Praxisorientierte Einordnung zu NIS2 in Deutschland 2026: Aktueller Stand und sinnvolle Vorbereitungen: Anforderungen verstehen, Risiken priorisieren und eine belastbare Umsetzung für NIS2 aufbauen.
Im Jahr 2026 ist NIS2 in Deutschland keine bevorstehende Richtlinie mehr. Das neue BSI-Gesetz ist am 6. Dezember 2025 in Kraft getreten und wurde 2026 bereits geändert. Betroffene besonders wichtige und wichtige Einrichtungen müssen ihre gesetzlichen Pflichten daher auf Basis der geltenden nationalen Regelungen umsetzen. Frühere Blogbeiträge und Checklisten zum Regierungsentwurf können in Details überholt sein.
Für Unternehmen bedeutet das: Betroffenheit mit aktuellen Kriterien prüfen, Registrierung über den vorgesehenen BSI-Kanal durchführen, Meldeprozesse betriebsbereit halten und die Maßnahmen nach § 30 BSIG wirksam umsetzen. Gleichzeitig sind Übergangsregeln rund um kritische Anlagen und das KRITIS-Dachgesetz zu beachten. Dieser Beitrag ordnet den Stand vom August 2026 in konkrete Arbeitspakete ein.
Seit dem 6. Dezember 2025 gilt das neue BSI-Gesetz
Das Gesetz vom 2. Dezember 2025 ersetzte das frühere BSI-Gesetz und setzte die NIS-2-Richtlinie in zentralen Teilen national um. Der Text gilt seit dem 6. Dezember 2025. Unternehmen sollten deshalb nicht mehr auf einen zukünftigen Abschluss des Gesetzgebungsverfahrens warten.
Maßgeblich ist die konsolidierte Fassung. Sie berücksichtigt Änderungen aus März und Juli 2026. Eine interne Rechtsmatrix nennt Fassungsstand, geprüfte Paragraphen und verantwortlichen Eigentümer. So bleibt erkennbar, auf welcher Grundlage Betroffenheits- und Umsetzungsentscheidungen getroffen wurden.
Warum ältere NIS2-Informationen gefährlich sein können
Vor Inkrafttreten veröffentlichten Behörden, Verbände und Beratungen viele Informationen auf Basis von Entwürfen. Einzelne BSI-Seiten kennzeichnen ältere sektorspezifische FAQs ausdrücklich als archiviert. Solche Inhalte können bei Verständnisfragen helfen, dürfen aber nicht ungeprüft als aktuelle Rechtsgrundlage verwendet werden.
Unternehmen kennzeichnen Quellen in ihrem Compliance-Register nach Status: geltendes Gesetz, verbindlicher EU-Rechtsakt, aktuelle Behördeninformation, Entwurf oder Archiv. Entscheidungen verweisen möglichst direkt auf Primärquellen. Dadurch werden veraltete Schwellen, Fristen oder Portalkanäle schneller erkannt. Ein regelmäßiger Quellenreview hält das Register belastbar.
Die zentralen Kategorien nach geltendem § 28 BSIG
Das Gesetz unterscheidet besonders wichtige Einrichtungen und wichtige Einrichtungen. Betreiber kritischer Anlagen sowie bestimmte Dienste sind unmittelbar besonders wichtig. Sonstige Einrichtungsarten aus Anlage 1 werden bei der großen Schwelle besonders wichtig. Anlagen 1 und 2 führen bei der mittleren Schwelle grundsätzlich zur wichtigen Einrichtung.
Die Einordnung beeinflusst insbesondere den Aufsichtsansatz, nicht die grundsätzliche Notwendigkeit wirksamer Risikomanagementmaßnahmen. Jede betroffene Rechtseinheit benötigt eine dokumentierte Begründung. Konzerne dürfen nicht aus einer einzigen Gruppenbewertung auf sämtliche Tochtergesellschaften schließen.
Die aktuellen allgemeinen Größenkriterien
Für sonstige Anlage-1-Einrichtungen gilt die große Schwelle bei mindestens 250 Beschäftigten oder bei einem Jahresumsatz von mehr als 50 Millionen Euro und zugleich einer Jahresbilanzsumme von mehr als 43 Millionen Euro. Für die wichtige Einrichtung genügt grundsätzlich mindestens 50 Beschäftigte oder Umsatz und Bilanzsumme von jeweils mehr als 10 Millionen Euro.
§ 28 Absatz 4 verweist für die Berechnung auf die EU-KMU-Empfehlung und enthält eine besondere Unabhängigkeitsregel für Partner- und verbundene Unternehmen. Beteiligungen, Kontrolle und gemeinsame IT müssen daher geprüft werden. Vereinfachte Aussagen anhand der lokalen Beschäftigtenzahl können falsch sein.
Sonderkategorien vor der Größenprüfung abfragen
Qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries, DNS-Diensteanbieter, Vertrauensdiensteanbieter und Telekommunikationsunternehmen besitzen besondere Zuordnungsregeln. Betreiber kritischer Anlagen werden unabhängig vom normalen Größenpfad besonders wichtig. Eine belastbare Prüflogik fragt diese Kategorien zuerst ab.
Die genaue Einrichtungsdefinition wird mit tatsächlicher Leistung und Vertrag belegt. Der allgemeine Branchenname genügt nicht. Auch mehrere Tätigkeiten einer Gesellschaft werden separat betrachtet, weil eine digitale Nebenleistung oder ein Managed Service einen zusätzlichen Regulierungspfad eröffnen kann. Grenzfälle erhalten eine dokumentierte juristische Bewertung.
Anlagen 1 und 2 anhand der konkreten Einrichtungsart lesen
Anlage 1 enthält hochkritische Sektoren wie Energie, Verkehr, Gesundheit, digitale Infrastruktur und IKT-Dienstemanagement. Anlage 2 umfasst weitere Sektoren wie Abfall, Chemie, Lebensmittel, bestimmte Herstellung und digitale Anbieter. Innerhalb eines Sektors sind nur die in Spalte D definierten Einrichtungsarten erfasst.
Ein Zulieferer für ein Krankenhaus ist nicht automatisch eine Gesundheitseinrichtung. Ein Hersteller kann aber aufgrund seiner eigenen Produktkategorie in Anlage 2 fallen. Die Zuordnung stützt sich auf Leistungsbeschreibung, Genehmigungen, Kundenverträge und tatsächliche Tätigkeit statt allein auf statistische Codes.
Übergangsregelung für kritische Anlagen beachten
§ 66 BSIG enthält Übergangsbestimmungen für Definitionen und Registrierung, bis eine Rechtsverordnung auf Grundlage des KRITIS-Dachgesetzes in Kraft tritt. Für betroffene Betreiber ist der jeweils aktuelle Stand der Verordnung entscheidend. Eine statische Bewertung aus Dezember 2025 kann im weiteren Verlauf 2026 Anpassung benötigen.
Die Organisation benennt einen Eigentümer für Rechtsmonitoring und dokumentiert, welche alte oder neue Fassung aktuell anzuwenden ist. Änderungen an der Betreiberstellung können Registrierung, Nachweiszyklus und Scope beeinflussen. Rechtliche Bewertung und technische Anlagenliste werden synchron gehalten.
Registrierung erfolgt über das BSI-Portal
Das BSI weist aktuell darauf hin, dass NIS2-Registrierungen ausschließlich über das dafür vorgesehene BSI-Portal erfolgen und nicht über das MIP. Dort können Einrichtungen sich registrieren und Sicherheitsvorfälle melden. Betreiber kritischer Anlagen und Bundesbehörden nutzen in der Übergangsphase weiterhin vorrangig etablierte MIP-Prozesse.
Unternehmen prüfen daher nicht nur ihre Pflicht, sondern auch den richtigen Kanal. Berechtigungen, Funktionspostfach, Vertreter und interne Freigabe der Stammdaten werden dokumentiert. Ein erfolgreicher Portaleintrag ist kein Nachweis für umgesetzte Sicherheitsmaßnahmen, sondern ein eigener Compliance-Schritt.
Registrierungsdaten dauerhaft aktuell halten
Rechtsform, Anschrift, Einrichtungsart, Kontaktstelle und weitere Angaben können sich ändern. Ein Pflegeprozess verbindet Handelsregisteränderungen, M&A, neue Geschäftstätigkeit und Personalwechsel mit dem BSI-Datensatz. Mindestens zwei Personen besitzen Zugang und kennen das Verfahren.
Das Unternehmen testet den sicheren Eingang behördlicher Kommunikation. Funktionspostfächer werden überwacht, Weiterleitungen kontrolliert und Abwesenheiten vertreten. Eine Registrierungsbestätigung wird in der zentralen Nachweisakte aufbewahrt. Das jährliche Compliance-Review bestätigt die vollständige Aktualität. Sämtliche Auffälligkeiten werden bis zur bestätigten Behebung nachverfolgt.
Risikomanagementpflichten gelten bereits jetzt
§ 30 verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen. Das Gesetz nennt einen breiten Katalog von Risikoanalyse über Vorfallbehandlung, Kontinuität, Lieferkette, sichere Entwicklung und Wirksamkeit bis zu Kryptografie, Zugriffskontrolle und starker Authentisierung.
Eine Organisation kann deshalb nicht auf spätere Detailleitlinien warten, bevor sie offensichtliche Risiken behandelt. Sie nutzt aktuelle Standards und ihren konkreten Risikokontext. Maßnahmen werden priorisiert, implementiert und getestet. Neue behördliche Konkretisierungen fließen anschließend in das Kontrollregister ein.
Verhältnismäßigkeit nicht mit Minimalumsetzung verwechseln
Bei der Bewertung berücksichtigt das BSIG Risikoexposition, Größe, Umsetzungskosten, Eintrittswahrscheinlichkeit, Schwere sowie gesellschaftliche und wirtschaftliche Auswirkungen. Das erlaubt eine an die Einrichtung angepasste Umsetzung. Es rechtfertigt aber nicht, kritische Risiken allein aus Kostengründen unbehandelt zu lassen.
Die Entscheidung dokumentiert Szenario, Alternativen, erwartete Wirkung und Restrisiko. Kostengünstige organisatorische Kontrollen können Übergänge absichern, müssen aber wirksam sein. Die Geschäftsleitung entscheidet über wesentliche Abweichungen und stellt Ressourcen bereit. Befristete Übergänge erhalten ein verbindliches Ablaufdatum.
Geschäftsleitungspflichten nach § 38 sind in Kraft
Geschäftsleitungen betroffener Einrichtungen müssen die Maßnahmen umsetzen und ihre Umsetzung überwachen. Sie nehmen regelmäßig an Schulungen teil, um Risiken und Risikomanagementpraktiken sowie Auswirkungen auf Dienste beurteilen zu können. Die Pflicht ist nicht auf den CISO übertragbar.
Ein Leitungszyklus umfasst Risikobericht, Kontrolltests, Maßnahmen, Vorfälle, Lieferanten und Ausnahmen. Beschlüsse werden protokolliert. Schulungen verwenden konkrete Unternehmensszenarien und dokumentieren Lernziele, Teilnehmer sowie Übungsergebnisse. Neue Leitungsmitglieder erhalten zeitnah eine Einführung. Wiederkehrende Defizite werden auf Leitungsebene eskaliert.
Die Meldepflichten praktisch vorbereiten
§ 32 regelt eine gestufte Meldung erheblicher Sicherheitsvorfälle. Die Fristen erfordern schnelle interne Erkennung, Bewertung und Freigabe. Ein Unternehmen, das erst während eines Angriffs Verantwortliche und Portalzugang sucht, kann gesetzliche Zeitfenster kaum zuverlässig einhalten.
Das Runbook definiert Erheblichkeitskriterien, Zeitpunkt der Kenntnis, Empfänger, Mindestinformationen und Updates. Technik, Legal, Datenschutz, Kommunikation und Geschäftsleitung üben gemeinsam. Informationen dürfen in frühen Meldestufen als vorläufig gekennzeichnet werden, müssen aber nachvollziehbar aktualisiert werden. Portalzugriff und Vertretung werden praktisch getestet.
Erhebliche Vorfälle von technischen Events unterscheiden
Nicht jeder Alarm ist meldepflichtig. Die Bewertung betrachtet Betriebsstörung, finanziellen Verlust und Schaden für andere Personen sowie anwendbare Konkretisierungen. SOC und Incident Manager sammeln Fakten; die rechtliche Erheblichkeitsentscheidung erfolgt nach einem vorab festgelegten Verfahren.
Grenzfälle werden früh eskaliert. Das Entscheidungsprotokoll enthält Fakten, Annahmen, Zeitstempel und Verantwortlichen. Neue Informationen können den Status verändern. So bleibt die Organisation schnell, ohne jede harmlose Fehlermeldung als erheblichen Sicherheitsvorfall zu behandeln. Entscheidungen werden nach Abschluss fachlich überprüft.
Unterrichtung betroffener Empfänger einplanen
§ 35 enthält Pflichten zur Unterrichtung über erhebliche Cyberbedrohungen oder Vorfälle in bestimmten Konstellationen. Dies kann neben der Behördenmeldung eine direkte Kommunikation mit Empfängern von Diensten erforderlich machen. Inhalt und Zeitpunkt müssen Sicherheit, Recht und Kommunikation abstimmen.
Vorlagen werden für verschiedene Empfängergruppen vorbereitet. Sie erklären Risiko und sinnvolle Abhilfemaßnahmen verständlich, ohne Untersuchungen zu gefährden. Freigaben und Kontaktlisten sind im Krisenplan enthalten. Veraltete Listen werden in Übungen sichtbar. Korrekturen fließen unmittelbar in die Stammdatenpflege ein.
Besonders wichtige und wichtige Einrichtungen: Aufsicht unterscheidet sich
Das BSIG regelt Aufsichts- und Durchsetzungsmaßnahmen in §§ 61 und 62 getrennt. Gegenüber besonders wichtigen Einrichtungen kann das BSI weitergehende proaktive Instrumente einsetzen. Bei wichtigen Einrichtungen ist der Ansatz stärker anlassbezogen, wenn Hinweise auf Pflichtverletzungen bestehen.
Beide Kategorien müssen prüfbereit sein. Nachweise aus Betrieb, Tests und Entscheidungen werden geordnet geführt. Ein wichtiges Unternehmen sollte nicht auf eine behördliche Anfrage warten, bevor es Wirksamkeit belegen kann. Die Kategorie beeinflusst Aufsicht, nicht die Pflicht zu angemessenem Schutz.
KRITIS-Nachweise nach § 39 gesondert behandeln
Betreiber kritischer Anlagen weisen die Umsetzung in Bezug auf diese Anlagen durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nach. Das Gesetz sieht einen vom BSI festgelegten Zeitpunkt und einen wiederkehrenden Zyklus vor. Ergebnisse einschließlich Sicherheitsmängeln werden übermittelt.
Prüfplanung, Scope und Mängelbeseitigung brauchen Vorlauf. Ein ISO-Zertifikat kann ein Baustein sein, ersetzt den konkreten gesetzlichen Nachweis nicht automatisch. Das Kontrollregister trennt allgemeine NIS2-Evidenz von KRITIS-spezifischen Einreichungen. Sämtliche Fristen werden zentral überwacht und rechtzeitig eskaliert.
ISO 27001 und IT-Grundschutz weiter nutzen
Bestehende Managementsysteme liefern Risiko-, Kontroll-, Audit- und Verbesserungsprozesse. Sie beschleunigen die Umsetzung, wenn ihr Scope die betroffene Einrichtung und Dienste umfasst. Das Mapping vergleicht jede BSIG-Anforderung mit konkreter Kontrolle und Evidenz.
Typische Ergänzungen betreffen Betroffenheitsdokumentation, Registrierung, gestufte Meldung, Leitungsschulung, Dienstsicht und spezielle Nachweispflichten. Eine Zertifizierung allein ist keine Vollständigkeitsbestätigung. Technische Stichproben prüfen tatsächliche Wirksamkeit. Erkannte Abweichungen fließen mit klarer Verantwortlichkeit, festen Terminen und belastbaren Abschlusskriterien in den bestehenden Verbesserungsprozess ein.
Lieferantenverträge 2026 systematisch nachziehen
Viele bestehende Verträge enthalten keine ausreichenden Vorfallfristen, Änderungsinformationen, Unterauftragnehmertransparenz oder Exit-Unterstützung. Kritische Anbieter werden nach dem unterstützten Dienst priorisiert. Neuverträge erhalten Mindestklauseln; Altverträge werden risikobasiert nachverhandelt.
Vertragliche Zusagen werden mit technischer Realität verglichen. Ein Dienstleisterzugang muss tatsächlich stark authentisiert und protokolliert sein. Serviceberichte, Vorfälle und Änderungen fließen in laufendes Monitoring. Fehlende Verhandlungsmacht wird als Restrisiko und nicht als erledigte Checkliste dokumentiert. Kritische Fälle erreichen unverzüglich das zuständige Managementreview zur verbindlichen Entscheidung.
Wiederherstellung als wichtigste Praxiskontrolle
Ransomware und Lieferantenausfälle zeigen, dass Sicherungen allein nicht genügen. Für kritische Dienste werden Wiederherstellungszeit, tolerierter Datenverlust, Mindestleistung und Abhängigkeiten definiert. Isolierte Backups, Identitäten, Netz, Personal und externe Systeme müssen zusammenpassen.
Tests messen reale Zeiten und Datenqualität. Ein Ende-zu-Ende-Test oder eine Tabletop-Übung zeigt Engpässe, die in Dokumenten verborgen bleiben. Abweichungen werden priorisiert und nach Korrektur erneut getestet. Ergebnisse gehen in den Leitungsbericht. Kritische Ziele erhalten einen verbindlichen, dokumentierten und risikobasierten jährlichen Testzyklus.
Ein sinnvolles Programm für die zweite Jahreshälfte 2026
Im ersten Arbeitspaket werden Betroffenheit, Rechtsquellen und Registrierung verifiziert. Das zweite stellt Meldekette und Leitungsschulung sicher. Das dritte priorisiert technische Hochrisikolücken bei Identitäten, exponierten Systemen, Segmentierung und Wiederherstellung. Das vierte integriert Lieferanten und sichere Entwicklung.
Parallel entsteht ein Kontrollregister mit Evidenz. Interne Stichproben prüfen, ob deklarierte Maßnahmen funktionieren. Das Jahresende dient nicht als künstlicher Compliance-Stichtag; kritische Lücken werden sofort behandelt. Der Zeitplan richtet sich nach Risiko, gesetzlichen Pflichten und Abhängigkeiten.
Was Unternehmen nicht mehr aufschieben sollten
Ungeklärte Betroffenheit, fehlender Portalzugang, keine 24/7-Eskalation, unbekannte privilegierte Konten und ungetestete Wiederherstellung sind akute Lücken. Ebenso kritisch sind kritische Lieferanten ohne Vorfallkontakt oder Daten zur technischen Abhängigkeit. Diese Themen gehören vor umfangreiche Richtlinienprojekte.
Die Geschäftsleitung erhält einen kompakten Sofortbericht und entscheidet über Ressourcen. Jede Maßnahme besitzt Zielwirkung und Abnahmetest. Dadurch führt das Programm schon früh zu besserer Resilienz, auch wenn langfristige Architekturprojekte noch laufen. Der Fortschritt wird monatlich transparent nachverfolgt.
Was bewusst geplant werden kann
Reifegradverbesserungen, umfangreiche Zertifizierungen, Toolkonsolidierung und langfristige Lieferantenwechsel benötigen mehr Zeit. Sie werden in eine mehrjährige Roadmap eingeordnet. Übergangsrisiken erhalten kompensierende Kontrollen und ein verbindliches Ablaufdatum.
Planung darf nicht mit unbegrenzter Verschiebung verwechselt werden. Wiederholte Fristverlängerungen werden auf eine höhere Ebene eskaliert. Nach jedem Meilenstein prüft die Organisation, ob die erwartete Risikowirkung eingetreten ist. Unerfüllte Wirkungsziele lösen gezielte Korrekturen, neue unabhängige Tests und eine vollständig dokumentierte Ursachenanalyse aus.
Beispiel: Unternehmen erkennt Betroffenheit erst 2026
Ein Produktionsunternehmen hatte seine Tätigkeit in einem frühen Entwurf nicht als erfasst eingeschätzt. Eine aktuelle Prüfung der Anlage 2 und Beschäftigtenschwelle ergibt nun den Status als wichtige Einrichtung. Es dokumentiert die korrigierte Entscheidung und beginnt nicht mit einer vollständigen Neuerstellung aller Richtlinien.
Zuerst werden Registrierung, Leitungsgremium und Meldekette hergestellt. Eine Gap-Analyse nutzt das bestehende ISMS und prüft technische Evidenz. Kritische Fernzugriffe und Wiederherstellung werden sofort verbessert. Langfristige Dokumentations- und Lieferantenmaßnahmen folgen in einer priorisierten Roadmap.
Beispiel: Konzern mit zentralem ISMS
Mehrere deutsche Töchter nutzen ein konzernweites Sicherheitsmanagement. Die Betroffenheitsmatrix zeigt unterschiedliche Einrichtungsarten und Kategorien. Zentrale Kontrollen werden wiederverwendet, doch jede betroffene Geschäftsleitung bestätigt Scope, Risiken und Ressourcen ihrer Gesellschaft.
Registrierung und Kontaktstelle bleiben rechtseinheitsbezogen. Konzern-SOC und Incident Team liefern operative Leistungen über dokumentierte Vereinbarungen. Übungen prüfen, ob eine Tochter ihre Meldung fristgerecht freigeben kann. Das Modell kombiniert Effizienz mit eindeutiger Verantwortung. Lokale Vertretungen bleiben organisatorisch, rechtlich und technisch jederzeit handlungsfähig.
Typische Irrtümer im Jahr 2026
„Das Gesetz kommt noch“ ist falsch. Ebenso falsch ist die Annahme, nur Betreiber kritischer Infrastrukturen seien betroffen. Eine weitere Fehlannahme lautet, Anlage 1 bedeute automatisch besonders wichtig oder ein ISO-27001-Zertifikat decke jede BSIG-Pflicht ab.
Auch der Blick auf nur eine Beschäftigtenschwelle ist zu grob. Finanzwerte, Sonderkategorien und Konzernzurechnung können das Ergebnis verändern. Unternehmen benötigen daher eine aktuelle, dokumentierte Prüfung und eine Umsetzung, die technische Wirkung statt Checklistenmenge nachweist. Rechts- und Faktenstand werden regelmäßig aktualisiert.
Fazit: 2026 zählt belastbare Umsetzung statt Beobachtung
NIS2 ist in Deutschland geltendes nationales Recht. Die zentrale Aufgabe besteht jetzt darin, aktuelle Betroffenheit, Registrierung, Geschäftsleitung, Meldung und Risikomanagement zu einem funktionierenden System zu verbinden. Übergangsregeln werden gezielt überwacht, dürfen aber allgemeine Pflichten nicht verdecken.
BlackMount unterstützt beim aktuellen NIS2-Programm 2026: Rechts- und Betroffenheitscheck, Registrierungsvorbereitung, Leitungsschulung, Gap-Analyse, technische Priorisierung, Meldesimulation und Nachweisstruktur. Unternehmen erhalten eine realistische Roadmap auf Basis des geltenden Rechts statt veralteter Entwurfsstände. Kritische Sofortmaßnahmen werden dabei ausdrücklich vor langfristigen Formalprojekten priorisiert.
