NIS2 in der Praxis: Was jetzt nicht nur Betreiber kritischer Infrastruktur umsetzen müssen

Die EU-Frist zur Umsetzung der NIS2-Richtlinie endete im Oktober 2024. In deutsches Recht überführt wurde sie später: Das neue BSI-Gesetz wurde am 2. Dezember 2025 ausgefertigt.

Wer NIS2 bisher für ein Thema von Energieversorgern und Kliniken gehalten hat, lag nicht ganz falsch: Die kritische Infrastruktur gehört dazu. Das Gesetz reicht aber weiter. Es erfasst nach Branche und Größe auch mittelständische Unternehmen, die sich nie als KRITIS gesehen haben. Für sie bedeutet es Registrierung, Meldepflichten, Mindestmaßnahmen und Bußgelder bei Verstößen. Wir fassen zusammen, was das Gesetz verlangt, etwas kürzer als das Gesetz selbst.

Das BSI-Gesetz unterscheidet zwei Gruppen. Entscheidend sind Branche und Größe:

• Besonders wichtige Einrichtungen sind unter anderem Betreiber kritischer Anlagen und Unternehmen aus den Sektoren der Anlage 1 mit mindestens 250 Beschäftigten oder mit über 50 Mio. EUR Jahresumsatz und zugleich über 43 Mio. EUR Jahresbilanzsumme (§ 28 Abs. 1 BSIG).
• Wichtige Einrichtungen sind unter anderem Unternehmen aus den Sektoren der Anlagen 1 und 2 mit mindestens 50 Beschäftigten oder mit jeweils über 10 Mio. EUR Jahresumsatz und Jahresbilanzsumme (§ 28 Abs. 2 BSIG).

Anlage 1 umfasst etwa Energie, Transport und Verkehr, Gesundheit, Wasser und digitale Infrastruktur, Anlage 2 unter anderem Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel und Teile des verarbeitenden Gewerbes wie Maschinen- und Fahrzeugbau. Beschäftigte und Umsatz werden nach der KMU-Empfehlung der EU ermittelt; verbundene Unternehmen zählen grundsätzlich mit (§ 28 Abs. 4 BSIG).

Ob das eigene Unternehmen dazugehört, beurteilt es selbst. Einen ersten, unverbindlichen Eindruck gibt die NIS-2-Betroffenheitsprüfung des BSI. Wer betroffen ist, muss sich spätestens drei Monate danach beim BSI registrieren (§ 33 BSIG). Für Unternehmen, die schon bei Inkrafttreten des Gesetzes betroffen waren, ist diese Frist abgelaufen; das BSI rät, die Registrierung umgehend nachzuholen.

Betroffene Einrichtungen müssen geeignete, verhältnismäßige Maßnahmen treffen. Sie umfassen mindestens (§ 30 Abs. 2 BSIG, entsprechend Art. 21 Abs. 2 NIS2):

1. Konzepte zur Risikoanalyse und zur Sicherheit in der Informationstechnik
2. Bewältigung von Sicherheitsvorfällen
3. Aufrechterhaltung des Betriebs: Backup-Management, Wiederherstellung nach einem Notfall, Krisenmanagement
4. Sicherheit der Lieferkette, auch in den Beziehungen zu unmittelbaren Anbietern und Diensteanbietern
5. Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen, einschließlich Umgang mit Schwachstellen und ihrer Offenlegung
6. Konzepte und Verfahren, um die Wirksamkeit dieser Maßnahmen zu bewerten
7. grundlegende Schulungen und Sensibilisierung
8. Konzepte und Prozesse für den Einsatz kryptographischer Verfahren
9. Sicherheit des Personals, Zugriffskontrolle und Management von IT-Systemen, Produkten und Prozessen
10. Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung, gesicherte Kommunikation und gegebenenfalls gesicherte Notfallkommunikation

Die Geschäftsleitung muss diese Maßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen (§ 38 BSIG). Erhebliche Sicherheitsvorfälle sind dem BSI in Stufen zu melden: eine frühe Erstmeldung binnen 24 Stunden, eine Meldung binnen 72 Stunden, eine Abschlussmeldung spätestens einen Monat danach (§ 32 BSIG).

Kryptographie. Ein Konzept für kryptographische Verfahren setzt voraus, dass man weiß, wo welche Verfahren laufen: in Anwendungen, Zertifikaten, Schnittstellen und Geräten. Dieses Wissen ist über Entwicklung, Betrieb und Lieferanten verteilt und muss erst zusammengetragen werden. Orientierung für den Stand der Technik gibt die Technische Richtlinie TR-02102-1 des BSI. Sie empfiehlt für RSA Schlüssel ab 3000 Bit; RSA mit 2000 Bit galt nur übergangsweise bis Ende 2023 als konform. SHA-1 gehört nicht zu den empfohlenen Hashfunktionen; 2020 wurde eine Kollision mit gewählten Präfixen praktisch vorgeführt.

Schwachstellen in Altsystemen. Schwachstellenbehandlung setzt voraus, dass es für ein System noch Updates gibt. Liefern Hersteller oder Plattform keine mehr, bleibt nur, das Risiko auf anderem Weg zu begrenzen oder das System zu modernisieren. Wie das bei geschäftskritischen Anwendungen gelingt, ohne sie neu zu schreiben, steht unter Legacy-Modernisierung.

Drei Fragen für einen ersten Eindruck:

1. Setzen Sie Verfahren ein, die die TR-02102-1 nicht mehr empfiehlt, etwa SHA-1 oder RSA unter 3000 Bit?
2. Gibt es Systeme, die seit über drei Jahren kein Sicherheitsupdate erhalten haben?
3. Fehlt ein eingeübter Ablauf, um einen erheblichen Sicherheitsvorfall binnen 24 Stunden zu melden?

Jedes „Ja“ ist ein Punkt für Ihren Maßnahmenplan.

Beratung & Audit: Nachweise statt Absichtserklärungen | NIS2-Readiness prüfen | Vollständiger Sicherheitscheck | Beratungsgespräch

Rechtsstand: 29.10.2026 · zuletzt fachlich geprüft am 29.10.2026; was danach gilt, sagt die Primärquelle
Quellen: BSIG 2025 (Gesetze im Internet), §§ 28, 30, 32, 33, 38 · Richtlinie (EU) 2022/2555 · BSI: NIS-2-Betroffenheitsprüfung; TR-02102-1 „Kryptographische Verfahren: Empfehlungen und Schlüssellängen“, Version 2026-01