NIS2 / BSI-Gesetz (Cybersicherheit)
Pflichten › NIS2 / BSI-Gesetz (Cybersicherheit)
Unternehmen bestimmter Branchen ab einer gewissen Größe müssen ihre IT-Sicherheit nach Mindeststandards organisieren, sich beim BSI registrieren und erhebliche Sicherheitsvorfälle fristgerecht melden.
Wer ist betroffen?
Einrichtungen in einem Sektor der Anlagen 1 oder 2 des BSI-Gesetzes (u. a. Energie, Verkehr, Banken, Gesundheit, Wasser, digitale Infrastruktur und IT-Dienstleister, Post, Abfall, Chemie, Lebensmittel, Herstellung bestimmter Güter, Online-Marktplätze, Forschung) mit mindestens 50 Beschäftigten oder mehr als 10 Mio. € Jahresumsatz und Bilanzsumme. Einige Anbieter (z. B. DNS-Dienste, Vertrauensdienste) unabhängig von der Größe.
Ausnahmen
Geschäftstätigkeiten, die gemessen an der gesamten Tätigkeit vernachlässigbar sind, bleiben außer Betracht. Für Finanzunternehmen unter DORA sowie Teile von Telekommunikation und Energie gilt Spezialrecht.
Fristen
- 06.12.2025 – NIS2-Umsetzungsgesetz und neues BSI-Gesetz in Kraft, ohne Übergangsfrist (gilt bereits)
- 06.03.2026 – Registrierungsfrist beim BSI für bereits betroffene Einrichtungen abgelaufen – wer neu betroffen wird, hat drei Monate (gilt bereits)
Typische erste Schritte
- Mit der NIS-2-Betroffenheitsprüfung des BSI klären, ob Tätigkeit und Größe unter das BSI-Gesetz fallen, und das Ergebnis dokumentieren
- Falls betroffen: Registrierung im BSI-Portal nachholen (Voraussetzung: „Mein Unternehmenskonto“ mit ELSTER-Organisationszertifikat)
- Meldeweg für erhebliche Sicherheitsvorfälle festlegen (24 Stunden, 72 Stunden, 1 Monat)
- Risikomanagement-Maßnahmen bestandsaufnehmen und Schulungen der Geschäftsleitung einplanen (§§ 30, 38 BSIG)
Sanktionen
Bis 7 Mio. € (wichtige) bzw. 10 Mio. € (besonders wichtige Einrichtungen) oder ein Anteil am weltweiten Umsatz; Verstoß gegen die Registrierungspflicht bis 500.000 € (§ 65 BSIG). Die Geschäftsleitung haftet für schuldhaft verursachte Schäden.
Änderungen der letzten Zeit
- 06.12.2025 – NIS2-Umsetzungsgesetz in Kraft; die Registrierungsfrist beim BSI ist für bereits betroffene Unternehmen abgelaufen.
Welche Vorschriften betreffen Ihr Unternehmen?
Elf Fragen, und Sie sehen für zwölf Regelwerke, was wahrscheinlich relevant ist und welche Fristen anstehen – kostenlos, ohne Anmeldung, ohne Speicherung Ihrer Antworten.
Quellen
Stand geprüft: 19.10.2026
- § 28 BSIG – Betroffene Einrichtungen
- § 33 BSIG – Registrierungspflicht
- Anlage 1 BSIG – Sektoren
- BSI – NIS-2-regulierte Unternehmen
Allgemeine Informationen aus einer Software, keine Rechtsberatung. Ob die Vorschrift auf Ihr Unternehmen anwendbar ist, hängt vom Einzelfall ab; Rechtslagen ändern sich, gerade bei EU-Vorschriften.