NIS2-Durchsetzung beginnt: BSI plant Prüfungen 2027

Fast elf Monate gilt das NIS2-Umsetzungsgesetz in Deutschland nun — und die veröffentlichten Zahlen zum dritten Quartal 2026 zeigen ein geteiltes Bild: Zum 30. September 2026 waren laut BSI-Statistik 20.373 Einrichtungen registriert, darunter 13.252 wichtige, 6.837 besonders wichtige und 1.447 KRITIS-Einrichtungen. Das BSI geht jedoch von rund 29.500 bis 30.000 betroffenen Einrichtungen aus. Rechnerisch fehlen damit noch tausende Unternehmen — viele davon im Mittelstand, teils ohne zu wissen, dass sie betroffen sind.

Gleichzeitig verdichten sich die Signale, dass die Phase des Zuwartens endet: Fachberichte, die sich auf das BSI berufen, nennen Anhörungen für offensichtlich nicht registrierte Einrichtungen noch im vierten Quartal 2026 und angeordnete Prüfungen bei ausgewählten Einrichtungen ab dem ersten Quartal 2027. Für Geschäftsführer regulierter KMU heißt das: Die Frage ist nicht mehr, ob Nachweise verlangt werden, sondern wann — und ob sie dann vorliegen.

Wo die NIS2-Umsetzung in Deutschland steht

Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) gilt seit dem 6. Dezember 2025. Die wichtigsten Pflichten im Überblick:

Registrierung: Betroffene Einrichtungen müssen sich binnen drei Monaten nach Eintritt der Betroffenheit beim BSI registrieren; für Bestandsfälle lief diese Frist am 6. März 2026 ab.

Risikomanagement: § 30 BSIG verlangt u. a. Risikoanalysen, Incident-Handling, Backup- und Krisenmanagement, Lieferkettensicherheit, Verschlüsselung, Zugriffskontrolle und Schulungen — angemessen zum Risiko und nach dem Stand der Technik.

Meldepflichten: Erhebliche Sicherheitsvorfälle sind ans BSI zu melden — Erstmeldung binnen 24 Stunden, Folgemeldung binnen 72 Stunden, Abschlussbericht nach einem Monat.

Verantwortung der Geschäftsleitung: Die Leitungsorgane müssen die Maßnahmen billigen, ihre Umsetzung überwachen und sich schulen lassen; sie haften bei Pflichtverletzungen persönlich.

Was sich jetzt ändert: Vom Papiertiger zur Durchsetzung

Bisher sind — Stand 23. Oktober 2026 — keine Bußgeldbescheide wegen fehlender Registrierung öffentlich belegt. Genau diese Ruhe hat viele Unternehmen in Sicherheit gewiegt. Die Q3-Zahlen und die berichteten BSI-Pläne zeichnen aber einen klaren Fahrplan:

Q4 2026 — Anhörungen: Einrichtungen, deren Betroffenheit offensichtlich ist (etwa anhand von Branchenregistern), die sich aber nicht registriert haben, müssen mit Anhörungsschreiben rechnen. Eine Anhörung ist die Vorstufe zum Bußgeldverfahren.

Ab Q1 2027 — angeordnete Prüfungen: Bei ausgewählten Einrichtungen sollen Nachweise und Prüfungen angeordnet werden. Besonders wichtige Einrichtungen müssen die Umsetzung ihrer Maßnahmen ohnehin regelmäßig nachweisen.

Der Bußgeldrahmen: Je nach Einrichtungskategorie drohen Geldbußen bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes (besonders wichtige Einrichtungen) bzw. bis zu 7 Mio. Euro oder 1,4 % (wichtige Einrichtungen). Für Verstöße gegen die Registrierungspflicht nennen Fachberichte Bußgelder bis 500.000 Euro.

Wichtig für die Einordnung: Anhörungen und Prüfpläne stammen aus Fachberichten unter Berufung auf das BSI; eine amtliche Pressemitteilung dazu gibt es bislang nicht. An der Rechtslage ändert das nichts — die Pflichten gelten seit Dezember 2025.

Prüfungsfest werden: Die vier Nachweise, auf die es ankommt

1. Betroffenheitsanalyse und Registrierung

Dokumentieren Sie nachvollziehbar, warum Ihr Unternehmen betroffen ist (Sektor, Größenschwellen) — oder warum nicht. Wer die Registrierung versäumt hat, sollte sie unverzüglich nachholen: Eine späte Registrierung ist deutlich besser verhandelbar als eine unterlassene.

2. Dokumentiertes Risikomanagement

Eine Risikoanalyse, ein daraus abgeleiteter Maßnahmenplan und der Umsetzungsstand — das ist der Kern dessen, was eine Prüfung sehen will. Orientierung bieten ISO 27001 und der BSI-Grundschutz; für KMU zählt vor allem, dass die Maßnahmen zum tatsächlichen Risiko passen und gelebt werden.

3. Funktionierende Vorfallserkennung und Meldewege

Die 24-Stunden-Erstmeldung setzt voraus, dass Sie einen erheblichen Vorfall überhaupt binnen 24 Stunden bemerken. Ohne kontinuierliches Monitoring — in KMU typischerweise als Managed Detection & Response umgesetzt — ist diese Pflicht faktisch nicht erfüllbar. Hinterlegen Sie zudem interne Meldewege und Zuständigkeiten für die BSI-Meldung.

4. Verantwortlichkeiten und Schulungsnachweise

Wer trägt die Informationssicherheit operativ? Viele Mittelständler besetzen diese Rolle mit einem externen Informationssicherheitsbeauftragten (ISB) — das schafft Fachlichkeit und entlastet die Geschäftsführung, die ihre Billigungs- und Überwachungspflicht sowie die eigenen Schulungen dokumentieren muss.

Typische Irrtümer, die jetzt teuer werden

In Gesprächen mit Mittelständlern begegnen uns drei Fehleinschätzungen immer wieder. Erstens: „Wir sind zu klein für NIS2." Die Schwellen von 50 Mitarbeitenden bzw. 10 Mio. Euro Umsatz erfassen in den 18 regulierten Sektoren einen großen Teil des klassischen Mittelstands — vom Maschinenbauer über den Lebensmittelhersteller bis zum IT-Dienstleister. Zweitens: „Unser IT-Systemhaus kümmert sich darum." Technischer Betrieb ist nicht Compliance: Registrierung, Risikomanagement-Nachweise und die Billigung durch die Geschäftsleitung kann kein Dienstleister stellvertretend übernehmen. Drittens: „Wir warten auf die Prüfung und reagieren dann." Die geforderten Maßnahmen — von der Risikoanalyse bis zur funktionierenden Vorfallserkennung — lassen sich nicht in den Wochen zwischen Anhörungsschreiben und Fristablauf nachholen. Wer erst auf Post vom BSI reagiert, handelt unter Zeitdruck, zu höheren Kosten und mit dokumentiertem Versäumnis.

Was Geschäftsführer jetzt konkret tun sollten

Beginnen Sie mit einer ehrlichen Lückenanalyse entlang der § 30-Maßnahmen: Was ist umgesetzt, was dokumentiert, was fehlt? Priorisieren Sie anschließend die Punkte mit Haftungsrelevanz — Registrierung, Risikoanalyse, Vorfallserkennung, Meldeprozess — und legen Sie einen datierten Umsetzungsplan fest. Ein solcher Plan ist auch gegenüber dem BSI ein starkes Argument: Er zeigt, dass die Geschäftsleitung ihrer Verantwortung nachkommt, selbst wenn noch nicht jede Maßnahme abgeschlossen ist.

Fazit

Die NIS2-Durchsetzung nimmt Fahrt auf: Mit 20.373 Registrierungen bei rund 29.500 erwarteten Einrichtungen, angekündigten Anhörungen im vierten Quartal 2026 und Prüfungen ab 2027 schließt sich das Fenster, in dem Versäumnisse folgenlos blieben. Unternehmen, die jetzt strukturiert nacharbeiten, verwandeln ein Haftungsrisiko in einen belastbaren Sicherheitsgewinn.

Wenn Sie wissen möchten, wo Ihr Unternehmen bei der NIS2-Umsetzung steht, unterstützt Valyros Sie gern — von der Betroffenheitsanalyse über den Aufbau der Vorfallserkennung bis zum externen ISB, der Ihre Nachweise prüfungsfest hält.

Häufige Fragen

Mein Unternehmen hat die NIS2-Registrierungsfrist verpasst — was nun?

Registrieren Sie sich unverzüglich nach. Die Frist für Bestandsfälle lief am 6. März 2026 ab; Fachberichte nennen für Registrierungsverstöße Bußgelder bis 500.000 Euro. Bislang sind keine Bußgeldbescheide belegt, aber für Q4 2026 werden Anhörungen nicht registrierter Einrichtungen erwartet. Eine nachgeholte Registrierung mit dokumentiertem Umsetzungsplan ist die beste Verteidigungsposition.

Woher weiß ich, ob mein Unternehmen unter NIS2 fällt?

Maßgeblich sind Sektor (18 Sektoren, u. a. Energie, Transport, Gesundheit, digitale Dienste, verarbeitendes Gewerbe) und Größe (in der Regel ab 50 Mitarbeitenden oder 10 Mio. Euro Umsatz). Das BSI stellt eine Betroffenheitsprüfung bereit. Im Zweifel sollte die Einordnung dokumentiert und fachlich geprüft werden — auch ein negatives Ergebnis ist ein wertvoller Nachweis.

Was prüft das BSI ab 2027 konkret?

Berichtet sind angeordnete Prüfungen und Nachweise bei ausgewählten Einrichtungen ab Q1 2027. Im Kern geht es um die Umsetzung der Risikomanagement-Maßnahmen nach § 30 BSIG: Risikoanalyse, technische und organisatorische Maßnahmen, Vorfallserkennung, Meldeprozesse und die Einbindung der Geschäftsleitung — jeweils mit Dokumentation.

Reicht eine Cyber-Versicherung als NIS2-Maßnahme?

Nein. Eine Versicherung überträgt finanzielle Restrisiken, ersetzt aber keine der gesetzlich geforderten Maßnahmen. Viele Versicherer setzen umgekehrt inzwischen NIS2-nahe Kontrollen (MFA, Backup-Konzept, Monitoring) als Bedingung für den Abschluss voraus. ---

Quellen

• Shattered.io: NIS2-Registrierung — 20.373 erfasst, Audits ab 2027 (23.10.2026, unter Berufung auf BSI-Statistik Q3/2026): https://shattered.io/de/nis2-registrierung-bsi-durchsetzung-2026/
• Fraghugo: NIS2 Umsetzungsstand 2026 — Das Gesetz gilt: https://www.fraghugo.de/nis2-umsetzungsstand-fristen-2026/
• Axians: NIS2-Umsetzungsgesetz — Der aktuelle Stand nach Verabschiedung: https://www.axians-secure.de/blog/nis2-umsetzungsgesetz-nis2umsucg
• Valyros-Blog: NIS2-Registrierung verpasst? Das gilt jetzt: https://valyros.de/blog/nis2-registrierung-frist-abgelaufen-was-jetzt