NIS2-Umsetzung 2026: Pflichten, Fristen, Bußgelder

Die NIS2-Umsetzung 2026 ist keine Theorie mehr, sondern geltendes Recht mit Zähnen. Seit dem 6. Dezember 2025 ist das NIS2-Umsetzungsgesetz (NIS2UmsuCG) in Deutschland in Kraft - ohne großzügige Übergangsfrist. Rund 29.500 Unternehmen in 18 Sektoren sind betroffen, und die Registrierungsfrist beim BSI ist am 6. März 2026 abgelaufen. Wer jetzt noch nicht gehandelt hat, sollte das Thema mit höchster Priorität angehen.

Viele Geschäftsführer im Mittelstand unterschätzen, dass NIS2 längst nicht mehr nur klassische KRITIS-Betreiber betrifft. Auch Produktion, Logistik, digitale Infrastruktur, Gesundheitswesen und Forschung fallen darunter - in der Regel ab 50 Beschäftigten oder ab 10 Millionen Euro Umsatz. Dieser Beitrag erklärt, was die NIS2-Umsetzung 2026 konkret bedeutet, welche Pflichten gelten und wie Sie Bußgelder vermeiden.

NIS2-Umsetzung 2026: der aktuelle Stand

Das Gesetz wurde am 6. Dezember 2025 verkündet und gilt seither unmittelbar. Die dreimonatige Registrierungsfrist begann zeitgleich und endete am 6. März 2026. Wichtig zu wissen: Die Registrierung erfolgt über „Mein Unternehmenskonto“ auf ELSTER-Basis. Ohne dieses Konto ist eine Anmeldung beim BSI technisch nicht möglich - ein Detail, das viele Unternehmen in vermeidbare Zeitprobleme gebracht hat.

Das BSI prüft 2026 aktiv. Die Behörde hat angekündigt, ihrer Aufsichtsrolle nachzukommen, und kann Maßnahmen anordnen sowie Bußgelder verhängen. Die Zeit des Abwartens ist vorbei: Betroffene Einrichtungen müssen seit Dezember 2025 angemessene technische und organisatorische Maßnahmen umsetzen und erhebliche Sicherheitsvorfälle innerhalb von 24 Stunden melden.

Ein verbreitetes Missverständnis ist, dass mit der Registrierung die Arbeit getan sei. Die Registrierung ist lediglich der formale Einstieg. Die eigentliche Pflicht besteht in der dauerhaften Umsetzung und im Nachweis der Sicherheitsmaßnahmen. Wer registriert ist, aber kein funktionierendes Risikomanagement nachweisen kann, erfüllt die Anforderungen nicht. Geht ein Vorfall mit verspäteter oder fehlender Meldung einher, wird genau dieser Punkt zum Problem - denn die Meldepflicht nach Paragraf 32 ist mehrstufig: einer Erstmeldung binnen 24 Stunden folgt eine detailliertere Meldung binnen 72 Stunden und ein Abschlussbericht.

Bin ich überhaupt betroffen?

Die Betroffenheit (geregelt in Paragraf 28 NIS2UmsuCG) richtet sich nach Sektor und Unternehmensgröße. Prüfen Sie folgende Punkte:

• Gehört Ihr Unternehmen zu einem der 18 erfassten Sektoren (u. a. Energie, Transport, Gesundheit, Trinkwasser, Produktion, Logistik, digitale Infrastruktur)?
• Beschäftigen Sie regelmäßig mindestens 50 Personen?
• Erzielen Sie mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme?
• Sind Sie Zulieferer eines betroffenen Unternehmens und damit Teil von dessen Lieferkette?

Der letzte Punkt ist entscheidend für kleinere KMU: Auch wer selbst unter den Schwellenwerten liegt, gerät über die Lieferkettenanforderungen in die Pflicht, sobald große Kunden Sicherheitsnachweise verlangen. NIS2 wirkt damit weit über den Kreis der direkt betroffenen Unternehmen hinaus.

In der Praxis bedeutet das einen Dominoeffekt durch die gesamte Wirtschaft. Ein betroffener Konzern muss die Sicherheit seiner Lieferkette gewährleisten und gibt diese Anforderung vertraglich an seine Zulieferer weiter. Ein Leipziger Maschinenbauer mit 30 Beschäftigten, der einen großen Automobilhersteller beliefert, wird so faktisch zur Umsetzung von NIS2-nahen Maßnahmen verpflichtet - obwohl er formal gar nicht unter das Gesetz fällt. Wer hier Sicherheitsnachweise vorlegen kann, verschafft sich einen klaren Wettbewerbsvorteil und bleibt als Geschäftspartner attraktiv. Umgekehrt riskiert, wer nicht liefern kann, den Verlust wichtiger Aufträge.

Die fünf zentralen Pflichten

Das Gesetz konkretisiert die Anforderungen in mehreren Paragraphen. Diese fünf sollten Sie kennen:

• Paragraf 28: Feststellung der Betroffenheit und Selbsteinstufung
• Paragraf 30: Risikomanagement mit technischen und organisatorischen Maßnahmen
• Paragraf 32: Meldepflichten - Erstmeldung erheblicher Vorfälle binnen 24 Stunden
• Paragraf 38: Geschäftsleitungspflichten inklusive persönlicher Haftung
• Paragraf 65: Bußgelder bei Verstößen

Zum geforderten Risikomanagement gehören unter anderem Zugriffskontrollen, Multi-Faktor-Authentifizierung, Verschlüsselung, Backup- und Wiederherstellungskonzepte, Schulungen und ein Vorfallmanagement. Faktisch verlangt NIS2 damit Zero-Trust-Prinzipien, ohne den Begriff zu nennen.

Konkret nennt Paragraf 30 einen Mindestkatalog an Maßnahmen, den jedes betroffene Unternehmen abdecken muss. Dazu zählen:

• Konzepte zur Risikoanalyse und zur Sicherheit der Informationssysteme
• Bewältigung von Sicherheitsvorfällen inklusive Meldeprozessen
• Aufrechterhaltung des Betriebs, etwa Backup- und Notfallmanagement
• Sicherheit der Lieferkette und der Beziehungen zu Dienstleistern
• Konzepte für Zugriffskontrolle, Verschlüsselung und Asset-Management
• Schulungen im Bereich Cybersicherheit und grundlegende Cyberhygiene

Diese Punkte sind keine Empfehlungen, sondern Pflichtbestandteile. Entscheidend ist, dass Unternehmen sie nicht nur umsetzen, sondern auch dokumentieren. Im Prüfungsfall zählt, was nachweisbar ist - ein mündliches Es gibt schon Backups reicht nicht aus.

Bußgelder und persönliche Haftung

Die Sanktionen sind erheblich. Für besonders wichtige Einrichtungen drohen Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen liegt die Grenze bei bis zu 7 Millionen Euro oder 1,4 Prozent des Umsatzes.

Besonders brisant: Paragraf 38 nimmt die Geschäftsleitung persönlich in die Pflicht. Geschäftsführer müssen die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und sich schulen lassen. Versäumnisse können zu persönlicher Haftung führen. NIS2 ist damit endgültig Chefsache.

Was Sie jetzt tun sollten

Auch wenn die Registrierungsfrist verstrichen ist, gilt: Handeln ist besser als weiteres Abwarten. Eine versäumte Registrierung lässt sich nachholen, ein verschlafenes Risikomanagement im Prüfungsfall jedoch nicht. Gehen Sie strukturiert vor:

• Betroffenheit prüfen: Sektor, Mitarbeiterzahl und Umsatz abgleichen, auch die Rolle als Zulieferer
• Falls noch nicht geschehen, über Mein Unternehmenskonto bei ELSTER beim BSI registrieren
• Bestehende Sicherheitsmaßnahmen den Anforderungen aus Paragraf 30 gegenüberstellen (Gap-Analyse)
• Meldeprozesse für Sicherheitsvorfälle definieren und im Team bekannt machen
• Geschäftsleitung schulen und die Verantwortung formal verankern

Gerade für kleinere Unternehmen ohne eigene IT-Sicherheitsabteilung lohnt sich externe Unterstützung. Ein erfahrener Dienstleister kennt die Anforderungen, vermeidet teure Umwege und sorgt für eine prüffeste Dokumentation. So wird aus einer regulatorischen Pflicht ein echter Sicherheitsgewinn.

Fazit

Die NIS2-Umsetzung 2026 ist Realität, die Fristen sind verstrichen und das BSI prüft aktiv. Wer betroffen ist und untätig bleibt, riskiert hohe Bußgelder und die persönliche Haftung der Geschäftsleitung. Die gute Nachricht: Viele NIS2-Anforderungen sind solide IT-Sicherheitspraxis, von der jedes Unternehmen profitiert - unabhängig von der Regulierung.

Unsicher, ob und wie NIS2 Sie betrifft? Cryon begleitet Mittelständler aus Leipzig und der Region durch die Betroffenheitsprüfung, das Risikomanagement und den Aufbau nachweisbarer Sicherheitsmaßnahmen. Vereinbaren Sie ein unverbindliches Erstgespräch und bringen Sie Ihre Compliance auf sicheren Stand.