NIS-2 · BSI · Unternehmenssicherheit
NIS-2 gilt in Deutschland: IT-Sicherheit wird zur verbindlichen Managementaufgabe
Das deutsche Gesetz zur Umsetzung der NIS-2-Richtlinie ist seit dem 6. Dezember 2025 in Kraft. Damit gelten für viele Unternehmen und Organisationen neue gesetzliche Anforderungen an Cybersicherheit, Risikomanagement und die Meldung erheblicher Sicherheitsvorfälle.
Die zentralen Pflichten
- Betroffenheit prüfen: Branche, Unternehmensgröße und Art der erbrachten Dienste entscheiden darüber, ob ein Unternehmen unter NIS-2 fällt.
- Beim BSI registrieren: Betroffene Einrichtungen müssen ihre Registrierung und Erreichbarkeit für Sicherheitsmeldungen sicherstellen.
- Risiken systematisch behandeln: Gefordert werden geeignete, verhältnismäßige und dokumentierte technische sowie organisatorische Maßnahmen.
- Vorfälle fristgerecht melden: Für erhebliche Sicherheitsvorfälle gelten gestufte Fristen: eine frühe Meldung innerhalb von 24 Stunden, eine Folgemeldung innerhalb von 72 Stunden und grundsätzlich eine Abschlussmeldung nach 30 Tagen.
- Verantwortung der Geschäftsleitung: Informationssicherheit darf nicht ausschließlich an die IT-Abteilung delegiert werden.
Praktische Vorbereitung
Unternehmen sollten Zuständigkeiten, Notfallkontakte und Meldewege festlegen, ihre IT-Infrastruktur dokumentieren, Risiken bewerten und einen belastbaren Notfallplan erstellen. Dazu gehören auch Patchmanagement, Zugriffsschutz, Datensicherung, Lieferantenbewertung und die regelmäßige Überprüfung der Schutzmaßnahmen.
Auch nicht unmittelbar regulierte Betriebe profitieren von diesen Maßnahmen, da größere Kunden und Auftraggeber vergleichbare Sicherheitsnachweise zunehmend in ihrer Lieferkette verlangen. Diese Übersicht ersetzt keine rechtliche Einzelfallberatung.
Quelle und weiterführende Informationen: Offizielle Hersteller- bzw. Behördeninformation