NIS-2-Gesetz: Zehntausende deutsche Unternehmen unter neuem Cyber-Druck

Ab sofort gelten für rund 30.000 Organisationen verschärfte Meldepflichten bei Cyberangriffen. Das neue NIS-2-Umsetzungsgesetz zwingt sie zu einem straffen Drei-Stufen-Plan – bei Verstößen drohen hohe Bußgelder.

Die Fristen sind knapp: 24 Stunden, 72 Stunden, ein Monat. Seit dem 6. Dezember 2025 müssen zehntausende deutsche Unternehmen erhebliche IT-Sicherheitsvorfälle nach diesem gestaffelten System dem Bundesamt für Sicherheit in der Informationstechnik (BSI) melden. Die Umsetzung der europäischen NIS-2-Richtlinie markiert einen Paradigmenwechsel. Nicht mehr nur Betreiber Kritischer Infrastrukturen (KRITIS) sind in der Pflicht, sondern weite Teile der Wirtschaft – vom Maschinenbauer über Logistikdienstleister bis zum Lebensmittelhersteller.

Passend zum Thema IT‑Sicherheit: Viele Unternehmen sind laut Experten nur unzureichend gegen Ransomware & Co. gewappnet – und die neuen NIS‑2‑Meldefristen erhöhen den Handlungsdruck erheblich. Das kostenlose E‑Book „Cyber Security Awareness Trends” erklärt praxisnah, welche technischen und organisatorischen Maßnahmen jetzt Priorität haben, wie Sie Meldeketten (24/72/1 Monat) sauber einrichten und welche Schulungen das Management braucht. Jetzt kostenlosen Cyber‑Schutz‑Guide herunterladen

Dreistufiges Meldesystem: Jede Stunde zählt

Herzstück der Neuregelung ist das strikte Meldeverfahren. Als „erheblich“ gilt ein Vorfall, wenn er Betriebsstörungen, finanzielle Verluste oder erhebliche Schäden verursachen kann. Die Uhr tickt, sobald ein Mitarbeiter davon Kenntnis erlangt.

Zunächst muss innerhalb von 24 Stunden eine Frühwarnung ans BSI gehen. Sie soll eine erste Einschätzung liefern, ob der Vorfall auf kriminelle Handlungen zurückgeht. Nach 72 Stunden folgt eine detaillierte Bewertung mit Angaben zu Schweregrad und Auswirkungen. Der finale Abschlussbericht ist spätestens einen Monat nach der Erstmeldung fällig. Er muss Ursache, ergriffene Maßnahmen und grenzüberschreitende Effekte enthalten.

Diese engen Zeitfenster zwingen die Firmen, ihre internen Prozesse für Erkennung und Eskalation radikal zu überholen und zu beschleunigen.

Registrierungspflicht und persönliche Haftung der Chefs

Neben der Meldepflicht müssen sich alle betroffenen Unternehmen bis zum 6. März 2026 im neuen Online-Portal des BSI registrieren. Das Gesetz unterscheidet zwischen „besonders wichtigen“ und „wichtigen“ Einrichtungen.

Eine wesentliche Verschärfung betrifft die Geschäftsleitung. Vorstände und Geschäftsführer tragen nun eine persönliche Verantwortung für die Umsetzung der Cybersicherheitsmaßnahmen. Eine Verletzung dieser Aufsichtspflicht kann nicht nur hohe Bußgelder für das Unternehmen nach sich ziehen, sondern auch persönliche Haftungsansprüche gegen die Führungskräfte auslösen. Zudem wird eine verbindliche Schulungspflicht für das Management eingeführt.

Hohe Bußgelder und akuter Handlungsdruck

Die Sanktionen bei Verstößen sind empfindlich. Bußgelder können sich am weltweiten Konzernumsatz orientieren und für besonders wichtige Einrichtungen bis zu 10 Millionen Euro oder 2 Prozent des Umsatzes betragen.

Experten sehen in der Regulierung eine notwendige Antwort auf die eskalierende Bedrohung durch Ransomware und andere Cyberangriffe. Ziel ist eine widerstandsfähigere europäische Wirtschaft und ein besseres Lagebild durch zentrale Meldungen.

Für die Unternehmen bedeutet dies jedoch erheblichen Aufwand. Sie müssen nicht nur ihre Betroffenheit prüfen, sondern auch Risikomanagement, Incident-Response-Pläne und die geforderten technisch-organisatorischen Maßnahmen (TOMs) anpassen. Der Countdown läuft – im Ernstfall bleibt kaum Spielraum für Verzögerungen.

PS: Sie müssen NIS‑2‑konform werden und suchen praktische Schritte für die Umsetzung? Der Gratis‑Report liefert eine umsetzbare Checkliste mit Anti‑Phishing‑ und Incident‑Response‑Maßnahmen, Vorlagen für Erstmeldungen und Hinweise, wie Sie mit überschaubarem Budget Meldeprozesse und Management‑Schulungen etablieren. Ideal für Geschäftsführer und IT‑Verantwortliche, die Bußgelder vermeiden wollen. Jetzt Umsetzungsleitfaden für NIS‑2 herunterladen