NIS2-Konformität in Deutschland: Leitfaden 2026

Was das NIS2-Umsetzungsgesetz von deutschen Unternehmen verlangt, welche Fristen bereits laufen — und wie Sie Ihre Bereitschaft mit unserer kostenlosen Selbstbewertung in 25 Fragen messen.

KOSTENLOSES TOOL · OHNE REGISTRIERUNG

NIS2-Selbstbewertung in 25 Fragen

0-100-Score, Reifestufe und priorisierte Empfehlungen in rund 10 Minuten. Die Berechnung läuft in Ihrem Browser: Wir speichern Ihre Antworten nicht.

Jetzt kostenlos selbst bewerten

Was ist NIS2?

Die Richtlinie (EU) 2022/2555, bekannt als NIS2, ist das europäische Cybersicherheitsrecht, das die NIS-Richtlinie von 2016 ablöst. Sie erweitert die betroffenen Sektoren erheblich, verschärft das Risikomanagement, setzt strikte Meldefristen für Vorfälle (Frühwarnung in 24 Stunden, Meldung in 72 Stunden) und nimmt die Geschäftsleitung direkt in die Verantwortung. Die Umsetzungsfrist für die Mitgliedstaaten lief am 17. Oktober 2024 ab.

Umsetzung in Deutschland: seit Dezember 2025 in Kraft

Deutschland hat die Richtlinie mit dem NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) umgesetzt: vom Bundestag am 13. November 2025 verabschiedet und in Kraft seit dem 6. Dezember 2025. Die Pflichten gelten damit unmittelbar — betroffen sind rund 29.500 Unternehmen.

BSI-Registrierung: Frist bereits abgelaufen

Betroffene Einrichtungen mussten sich bis zum 6. März 2026 über das Registrierungsportal des BSI melden. Bis dahin hatten sich nur rund 11.500 Unternehmen registriert. Wer betroffen ist und noch nicht registriert ist, sollte dies unverzüglich nachholen — die unterlassene Registrierung ist bußgeldbewehrt.

Wer ist betroffen? Welche Pflichten gelten?

Wesentliche und wichtige Einrichtungen aus 18 Sektoren; Faustregel: ab 50 Mitarbeitenden oder mehr als 10 Millionen Euro Jahresumsatz, dazu Sonderfälle unabhängig von der Größe. Kernpflichten: Registrierung beim BSI, Meldung erheblicher Sicherheitsvorfälle (24-Stunden-Frühwarnung, 72-Stunden-Meldung, Abschlussbericht nach einem Monat) und Risikomanagement in zehn Bereichen — u. a. Risikoanalyse, Backup-Management, Lieferkettensicherheit und Multifaktor-Authentifizierung.

Bußgelder

Je nach Verstoß und Einrichtung drohen Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (wesentliche Einrichtungen) bzw. bis zu 7 Millionen Euro oder 1,4 % (wichtige Einrichtungen), zudem die persönliche Verantwortung der Geschäftsleitung.

Die Behörde: BSI

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist die zuständige Aufsichtsbehörde: Betroffenheitsprüfung, Registrierungsportal und Orientierungshilfen zur Umsetzung finden Sie direkt beim BSI.

Häufige Fragen

Gilt NIS2 in Deutschland schon?

Ja. Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist am 6. Dezember 2025 in Kraft getreten. Registrierungs-, Melde- und Risikomanagementpflichten gelten unmittelbar.

Wir haben die Registrierungsfrist am 6. März 2026 verpasst — was nun?

Unverzüglich über das BSI-Portal nachregistrieren und die Umsetzung der Pflichten dokumentieren. Die unterlassene Registrierung ist bußgeldbewehrt; schnelles Handeln reduziert das Risiko.

Wie finde ich heraus, ob wir betroffen sind?

Prüfen Sie Sektor und Größe (ab 50 Mitarbeitenden oder über 10 Mio. € Umsatz) und nutzen Sie die Betroffenheitsprüfung des BSI. Unsere kostenlose Selbstbewertung in 25 Fragen zeigt Ihnen zusätzlich Ihren Reifegrad mit priorisierten Empfehlungen.

Offizielle Quellen

Stand: Juli 2026 · Informationsangebot; keine Rechtsberatung.

Überwachen Sie Ihre Konformität kontinuierlich

Registrieren Sie sich kostenlos bei OCIRIA Security und verfolgen Sie Ihre NIS2-Reife mit Risikowarnungen.

Kostenlos registrieren Mit uns sprechen