung:
  Details zur Erteilung von Sicherheitszertifikaten und zur Anerkennung nach spezifischen Vorschriften werden erläutert (§56 Abs. 1).

• IT-Sicherheitskennzeichnung:
  Die Einzelheiten des IT-Sicherheitskennzeichens und die Feststellung der Eignung branchenabgestimmter IT-Sicherheitsvorgaben werden beschrieben, zusammen mit der Prozedur zur Freigabe solcher Vorgaben (§56 Abs. 2).

• Zertifizierungspflicht für bestimmte Produkte, Dienste oder Prozesse:
  Es wird festgelegt, dass bestimmte Produkte, Dienste oder Prozesse, die von besonders wichtigen Einrichtungen verwendet werden, eine Zertifizierung benötigen (§56 Abs. 3).

• Kritische Dienstleistungen und Anlagen:
  Es wird definiert, welche Dienstleistungen und Anlagen als kritisch im Sinne des Gesetzes angesehen werden, einschließlich des Versorgungsgrades, der für diese als notwendig erachtet wird (§ 56 Abs. 4).

Seitens der EU gibt es hierzu den Entwurf der Durchführungsverordnung "Cybersicherheitsrisikomanagement und Berichtspflichten für digitale Infrastrukturen, Anbieter und IKT-Servicemanager", da "einige Betreiber aus den digitalen Sektoren grenzüberschreitend tätig sind".

Das BSI beantwortet die wichtigsten Fragen zu NIS-2 in einem FAQ.

Welche Folgen drohen bei Nichtbeachtung?

Sollten die geforderten Maßnahmen nicht eingehalten werden, drohen Unternehmen hohe Geldstrafen (§65). Aufsichtsbehörden verfügen hierbei über ein Kontroll- und Weisungsrecht mit Fristeinhaltung. Zudem existiert eine persönliche Haftung der Geschäftsleiter (§38, §61).

Für besonders wichtige Einrichtungen regelt §61 die Aufsichts- und Durchsetzungsmaßnahmen. Das BSI kann frühestens drei Jahre nach Inkrafttreten des Gesetzes die Vorlage von Nachweisen über die Erfüllung der Pflichten verlangen (§ 61 Abs. 3). Unabhängig davon kann das BSI jedoch bereits zuvor Maßnahmen anordnen, insbesondere wenn Gefahr im Verzug ist (§61 Abs. 6).

Für wichtige Einrichtungen gelten entsprechende Aufsichts- und Durchsetzungsbefugnisse nach §62.

Wer muss sich registrieren und bis wann?

§ 33 regelt die Registrierungspflicht für besonders wichtige und wichtige Einrichtungen. Für bestimmte Einrichtungsarten gelten ergänzend die besonderen Registrierungspflichten nach § 34.

• §33 (1): "Besonders wichtige Einrichtungen und wichtige Einrichtungen sowie Domain-Name-Registry-Diensteanbieter sind verpflichtet, spätestens drei Monate, nachdem sie erstmals oder erneut als eine der genannten Einrichtungen gelten oder Domain-Name-Registry-Dienste anbieten, dem Bundesamt über eine gemeinsam vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit Angaben zu übermitteln."

• §33 (3): "Die Registrierung von besonders wichtigen Einrichtungen und wichtigen Einrichtungen und Domain-Name-Registry-Diensteanbieter kann das Bundesamt im Einvernehmen mit den jeweils zuständigen Aufsichtsbehörden auch selbst vornehmen, wenn ihre Pflicht zur Registrierung nicht erfüllt wird."

Wie funktioniert die Registrierung?

Das BSI‑Portal wurde am 6. Januar 2026 als zentrale digitale Plattform des Bundesamts für Sicherheit in der Informationstechnik für Unternehmen und Organisationen freigeschaltet. Es dient als Zugangspunkt für verschiedene Online‑Dienste rund um Cybersicherheit, insbesondere:

• Registrierung und Kommunikation im Rahmen von NIS‑2
• Meldung von IT‑Sicherheitsvorfällen
• Abruf von Warnmeldungen und Lageinformationen
• Nutzung von Angeboten wie der Allianz für Cybersicherheit

Hier finden Sie Hinweise zur Registrierung für das BSI-Portal und für NIS-2.

Wie bewerten die DIHK und IHK für München und Oberbayern das NIS2UmsuCG?

Das NIS2UmsuCG ist ein Änderungsgesetz, das Anpassungen in einer Vielzahl bestehender Gesetze vorsieht. Das Ziel des Gesetzes, ein hohes gemeinsames Sicherheitsniveau sicherzustellen, unterstützt die DIHK und die IHK für München und Oberbayern ausdrücklich. Das Ziel kann aber nur erreicht werden, wenn

• die Maßnahmen angemessen sind
• und den Unternehmen nicht zusätzliche bürokratische Pflichten auferlegt werden.

Es dürfen nicht unnötig Kapazitäten gebunden werden, die stattdessen gezielt für Cybersicherheitsmaßnahmen in den Unternehmen genutzt werden könnten.

Zudem sollte das Miteinander von Staat und Wirtschaft, insbesondere der Informationsrückfluss aus den zusätzlichen Meldepflichten einer größeren Anzahl von Unternehmen konkretisiert und gemeinsam an den Bedarfen der Unternehmen ausgerichtet werden.

NIS-2: Gesetzliche Entwicklung

2023 beschloss die EU die NIS-2-Richtlinie über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der gesamten Union, die Deutschland anschließend umsetzte.

Am 30.09.2025 (wie auch schon 2023 und 2024) hatte sich die IHK-Organisation mit einer Stellungnahme in die Diskussion eingebracht, an der die IHK für München und Oberbayern mitwirkte.

Zuvor hatte am 13.11.2025 der Deutsche Bundestag die von der Bundesregierung geplante Umsetzung der sogenannten NIS-2-Richtlinie der EU beschlossen. Nachfolgend hatte sich der Bundesrat am 21.11.2025 dazu beraten ( Bundesrat – Mediathek) und das Gesetz akzeptiert (siehe Protokoll des Tagesordnungspunktes).

Mit der Veröffentlichung des Gesetzes zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung ( NIS2UmsuCG) trat ab dem 06.12.2025 die NIS-2 Umsetzung in Kraft.