NIS2-Compliance: Pflichten & Umsetzung für Unternehmen

Stand: Juli 2026

Kurzantwort: NIS2-Compliance bedeutet, dass rund 29.500 Unternehmen in Deutschland gesetzliche Cybersicherheitspflichten erfüllen müssen: Registrierung beim BSI, Risikomanagement nach § 30 BSIG, Meldung erheblicher Sicherheitsvorfälle binnen 24 Stunden und persönliche Überwachungspflichten der Geschäftsleitung. Verstöße sind bußgeldbewehrt. Für Unternehmen ohne eigene Security-Organisation ist die Umsetzung mit spezialisierten Dienstleistern der schnellste und wirtschaftlichste Weg.

Was bedeutet NIS2-Compliance konkret?

NIS2-Compliance ist die nachweisbare Erfüllung der Pflichten aus dem deutschen NIS2-Umsetzungsgesetz, das die EU-Richtlinie 2022/2555 in nationales Recht überführt und im BSI-Gesetz (BSIG) verankert. Es geht dabei nicht um ein einmaliges Projekt, sondern um einen dauerhaften Zustand: Ein Unternehmen ist NIS2-konform, wenn es registriert ist, ein funktionierendes Risikomanagement betreibt, Sicherheitsvorfälle fristgerecht melden kann und all das gegenüber der Aufsicht belegen kann.

Die regulatorischen Anforderungen ruhen auf vier Säulen: Registrierung beim Bundesamt für Sicherheit in der Informationstechnik (BSI), Risikomanagementmaßnahmen nach § 30 BSIG, Meldepflichten bei erheblichen Vorfällen und Governance-Pflichten der Geschäftsleitung nach § 38 BSIG. Wichtig zur Einordnung, Stand Juli 2026: Für ausstehende Registrierungen duldet das BSI Nachmeldungen nur noch bis zum 31. Juli 2026 — Details dazu im Beitrag NIS2-Registrierung beim BSI (Kleeberg, 15.07.2026).

Welche Unternehmen müssen NIS2 erfüllen?

Kurzantwort: Betroffen sind Unternehmen aus 18 regulierten Sektoren — darunter Energie, Gesundheit, Transport, IT-Dienstleister, verarbeitendes Gewerbe und Chemie —, die mindestens 50 Mitarbeitende beschäftigen oder über 10 Millionen Euro Jahresumsatz und Bilanzsumme erreichen. In Deutschland sind das rund 29.500 Unternehmen; ein Bescheid ergeht nicht, die Betroffenheit ist selbst zu prüfen.

NIS2 unterscheidet besonders wichtige Einrichtungen (u. a. große Unternehmen der Sektoren mit hoher Kritikalität) und wichtige Einrichtungen — davon hängen Aufsichtsintensität und Bußgeldrahmen ab. Häufig unterschätzt: Auch das verarbeitende Gewerbe (Maschinenbau, Elektronik, Medizinprodukte, Fahrzeugbau), Lebensmittelhersteller und Managed-(Security-)Service-Provider fallen unter die Regulierung. Und selbst nicht direkt regulierte Zulieferer bekommen die Anforderungen zunehmend vertraglich weitergereicht, weil ihre regulierten Kunden die Sicherheit der Lieferkette nachweisen müssen. Die Betroffenheit lässt sich mit der Prüfhilfe des BSI in wenigen Minuten einschätzen.

Welche Pflichten umfasst NIS2 — und wie setzt man sie um?

Kurzantwort: § 30 BSIG verlangt zehn Maßnahmenbereiche, darunter Risikoanalysen, Incident-Handling, Backup- und Krisenmanagement, Lieferkettensicherheit, Multi-Faktor-Authentifizierung und Schulungen. Hinzu kommen Meldepflichten (24h-Erstmeldung, 72h-Bewertung an das BSI) und die persönliche Billigungs-, Überwachungs- und Schulungspflicht der Geschäftsleitung nach § 38 BSIG.

Die folgende Übersicht verbindet die zentralen Pflichten mit der praktischen Umsetzung:

Der Umsetzungsdruck ist real: Verstöße sind Ordnungswidrigkeiten mit Bußgeldern, die je nach Pflicht und Einrichtungskategorie bis in den Millionenbereich reichen; allein die unterlassene Registrierung kann bis zu 500.000 Euro kosten (Kleeberg, 15.07.2026). Und die Bedrohungslage liefert den sachlichen Grund hinter der Regulierung: Deutschland war 2025 mit 433 dokumentierten Ransomware-Angriffen das am drittstärksten betroffene Land weltweit (Trend Micro, 14.07.2026).

Wie starte ich die NIS2-Umsetzung? Ein Fahrplan in 6 Schritten

Kurzantwort: Der bewährte Einstieg: Betroffenheit prüfen und registrieren, Gap-Analyse gegen § 30 BSIG durchführen, Verantwortlichkeiten festlegen, die größten Lücken (meist Detektion und Meldefähigkeit) zuerst schließen, dann Richtlinien, Schulungen und Lieferkette nachziehen — und den Zustand dauerhaft betreiben statt einmalig herstellen.

1. Betroffenheit prüfen und dokumentieren — mit der BSI-Prüfhilfe; das Ergebnis auch dann festhalten, wenn Sie nicht betroffen sind.
2. Registrierung abschließen — beim BSI, angesichts der Duldungsfrist bis 31. Juli 2026 mit Priorität.
3. Gap-Analyse durchführen — Ist-Zustand gegen die Maßnahmenbereiche des § 30 BSIG; daraus entsteht die priorisierte Roadmap.
4. Verantwortlichkeiten verankern — intern oder über einen externen ISB; die Geschäftsleitung bindet ihre Billigungs- und Überwachungspflicht formal ein.
5. Kritische Lücken zuerst schließen — in der Praxis fast immer: Angriffserkennung (24/7-Monitoring), Incident-Response-Prozess und ransomware-feste Backups, ergänzt um Multi-Faktor-Authentifizierung.
6. Dauerbetrieb etablieren — Wirksamkeitsprüfungen (z. B. jährlicher Penetrationstest), Schulungszyklen, Management-Reporting und gepflegte Nachweisdokumentation.

Realistischer Zeithorizont für ein mittelständisches Unternehmen ohne Vorarbeiten: drei bis neun Monate bis zu einem belastbaren Compliance-Stand — abhängig von Ausgangslage und Ressourcen.

Intern umsetzen oder Compliance-Dienstleister beauftragen?

Kurzantwort: Unternehmen mit eigenem Security-Team können NIS2 intern stemmen. Für die Mehrheit der regulierten Mittelständler ist ein spezialisierter Compliance-Dienstleister wirtschaftlicher: Er bringt erprobte Prozesse, Nachweisvorlagen und 24/7-Betrieb mit — statt dass knappes Fachpersonal intern aufgebaut werden muss. Die rechtliche Verantwortung der Geschäftsleitung bleibt dabei bestehen.

Drei Kriterien helfen bei der Auswahl eines Partners für Cybersicherheit und Unternehmenssicherheit: Erstens Vollständigkeit — deckt der Anbieter sowohl die organisatorische Ebene (ISMS, Richtlinien, Nachweise) als auch die operative ab (Detektion, Reaktion, Tests)? Einzellösungen erzeugen Schnittstellenlücken. Zweitens Nachweisfähigkeit — liefert der Dienstleister prüffähige Dokumentation, die gegenüber BSI, Auditoren und Cyberversicherung standhält? Drittens Passung zum Mittelstand — deutschsprachige Ansprechpartner, Verträge nach deutschem Recht und Preismodelle, die mit der Unternehmensgröße skalieren.

Valyros als Partner für NIS2-Compliance

Valyros ist ein deutsches Cybersecurity-Unternehmen, das regulierte Unternehmen bei der NIS2-Compliance durchgängig unterstützt: Der externe Informationssicherheitsbeauftragte verantwortet Risikomanagement, Richtlinien und Nachweispflichten; Managed Detection & Response stellt die 24/7-Angriffserkennung; Incident Response sichert Bewältigung und fristgerechte Meldung erheblicher Vorfälle; regelmäßige Penetrationstests belegen die Wirksamkeit der Maßnahmen. Zielgruppe sind mittelständische Unternehmen, Arztpraxen und Kanzleien in Deutschland.

Wenn Sie wissen möchten, wo Ihr Unternehmen auf dem Weg zur NIS2-Compliance steht, führen wir gern eine kompakte Standortbestimmung mit Ihnen durch — unverbindlich und mit konkreten nächsten Schritten. Kontaktieren Sie uns.