Häufig gestellte Fragen zu NIS 2
Das NIS-2-Umsetzungsgesetz ist am 6. Dezember 2025 offiziell in Kraft getreten und gilt seitdem verpflichtend. Im November 2025 hatten der Bundestag und der Bundesrat das Gesetz beschlossen.
Zuletzt aktualisiert am 29.06.2026 von GRUNDIG AKADEMIE.
Mit der NIS-2-Betroffenheitsprüfung können Sie unverbindlich und selbständig prüfen, ob Ihr Unternehmen in den Anwendungsbereich fällt. Ergänzend dazu können Sie die NIS-2-Betroffenheitsprüfung auch über den zugrundeliegenden Entscheidungsbaum nachvollziehen.
Zuletzt aktualisiert am 29.06.2026 von GRUNDIG AKADEMIE.
Ja. Auch wenn Sie Ihren SaaS-Dienst auf der Infrastruktur eines externen Anbieters (wie z. B. AWS, Azure oder Google Cloud) betreiben, gilt er als Cloud-Computing-Dienst im Sinne des BSIG (§ 2 Nr. 4).
Das Gesetz fordert keine Betreiberidentität. Es ist also egal, wer die physischen Server besitzt. Entscheidend ist allein die Funktion Ihres Dienstes:
- Er wird funktional eigenständig bereitgestellt.
- Er bietet auf Abruf Zugriff auf einen skalierbaren Pool gemeinsam nutzbarer Rechenressourcen.
Da diese Kriterien auf die meisten SaaS-Modelle zutreffen, fallen sie unabhängig von der genutzten Server-Infrastruktur unter die Definition.
Zuletzt aktualisiert am 29.06.2026 von GRUNDIG AKADEMIE.
Das NIS-2-Umsetzungsgesetz verpflichtet Sie, alle Risikomanagement-Maßnahmen nachvollziehbar und schriftlich zu dokumentieren. Sie müssen also Prozesse, Zuständigkeiten und Sicherheitsvorkehrungen festhalten und regelmäßig überprüfen.
Als konkrete Nachweise dienen in der Praxis unter anderem:
- Interne Dokumentation und Berichte
- Zertifizierungen nach anerkannten Standards. Wie zum Beispiel ISO/IEC 27001 oder dem BSI-IT-Grundschutz. Bitte beachten Sie, dass solche Zertifikate den Nachweis zwar stark erleichtern, aber immer individuell auf die Vollständigkeit hinsichtlich des NIS-2-Maßnahmenkatalogs geprüft werden müssen.
- Nachweise über Schulungen und Awareness-Maßnahmen
- Auditberichte oder interne Kontrollverfahren
Zuletzt aktualisiert am 26.06.2026 von GRUNDIG AKADEMIE.
Ja. Auch wenn Sie Ihre IT komplett ausgelagert haben, entbindet Sie das nicht von den gesetzlichen Pflichten des NIS-2-Umsetzungsgesetzes.
Sie müssen sicherstellen, dass Ihre Dienstleister
- die nötigen NIS-2-Vorgaben umsetzen,
- die Vorgaben regelmäßig überprüfen
- und Vorfälle ordnungsgemäß melden.
Die Pflichten vertraglich festzuhalten, genügt nicht. Denn die Einhaltung der NIS-2-Vorgaben können nicht an Dritte delegiert werden. Die Geschäftsleitung Ihres Unternehmens bleibt in der Pflicht, das Risikomanagement zu steuern und umzusetzen.
Zuletzt aktualisiert am 29.06.2026 von GRUNDIG AKADEMIE.
Nein. Es gibt keine Pflicht, den BSI-IT-Grundschutz anzuwenden. Wenn Ihr Unternehmen bereits nach dem BSI-IT-Grundschutz arbeitet, sollten Sie Ihr System mit den gesetzlich vorgegebenen Maßnahmenkatalog abgleichen und eventuelle Lücken schließen.
Zuletzt aktualisiert am 29.06.2026 von GRUNDIG AKADEMIE.
Unabhängig davon, ob Ihr Unternehmen als wichtige oder besonders wichtige Einrichtung eingestuft wird, müssen Sie eine Reihe von zentralen Pflichten erfüllen. Diese sind je nach Einrichtungsart abgestuft.
Dazu gehören unter anderem:
- Die Registrierungspflicht
- Die Meldepflicht bei Sicherheitsvorfällen
- Aktives Risikomanagement
- Informationsaustausch
- Billigungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen
Sollten Sie zudem Betreiber einer kritischen Anlage sein, gelten für Sie erweiterte Pflichten: Sie müssen erweiterte Risikomanagementmaßnahmen ergreifen und deren Einhaltung aktiv gegenüber des BSI nachweisen.
Zuletzt aktualisiert am 26.06.2026 von GRUNDIG AKADEMIE.
Ja. Betroffene Unternehmen sind gesetzlich dazu verpflichtet, sich beim BSI zu registrieren und erhebliche Sicherheitsvorfälle zu melden.
Der Registrierungsprozess (§33 BSIG): Das BSI sieht für einen zweistufigen Registrierungsprozess vor:
- Sie melden sich beim digitalen Dienst „Mein Unternehmenskonto“ (MUK) an. Dafür nutzen Sie das ELSTER-Organisationszertifikat Ihres Unternehmens, das Sie in der Regel bereits für Steuerverfahren verwenden.
- Nach dem MUK-Login werden Sie zum BSI-Portal weitergeleitet. Dort vervollständigen Sie die Registrierung, indem Sie spezifische NIS-2-Daten hinterlegen.
Der Meldeprozess bei erheblichen Sicherheitsvorfällen (§ 32 BSIG):
Sollte es in Ihrem Unternehmen zu einem erheblichen Sicherheitsvorfall (z. B. einem erfolgreichen Ransomware-Angriff oder einer schweren Betriebsstörung) kommen, greift eine strikte, dreistufige Meldekaskade über das BSI-Portal. Hier gilt das Prinzip „Schnelligkeit vor Vollständigkeit“:
- Frühwarnung (innerhalb von 24 Stunden): Erste Meldung direkt nach Kenntnisnahme des Vorfalls.
- Folgemeldung (innerhalb von 72 Stunden): Aktualisierung der ersten Meldung mit weiteren Details.
- Abschlussbericht (spätestens nach einem Monat): Ein finaler Bericht über den Vorfall.
Hinweis:
KRITIS-Betreiber nutzen für ihre Meldungen übergangsweise weiterhin primär das etablierte System MIP-2. Dieses steht für diesen Zweck mindestens bis zum 31. Juli 2026 (voraussichtlich bis 31. Dezember 2026) zur Verfügung.
Zuletzt aktualisiert am 29.06.2026 von GRUNDIG AKADEMIE.
Nein. Es gibt keine Übergangsfristen. Das NIS-2-Umsetzungsgesetz ist am 6. Dezember 2025 ohne Übergangsfrist in Kraft getreten.
Da die zugrundeliegende EU-Richtlinie bereits seit Ende 2022 bekannt war (und im Oktober 2024 EU-weit hätte umgesetzt sein müssen), sieht der deutsche Gesetzgeber keine weitere Übergangszeit vor.
Zuletzt aktualisiert am 29.06.2026 von GRUNDIG AKADEMIE.
Verstöße gegen die Meldepflichten werden unter NIS-2 streng sanktioniert.
Das BSI als zuständige Aufsichtsbehörde überwacht die Einhaltung der Meldepflichten. Um Verstöße aufzudecken oder zu überprüfen, hat das BSI umfassende Befugnisse. Dazu gehört das Anfordern von Informationen, das Durchführen von Prüfungen und Audits und das Erlassen von verbindlichen Anordnungen.
Wenn Sie einen erheblichen Sicherheitsvorfall nicht, zu spät oder unvollständig melden, drohen Ihrem Unternehmen Bußgelder. Die Höhe der maximalen Strafe ist nach der Art Ihrer Einrichtung gestaffelt:
- Besonders wichtige Einrichtungen (und KRITIS): Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes. Je nachdem, welcher Betrag höher ist.
- Wichtige Einrichtungen: Bußgelder von bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes. Je nachdem, welcher Betrag höher ist.
Hinweis: Auch ein persönliches Haftungsrisiko der Geschäftsführung droht, falls diese ihren Überwachungspflichten schuldhaft nicht nachgekommen ist.
Zuletzt aktualisiert am 26.06.2026 von GRUNDIG AKADEMIE.