Definition
EU-Richtlinie zur Cybersicherheit, in Deutschland umgesetzt durch das NIS2UmsuCG seit 6. Dezember 2025. Verpflichtet rund 30.000 Unternehmen in 18 Sektoren zu Risikomanagement, Vorfallsmeldung binnen 24 Stunden, BSI-Registrierung und Lieferanten-Risikobewertung. Persönliche Haftung der Geschäftsführung (§ 38 BSIG). Bußgelder bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes. ISO 27001 deckt einen Großteil der Anforderungen ab.
In der Praxis
Seit dem 6. Dezember 2025 gilt das BSIG in neuer Fassung — und ich erlebe drei Fehler im Wochentakt. Erstens: Unternehmen prüfen nicht, ob sie überhaupt im Anwendungsbereich sind. „Wir sind zu klein" ist keine Analyse; die Einstufung richtet sich nach den Sektoren der Anlagen 1 und 2 und den Größenkriterien des § 28 BSIG n.F. — das BSI spricht von rund 29.500 beaufsichtigten Einrichtungen in Deutschland. Zweitens: Die Geschäftsleitung delegiert komplett an die IT. § 38 BSIG n.F. macht die Umsetzung und Überwachung der Risikomanagementmaßnahmen zur Organpflicht — nicht delegierbar, inklusive regelmäßiger Schulung der Leitung selbst. Drittens: Das ISO-27001-Zertifikat wird als Freibrief gelesen. Es ist ein starkes Nachweiselement im Rahmen der Nachweispflicht nach § 39 BSIG n.F., deckt aber die gesetzlichen Meldeprozesse nicht ab — die 24-Stunden-Frist für die frühe Erstmeldung nach § 32 BSIG n.F. steht in keinem ISMS-Handbuch von allein. Wer betroffen ist, braucht Registrierung, Meldeprozess und Geschäftsleitungs-Einbindung zusätzlich zum Zertifikat.
→ Vertiefung auf rechtskataster.com: NIS2 — Pflichten, Rollen und Zeitplan
Verwandte Begriffe
Häufige Fragen zu NIS-2-Richtlinie
Was ist der Unterschied zwischen der NIS-2-Richtlinie und dem BSIG n.F. — und was gilt für uns?
Die NIS-2-Richtlinie ist das EU-Rechtsdokument, das die Mitgliedstaaten in nationales Recht umsetzen mussten. In Deutschland ist das über das NIS2UmsuCG als Artikelgesetz geschehen — die materiellen Pflichten stehen seit dem 6. Dezember 2025 im BSIG in neuer Fassung. Für die Praxis heißt das: Zitieren und prüfen Sie immer die Paragraphen des BSIG n.F., nicht die des Umsetzungsgesetzes. Ob Ihr Unternehmen betroffen ist, entscheiden zwei Stufen: Gehören Sie zu einem Sektor der Anlagen 1 oder 2 BSIG n.F., und erreichen Sie die Größenkriterien des § 28 BSIG n.F.? Erst wenn beides greift, gelten die Pflichten zu Risikomanagement, Meldung und Registrierung.
Welche Meldefristen gelten bei einem erheblichen Sicherheitsvorfall — und wann müssen wir uns registrieren?
Das BSIG n.F. sieht ein dreistufiges Meldesystem vor: Binnen 24 Stunden nach Kenntnis ist eine frühe Erstmeldung an das BSI fällig, binnen 72 Stunden folgt die ausführlichere Vorfallmeldung, und spätestens einen Monat danach ist die Abschlussmeldung abzugeben (§ 32 Abs. 1 BSIG n.F.). Auslöser ist jeweils der erhebliche Sicherheitsvorfall — und die Fristen laufen ab Kenntnis, Sie brauchen also einen rund um die Uhr erreichbaren Prozess, nicht nur eine Tagesrandnotiz im Ticketsystem. Unabhängig davon gilt: Betroffene Einrichtungen müssen sich binnen drei Monaten beim BSI registrieren (§ 33 Abs. 1 BSIG n.F.). Beides sind Pflichten, die ein ISO-27001-Zertifikat nicht automatisch mitliefert — der Meldeprozess muss explizit aufgebaut, dokumentiert und geübt werden.
Wir sind nach ISO 27001 zertifiziert — sind wir damit NIS-2-konform?
Nein, und diese Annahme ist der gefährlichste Irrtum im Markt. Es gibt keine gesetzliche Vermutungsregel, die ein Zertifikat mit Befreiung gleichsetzt. Richtig ist: Nach § 39 Abs. 1 BSIG n.F. müssen betroffene Einrichtungen die Umsetzung ihrer Maßnahmen durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nachweisen — erstmalig und danach alle drei Jahre. Eine ISO-27001-Zertifizierung ist dafür ein anerkanntes und starkes Element. Aber die gesetzlichen Sonderpflichten bleiben: die Registrierung beim BSI, die Meldestufen nach § 32, die Organpflichten der Geschäftsleitung nach § 38. Der pragmatische Einstieg ist eine Gap-Analyse: ISMS-Ist-Stand gegen die BSIG-Anforderungen legen, Lücken schließen, Meldeprozess aufsetzen und üben.