NIS-2 Compliance:

Ihre Rechtspflicht
Unser Fachgebiet.

Das NIS-2-Umsetzungsgesetz gilt. Rund 30.000 Unternehmen in Deutschland sind betroffen – viele wissen es noch nicht. Wir begleiten Sie von der Betroffenheitsanalyse bis zur auditfähigen Compliance.

Kostenloses Erstgespräch Bin ich betroffen?

~30.000
Unternehmen in Deutschland neu unter NIS-2-Regulierung – ein Anstieg von bisher ca. 4.500

10 Mio. €
Maximales Bußgeld für besonders wichtige Einrichtungen (oder 2 % des weltweiten Umsatzes)

24 h
Meldefrist für erhebliche Sicherheitsvorfälle beim BSI – ab sofort verbindlich

§ 38
BSIG: Persönliche Haftung der Geschäftsleitung – nicht delegierbar

Was NIS-2 für Ihr Unternehmen bedeutet

Die NIS-2-Richtlinie ist seit Dezember 2025 geltendes Recht – ohne Übergangsfristen, ohne Schonfrist. Rund 30.000 Unternehmen in Deutschland sind betroffen. Viele wissen es noch nicht.

Das Gesetz erweitert den Kreis der Betroffenen deutlich: Erstmals fallen auch kleine und mittlere Unternehmen unter verbindliche Cybersicherheitspflichten – sofern sie in einem der 18 regulierten Sektoren tätig sind.

Energie, Gesundheit, Transport, digitale Infrastruktur: Wer hier tätig ist, ist in der Pflicht.

Was das konkret bedeutet:

Risikoanalysen, Meldepflichten, Lieferkettensicherheit – und persönliche Haftung der Geschäftsleitung bei Verstößen. Cybersicherheit ist damit keine IT-Frage mehr. Sie ist Führungsaufgabe.

Die gute Nachricht: Wer die Anforderungen konsequent umsetzt, gewinnt mehr als Compliance. Er gewinnt Stabilität, Vertrauen und einen echten Wettbewerbsvorteil.

Rechtlicher Status

Was gilt wann – die Gesetzgebungschronologie

Deutschland hat die EU-Umsetzungsfrist verfehlt, das NIS2UmsuCG ist aber
seit Dezember 2025 verbindlich in Kraft. Hier der Stand auf einen Blick.

6. DEZ 2025
Inkrafttreten – ohne Übergangsfrist
Das BSIG wird vollständig neu gefasst. Alle Pflichten gelten ab sofort und unmittelbar für ca. 30.000 Unternehmen. Keine Schonfrist.
6. MÄR 2026
Registrierungsfrist beim BSI
Besonders wichtige Einrichtungen müssen sich bis zu diesem Datum beim BSI registriert haben (§ 33 Abs. 1 BSIG). Wichtige Einrichtungen: unverzüglich.
AB 2026
KRITIS-Dachgesetz tritt in Kraft
Ergänzend zu NIS-2 reguliert das KRITISDachG (verabschiedet 29.01.2026) physische Resilienz kritischer Anlagen. Duale Registrierung beim BSI und BBK bis 17. Juli 2026.

Zurück Weiter

Nicht Registriert? – Das können die Folgen sein.

Frist verpasst. Was droht ?

Seit dem 6. März 2026 ist die Registrierungsfrist beim BSI abgelaufen. Wer noch nicht registriert ist, begeht eine Ordnungswidrigkeit – und das ist erst der Anfang.

Die finanziellen Risiken
Besonders wichtige Einrichtungen riskieren Bußgelder bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes. Für wichtige Einrichtungen sind es bis zu 7 Mio. € oder 1,4 % des Umsatzes. Allein für die verspätete Registrierung können bis zu 500.000 € fällig werden – noch bevor weitere Verstöße geprüft werden.

Die Kettenreaktion
Wer nicht registriert ist, kann im BSI-Portal keine Sicherheitsvorfälle melden. Damit verstößt das Unternehmen automatisch auch gegen die 24-Stunden-Meldepflicht – mit weiteren Bußgeldern als Folge.

Die persönliche Dimension
Geschäftsführer und Vorstände haften persönlich. Das BSI kann im Extremfall die Ausübung von Leitungsfunktionen untersagen und Verstöße öffentlich bekanntmachen – mit erheblichem Reputationsschaden.

Warten kostet mehr als Handeln.
Sprechen Sie uns an.

Kostenloses Erstgespräch

§ 28 BSIG – Anwendungsbereich

Betrifft mich NIS-2 überhaupt?

Das Gesetz unterscheidet nach zwei Kriterien: Sektor und Unternehmensgröße. Die Einordnung liegt bei Ihnen – der Staat informiert Sie nicht.

Zwei Fragen entscheiden: Sind Sie in einem der 18 regulierten Sektoren tätig? Und beschäftigen Sie mindestens 50 Mitarbeitende oder erzielen mindestens 10 Mio. € Jahresumsatz? Wenn beides zutrifft, sind Sie betroffen. KRITIS-Betreiber fallen unabhängig von der Größe darunter.

Wichtige Einrichtungen

≥ 50 Mitarbeitende oder ≥ 10 Mio. € Umsatz
⇒ anlassbezogene Beaufsichtigung durch das BSI

Besonders wichtige Einrichtungen

> 250 Mitarbeitende oder > 50 Mio. € Umsatz
⇒ proaktive Beaufsichtigung durch das BSI

Wesentliche Sektoren

Fällt einer dieser Bereiche aus, spürt es die gesamte Gesellschaft.

Energie · Transport · Bankwesen · Finanzmarktinfrastrukturen · Gesundheit · Trinkwasser · Abwasser · Digitale Infrastruktur · ICT Service Management · Öffentliche Verwaltung · Weltraum

Wichtige Sektoren

Stiller als die wesentlichen Sektoren – aber nicht weniger kritisch.

Post & Kurier · Abfallwirtschaft · Chemie · Lebensmittel · Pharma, Medizin & Fertigung · Digitale Anbieter · Forschung

Bisher war KRITIS vor allem für Konzerne relevant.
Das hat sich geändert. Nun erfasst NIS-2 auch den Mittelstand – und macht Cybersicherheit so zur unternehmerischen Grundvoraussetzung.

Jetzt Betroffenheitsanalyse anfragen.

Kostenloses Erstgespräch

§ 38 BSIG – Pflichten der Geschäftsleitung

Cybersicherheit ist Chefsache:

NIS-2 markiert einen Paradigmenwechsel: Cybersicherheit ist keine IT-Aufgabe mehr – sie ist haftungsbewehrte Führungsverantwortung mit konkreten, persönlichen Pflichten für Geschäftsführer und Vorstände.

Persönliche Haftung

Geschäftsleitungen haften persönlich für Schäden, die durch mangelhafte Cybersicherheitsmaßnahmen entstehen. Die Haftung ist nicht auf das Unternehmen übertragbar.

Umsetzungspflicht

Die Geschäftsleitung muss sicherstellen, dass technische und organisatorische Risikomanagementmaßnahmen nicht nur auf dem Papier existieren, sondern im Alltag gelebt werden

Schulungspflicht

Mitglieder der Leitungsorgane besonders wichtiger Einrichtungen sind verpflichtet, regelmäßig Schulungen zu Cybersicherheitsrisiken zu absolvieren und ihren Mitarbeitern anzubieten.

Überwachungspflicht

Die Wirksamkeit aller Sicherheitsmaßnahmen muss regelmäßig geprüft werden. Interne Reports, Risikoanalysen und Prüfberichte sind dauerhafter Bestandteil der Governance.

Ressourcenpflicht

Ausreichende finanzielle und personelle Ressourcen für die Umsetzung müssen bereitgestellt werden. Die Ablehnung mit Verweis auf Budgetengpässe schützt nicht vor Haftung.

Amtsverbot

In schwerwiegenden Fällen kann das BSI ein temporäres Verbot der Ausübung von Leitungsfunktionen anordnen (§ 38 Abs. 3 BSIG).

§ 30 Abs. 2 BSIG – Mindestmaßnahmen

10 gesetzlich vorgeschriebene Mindestmaßnahmen
Verbindlich, gefahrenübergreifend, dauerhaft wirksam.

01 | Risikoanalyse & Informationssicherheitskonzept

Systematische Erfassung, Bewertung und Behandlung von Risiken für alle eingesetzten IT-Systeme, Komponenten und Prozesse. Dokumentiertes ISMS als Grundlage.

02 | Incident Response & Bewältigung von Sicherheitsvorfällen

Definierte Prozesse zur Erkennung, Analyse, Eindämmung und Behebung von Sicherheitsvorfällen. Verbindliche Meldeketten und Eskalationspfade.

03 | Business Continuity Management (BCM)

Backup-Management, Notfallwiederherstellung und Krisenmanagement. Dokumentierte Wiederanlaufpläne für kritische Systeme und Dienste.

04 | Sicherheit der Lieferkette

Bewertung und Management von Sicherheitsrisiken unmittelbarer Anbieter und Dienstleister. Sicherheitsklauseln in Lieferantenverträgen und regelmäßige Audits.

05 | Sicherheit bei Erwerb, Entwicklung und Wartung

Security-by-Design-Prinzipien, Schwachstellenmanagement und Patch-Prozesse für IT-Systeme. Zertifizierungspflicht für bestimmte IKT-Produkte möglich.

06 | Wirksamkeitsbewertung

Konzepte und Verfahren zur Messung der Effektivität aller Risikomanagementmaßnahmen. KPIs, interne Audits, Penetrationstests und regelmäßige Reviews.

07 | Cyberhygiene & Schulungen

Grundlegende Cybersicherheitspraktiken, Mitarbeitersensibilisierung und Schulungsprogramme. Awareness-Maßnahmen für alle Beschäftigten.

08 | Kryptografie & Verschlüsselung

Einsatz angemessener Verschlüsselung zum Schutz der Vertraulichkeit und Integrität von Daten in Transit und at Rest. Schlüsselmanagement und PKI.

09 | Personalsicherheit und Zugriffskontrolle

Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen.

10 | MFA & Kommunikation

Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung.

Mehr als bloße Pflichterfüllung

NIS-2: Von der Pflicht zur Resilienz
Compliance ist der Anfang. Resilienz ist das Ziel.

Bußgelder, Meldepflichten, Haftungsrisiken – das sind die Gründe, warum die meisten Unternehmen sich mit NIS-2 beschäftigen. Verständlich. Aber es greift zu kurz.
Wer die Anforderungen konsequent umsetzt, bekommt mehr als ein sauberes Compliance-Protokoll. Er bekommt ein Unternehmen, das Angriffe früher erkennt, schneller reagiert und stabiler aus Krisen hervorgeht.
Das ist kein Nebeneffekt. Es ist das Ergebnis genau der Maßnahmen, die NIS-2 vorschreibt: Risikoanalysen, Incident-Response-Pläne, Zugriffskontrolle, Schulungen. Jede einzelne davon stärkt eine der vier Dimensionen, auf denen Widerstandsfähigkeit beruht – Erkennen, Verhindern, Reagieren, Erholen.
Unternehmen, die das verstehen, hören auf, NIS-2 als Bürde zu behandeln. Sie nutzen es als das, was es ist: einen strukturierten Fahrplan für nachhaltige Sicherheit – der gleichzeitig Vertrauen bei Kunden, Partnern und Behörden schafft.

Kein Unternehmen kann jeden Angriff verhindern. Aber jedes Unternehmen kann entscheiden, wie gut es darauf vorbereitet ist.“

In sechs Schritten zur auditfähigen NIS-2-Compliance

Wir begleiten Sie von der ersten Betroffenheitseinschätzung bis zur zertifizierten,
dauerhaft nachweisbaren Compliance – pragmatisch, rechtskonform und ohne unnötige Komplexität.

Betroffenheitsanalyse
1
Wir klären systematisch, ob und in welcher Kategorie Ihr Unternehmen unter das BSIG fällt – inklusive Supply-Chain-Betrachtung. Schriftliche Betroffenheitsdokumentation als Nachweismittel.
GAP
2
Analyse
Abgleich Ihres aktuellen IT-Sicherheitsniveaus mit den zehn Mindestanforderungen des § 30 BSIG. Priorisierte Darstellung des Handlungsbedarfs nach Risiko und Aufwand.
ISMS
3
Konzeption & Maßnahmenplanung
Aufbau oder Anpassung eines Informationssicherheits-Managementsystems – bevorzugt auf Basis ISO/IEC 27001 für optimale Synergienutzung und externe Zertifizierungsfähigkeit.
Umsetzung
4
Technisch & Organisatorisch
Implementierung aller erforderlichen Maßnahmen: technische Controls, Prozesse, Richtlinien, Schulungskonzept für Leitungsorgane und Belegschaft, BCM und Incident-Response-Pläne.
Meldeprozesse & Registrierung
5
Aufbau eines funktionierenden Meldeprozesses gemäß § 32 BSIG. Begleitung der BSI-Registrierung (§ 33 BSIG) und Einrichtung der erforderlichen 24/7-Erreichbarkeit.
Audit
6
Nachweis & laufende Betreuung
Durchführung interner Audits, Begleitung externer Prüfungen und BSI-Nachweiserfordernisse. Laufende Aktualisierung bei Gesetzes- oder Organisationsänderungen. Optionale ISO 27001-Zertifizierungsbegleitung.

Zurück Weiter

Warum DASEQ
Ihr Partner für NIS-2, IT-Sicherheit, Compliance und kritische Infrastrukturen.

20+ Jahre Erfahrung in Informationssicherheit

Wir beraten Unternehmen seit über 20 Jahren in Informationssicherheit und Compliance. NIS-2 ist für uns kein neues Thema – sondern die konsequente Weiterentwicklung von dem, was wir täglich tun.

Alles aus einer Hand

Von der Betroffenheitsanalyse über die technische Umsetzung bis zum Audit. Wir kennen die Schnittstellen zu DSGVO, DORA und KRITIS – und vermeiden Reibungsverluste durch Schnittstellenwechsel.

Qualifizierte Auditoren

Unsere Berater sind zertifizierte ISO 27001 Lead Auditors. Eine ISO 27001-Zertifizierung deckt große Teile der NIS-2-Anforderungen ab – das spart Zeit und Budget.

Mittelstand und Großunternehmen

Wir kennen die Ressourcenbeschränkungen kleiner Sicherheitsteams genauso gut wie die Komplexität großer Unternehmensstrukturen. Unsere Lösungen sind pragmatisch – nicht theoretisch.

Vom Pentest bis zum Audit

IT-Security-Expertise und regulatorisches Know-how unter einem Dach. Das Ergebnis: Lösungen, die in der Praxis funktionieren und vor dem BSI standhalten.

Langfristige Partnerschaft

NIS-2-Compliance ist kein Projekt – es ist ein Prozess. Wir stehen Ihnen dauerhaft zur Seite und übernehmen auf Wunsch laufende CISO- oder ISB-Funktionen.

FAQ: Was uns Geschäftsführer gerade am häufigsten fragen

Wie erkenne ich, ob mein Unternehmen von NIS-2 betroffen ist?

Zwei Kriterien entscheiden: Ihr Unternehmen ist in einem der 18 regulierten Sektoren tätig – und überschreitet mindestens 50 Mitarbeitende oder 10 Mio. € Jahresumsatz. KRITIS-Betreiber fallen unabhängig von der Größe darunter. Wichtig: Der Staat informiert Sie nicht. Die Prüfpflicht liegt bei Ihnen.
Wir klären das gemeinsam in einem Erstgespräch – schnell und verbindlich.

Das Gesetz gilt seit Dezember 2025 - bin ich jetzt schon in der Pflicht?

Ja, seit dem 6. Dezember 2025 – ohne Übergangsfristen. Die Registrierungsfrist beim BSI ist am 6. März 2026 abgelaufen. Wer noch keine Gap-Analyse durchgeführt hat, bewegt sich bereits in einer Compliance-Lücke mit echtem Haftungsrisiko. Je früher Sie handeln, desto besser.

Was bedeutet die persönliche Haftung der Geschäftsführung konkret?

Kurz gesagt: Wenn etwas schiefläuft, haften Sie persönlich – nicht nur das Unternehmen. Das lässt sich weder wegdelegieren noch vollständig versichern. Im Extremfall kann das BSI Ihnen die Leitungsfunktion temporär untersagen. Das ist kein theoretisches Risiko – es ist geltendes Recht.
Lassen Sie uns gemeinsam klären, wie Sie sich absichern.

Wir haben bereits eine ISO 27001-Zertifizierung. Sind wir damit NIS-2-konform?

Ein großer Vorteil – aber kein Freifahrtschein. NIS-2 stellt zusätzliche Anforderungen, etwa zur 24-Stunden-Meldepflicht, BSI-Registrierung und Lieferkettensicherheit, die ISO 27001 nicht automatisch abdeckt. Wie groß die Lücke bei Ihnen ist, klären wir mit einer gezielten Differenzanalyse – meist deutlich schneller als eine Erstimplementierung.

Wir sind ein kleines Unternehmen mit 60 Mitarbeitern - müssen wir wirklich alle 10 Maßnahmen umsetzen?

Ja – aber der Aufwand ist skalierbar. Das Gesetz schreibt ein Proportionalitätsprinzip vor: Ausgestaltung und Umfang richten sich nach Ihrer Risikolage und Ihren Ressourcen. Sie müssen kein 24/7-SOC aufbauen. Aber alle zehn Bereiche müssen adressiert sein. Wir zeigen Ihnen den pragmatischsten Weg dorthin.

Was passiert, wenn wir als Zulieferer nicht direkt betroffen sind?

Formal vielleicht nicht – praktisch zunehmend schon. Ihre Kunden, die unter NIS-2 fallen, sind verpflichtet, Sicherheitsanforderungen in die Lieferkette weiterzugeben. In der Automobil-, Energie- und IT-Branche wird NIS-2-Compliance bereits zum Ausschlusskriterium in Ausschreibungen.
Wer frühzeitig handelt, sichert sich einen Wettbewerbsvorteil.

Wie lange dauert eine NIS-2-Implementierung typischerweise?

Ohne bestehendes ISMS: 9–18 Monate für eine vollständige, auditfähige Lösung. Mit ISO 27001-Zertifizierung: oft 3–6 Monate. Da es keine Übergangsfristen gibt, starten wir parallel: Quick Wins sofort, strategische Umsetzung im laufenden Betrieb. Wann können wir anfangen? Sofort – wenn Sie es wollen.

Was kostet eine NIS-2-Beratung bei DASEQ?

Das hängt von Ihrem Ausgangsniveau, Ihrer Unternehmensgröße und dem gewünschten Umfang ab. Was wir sagen können: Ein Bußgeld von bis zu 10 Mio. € oder persönliche Haftung kosten mehr. Das Erstgespräch ist kostenlos – und gibt Ihnen einen klaren Überblick, was auf Sie zukommt und was es realistisch kostet.

Jetzt handeln – bevor Bußgelder drohen.

Das NIS-2-Umsetzungsgesetz gilt. Die Registrierungsfrist ist bereits abgelaufen. Nutzen Sie ein kostenloses und unverbindliches Erstgespräch, um Ihre Situation einzuschätzen und einen klaren Fahrplan zu entwickeln.

Oder sprechen Sie direkt mit uns:
☎ +49 711 585 308 0
✉ info@daseq.de

Kostenloses Erstgespräch

NIS-2 Compliance:

Was NIS-2 für Ihr Unternehmen bedeutet

6. DEZ 2025

6. MÄR 2026

AB 2026

Wichtige Einrichtungen

Besonders wichtige Einrichtungen

Wesentliche Sektoren

Wichtige Sektoren

In sechs Schritten zur auditfähigen NIS-2-Compliance

Betroffenheitsanalyse

GAP

ISMS

Umsetzung

Meldeprozesse & Registrierung

Audit

FAQ: Was uns Geschäftsführer gerade am häufigsten fragen