← StartseiteNIS-2 in Deutschland

NIS-2 in Deutschland: Sie sind bereits verpflichtet

Das deutsche NIS2UmsuCG hat das BSI-Gesetz reformiert und gilt seit dem 6. Dezember 2025 — ohne Übergangsfrist. Rund 29.500 Einrichtungen sind betroffen, die BSI-Registrierung und der erste Nachweis sind bereits gelaufen, und die Aufsicht läuft. Viele Betriebe unterschätzen ihre Betroffenheit noch. Ich bringe Sie strukturiert in die Konformität — ISMS, Risikomanagement, Meldewesen und Leitungspflichten aus einer Hand.

Standortbestimmung anfragenZur österreichischen NIS-2-Seite
NIS2UmsuCG · in Kraft seit 06.12.2025laufendBSI-Aufsicht06.12.2025In Kraft06.01.2026BSI-Portal06.03.2026Registrierung30.06.2026Erster Nachweis

Registrierung und erster Nachweis sind bereits gelaufen. Die BSI-Aufsicht läuft — jetzt zählt Aufholen.

Was das NIS2UmsuCG verlangt

Betroffenheit (§ 28 BSIG)18 Sektoren, ab 50 Beschäftigten oder 10 Mio. Euro Umsatz. Zwei Kategorien: besonders wichtige und wichtige Einrichtungen. Die Einordnung trägt jede Einrichtung selbst.
Risikomanagement (§ 30 BSIG)Zehn Maßnahmenbereiche nach Stand der Technik — von Risikoanalyse über Backup und Lieferkette bis Multifaktor-Authentifizierung. In der Praxis ist das der Aufbau eines ISMS.
Meldepflichten (§ 32 BSIG)Erhebliche Vorfälle an das BSI: Erstmeldung binnen 24 Stunden, Konkretisierung binnen 72 Stunden, Abschlussbericht binnen 30 Tagen.
Geschäftsleitung (§ 38 BSIG)Die Leitung muss Maßnahmen billigen, ihre Umsetzung überwachen und sich schulen. Sie haftet persönlich für Versäumnisse.
Bußgelder (§ 65 BSIG)Bis zu 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes. Schon die fehlende Registrierung ist ein eigener Bußgeldtatbestand.

Die Fristen sind schon gelaufen

Das Gesetz kennt keine Schonfrist. Seit dem 6. Dezember 2025 gelten Registrierungs-, Melde- und Risikomanagementpflichten unmittelbar. Das BSI-Portal ist seit 6. Januar 2026 offen, die Registrierungsfrist lief am 6. März 2026 ab, der erste Nachweis war zum 30. Juni 2026 fällig. Ergänzend gilt seit 17. März 2026 das KRITIS-Dachgesetz für die physische Resilienz. Eine verspätete Registrierung ist weiterhin möglich und dringend ratsam — sie ist der erste sichtbare Schritt gegenüber dem BSI.

Was ein bestehendes ISMS schon abdeckt

Wer bereits ein ISMS nach ISO 27001 betreibt, deckt erfahrungsgemäß 70 bis 80 Prozent der NIS2-Anforderungen ab. Die verbleibende Lücke sind die NIS2-spezifischen Pflichten: die BSI-Registrierung, das gestufte Meldeverfahren nach § 32 und die Leitungspflichten nach § 38. Genau diese Lücke schließe ich gezielt — ohne Ihr bestehendes System neu zu erfinden.

Deutschland und Österreich im Vergleich

Beide Länder setzen dieselbe EU-Richtlinie um, aber mit eigener Behörde und eigenem Zeitplan. Für Konzerne mit Standorten in beiden Ländern heißt das: einmal sauber aufgebaut, beidseitig nutzbar.

MerkmalÖsterreichDeutschland
GesetzNISG 2026NIS2UmsuCG (BSIG-neu)
BehördeBACSBSI
In Kraft01.10.202606.12.2025 (bereits)
Registrierungbis 31.12.202606.03.2026 (gelaufen)
Meldung24 h / 72 h / 1 Monat24 h / 72 h / 30 Tage
Erster Nachweis2027/2028 gestuft30.06.2026 (gelaufen)
Bußgeldnach NISGbis 10 Mio. € / 2 % Weltumsatz

Aus einer Hand für die DACH-Gruppe

Wenn Ihre Gruppe Standorte in Österreich und Deutschland hat, bekommen Sie ein durchgängiges ISMS statt zweier Insellösungen — mit einer Zuordnung, die NISG (AT) und BSIG-neu (DE) sauber aufeinander abbildet. Das spart Doppelarbeit bei Dokumentation, Risikoregister und Meldewegen.

Wie wir vorgehen

  • Gap-Analyse: Betroffenheit klären und Abstand zum Soll bestimmen
  • ISMS und Risikomanagement nach § 30 aufbauen oder schärfen
  • Meldeprozess für die 24/72/30-Fristen einrichten und üben
  • Geschäftsleitung einbinden und nachweisbar schulen (§ 38)
  • Registrierung beim BSI nachholen und Nachweise vorbereiten

Verwandte Themen

Quellen & Grundlagen

Maßgeblich ist der Gesetzestext (BSIG in der Fassung des NIS2UmsuCG). Die Betroffenheit ist im Einzelfall zu prüfen — dies ist eine sicherheitsfachliche Einordnung, keine Rechtsberatung.

Kontakt