NIS2 in Deutschland
Die Nachfrist ist abgelaufen – was jetzt gilt
Das BSI hatte bis zum 31. Juli 2026 Kulanz gewährt. Der Termin ist vorbei. Was das für nicht registrierte Unternehmen bedeutet und in welcher Reihenfolge man jetzt aufholt.
29. August 2026 · Lesezeit ca. 9 Minuten · IT-Service Walter
NIS2BSIGComplianceMittelstand
Das NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft – ohne Übergangsfrist. Die gesetzliche Registrierungsfrist beim BSI endete am 6. März 2026, die kommunizierte Nachfrist am 31. Juli 2026. Wer heute betroffen und nicht registriert ist, befindet sich nicht mehr in einer Grauzone.
Die Nachfrist war eine Kulanzregelung. Sie hat nichts daran geändert, dass das Versäumnis der ursprünglichen Frist bußgeldbewehrt ist.
Der Stand in Zahlen
| Datum | Ereignis | Bedeutung |
|---|---|---|
| 13./20. November 2025 | Bundestag und Bundesrat beschließen das NIS2UmsuCG | Gesetzgebungsverfahren abgeschlossen |
| 6. Dezember 2025 | Verkündung im Bundesgesetzblatt, Inkrafttreten | Pflichten gelten ab dem ersten Tag, keine Übergangsfrist |
| 6. Januar 2026 | Meldeportal des BSI geht in Betrieb | Registrierung technisch möglich, ELSTER-Organisationszertifikat erforderlich |
| 6. März 2026 | Gesetzliche Registrierungsfrist nach § 33 BSIG | Rund 11.500 von etwa 29.500 betroffenen Einrichtungen hatten gemeldet |
| 31. Juli 2026 | Nachfrist des BSI ABGELAUFEN | Kulanzfenster für Nachmeldungen geschlossen |
Rund 29.500 Unternehmen und Organisationen in 18 Sektoren fallen in Deutschland unter die neuen Anforderungen. Zum Stichtag im März hatte sich weniger als die Hälfte gemeldet. Das ist keine Randerscheinung – es beschreibt den Normalzustand im deutschen Mittelstand.
Was jetzt konkret droht
| Verstoß | Rahmen |
|---|---|
| Besonders wichtige Einrichtungen | Bußgeld bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes |
| Wichtige Einrichtungen | Bußgeld bis 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes |
| Verspätete Registrierung | Bis zu 500.000 € |
| Verantwortung | Die Geschäftsleitung haftet persönlich für Billigung und Überwachung der Risikomanagementmaßnahmen |
Der unterschätzte Teil: die persönliche Verantwortung
NIS2 verlagert die Verantwortung ausdrücklich in die Geschäftsleitung. Sie muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und dafür geschult sein. Die Delegation an „die IT“ oder an einen Dienstleister entbindet nicht davon. In der Praxis heißt das: Der Geschäftsführer muss erklären können, welche Maßnahmen laufen – nicht nur, dass sich jemand darum kümmert.
Bin ich überhaupt betroffen?
Die Grundregel: mindestens 50 Beschäftigte oder mehr als 10 Millionen Euro Jahresumsatz, tätig in einem der 18 definierten Sektoren. Klingt eindeutig, ist es in der Praxis nicht – vor allem, weil viele Unternehmen ihre eigene Sektorzuordnung falsch einschätzen. Verlassen Sie sich nicht auf ein Bauchgefühl, sondern nutzen Sie den Betroffenheitscheck des BSI. Er kostet nichts und liefert ein dokumentierbares Ergebnis.
Auch unterhalb der Schwellenwerte relevant
Selbst wenn Sie nicht direkt unter das Gesetz fallen: Größere Auftraggeber geben die Anforderungen über Verträge weiter. Wer als Zulieferer oder Dienstleister keine belastbaren Aussagen zur eigenen Informationssicherheit treffen kann, verliert Aufträge – unabhängig von jeder Aufsichtsbehörde.
Die Reihenfolge, wenn Sie spät dran sind
Sechs Schritte, sinnvoll priorisiert
- Registrierung nachholen. Sie beseitigt den offensichtlichsten Verstoß und ist in wenigen Tagen erledigt. Voraussetzung ist ein ELSTER-Organisationszertifikat – das dauert, also zuerst beantragen.
- Meldeprozess aufsetzen. Erhebliche Sicherheitsvorfälle sind binnen 24 Stunden als Frühwarnung, binnen 72 Stunden als Meldung und binnen eines Monats als Abschlussbericht zu übermitteln. 24 Stunden sind kurz – der Prozess muss vorher stehen, inklusive Zuständigkeit außerhalb der Geschäftszeiten.
- Bestandsaufnahme der zehn Maßnahmenbereiche nach § 30 BSIG. Ehrlich bewerten: umgesetzt, teilweise, offen. Diese Liste ist Ihre Projektplanung.
- Schulung der Geschäftsleitung dokumentieren. Sie ist ausdrücklich gefordert und mit geringem Aufwand nachweisbar.
- Die technischen Lücken schließen, beginnend mit Multi-Faktor-Authentifizierung, Backup und Zugriffskontrolle.
- Nachweise aufbauen. Nicht die Maßnahme zählt im Prüffall, sondern der Beleg, dass sie wirksam ist und überwacht wird.
Die zehn Maßnahmenbereiche nach § 30 BSIG
| Bereich | Typische Ausgangslage im Mittelstand |
|---|---|
| Risikoanalyse und Sicherheitskonzepte | Vorhanden, aber nicht dokumentiert und nicht aktualisiert |
| Bewältigung von Sicherheitsvorfällen | Improvisiert, ohne definierte Rollen und Fristen |
| Business Continuity, Backup, Wiederherstellung | Backups laufen – die Wiederherstellung wurde nie vollständig getestet |
| Sicherheit der Lieferkette | Größte Lücke, meist völlig unbearbeitet |
| Sicherheit in Beschaffung, Entwicklung und Wartung | Ad hoc geregelt |
| Bewertung der Wirksamkeit | Fehlt fast immer – Maßnahmen laufen, werden aber nicht gemessen |
| Cyberhygiene und Schulungen | Punktuell, ohne Nachweis der Teilnahme |
| Kryptografie und Verschlüsselung | Teilweise, Richtlinie meist nicht schriftlich fixiert |
| Personalsicherheit und Zugriffskontrolle | Berechtigungen wachsen mit, Off-Boarding unvollständig |
| Multi-Faktor-Authentifizierung und sichere Kommunikation | Für Cloud teilweise, für interne Anmeldung selten |
Der häufigste Fehler in diesem Stadium
Große Unternehmen kaufen ein ISMS-Projekt, kleine kaufen ein Dokument. Beides trägt nicht. Was trägt, ist eine ehrliche Statuserhebung über die zehn Bereiche, eine Priorisierung nach Risiko und ein sichtbarer Fortschritt, den die Geschäftsleitung monatlich sieht. Aufsichtsbehörden bewerten den Umsetzungsstand und die Systematik – nicht die Anzahl der Ordner.
Passendes Werkzeug
ISW NIS2 Compliance Manager
Statuserhebung, Bewertung, Nachweis. Führt durch die Maßnahmenbereiche des § 30 BSIG, bewertet den Umsetzungsgrad, weist Verantwortlichkeiten zu und erzeugt den Bericht für die Geschäftsleitung – mit Querbezug zu BSI IT-Grundschutz und ISO 27001. Ergänzend bildet das ISW Grundschutz++ Cockpit den Grundschutz-Teil ab.
Fazit
Die Registrierungsfrist ist abgelaufen, die Nachfrist ebenfalls. Wer betroffen ist und noch nicht gemeldet hat, sollte diese Woche handeln – nicht, weil morgen ein Prüfer kommt, sondern weil jede weitere Woche das Versäumnis vergrößert und weil die Registrierung der mit Abstand einfachste Teil der ganzen Aufgabe ist. Der schwierige Teil beginnt danach: zehn Maßnahmenbereiche, systematisch, mit Nachweis. Wer jetzt beginnt, hat bis zur ersten ernsthaften Prüfung ausreichend Zeit.
Über den Autor: Joern Walter betreibt IT-Service Walter in Euskirchen, betreut rund 400 Kundendomänen und entwickelt die ISW-ADTools für Windows-Administration, Sicherheit und Compliance. Fachbeiträge erscheinen als „Der Windows Papst“.