NIS2-Pflichten und Fristen im Überblick
Das BSI-Gesetz verlangt von besonders wichtigen und wichtigen Einrichtungen vier Dinge: Sicherheitsmaßnahmen, Meldungen bei Vorfällen, eine Registrierung beim BSI und die Verantwortung der Geschäftsleitung. Ob Sie selbst betroffen sind, klärt die Seite Bin ich von NIS2 betroffen?
Risikomanagement (§ 30 BSIG)
Einrichtungen müssen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen ergreifen, damit Verfügbarkeit, Integrität und Vertraulichkeit ihrer IT-Systeme, Komponenten und Prozesse gesichert sind und die Folgen von Sicherheitsvorfällen gering bleiben. Wie weit das gehen muss, hängt unter anderem von Risiko, Größe, Umsetzungskosten und der Schwere möglicher Vorfälle ab. Die Einhaltung ist zu dokumentieren.
Die Maßnahmen müssen mindestens diese Bereiche abdecken (§ 30 Abs. 2):
- Konzepte zur Risikoanalyse und zur Sicherheit in der Informationstechnik
- Umgang mit Sicherheitsvorfällen
- Aufrechterhaltung des Betriebs, etwa Backup-Management und Wiederherstellung nach einem Notfall, sowie Krisenmanagement
- Sicherheit der Lieferkette, einschließlich der Beziehungen zu Zulieferern und Dienstleistern
- Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von IT-Systemen, einschließlich des Umgangs mit Schwachstellen
- Konzepte und Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen
- Grundlegende Schulungen und Sensibilisierung
- Konzepte und Verfahren für den Einsatz von Kryptografie und Verschlüsselung
- Personalsicherheit, Konzepte für die Zugriffskontrolle und das Management von Anlagen
- Mehr-Faktor-Authentifizierung oder kontinuierliche Authentifizierung, gesicherte Kommunikation und gegebenenfalls gesicherte Notfallkommunikation
Die Maßnahmen sollen dem Stand der Technik entsprechen und einschlägige europäische und internationale Normen berücksichtigen.
Meldepflichten (§ 32 BSIG)
Ein Sicherheitsvorfall ist erheblich, wenn er bei der Einrichtung zu gravierenden Dienstausfällen oder Vermögensverlusten führt oder führen kann, oder wenn Dritte durch spürbare materielle oder immaterielle Schäden betroffen sind oder sein können (§ 2 Nr. 11). Solche Vorfälle sind an die gemeinsame Meldestelle von BSI und BBK zu melden.
| Meldung | Frist | Inhalt |
|---|---|---|
| Erstmeldung | unverzüglich, spätestens 24 Stunden nach Kenntnis vom Vorfall | Besteht der Verdacht, dass der Vorfall auf rechtswidrige oder böswillige Handlungen zurückgeht oder grenzüberschreitende Auswirkungen hat? |
| Meldung | unverzüglich, spätestens 72 Stunden nach Kenntnis | Bestätigung oder Aktualisierung der Erstmeldung, erste Bewertung mit Schweregrad und Auswirkungen, gegebenenfalls Kompromittierungsindikatoren |
| Zwischenmeldung | auf Verlangen des BSI | Statusaktualisierungen |
| Abschlussmeldung | spätestens einen Monat nach der 72-Stunden-Meldung | Beschreibung des Vorfalls, Art der Bedrohung oder wahrscheinliche Ursache, getroffene und laufende Abhilfemaßnahmen, gegebenenfalls grenzüberschreitende Auswirkungen |
Dauert der Vorfall nach einem Monat noch an, folgt statt der Abschlussmeldung zunächst eine Fortschrittsmeldung. Die Abschlussmeldung kommt dann nach der abschließenden Bearbeitung.
Registrierung beim BSI (§ 33 BSIG)
- Besonders wichtige und wichtige Einrichtungen müssen sich innerhalb von drei Monaten registrieren, nachdem sie erstmals als betroffene Einrichtung gelten. Das Gesetz ist am 6. Dezember 2025 in Kraft getreten. Für Unternehmen, die schon damals erfasst waren, endete die Frist damit am 6. März 2026.
- Angegeben werden Name, Rechtsform und gegebenenfalls Handelsregisternummer, Anschrift und Kontaktdaten (unter anderem E-Mail-Adresse, öffentliche IP-Adressbereiche, Telefonnummern), der Sektor nach Anlage 1 oder 2, die EU-Mitgliedstaaten, in denen Dienste erbracht werden, und die zuständigen Aufsichtsbehörden.
- Änderungen sind dem BSI unverzüglich mitzuteilen, spätestens binnen zwei Wochen, nachdem die Einrichtung davon Kenntnis erlangt hat.
- Die Registrierung läuft elektronisch über eine gemeinsame Registrierungsmöglichkeit von BSI und BBK. Kommt eine Einrichtung der Pflicht nicht nach, kann das BSI die Registrierung selbst vornehmen.
Pflichten der Geschäftsleitung (§ 38 BSIG)
- Die Geschäftsleitung muss die Risikomanagementmaßnahmen nach § 30 umsetzen und ihre Umsetzung überwachen.
- Sie muss regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagementpraktiken der Informationssicherheit erkennen und bewerten sowie deren Auswirkungen auf die Dienste der Einrichtung einschätzen zu können.
- Verletzt sie diese Pflichten, haftet sie der Einrichtung für einen schuldhaft verursachten Schaden. Es gelten dafür die Regeln des Gesellschaftsrechts, die für die Rechtsform der Einrichtung maßgeblich sind. Eine Haftung nach dem BSIG selbst gibt es nur, wenn das Gesellschaftsrecht keine entsprechende Regel enthält.
Bußgelder (§ 65 BSIG)
| Verstoß | Besonders wichtige Einrichtung | Wichtige Einrichtung |
|---|---|---|
| Risikomanagementmaßnahmen und deren Dokumentation (§ 30 Abs. 1) | bis 10 Mio. € | bis 7 Mio. € |
| Erstmeldung und Abschlussmeldung (§ 32) | ||
| Registrierung und Angaben (§ 33 Abs. 1 und 2 Satz 1) | bis 500.000 € | |
| Erreichbarkeit der Kontaktstelle (§ 33 Abs. 2 Satz 2) | bis 100.000 € | |
Bei einem weltweiten Gesamtumsatz von mehr als 500 Mio. € kann statt der Höchstbeträge von 10 Mio. € und 7 Mio. € eine Geldbuße von bis zu 2 % (besonders wichtige Einrichtungen) beziehungsweise 1,4 % (wichtige Einrichtungen) des Gesamtumsatzes verhängt werden. Der Gesamtumsatz kann geschätzt werden. Die Pflichten der Geschäftsleitung nach § 38 sind in § 65 nicht als Bußgeldtatbestand genannt.
Wo stehen Sie?
Der kostenlose Kurztest klärt in drei Fragen, ob Ihr Unternehmen unter das Gesetz fällt, und zeigt danach mit zwölf Kernfragen, wie weit Sie bei den wichtigsten Maßnahmen sind. Dauer: etwa fünf Minuten, ohne Anmeldung.
Stand: Oktober 2026. Diese Seite fasst das BSI-Gesetz in der Fassung des NIS2-Umsetzungsgesetzes verständlich zusammen und ist eine Orientierung, keine Rechtsberatung. Maßgeblich ist der Gesetzestext unter gesetze-im-internet.de.