NIS2-Pflichten: die Checkliste.

Binnen drei Monaten, nachdem Sie betroffen sind, über Mein Unternehmenskonto und das BSI-Portal. Für alle, die seit 06.12.2025 betroffen sind, endete die Frist am 06.03.2026. Änderungen der Angaben melden Sie spätestens zwei Wochen, nachdem Sie davon erfahren.

Die Maßnahmen müssen geeignet, verhältnismäßig und wirksam sein. Maßstab sind Risikolage, Größe, Umsetzungskosten und die möglichen Folgen von Vorfällen. Und: Die Umsetzung ist zu dokumentieren (§30 Abs. 1). Mindestens umfassen die Maßnahmen:

1. Konzepte für Risikoanalyse und Sicherheit in der Informationstechnik.
2. Bewältigung von Sicherheitsvorfällen.
3. Aufrechterhaltung des Betriebs: Backup-Management, Wiederherstellung nach einem Notfall, Krisenmanagement.
4. Sicherheit der Lieferkette, inklusive der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern.
5. Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen, inklusive Umgang mit Schwachstellen und deren Offenlegung.
6. Konzepte und Verfahren, um die Wirksamkeit der Maßnahmen zu bewerten.
7. Grundlegende Schulungen und Sensibilisierung zur Cyberhygiene.
8. Konzepte und Prozesse für den Einsatz von Kryptografie und Verschlüsselung.
9. Sicherheit des Personals, Zugriffskontrolle und Management von IT-Systemen und Anlagen.
10. Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung, gesicherte Kommunikation und, wo angemessen, gesicherte Notfallkommunikation.

Für Cloud-Anbieter, Rechenzentren, CDN, Managed Service Provider, Managed Security Service Provider, Online-Marktplätze, Suchmaschinen, soziale Netzwerke, Vertrauensdiensteanbieter, DNS-Diensteanbieter und TLD-Registries geht die Durchführungsverordnung (EU) 2024/2690 vor (§30 Abs. 3). Sie macht die Maßnahmen konkret, unter anderem bei sicherer Entwicklung (Nr. 6.2), Sicherheitstests (Nr. 6.5), Patch-Management (Nr. 6.6) und Schwachstellenbehandlung (Nr. 6.10).

• Spätestens 24 Stunden, nachdem Sie Kenntnis erlangt haben: frühe Erstmeldung an die gemeinsame Meldestelle von BSI und BBK.
• Spätestens 72 Stunden danach: Meldung mit erster Bewertung des Vorfalls.
• Spätestens einen Monat nach dieser Meldung: Abschlussmeldung. Läuft der Vorfall dann noch, stattdessen eine Fortschrittsmeldung. Auf Anfrage des BSI Zwischenmeldungen.

Wann ein Vorfall „erheblich“ ist, hängt von seinen Auswirkungen ab. Für die Einrichtungsarten der Durchführungsverordnung gibt es konkrete Schwellen. Bei Cloud-Diensten reicht zum Beispiel ein vollständiger Ausfall von mehr als 30 Minuten. Die Meldekette muss also stehen, bevor etwas passiert: Wer erkennt, wer bewertet, wer meldet, auch am Wochenende.

• Die Geschäftsleitung muss die Maßnahmen nach §30 umsetzen und deren Umsetzung überwachen.
• Verletzt sie diese Pflichten schuldhaft, haftet sie der Einrichtung für den Schaden, nach den Regeln des jeweiligen Gesellschaftsrechts.
• Sie muss regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagement einschätzen zu können. Laut Gesetzesbegründung mindestens alle drei Jahre, das BSI rät zu kürzeren Abständen bei Wechseln in der Geschäftsleitung oder veränderter Risikolage.

• Betreiber kritischer Anlagen: Nachweis alle drei Jahre (§39 BSIG).
• Besonders wichtige Einrichtungen: Das BSI kann einzelne Einrichtungen zu Audits und Prüfungen verpflichten. Anlasslos Nachweise von jeder besonders wichtigen Einrichtung verlangen darf es ab dem 06.12.2028 (§61 Abs. 3), bei Krankenhäusern ist der 06.12.2030 vorgesehen.
• Wichtige Einrichtungen: Aufsicht nur aus Anlass, etwa nach Hinweisen oder Vorfällen.

Dass die Nachweisvorlage für die meisten später kommt, ändert nichts daran, dass die Pflichten seit dem 06.12.2025 gelten. Die Dokumentation nach §30 Abs. 1 ist das, was Sie dann vorlegen.

Bei Verstößen gegen §30 und §32: bei besonders wichtigen Einrichtungen bis 10 Mio. €, bei wichtigen Einrichtungen bis 7 Mio. €. Liegt der weltweite Gesamtumsatz über 500 Mio. €, kann der Rahmen stattdessen 2 % bzw. 1,4 % davon betragen. Verstöße gegen die Registrierungspflicht bis 500.000 €. Öffentlich dokumentierte Verfahren gibt es bis heute nicht. Der Druck kommt derzeit vor allem über Kundenverträge, Lieferantenfragebögen und Versicherer.

• Betroffenheit geprüft und dokumentiert, mit Konzernbetrachtung.
• Registrierung im BSI-Portal erledigt, Verantwortliche für Änderungsmeldungen benannt.
• Risikoanalyse und Sicherheitskonzept liegen vor.
• Incident-Prozess mit Meldekette 24 Stunden, 72 Stunden, ein Monat, inklusive Erreichbarkeit außerhalb der Arbeitszeit.
• Backup, Wiederherstellung und Krisenmanagement geplant und getestet.
• Lieferantenverzeichnis mit Einstufung und Sicherheitsanforderungen in den Verträgen.
• Sichere Entwicklung, Patch- und Schwachstellenmanagement geregelt und belegt.
• Wirksamkeit der Maßnahmen wird regelmäßig bewertet.
• Schulungen für Belegschaft und Geschäftsleitung durchgeführt und dokumentiert.
• Kryptografie-Konzept, Zugriffskontrolle, Asset-Management, MFA umgesetzt.
• Bei Einrichtungsarten der DVO 2024/2690: deren Anforderungen gegen den eigenen Stand abgeglichen.
• Alles davon dokumentiert, mit Datum und Verantwortlichen.

Ein Zertifikat. „NIS2-zertifiziert“ oder ein privates NIS2-Siegel ist kein gesetzlicher Nachweis. Eine ISO-27001-Zertifizierung hilft als Struktur und deckt viele Maßnahmen ab, ersetzt aber weder die Meldekette nach §32 noch die Pflichten der Geschäftsleitung nach §38.