In diesem Beitrag

Aktualisiert und fachlich geprüft am 10. September 2026.

Am 6. Dezember 2025 trat das NIS-2-Umsetzungsgesetz (NIS2UmsuCG) in Kraft. Für erfasste Einrichtungen gelten die gesetzlichen Pflichten seit Eintritt ihrer jeweiligen Betroffenheit. Sonderregelungen, etwa für bestimmte Telekommunikations- und Energieunternehmen, müssen getrennt geprüft werden.

Für Einrichtungen, die bereits am 6. Dezember 2025 erfasst waren, endete die dreimonatige Registrierungsfrist grundsätzlich am 6. März 2026. Wird eine Organisation erst später zu einer besonders wichtigen oder wichtigen Einrichtung, läuft die Frist ab diesem Zeitpunkt individuell.

Dieser Leitfaden richtet sich an Geschäftsführer, IT-Leiter und Sicherheitsverantwortliche, die wissen wollen, was NIS2 konkret bedeutet — und was jetzt noch zu tun ist.

Wen betrifft NIS2 im Industriesektor?

Das deutsche BSIG unterscheidet besonders wichtige Einrichtungen und wichtige Einrichtungen. Maßgeblich sind unter anderem Tätigkeit, Branche, Unternehmensgröße und gesetzliche Sonderrollen. Frühere Schätzungen des Bundes gingen von rund 29.500 besonders wichtigen und wichtigen Einrichtungen aus. Das ist eine Schätzung des Anwendungsbereichs, keine aktuelle Zahl der beim BSI registrierten Organisationen.

Für den Industriesektor die relevanten Einordnungen:

Typische Sektoren besonders wichtiger Einrichtungen:

  • Energie (Elektrizität, Gas, Fernwärme, Öl, Wasserstoff)
  • Trinkwasser und Abwasser
  • Digitale Infrastruktur
  • Verkehr (Luft, Schiene, Wasser, Straße)
  • Gesundheitswesen
  • Raumfahrt
  • Bankwesen und Finanzmarktinfrastrukturen

Typische Sektoren wichtiger Einrichtungen:

  • Verarbeitendes Gewerbe (Maschinenbau, Fahrzeugbau, Chemie, Elektronik)
  • Post- und Kurierdienste
  • Abfallbewirtschaftung
  • Anbieter digitaler Dienste

Für das verarbeitende Gewerbe gilt vereinfacht: Mindestens 50 Beschäftigte können die reguläre Größenschwelle auslösen. Alternativ kann sie erreicht sein, wenn Jahresumsatz und Jahresbilanzsumme jeweils über 10 Millionen Euro liegen. Der passende Sektor, die konkrete Tätigkeit, verbundene Unternehmen und gesetzliche Sonderfälle müssen zusätzlich geprüft werden.

Im Zweifel: prüfen lassen. Eine falsche Selbsteinschätzung schützt nicht vor Bußgeldern.

BSI-Registrierung: Was gilt jetzt?

Das BSI-Portal ging am 6. Januar 2026 online. Der 6. März 2026 war die relevante Dreimonatsfrist für Einrichtungen, die bereits am 6. Dezember 2025 erfasst waren. Für später hinzukommende Einrichtungen beginnt die Frist mit dem Eintritt der Betroffenheit. Wer die eigene Frist versäumt hat, sollte die Registrierung unverzüglich nachholen.

Für die Registrierung wird ein ELSTER-Zertifikat (Mein Unternehmenskonto) benötigt. Das BSI-Portal dient gleichzeitig als Meldeplattform für erhebliche Sicherheitsvorfälle.

Risikomanagementmaßnahmen nach § 30 BSIG

§ 30 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen zu geeigneten, verhältnismäßigen und wirksamen technischen und organisatorischen Maßnahmen. Absatz 2 nennt dafür verbindliche Themenfelder. Welche konkrete Umsetzung angemessen ist, hängt von Risikoexposition, Größe, Kosten sowie Eintrittswahrscheinlichkeit und Schwere möglicher Sicherheitsvorfälle ab.

Risikomanagement und Sicherheitskonzept

Ein dokumentiertes Risikomanagement schafft den Zusammenhang zwischen Risiko, Maßnahme und Wirksamkeitsprüfung. Einzelmaßnahmen bleiben technisch wertvoll, reichen ohne nachvollziehbare Bewertung und Dokumentation aber nicht aus, um die Anforderungen des § 30 BSIG belastbar nachzuweisen.

Netzwerk- und Systemsicherheit

Typische Maßnahmen sind — abhängig von der Risikobewertung:

  • Netzwerksegmentierung zwischen IT, OT und besonders schutzbedürftigen Bereichen
  • risikobasiertes Patch- und Schwachstellenmanagement nach einem definierten Prozess
  • Härtung durch das Deaktivieren nicht benötigter Dienste und Ports
  • geeignete kryptografische Verfahren für schutzbedürftige Kommunikation und Daten

Identitäts- und Zugriffsmanagement

  • Multi-Faktor- oder kontinuierliche Authentifizierung; für privilegierte und externe Zugriffe ist MFA regelmäßig eine zentrale Schutzmaßnahme
  • Rollenbasierte Zugriffssteuerung: Nutzer bekommen nur, was sie brauchen
  • Regelmäßige Überprüfung von Zugriffsrechten, insbesondere nach Personalwechsel

Backup und Business Continuity

  • Regelmäßige, getestete Datensicherungen — getrennt vom Produktionsnetz
  • Notfallkonzept: Was passiert, wenn kritische Systeme ausfallen?
  • Wiederherstellungstests: Ein Backup ist erst dann sicher, wenn der Restore tatsächlich funktioniert hat

Lieferkettensicherheit

§ 30 BSIG fordert, die Cybersicherheit von Zulieferern und Dienstleistern in das eigene Risikomanagement einzubeziehen. Sicherheitsanforderungen in Lieferantenverträgen, Bewertung von Drittanbietern, kontrollierte Remote-Zugriffe — das ist nicht mehr optional.

Organisatorische Maßnahmen und Governance

Managementverantwortung: Nach § 38 BSIG müssen Geschäftsleitungen die Maßnahmen nach § 30 umsetzen und ihre Umsetzung überwachen; hinzu kommt die gesetzliche Schulungspflicht. Verletzt ein Leitungsorgan diese Pflichten schuldhaft, kann es der eigenen Einrichtung für den verursachten Schaden nach den anwendbaren gesellschaftsrechtlichen Regeln haften. Das ist keine pauschale Außenhaftung gegenüber Behörden oder beliebigen Dritten.

Schulungen: Die Unternehmensleitung muss sich regelmäßig zu Cybersicherheitsthemen schulen lassen. Mitarbeiter müssen sensibilisiert werden — dokumentiert.

Sicherheitsorganisation: Das Gesetz schreibt nicht jeder Einrichtung zwingend die Stellenbezeichnung CISO oder ISB vor. Verantwortlichkeiten, Eskalationswege und fachlich geeignete Ansprechpartner müssen aber so organisiert sein, dass Risikomanagement, Meldungen und Nachweise funktionieren.

Richtlinien: Informationssicherheitsrichtlinien müssen existieren, aktuell sein und tatsächlich gelebt werden. Ein 50-seitiges Dokument im SharePoint, das niemand kennt, zählt nicht.

Meldepflichten: Was und wann gemeldet werden muss

Meldepflichtig sind erhebliche Sicherheitsvorfälle im Sinne des BSIG. Ob diese Schwelle erreicht ist, muss anhand der tatsächlichen oder möglichen Betriebsstörungen, finanziellen Verluste und Schäden für andere Personen bewertet werden. Für meldepflichtige Vorfälle gilt:

  • 24 Stunden ab Kenntnis des erheblichen Sicherheitsvorfalls: Frühwarnung.
  • 72 Stunden ab Kenntnis: Vorfallmeldung mit erster Bewertung von Schwere, Auswirkungen und gegebenenfalls Kompromittierungsindikatoren.
  • Ein Monat nach der Vorfallmeldung: Abschlussbericht mit Analyse, Maßnahmen und gewonnenen Erkenntnissen. Dauert der Vorfall noch an, ist zunächst eine Fortschrittsmeldung erforderlich; der Abschlussbericht folgt spätestens einen Monat nach der Bewältigung.

Alle Meldungen sind unverzüglich abzugeben; die genannten Zeiträume sind Höchstfristen. Maßgeblich ist § 32 BSIG. Für Vertrauensdiensteanbieter ist die Vorfallmeldung bereits spätestens innerhalb von 24 Stunden erforderlich.

Ein Produktionsausfall durch Ransomware oder ein Datenverlust nach einem Angriff kann die Erheblichkeitsschwelle erreichen, ist aber nicht ohne Prüfung automatisch meldepflichtig. Der Meldeprozess muss diese Bewertung trotzdem so früh ermöglichen, dass eine erforderliche 24-Stunden-Meldung rechtzeitig abgegeben werden kann.

Sanktionen bei Nichteinhaltung

  • Besonders wichtige Einrichtungen: bei zentralen Verstößen bis zu 10 Millionen Euro. Erst bei einem Gesamtumsatz von mehr als 500 Millionen Euro kann stattdessen eine Höchstgrenze von 2 Prozent des weltweiten Gesamtumsatzes greifen.
  • Wichtige Einrichtungen: bei zentralen Verstößen bis zu 7 Millionen Euro. Erst bei einem Gesamtumsatz von mehr als 500 Millionen Euro kann stattdessen eine Höchstgrenze von 1,4 Prozent des weltweiten Gesamtumsatzes greifen.

Bei besonders wichtigen Einrichtungen kann die zuständige Aufsichtsbehörde Leitungsaufgaben vorübergehend untersagen. Das ist kein Automatismus: § 61 Abs. 9 BSIG sieht diesen Schritt als letztes Mittel vor, wenn behördliche Anordnungen trotz gesetzter Frist nicht umgesetzt wurden. Davon zu trennen ist die mögliche Innenhaftung gegenüber der eigenen Einrichtung bei schuldhafter Pflichtverletzung.

NIS2-Umsetzung: Was jetzt noch zu tun ist

  1. BSI-Registrierung nachholen (falls noch nicht geschehen) — unverzüglich über das BSI-Portal
  2. Betroffenheitsprüfung falls noch ausstehend: besonders wichtige oder wichtige Einrichtung? Welche Pflichten gelten konkret? Die NIS2-Betroffenheitsprüfung sortiert die Fragen vor. Sie ersetzt keine rechtliche Einzelfallprüfung.
  3. Gap-Analyse: Wo steht das Unternehmen heute — was fehlt gegenüber § 30 BSIG?
  4. Maßnahmenplan: Priorisiert, mit Budget, Verantwortlichkeiten, konkretem Zeitrahmen
  5. Dokumentation: NIS2 fordert Nachweisbarkeit. Eine lückenlose Dokumentation ist keine Kür, sie ist Pflicht

NIS2-Beratung: Wie ich Industrieunternehmen bei der NIS2-Umsetzung begleite – Gap-Analyse, BSI-Registrierung, Meldeprozesse – finden Sie unter NIS2-Compliance. Wer unter den Größenschwellen liegt, startet oft besser mit dem CyberRisikoCheck. Für das Managementsystem selbst ist ISO 27001 der passende Rahmen.

Häufige Fragen zur NIS2-Umsetzung

Bin ich als Maschinenbauer von NIS2 betroffen?

Maschinenbauunternehmen können unter den Sektor “Verarbeitendes Gewerbe” des NIS2UmsuCG fallen. Mindestens 50 Beschäftigte können die Größenschwelle auslösen. Ohne diese Beschäftigtenzahl kann die Schwelle ebenfalls erreicht sein, wenn Jahresumsatz und Jahresbilanzsumme jeweils über 10 Millionen Euro liegen. Eine genaue Prüfung anhand von § 28 BSIG und den einschlägigen Anlagen bleibt notwendig.

Wann endet die BSI-Registrierungsfrist?

Nach § 33 BSIG muss die Registrierung spätestens drei Monate erfolgen, nachdem eine Organisation erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gilt. Wer die eigene Frist versäumt hat, sollte die Registrierung unverzüglich nachholen. Das BSI-Portal bleibt dafür zugänglich.

Reicht ISO 27001 für NIS2?

ISO 27001 deckt viele NIS2-Anforderungen ab und ist ein starker Ausgangspunkt. Unterschiede bestehen unter anderem bei gesetzlichen Meldepflichten, Lieferkettensicherheit sowie Umsetzung, Überwachung und Schulung der Geschäftsleitung nach § 38 BSIG. Eine ISO-27001-Zertifizierung kann die Umsetzung unterstützen, ersetzt aber nicht die Prüfung und Erfüllung der gesetzlichen Pflichten.

Was kostet eine NIS2-Umsetzung?

Hängt stark vom Ausgangszustand ab. Unternehmen mit bestehendem ISMS haben einen erheblichen Vorsprung. Für KMU ohne Vorarbeit liegen die Umsetzungskosten erfahrungsgemäß zwischen 30.000 und 150.000 Euro — abhängig von Unternehmensgröße, IT-Komplexität und vorhandenen Maßnahmen.

Wie lange dauert eine NIS2-Gap-Analyse?

Für ein mittelständisches Industrieunternehmen: drei bis acht Wochen — abhängig von Unternehmensgröße, IT/OT-Komplexität und Verfügbarkeit der Ansprechpartner. Das Ergebnis ist ein priorisierter Maßnahmenplan als Grundlage für Budget- und Ressourcenplanung.

Quellenstand