NIS2 in der Praxis: Registrierung, Meldepflichten und die 24-Stunden-Regel

Seit dem 6. Dezember 2025 gilt das NIS2-Umsetzungsgesetz. Aus der abstrakten Frage, ob man betroffen ist, sind damit konkrete Pflichten mit Fristen geworden. Dieser Beitrag zeigt, was betroffene Unternehmen jetzt tun müssen. Stand ist Oktober 2026.

Gilt NIS2 für Sie?

Als wichtige Einrichtung gilt in den Sektoren des Gesetzes, wer mindestens 50 Beschäftigte hat oder mehr als 10 Mio. € Jahresumsatz und zugleich mehr als 10 Mio. € Bilanzsumme. Besonders wichtig ist eine Einrichtung ab 250 Beschäftigten oder mit mehr als 50 Mio. € Umsatz und mehr als 43 Mio. € Bilanzsumme. Betreiber kritischer Anlagen sind unabhängig von ihrer Größe immer besonders wichtig.

Wer unsicher ist, kann die Betroffenheitsprüfung des BSI nutzen oder unseren Schnellcheck auf der Startseite. Für die Einordnung im Detail haben wir einen eigenen Beitrag zur Betroffenheit.

Registrierung beim BSI

Betroffene Unternehmen müssen sich innerhalb von drei Monaten beim BSI registrieren (§ 33 BSIG). Für alle, die schon mit Inkrafttreten betroffen waren, endete diese Frist am 6. März 2026. Das BSI hat Nachmeldungen bis zum 31. Juli 2026 geduldet. Die gesetzliche Frist hat das nicht verlängert.

Wer erst jetzt merkt, dass er betroffen ist, sollte die Registrierung sofort nachholen. Sie läuft über das BSI-Portal mit „Mein Unternehmenskonto“, also über das ELSTER-Zertifikat Ihres Unternehmens. Die Dreimonatsfrist gilt auch, wenn Sie später durch Wachstum oder ein neues Geschäftsfeld unter das Gesetz fallen.

Meldepflichten: 24 Stunden, 72 Stunden, ein Monat

Erhebliche Sicherheitsvorfälle müssen in drei Stufen gemeldet werden (§ 32 BSIG): eine Frühwarnung innerhalb von 24 Stunden, eine Meldung mit erster Bewertung innerhalb von 72 Stunden und ein Abschlussbericht nach einem Monat. Die Uhr läuft ab dem Moment, in dem Sie von dem Vorfall erfahren.

24 Stunden sind kurz, besonders an einem Wochenende. Legen Sie deshalb vorher fest, wer entscheidet, ob ein Vorfall erheblich ist, wer die Meldung abgibt und wer vertritt. Halten Sie Zugangsdaten zum BSI-Portal und eine Vorlage für die Frühwarnung bereit. Wer das erst im Ernstfall klärt, verliert genau die Zeit, die er nicht hat.

Was die Geschäftsleitung persönlich tun muss

Die Geschäftsleitung muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen (§ 38 BSIG). Die operative Arbeit darf sie delegieren, die Überwachung nicht. Verletzt sie diese Pflichten schuldhaft, haftet sie gegenüber dem eigenen Unternehmen nach den Regeln, die für die jeweilige Rechtsform gelten.

In der Praxis heißt das: Fassen Sie einen dokumentierten Beschluss über die Maßnahmen, lassen Sie sich regelmäßig über den Umsetzungsstand berichten und planen Sie einen festen Schulungstermin für die Leitungsebene ein.

Schreibt NIS2 einen ISB vor?

Nein. Weder die NIS2-Richtlinie noch das BSI-Gesetz verlangen von Unternehmen ausdrücklich einen Informationssicherheitsbeauftragten. Die Pflicht zur Benennung eines ISB in §§ 45 und 46 BSIG gilt nur für die Bundesverwaltung. Wenn Ihnen jemand eine gesetzliche ISB-Pflicht für Ihr Unternehmen ankündigt, lohnt sich ein Blick ins Gesetz.

Gebraucht wird die Aufgabe trotzdem. Irgendjemand muss die Maßnahmen nach § 30 BSIG steuern, die Berichte für die Geschäftsleitung erstellen und die Meldekette einsatzbereit halten. Diese Rolle übernimmt in den meisten Unternehmen ein ISB, intern oder extern.

Bußgelder

Für besonders wichtige Einrichtungen sieht das Gesetz Bußgelder bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes vor, für wichtige Einrichtungen bis zu 7 Mio. € oder 1,4 % (§ 65 BSIG). Teurer als jedes Bußgeld ist meist allerdings der Ausfall selbst.

In vier Wochen startklar

Woche 1: Betroffenheit klären und Registrierung prüfen. Woche 2: Meldekette festlegen, Verantwortliche, Vertretungen und Kontaktliste. Woche 3: Beschluss der Geschäftsleitung und Termin für die Schulung. Woche 4: Gap-Analyse gegen die Maßnahmen aus § 30 BSIG und eine Liste der nächsten Schritte, sortiert nach Dringlichkeit.

Danach haben Sie noch kein fertiges ISMS, aber Sie erfüllen die Pflichten, die im Ernstfall sofort zählen, und wissen, was als Nächstes kommt.