NIS2-Gesetz: Deutsche Unternehmen stehen vor Frist für Cybersicherheit

Ab März 2026 müssen Tausende Unternehmen IT-Sicherheit beim BSI melden. Geschäftsführer haften persönlich für Verstöße, die zu Bußgeldern in Millionenhöhe führen können.

Ab dem 6. März drohen Tausenden Firmen in Deutschland hohe Strafen, wenn sie sich nicht beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren. Die Umsetzung der EU-Richtlinie NIS2 macht IT-Sicherheit zur Chefsache und verändert die Compliance-Landschaft grundlegend.

Countdown für die BSI-Registrierung läuft

Die Uhr tickt für schätzungsweise 29.000 bis 30.000 Unternehmen. Bis zum 6. März 2026 müssen sie sich über das BSI-Portal anmelden. Der Weg dorthin ist mehrstufig: Zuerst ist ein verifiziertes „Mein Unternehmenskonto“ (MUK) nötig, dann folgt die Registrierung mit Unternehmensdaten und Branchenzuordnung.

Die Meldepflichten sind streng. Bei einem signifikanten IT-Vorfall muss innerhalb von 24 Stunden eine erste Warnung ans BSI gehen. Nach 72 Stunden folgt eine detaillierte Einschätzung, nach einem Monat der Abschlussbericht. „Viele Firmen kämpfen mit dem administrativen Aufwand“, berichten Compliance-Berater. Das BSI informiert Unternehmen nicht aktiv – jede Firma muss selbst prüfen, ob sie unter das Gesetz fällt.

Anzeige

Die neue NIS2-Pflicht stellt viele Geschäftsführungen vor konkrete Fragen: Welche Sicherheitslücken sind kritisch, und wie setze ich praktikable Maßnahmen schnell um? Ein kostenloses E?Book „Cyber Security Awareness Trends“ fasst aktuelle Bedrohungen, relevante Gesetze und sofort umsetzbare Schutzmaßnahmen speziell für kleine und mittelständische Unternehmen zusammen – damit Sie Bußgelder und Haftungsrisiken reduzieren. Jetzt kostenloses Cyber-Security-E-Book herunterladen

Wer ist betroffen? Vom Mittelstand bis zum Konzern

Das neue Gesetz zieht einen viel weiteren Kreis als der Vorgänger. Neben klassischer kritischer Infrastruktur wie Energie oder Gesundheit sind jetzt auch Postdienste, Abfallwirtschaft, Lebensmittelproduktion und Chemieunternehmen erfasst. Selbst Cloud-Anbieter und Forschungsinstitute fallen darunter.

Entscheidend sind Größenkriterien: Als „wichtige Einheit“ gilt, wer mindestens 50 Mitarbeiter und einen Umsatz oder eine Bilanzsumme von 10 Millionen Euro hat. Die Kategorie „besonders wichtige Einheit“ beginnt bei 250 Beschäftigten oder 50 Millionen Euro Umsatz. Für viele mittelständische Produktions- und Logistikfirmen bedeutet das eine völlig neue Compliance-Herausforderung.

Haftung der Geschäftsführung und massive Strafen

Die größte Neuerung: IT-Sicherheit ist nicht länger nur Aufgabe der IT-Abteilung. Vorstände und Geschäftsführer tragen jetzt die persönliche Verantwortung. Sie müssen Sicherheitsmaßnahmen genehmigen, überwachen und regelmäßig geschult werden.

Die finanziellen Konsequenzen bei Verstößen sind drastisch. Für besonders wichtige Einheiten können Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes fällig werden. Bei wichtigen Einheiten sind es bis zu 7 Millionen Euro oder 1,4 Prozent. Führungskräfte haften persönlich, wenn sie nicht nachweisen können, Cyberrisiken aktiv gemanagt zu haben.

Vernetzung mit europäischen Vorgaben

Die deutsche NIS2-Umsetzung ist Teil eines europäischen Sicherheitsnetzes. Sie ergänzt die Digital Operational Resilience Act (DORA), die seit Januar 2025 für den Finanzsektor gilt. Beide Richtlinien betonen die Sicherheit der Lieferkette. Unternehmen müssen also auch ihre Partner und Zulieferer streng überprüfen.

Experten sehen einen Dominoeffekt: Selbst kleine Firmen, die nicht direkt unter das Gesetz fallen, müssen ihre Sicherheitsstandards erhöhen, um als Lieferant für regulierte Großunternehmen attraktiv zu bleiben.

Paradigmenwechsel in der Unternehmensführung

Bislang behandelten viele Firmen IT-Sicherheit als nachgelagerten Kostenpunkt. Das neues Gesetz, das ohne Übergangsfrist am 6. Dezember 2025 in Kraft trat, erzwingt ein proaktives Handeln. Die Nachfrage nach Sicherheitsaudits und Managed Services ist im ersten Quartal 2026 bereits sprunghaft angestiegen.

Die verpflichtende Meldung von Vorfällen gibt Behörden erstmals einen umfassenden Einblick in die reale Bedrohungslage. Das ermöglicht schnellere, koordinierte Reaktionen auf Ransomware-Angriffe oder staatliche Cyberattacken. Branchenverbände warnen jedoch vor der hohen Belastung für den Mittelstand.

Was kommt nach der Registrierung?

Nach dem März-Fristtermin beginnt die Phase der Überprüfung und Durchsetzung. Behörden werden nicht nur die Formalien, sondern die tatsächliche Wirksamkeit der Sicherheitsmaßnahmen kontrollieren. Experten rechnen 2026 mit einer Welle an behördlichen Audits.

Langfristig wird die Automatisierung der Compliance-Berichterstattung an Bedeutung gewinnen. Künstliche Intelligenz und integrierte Management-Tools sollen helfen, digitale Assets fortlaufend zu überwachen. Unternehmen, die Sicherheit in ihre Unternehmenskultur integrieren, gewinnen so nicht nur Rechtssicherheit, sondern einen echten Wettbewerbsvorteil.