Definition
Die NIS2-Richtlinie (Richtlinie (EU) 2022/2555) erweitert den Anwendungsbereich der ursprünglichen NIS-Richtlinie erheblich und verpflichtet zahlreiche Sektoren zu Risikomanagement, Meldepflichten und Mindestsicherheitsmaßnahmen. In Deutschland ist sie über das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz umgesetzt, das am 6. Dezember 2025 in Kraft getreten ist; die Pflichten stehen im neu gefassten BSI-Gesetz.
Die Größenordnung hat sich damit verändert: Das BSI rechnet mit rund 29.500 beaufsichtigten Einrichtungen — zuvor waren es rund 4.500. Das Registrierungsportal des BSI ist seit dem 6. Januar 2026 freigeschaltet.
Wer betroffen ist
§ 28 BSIG unterscheidet zwei Klassen, jeweils bestimmt durch Einrichtungsart (Anlagen 1 und 2 zum Gesetz) und Größe.
| Besonders wichtige Einrichtung | Wichtige Einrichtung | |
|---|---|---|
| Einrichtungsart | Anlage 1 | Anlage 1 oder 2 |
| Beschäftigte | mindestens 250 | mindestens 50 |
| Alternativ Umsatz/Bilanz | über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme | über 10 Mio. € Umsatz und über 10 Mio. € Bilanzsumme |
| Immer erfasst | Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, TLD-Registries, DNS-Dienste | Vertrauensdiensteanbieter |
Die Einordnung ist damit zweistufig und wird in der Praxis regelmäßig falsch abgekürzt: Die Branche allein entscheidet nichts. Maßgeblich ist, ob die Organisation einer der in den Anlagen bestimmten Einrichtungsarten zuzuordnen ist — und erst dann greift der Schwellenwert.
Die vier Pflichten
Registrierung (§ 33 BSIG). Betroffene Einrichtungen müssen sich „spätestens drei Monate, nachdem sie erstmals oder erneut als eine der vorgenannten Einrichtungen gelten“, beim BSI registrieren — mit Name und Rechtsform, Anschrift und Kontaktdaten einschließlich öffentlicher IP-Adressbereiche, Sektor, betroffenen Mitgliedstaaten und zuständigen Aufsichtsbehörden. Änderungen sind unverzüglich, spätestens binnen zwei Wochen nach Kenntnis zu melden.
Risikomanagement (§ 30 BSIG). Verlangt werden „geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen“, die den Stand der Technik einhalten sollen und auf einem gefahrenübergreifenden Ansatz beruhen müssen. Der Mindestkatalog umfasst unter anderem Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Business Continuity und Backup, Sicherheit der Lieferkette, Zugriffskontrolle, Kryptografie und die Bewertung der Wirksamkeit. Entscheidend für den Alltag: „Die Einhaltung der Verpflichtung nach Satz 1 ist durch die Einrichtungen zu dokumentieren.“
Meldung (§ 32 BSIG). Bei einem erheblichen Sicherheitsvorfall gilt eine Kaskade: frühe Erstmeldung unverzüglich, spätestens binnen 24 Stunden; Meldung mit erster Bewertung binnen 72 Stunden; Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung. Zwischenmeldungen auf Ersuchen des BSI.
Geschäftsleitung (§ 38 BSIG). Die Leitung muss die Maßnahmen nach § 30 umsetzen und ihre Umsetzung überwachen, haftet nach den Regeln des anwendbaren Gesellschaftsrechts und muss „regelmäßig an Schulungen teilnehmen“. Diese Personalisierung ist neu und der Grund, warum NIS2 in vielen Häusern erstmals ein Thema der Geschäftsführung geworden ist.
Was das für Fachanwendungen bedeutet
Eine Fuhrparksoftware ist in aller Regel keine NIS2-Einrichtung. Betroffen ist die Organisation, die sie betreibt — und für die die Software Teil der zu schützenden IT ist. Daraus folgen konkrete, prüfbare Anforderungen.
Zugriffskontrolle. Ein Rollenkonzept, das über „Administrator und Benutzer“ hinausgeht, mit dokumentierter Vergabe und regelmäßiger Überprüfung der Berechtigungen.
Protokollierung. Nachvollziehbare Protokolle über Anmeldungen, Rechteänderungen und Zugriffe auf personenbezogene Daten — mit einer festgelegten Aufbewahrungsdauer, die sich mit den Löschpflichten aus der DSGVO-Konformität verträgt.
Schwachstellen und Updates. Ein dokumentierter Stand, welche Version installiert ist, welche Sicherheitsupdates eingespielt wurden und in welchem Fenster das geschieht. Bei einer gekauften Lizenz gehört dazu die Frage, wie lange die eingesetzte Version noch Sicherheitsupdates erhält.
Lieferkette. § 30 Abs. 2 BSIG adressiert die Sicherheit der Lieferkette ausdrücklich. Praktisch heißt das: Wer sind die Unterauftragnehmer des Anbieters, wo verarbeiten sie Daten, und wie werden Sicherheitsvorfälle gemeldet? Eine On-Premise-Installation verkürzt diese Kette, hebt sie aber nicht auf — sie verlagert die Verantwortung für Betrieb und Patchstand ins eigene Haus.
Die Zuordnung der Anforderungen zu konkreten Maßnahmen und Nachweisen lässt sich über dieselbe Struktur führen wie andere Betreiberpflichten: im Rechtskataster, mit Vorschrift, abgeleiteter Pflicht, Verantwortlichen, Intervall und Nachweisform.
Was jetzt konkret zu tun ist
Betroffenheit prüfen und dokumentieren. Die Einordnung nach § 28 BSIG ist eine Bewertung, keine Mitteilung — niemand schreibt eine Organisation an. Wer zu dem Ergebnis kommt, nicht betroffen zu sein, sollte auch das aktenkundig machen: Einrichtungsart nach den Anlagen, Beschäftigtenzahl, Umsatz, Bilanzsumme, Datum der Prüfung.
Registrieren, falls betroffen. Die Frist von drei Monaten nach § 33 Abs. 1 BSIG läuft ab dem Zeitpunkt, zu dem die Einrichtung erstmals als solche gilt — nicht ab einer Aufforderung. Das Portal des BSI steht dafür seit dem 6. Januar 2026 zur Verfügung.
Meldewege vorbereiten. Eine 24-Stunden-Frist lässt sich nicht improvisieren. Nötig sind eine benannte Person mit Vertretung, ein Zugang zum Meldeportal, eine Vorlage für die Erstmeldung und die Festlegung, wer entscheidet, ob ein Vorfall erheblich ist.
Dokumentation anlegen. § 30 Abs. 1 Satz 3 BSIG macht die Dokumentation zur eigenen Pflicht. Wer Maßnahmen umgesetzt, aber nicht dokumentiert hat, erfüllt sie nach dem Wortlaut nicht. Für Fachanwendungen wie eine Fuhrparksoftware heißt das: Systembeschreibung, Rollenkonzept, Protokollierungskonzept und Patchstand schriftlich.
Auch bekannt als: NIS-2, NIS2-Umsetzungsgesetz, NIS2UmsuCG, Richtlinie (EU) 2022/2555, NIS2 Deutschland, BSIG 2025, NIS2 Pflichten
Häufige Fragen
Ja. Das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz ist am 6. Dezember 2025 in Kraft getreten; die materiellen Pflichten stehen im neu gefassten BSI-Gesetz (BSIG). Das BSI rechnet mit rund 29.500 beaufsichtigten Einrichtungen. Das Registrierungsportal des BSI ist seit dem 6. Januar 2026 freigeschaltet.
§ 28 BSIG unterscheidet zwei Klassen. Besonders wichtige Einrichtungen sind unter anderem Betreiber kritischer Anlagen sowie Einrichtungen aus Anlage 1 mit mindestens 250 Beschäftigten oder über 50 Millionen Euro Jahresumsatz und über 43 Millionen Euro Bilanzsumme. Wichtige Einrichtungen sind Einrichtungen aus Anlage 1 oder 2 mit mindestens 50 Beschäftigten oder über 10 Millionen Euro Jahresumsatz und Bilanzsumme. Ob die eigene Organisation dazugehört, entscheidet die Einrichtungsart nach den Anlagen — nicht die Branche im Alltagsverständnis.
§ 32 Abs. 1 BSIG nennt drei Stufen: eine frühe Erstmeldung unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung; eine Meldung mit erster Bewertung innerhalb von 72 Stunden; und eine Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung. Auf Ersuchen des BSI kommen Zwischenmeldungen hinzu. Adressat ist die gemeinsame Meldestelle von BSI und BBK.
Ja. § 38 BSIG verpflichtet Geschäftsleitungen, die Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen und ihre Umsetzung zu überwachen. Absatz 3 verlangt die regelmäßige Teilnahme an Schulungen, um Risiken und Risikomanagementpraktiken beurteilen zu können. Absatz 2 regelt die Haftung gegenüber der eigenen Einrichtung nach den Regeln des jeweils anwendbaren Gesellschaftsrechts.
Die Software selbst ist in aller Regel keine NIS2-Einrichtung — die Pflichten treffen die Organisation, die sie betreibt. Relevant wird sie über zwei Wege: als Teil der zu schützenden IT, für die Zugriffskontrolle, Protokollierung, Schwachstellenbehandlung und Backup nachzuweisen sind, und als Bestandteil der Lieferkette, deren Sicherheit § 30 Abs. 2 BSIG ausdrücklich adressiert. Praktisch heißt das: Systemdokumentation, Rollenkonzept, Protokolle und ein Ansprechpartner für Sicherheitsmeldungen.