IHK-Ratgeber
NIS-2 Umsetzungsgesetz: Mehr IT-Sicherheit im Unternehmen
Seit dem 6. Dezember 2025 ist das NIS-2 Umsetzungsgesetz in Kraft. Mit NIS-2 gelten neue, umfassende Anforderungen an die Informationssicherheit, die an die aktuelle Bedrohungslage angepasst sind und von betroffenen Unternehmen verbindlich umzusetzen sind.
Was Unternehmen jetzt tun müssen
Mit dem NIS-2-Umsetzungsgesetz müssen rund 30.000 Unternehmen nun strengere Vorgaben zur IT-Sicherheit erfüllen. Sie werden vom BSI beaufsichtigt. Unternehmen sollten jetzt prüfen, ob sie nach § 28 BSIG als „wichtige“ oder „besonders wichtige“ Einrichtung gelten. Die Einstufung entscheidet über alle weiteren Pflichten.
- Betroffenheit prüfen (§ 28 BSIG)
Schwellenwerte, Sektorzuordnung und branchenspezifische Besonderheiten klären. Bei Unsicherheiten kann externe Beratung helfen. - „Mein Unternehmenskonto“ anlegen
Voraussetzung für die Registrierung im BSI-Portal - Registrierung im BSI-Portal (seit 6. Januar 2026)
Die Registrierung muss innerhalb von 3 Monaten erfolgen. Erforderliche Angaben nach § 33 sollten vorab geprüft werden.
Welche Unternehmen betroffen sind
Das Gesetz unterscheidet zwischen „wichtigen“ und „besonders wichtigen Einrichtungen“. Es erfasst insbesondere mittlere und große Unternehmen in sicherheitsrelevanten Sektoren wie Energie, Verkehr, Gesundheitswesen, Bank- und Finanzwesen, digitale Infrastruktur sowie ausgewählte Bereiche der öffentlichen Verwaltung. Auch bestimmte Dienste, wie z. B. DNS- oder Vertrauensdienste, sind unabhängig von der Unternehmensgröße erfasst.
Wird eine Betroffenheit festgestellt, entsteht eine Registrierungspflicht beim BSI. Das BSI kann darüber hinaus in Einzelfällen eine Betroffenheit anordnen.
Ein Unternehmen gilt als betroffen, wenn es
- in einem der in NIS-2 definierten Sektoren tätig ist und
- bestimmte Schwellenwerte (Mitarbeitende, Umsatz, Bilanzsumme) erreicht oder überschreitet.
Schwellwerte
- Als "besonders wichtige Einrichtungen" gelten:
- Betreiber kritischer Anlagen ("KRITIS-Betreiber")
- Spezielle Einrichtungen z. B. für Domains, DNS, qualifizierte Vertrauensdienste, größere Telekommunikationanbieter
- Einrichtungen ab 250 Mitarbeitende ODER mehr als 50 Millionen Euro Jahresumsatz und 43 Millionen Euro Jahresbilanzsumme, die in den in Anlage 1 genannten Sektoren tätig sind.
- Als "wichtige Einrichtungen" gelten:
- Spezielle Einrichtungen z. B. für Vertrauensdienste, kleinere Telekommunikationanbieter
- Einrichtungen ab 50 Mitarbeitende ODER mehr als 10 Millionen Euro Jahresumsatz und 10 Millionen Euro Jahresbilanzsumme, die in den in Anlage 1 und 2 genannten Sektoren tätig sind.
Übersicht Sektoren nach dem BSIG
Maßnahmen für betroffene Unternehmen
Das NIS-2-Umsetzungsgesetz verpflichtet betroffene Unternehmen zu technischen und organisatorischen Maßnahmen nach §§ 30 ff. BSIG.
Folgende Pflichten sind für alle betroffenen Unternehmen relevant:
- Risikomanagementmaßnahmen, Business Continuity Management (§§ 30, 31 BSIG)
Dazu gehört der Einsatz technischer Maßnahmen wie z. B. Kryptografie, Verschlüsselung, Multi-Faktor-Authentifizierung - Meldeprozess für Sicherheitsvorfälle festlegen (§ 32 BSIG)
Frühwarnfristen beachten: Erstmeldung binnen 24 Stunden. Zuständigkeiten klären und Prozesse testen. - Unterrichtungspflichten (§35)
- Billigungs-, Überwachungs- und Schulungspflicht für Geschäftsleiter (§ 38)
Drohende Folgen bei Nichtbeachtung
Bei Verstößen gegen die NIS-2-Pflichten drohen hohe Bußgelder sowie aufsichtsrechtliche Maßnahmen des BSI. Die Behörden können Anordnungen erlassen und deren Umsetzung innerhalb gesetzter Fristen verlangen. Darüber hinaus kann eine persönliche Haftung der Geschäftsleitung entstehen, wenn sie ihren gesetzlichen Überwachungs- und Steuerungspflichten nicht nachkommt.
Hinweis:
Die Informationen und Auskünfte der IHK Nord Westfalen sind ein Service für ihre Mitgliedsunternehmen. Sie enthalten nur erste Hinweise und erheben daher keinen Anspruch auf Vollständigkeit. Obwohl sie mit größtmöglicher Sorgfalt erstellt wurden, kann eine Haftung für ihre inhaltliche Richtigkeit nicht übernommen werden. Sie können eine Beratung im Einzelfall, beispielsweise durch einen Rechtsanwalt, Steuer- oder Unternehmensberater, nicht ersetzen.
Die Informationen und Auskünfte der IHK Nord Westfalen sind ein Service für ihre Mitgliedsunternehmen. Sie enthalten nur erste Hinweise und erheben daher keinen Anspruch auf Vollständigkeit. Obwohl sie mit größtmöglicher Sorgfalt erstellt wurden, kann eine Haftung für ihre inhaltliche Richtigkeit nicht übernommen werden. Sie können eine Beratung im Einzelfall, beispielsweise durch einen Rechtsanwalt, Steuer- oder Unternehmensberater, nicht ersetzen.