Eine belastbare NIS2-Umsetzung beginnt mit vier Ergebnissen: dokumentierte Betroffenheit, Registrierung, wirksame Risikomanagementmaßnahmen und eine funktionierende Meldekette. In Deutschland gelten diese Pflichten nach dem neuen BSIG seit dem 6. Dezember 2025. Es gibt keine allgemeine Übergangsfrist, während der § 30 BSIG ignoriert werden dürfte.
Dieser Leitfaden übersetzt die gesetzlichen Anforderungen in ein Umsetzungsprogramm. Er ersetzt keine Prüfung des konkreten Unternehmens, der Einrichtungsart oder von sektoralen Sonderregeln.
1. Betroffenheit rechtssicher prüfen
Das BSIG unterscheidet besonders wichtige Einrichtungen und wichtige Einrichtungen. Die Prüfung erfolgt nicht allein anhand der Mitarbeiterzahl:
- Erbringt die Organisation entgeltlich Waren oder Dienste einer Einrichtungsart aus Anlage 1 oder 2?
- Welche Mitarbeiter-, Umsatz- und Bilanzwerte gelten nach § 28 und der KMU-Empfehlung der EU?
- Sind Partner- oder verbundene Unternehmen zu berücksichtigen, oder greift die besondere IT-Unabhängigkeitsregel?
- Besteht eine größenunabhängige Einordnung, etwa als Betreiber kritischer Anlagen, DNS-Diensteanbieter oder TLD-Registry?
- Greift für einzelne Pflichten sektorales Spezialrecht, insbesondere DORA, Telekommunikations- oder Energiewirtschaftsrecht?
Für sonstige Einrichtungsarten aus Anlage 1 gelten große Organisationen grundsätzlich als besonders wichtig: mindestens 250 Beschäftigte oder mehr als 50 Millionen Euro Umsatz und zugleich mehr als 43 Millionen Euro Bilanzsumme. Als wichtig gelten sonstige Einrichtungsarten aus Anlage 1 oder 2 grundsätzlich ab 50 Beschäftigten oder bei mehr als 10 Millionen Euro Umsatz und zugleich mehr als 10 Millionen Euro Bilanzsumme. Sonderfälle in § 28 können davon abweichen.
Dokumentieren Sie Datenquelle, Stichtag, Gruppenzuordnung, Einrichtungsart und rechtliche Schlussfolgerung. Ein Online-Prüfer kann vorfiltern, ersetzt aber keine belastbare Grenzfallbewertung.
2. Registrierung und Stammdaten steuern
§ 33 BSIG verlangt die Registrierung spätestens drei Monate, nachdem eine Organisation erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gilt. Für Einrichtungen, die bereits beim Inkrafttreten am 6. Dezember 2025 erfasst waren, ist der reguläre Dreimonatszeitraum abgelaufen.
Die Registrierung erfolgt über das BSI-Portal. Zu übermitteln sind unter anderem Name und Rechtsform, Kontaktangaben, öffentliche IP-Adressbereiche, Sektor beziehungsweise Branche, relevante EU-Mitgliedstaaten und zuständige Aufsichtsbehörden. Die meisten Änderungen sind unverzüglich und spätestens innerhalb von zwei Wochen nach Kenntnis zu aktualisieren.
Praktisch braucht die Organisation daher:
- eine verantwortliche Stelle für die Registrierung,
- eine jederzeit erreichbare Kontaktmöglichkeit,
- einen Prozess für Änderungen an Stammdaten und IP-Adressbereichen,
- eine jährlich überprüfte Liste zuständiger Behörden,
- einen Nachweis über Übermittlung und Aktualisierung.
3. Die zehn Maßnahmenfelder aus § 30 BSIG umsetzen
Das Gesetz verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen. Berücksichtigt werden Risikoexposition, Größe, Kosten, Eintrittswahrscheinlichkeit, Schwere und gesellschaftliche oder wirtschaftliche Auswirkungen. Die Maßnahmen müssen dokumentiert werden und mindestens folgende Felder abdecken:
| Maßnahmenfeld | Erwartetes Arbeitsergebnis |
|---|---|
| Risikoanalyse und Informationssicherheit | Scope, Methode, Risikoregister, Behandlung und Freigaben |
| Bewältigung von Sicherheitsvorfällen | Incident-Plan, Rollen, Eskalations- und Kommunikationswege |
| Betriebskontinuität | Backup- und Wiederherstellungskonzept, Krisenmanagement, getestete Wiederanlaufziele |
| Lieferkette | Kritikalität, Auswahlprüfung, Vertragsanforderungen, Überwachung und Exit |
| Beschaffung, Entwicklung und Wartung | Sicherheitsanforderungen, Änderungs- und Schwachstellenmanagement |
| Wirksamkeitsbewertung | Kennzahlen, Kontrollen, technische Tests, interne Prüfungen und Übungen |
| Schulung und Cyberhygiene | rollenbezogene Lernziele, Teilnahme und Lernerfolg |
| Kryptografie | risikobasierte Vorgaben, Schlüssel- und Zertifikatsmanagement |
| Personal, Zugriff und Assets | Inventar, Joiner-Mover-Leaver, Berechtigungsprüfung, privilegierte Zugriffe |
| Authentifizierung und Kommunikation | MFA oder kontinuierliche Authentifizierung sowie gegebenenfalls sichere Kommunikation |
Diese Tabelle ist kein Produktkatalog. § 30 schreibt weder ein bestimmtes SIEM noch eine allgemeine jährliche Pentestpflicht oder eine ISO-27001-Zertifizierung vor. Solche Maßnahmen können je nach Risiko und Wirksamkeitsziel sinnvoll sein. Für bestimmte digitale Dienste gilt zusätzlich die unmittelbar anwendbare Durchführungsverordnung (EU) 2024/2690; sie geht nach § 30 Absatz 3 für die dort genannten Einrichtungsarten vor.
4. Geschäftsleitung wirksam einbinden
§ 38 BSIG verpflichtet die Geschäftsleitung, die Maßnahmen aus § 30 umzusetzen und ihre Umsetzung zu überwachen. Sie muss regelmäßig an Schulungen teilnehmen. Das Gesetz nennt keinen festen jährlichen Turnus. Frequenz und Inhalt sollten so gewählt werden, dass die Leitung Risiken, Risikomanagementpraktiken und Auswirkungen auf die Dienste beurteilen kann.
Prüfbare Governance umfasst beispielsweise:
- einen dokumentierten Beschluss zu Scope, Risiken, Prioritäten und Ressourcen,
- regelmäßige Berichte zu wesentlichen Risiken, Vorfällen und überfälligen Maßnahmen,
- nachvollziehbare Entscheidungen über Restrisiken,
- Schulungsnachweise mit rollenbezogenen Inhalten,
- klare Eskalation bei Zielabweichungen.
Bei schuldhafter Pflichtverletzung kann die Geschäftsleitung der eigenen Einrichtung nach dem anwendbaren Gesellschaftsrecht auf Schadensersatz haften. Das ist keine automatische persönliche Außenhaftung und kein persönliches NIS2-Bußgeld.
5. Meldekette für erhebliche Sicherheitsvorfälle bauen
Nicht jeder Alarm ist meldepflichtig. § 32 knüpft an einen erheblichen Sicherheitsvorfall an. Ab Kenntniserlangung gelten:
- innerhalb von 24 Stunden: frühe Erstmeldung mit Hinweisen auf mögliche rechtswidrige oder böswillige Ursache und grenzüberschreitende Auswirkungen,
- innerhalb von 72 Stunden: bestätigte oder aktualisierte Meldung, erste Bewertung von Schwere und Auswirkungen sowie gegebenenfalls Kompromittierungsindikatoren,
- auf Ersuchen: Zwischenmeldung,
- spätestens einen Monat nach der 72-Stunden-Meldung: Abschlussmeldung; dauert der Vorfall an, zunächst Fortschrittsmeldung und Abschluss nach Bearbeitung.
Die Uhr beginnt mit Kenntnis, nicht mit technischer Gewissheit. Legen Sie deshalb Entscheidungskriterien, Rufbereitschaft, Freigabekompetenz und ein Faktenprotokoll vor dem Vorfall fest. Parallel können Meldepflichten nach DSGVO, DORA, Telekommunikations- oder Energiewirtschaftsrecht entstehen; deren Tatbestände und Fristbeginn sind getrennt zu prüfen.
6. Nachweise statt Papier-Compliance aufbauen
Eine Richtlinie beweist noch keine Wirksamkeit. Ordnen Sie jedem Risiko und jeder Maßnahme mindestens folgende Evidenz zu:
- Eigentümer und Genehmigung,
- technische oder organisatorische Umsetzung,
- Betriebsnachweis über einen definierten Zeitraum,
- Ergebnis einer Wirksamkeitsprüfung,
- Abweichung, Restrisiko und Entscheidung,
- Termin und Trigger für die nächste Prüfung.
Besonders wichtige Einrichtungen können nach § 61 auch ohne konkreten Verstoß Gegenstand von Audits, Prüfungen, Auskunfts- und Abhilfemaßnahmen sein. Bei wichtigen Einrichtungen ist die Aufsicht nach § 62 grundsätzlich an Tatsachen oder Anhaltspunkte für Pflichtverstöße gebunden. Betreiber kritischer Anlagen haben zusätzlich die besonderen Nachweispflichten des § 39.
Ein fokussiertes 90-Tage-Programm
Die folgenden 90 Tage sind kein gesetzlicher Aufschub, sondern eine interne Priorisierung für Organisationen mit Rückstand:
Tage 1–30: Rechts- und Vorfallrisiko sichern
- Betroffenheitsentscheidung und Sonderregeln dokumentieren,
- Registrierung und Kontakte prüfen,
- 24-/72-Stunden-Meldekette testen,
- Geschäftsleitung briefen,
- kritische Dienste, Systeme und Anbieter bestimmen.
Tage 31–60: Lücken risikobasiert schließen
- §-30-Gap-Analyse abschließen,
- Sofortmaßnahmen für Zugriff, Schwachstellen, Backup und Monitoring priorisieren,
- kritische Lieferanten bewerten,
- Nachweisstruktur und Verantwortliche festlegen.
Tage 61–90: Wirksamkeit belegen
- Incident- und Restore-Übung durchführen,
- Stichproben für Zugriff und Patching auswerten,
- Managementreview mit Restrisikoentscheidungen durchführen,
- Maßnahmenplan mit Ressourcen und Zielterminen freigeben.
Wann ist die Umsetzung belastbar?
Die Organisation kann für jede anwendbare Pflicht erklären, welches Risiko sie adressiert, wer entscheidet, wie die Maßnahme betrieben wird und welcher Nachweis ihre Wirksamkeit zeigt. Zertifikate und Frameworks können dabei helfen, sind aber keine pauschale Konformitätsgarantie.
Unsere NIS2-Beratung verbindet Betroffenheitsprüfung, Gap-Analyse, Geschäftsleitungs-Governance, Meldeprozess und Nachweisplan in einem priorisierten Umsetzungsprogramm.
Quellen und Prüfung
- § 28 BSIG: besonders wichtige und wichtige Einrichtungen
- § 30 BSIG: Risikomanagementmaßnahmen
- § 32 BSIG: Meldepflichten
- § 33 BSIG: Registrierungspflicht
- § 38 BSIG: Pflichten der Geschäftsleitung
- BSI: Registrierung und Meldung über das BSI-Portal
- Richtlinie (EU) 2022/2555 (NIS2)
- ENISA: NIS2 Technical Implementation Guidance
Robert Lozo, mag. iur., ist Partner bei Vision Compliance mit Schwerpunkt EU-Regulierung. Er berät Organisationen zu DSGVO, NIS2, EU AI Act und Finanzregulierung und liefert auditfähige Dokumentation und Compliance-Fahrpläne für regulierte Branchen.