NIS-2 Umsetzung 2026: Was Unternehmen jetzt tun müssen – Pflichten, Fristen und Lösungen

Das NIS-2-Umsetzungsgesetz (NIS2UmsuCG) ist seit dem 6. Dezember 2025 in Kraft und gilt ohne Übergangsfrist. Rund 29.500 Unternehmen und Organisationen in 18 Sektoren müssen seitdem verschärfte Anforderungen an ihre Cybersicherheit erfüllen, darunter Risikomanagement, Meldepflichten und eine Registrierung beim BSI. Die Geschäftsleitung haftet persönlich für die Einhaltung. Dieser Artikel fasst zusammen, was Unternehmen jetzt wissen und tun müssen und zeigt, wie sich die Anforderungen mit dem Sophos-Ökosystem konkret und effizient umsetzen lassen.

Was ist NIS-2?

NIS-2 (Network and Information Security Directive 2) ist eine EU-Richtlinie, die einheitliche Mindeststandards für Cybersicherheit in allen Mitgliedstaaten schafft. Sie löst die erste NIS-Richtlinie von 2016 ab und erweitert den Geltungsbereich erheblich: Statt weniger tausend Betreiber kritischer Infrastrukturen fallen nun zehntausende Unternehmen und Organisationen unter die Regulierung.

In Deutschland wurde die Richtlinie durch das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in nationales Recht überführt. Das Gesetz ändert das BSI-Gesetz (BSIG) grundlegend und verschärft die Pflichten für betroffene Einrichtungen.

Warum gibt es NIS-2?

Der Hintergrund ist klar: Die Cybersicherheitslage in Deutschland hat sich so verschärft, dass freiwillige Maßnahmen nicht mehr ausreichen. Das BSI verzeichnet durchschnittlich 119 neue Schwachstellen pro Tag, und die jährlichen Schäden durch Cyberangriffe liegen laut Bitkom bei über 200 Milliarden Euro.

Der Weg zum Gesetz: Zeitstrahl

Wer ist von NIS-2 betroffen?

Betroffen sind Unternehmen und Organisationen, die zwei Kriterien gleichzeitig erfüllen: Sie sind in einem der 18 regulierten Sektoren tätig und überschreiten bestimmte Schwellenwerte bei Mitarbeiterzahl oder Umsatz.

Schwellenwerte

Als Faustregel gilt: Firmen mit mindestens 50 Mitarbeitenden oder mindestens 10 Millionen Euro Jahresumsatz in einem der regulierten Sektoren fallen unter NIS-2. Das Gesetz unterscheidet dabei zwischen „besonders wichtigen Einrichtungen" (größere Organisationen in kritischen Sektoren) und „wichtigen Einrichtungen" (kleinere Firmen oder weniger kritische Sektoren). Für beide gelten Pflichten, die Aufsicht und die Bußgeldhöhe unterscheiden sich jedoch.

Regulierte Sektoren

Die 18 Sektoren umfassen unter anderem Energie, Transport, Gesundheit, Wasser, digitale Infrastruktur, Finanzwesen, öffentliche Verwaltung, Weltraum, Post, Abfallwirtschaft, Lebensmittel, Chemie, verarbeitendes Gewerbe (einschließlich Maschinenbau und Fahrzeugbau), digitale Dienste und Forschung. Ob ein Unternehmen konkret betroffen ist, lässt sich mit der NIS-2-Betroffenheitsprüfung des BSI einschätzen (nicht rechtsverbindlich).

Zentrale Pflichten von NIS-2 im Überblick

Das NIS-2-Umsetzungsgesetz definiert fünf Kernbereiche, in denen betroffene Organisationen nachweisbare Maßnahmen umsetzen müssen:

1. Risikomanagement (§ 30 BSIG)

Betroffene Einrichtungen müssen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen ergreifen, um die Sicherheit ihrer IT-Systeme zu gewährleisten. Dazu gehören unter anderem Risikoanalysen, Konzepte für die Zugriffskontrolle, Kryptographie, Backup-Strategien und die Sicherheit der Lieferkette. In der Praxis setzt das den Aufbau oder die Weiterentwicklung eines Informationssicherheits-Managementsystems (ISMS) voraus.

2. Meldepflichten (§ 32 BSIG)

Sicherheitsvorfälle müssen dem BSI innerhalb strenger Fristen gemeldet werden: eine erste Meldung innerhalb von 24 Stunden, eine bestätigende Meldung mit Erstbewertung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats. Das setzt voraus, dass Vorfälle überhaupt zuverlässig und zeitnah erkannt werden.

3. Registrierung beim BSI

Alle betroffenen Einrichtungen mussten sich bis zum 6. März 2026 über das MUK-Portal des BSI registrieren und einen Ansprechpartner benennen. Die Registrierung erfordert ein ELSTER-Organisationszertifikat. Wer die Frist verpasst hat, sollte die Registrierung umgehend nachholen, denn die Nicht-Registrierung ist ein eigenständiger Bußgeldtatbestand.

4. Pflichten der Geschäftsleitung (§ 38 BSIG)

Die Geschäftsleitung muss die Umsetzung der Cybersicherheitsmaßnahmen überwachen und trägt die persönliche Verantwortung dafür. Dazu gehört auch die Pflicht, an Schulungen zur Cybersicherheit teilzunehmen. Die persönliche Haftung kann nicht an die IT-Abteilung oder einen Dienstleister delegiert werden.

5. Lieferkettensicherheit

Unternehmen müssen die Cybersicherheit ihrer Lieferkette bewerten und sicherstellen, dass auch Zulieferer und Dienstleister angemessene Sicherheitsmaßnahmen treffen. In der Praxis bedeutet das vertragliche Sicherheitsanforderungen, regelmäßige Bewertungen und dokumentierte Risikomanagementprozesse.

Was passiert bei Verstößen?

Das Gesetz sieht empfindliche Sanktionen vor. Für besonders wichtige Einrichtungen können Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes verhängt werden, je nachdem welcher Betrag höher ist. Für wichtige Einrichtungen liegt die Obergrenze bei 7 Millionen Euro oder 1,4 Prozent des Jahresumsatzes. Hinzu kommt die persönliche Haftung der Geschäftsleitung, die sich nicht durch Delegation oder Versicherung vollständig abwenden lässt.

NIS-2-Anforderungen mit Sophos umsetzen

Die Anforderungen des NIS-2-Umsetzungsgesetzes klingen umfangreich, lassen sich aber mit dem richtigen Technologie-Stack effizient abdecken. Das Sophos-Ökosystem bietet für jeden der fünf Kernbereiche passende Lösungen, die zentral über Sophos Central verwaltet werden.

Der entscheidende Vorteil liegt im Zusammenspiel: Über Synchronized Security kommunizieren Firewall und Endpoint in Echtzeit. Sophos MDR liefert die 24/7-Überwachung und Incident-Response-Fähigkeit, die für die Einhaltung der Meldepflichten praktisch unverzichtbar ist. Und Sophos Central dokumentiert Sicherheitsereignisse, Richtlinien und Maßnahmen zentral an einem Ort, was den Compliance-Nachweis gegenüber dem BSI erheblich vereinfacht.

Wer sich unsicher ist, welche Sophos-Komponenten für die eigene NIS-2-Umsetzung relevant sind, kann unser Compliance Assessment nutzen oder sich direkt beraten lassen.

Erste Schritte: So starten Sie jetzt mit NIS-2

Auch wenn die Registrierungsfrist bereits abgelaufen ist, lohnt es sich, strukturiert vorzugehen. Diese fünf Schritte bilden einen pragmatischen Einstieg:

1. Betroffenheit prüfen: Nutzen Sie die NIS-2-Betroffenheitsprüfung des BSI, um einzuschätzen, ob Ihr Unternehmen unter die Regulierung fällt.

2. BSI-Registrierung nachholen: Falls noch nicht geschehen, registrieren Sie sich umgehend über das MUK-Portal. Dafür benötigen Sie ein ELSTER-Organisationszertifikat. Eine verspätete Registrierung ist besser als keine.

3. Bestandsaufnahme der IT-Sicherheit: Erfassen Sie Ihre aktuelle Infrastruktur, eingesetzte Sicherheitslösungen, Zugriffskontrollen und bestehende Prozesse für Vorfallmanagement. Ohne diese Transparenz lässt sich kein belastbares Risikomanagement aufbauen.

4. Gaps identifizieren und schließen: Gleichen Sie den Ist-Zustand mit den NIS-2-Anforderungen ab. Typische Lücken finden sich bei Meldeprozessen (24-Stunden-Frist), bei der Netzwerküberwachung außerhalb der Geschäftszeiten und bei der dokumentierten Lieferkettenbewertung. Ein Compliance Assessment kann diesen Abgleich strukturiert unterstützen.

5. Geschäftsleitung einbinden: Sorgen Sie dafür, dass die Geschäftsleitung ihre persönliche Verantwortung kennt, an einer Cybersicherheitsschulung teilnimmt und die Umsetzung aktiv begleitet. NIS-2 ist kein reines IT-Thema, sondern Chefsache.

Fazit: NIS-2-Umsetzung ist Pflicht und Chance zugleich

Das NIS-2-Umsetzungsgesetz ist geltendes Recht und betrifft zehntausende Unternehmen in Deutschland. Wer die Registrierung beim BSI noch nicht abgeschlossen hat, sollte das umgehend nachholen. Wer die technischen und organisatorischen Anforderungen noch nicht umgesetzt hat, sollte jetzt starten. Die gute Nachricht: Mit einem integrierten Sicherheitsökosystem wie dem von Sophos lassen sich die wesentlichen technischen Anforderungen effizient abdecken, von der Firewall über den Endpunktschutz bis zum gemanagten 24/7-Service. Entscheidend ist der erste Schritt.