Netz5 Consulting & Seminare – TISAX und ISO 27001 Kontakt aufnehmen
NIS2-Richtlinie

NIS2 — sind Sie betroffen? Wir klären das mit Ihnen.

Das NIS2UmsuCG ist seit Dezember 2025 in Kraft. Rund 29.500 Unternehmen in Deutschland fallen unter die neuen Cybersicherheits-Pflichten — viele davon zum ersten Mal. Wir prüfen Ihre Betroffenheit und bauen mit Ihnen ein ISMS auf, das die Anforderungen erfüllt.

Betroffenheit klären

Wer ist betroffen?

"Wichtige Einrichtung"

Unternehmen in regulierten Sektoren mit mehr als 50 Mitarbeitenden oder über 10 Mio. € Jahresumsatz/Bilanzsumme.

"Besonders wichtige Einrichtung"

Unternehmen in besonders kritischen Sektoren (Anhang I) mit mehr als 250 Mitarbeitenden oder über 50 Mio. € Umsatz und 43 Mio. € Bilanzsumme.

Diese Einordnung ersetzt keine Einzelfallprüfung. Für eine erste, anonyme Einschätzung nutzen Sie die offizielle NIS-2-Betroffenheitsprüfung des BSI ↗ — wir helfen Ihnen anschließend gerne bei der Einordnung des Ergebnisses und den nächsten Schritten.

Betroffene Branchen

Die NIS2-Richtlinie erfasst 18 Sektoren — deutlich mehr als das bisherige IT-Sicherheitsgesetz. Dazu zählen unter anderem:

EnergieVerkehrBankwesenFinanzmarktinfrastrukturGesundheitswesenTrinkwasserAbwasserDigitale InfrastrukturIKT-DienstleistungsmanagementÖffentliche VerwaltungWeltraumPost- & KurierdiensteAbfallwirtschaftChemieLebensmittelproduktionVerarbeitendes GewerbeDigitale DiensteForschung

Auch Zulieferer und Dienstleister von NIS2-pflichtigen Unternehmen spüren die Auswirkungen häufig indirekt — etwa über Sicherheitsanforderungen in der Lieferkette. Diese Übersicht ersetzt keine rechtliche Einzelfallprüfung; sie gibt eine erste Orientierung.

Fristen im Überblick

Seit Dez. 2025
Risikomanagementmaßnahmen sind ab Inkrafttreten des NIS2UmsuCG verpflichtend umzusetzen — ohne allgemeine Übergangsfrist.
Registrierung
Die BSI-Registrierung war ursprünglich bis 6. März 2026 vorgesehen, die Frist wurde bis 31. Juli 2026 verlängert. Wer sich noch nicht registriert hat, sollte dies zeitnah nachholen.
Meldepflichten
Bei Sicherheitsvorfällen gilt ein gestuftes Verfahren: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussbericht nach einem Monat.
bis Dez. 2028
Besonders wichtige Einrichtungen haben für bestimmte Nachweispflichten ein dreijähriges Umsetzungsfenster.

Bei Verstößen drohen Bußgelder bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (besonders wichtige Einrichtungen) bzw. bis 7 Mio. € oder 1,4 % (wichtige Einrichtungen).

Was jetzt zu tun ist

  • Betroffenheit prüfen: Sektor, Unternehmensgröße und Lieferkettenrolle einordnen — z. B. mit der NIS-2-Betroffenheitsprüfung des BSI ↗.
  • Registrierung beim BSI nachholen, falls noch nicht geschehen.
  • Risikomanagementmaßnahmen einführen: Governance, Zugriffskontrolle, Verschlüsselung, Lieferketten- und Business-Continuity-Management.
  • Meldeprozesse für Sicherheitsvorfälle aufsetzen, die die gestuften Fristen einhalten können.
  • Ein ISMS aufbauen, das die Anforderungen strukturiert, dokumentiert und nachweisbar macht.

Die Lösung: ein ISMS nach ISO 27001

NIS2 schreibt keine bestimmte Norm vor, aber ein ISMS nach ISO 27001 deckt die geforderten Risikomanagementmaßnahmen strukturiert ab und ist der pragmatischste Weg, NIS2-Konformität nachvollziehbar zu belegen. Wenn eine Zertifizierung nicht das Ziel ist, bauen wir im Rahmen unserer ISMS Beratung ein norm-unabhängiges Managementsystem auf, das genau auf Ihre NIS2-Pflichten zugeschnitten ist.

Für die laufende Dokumentation, Risikoregister und Nachweisführung unterstützt unsere ISMS-Software ISMS-TICKET — inklusive Ticketsystem für Maßnahmen und Vorfälle.

Dies ist keine Rechtsberatung. Für eine verbindliche Einordnung Ihrer NIS2-Betroffenheit empfehlen wir zusätzlich den Rat einer auf IT-Recht spezialisierten Kanzlei.

Klären wir Ihre NIS2-Betroffenheit.

In einem ersten Gespräch ordnen wir ein, ob und in welchem Umfang Sie betroffen sind — und welcher nächste Schritt sinnvoll ist.

Erstgespräch anfragen