NIS2
NIS2 ist die EU-Richtlinie zur Cybersicherheit. In Deutschland gilt sie über das NIS2-Umsetzungsgesetz, das die Pflichten im BSIG festschreibt. Diese Seite erklärt, wer betroffen ist, was §30 BSIG verlangt und welche Fristen laufen.
Stand: 2. September 2026
Was ist NIS2?
NIS2 ist die Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union. Sie verpflichtet Unternehmen in 18 Sektoren zu Risikomanagement, Meldung von Sicherheitsvorfällen und technischen Mindestmaßnahmen. In Deutschland gilt sie seit dem 6. Dezember 2025 über das NIS2-Umsetzungsgesetz.
Die Schreibweise „NIS 2“ mit Leerzeichen meint dasselbe. Der Name steht für die zweite Fassung der Network-and-Information-Security-Richtlinie; sie ersetzt die erste von 2016 und erweitert deren Geltungsbereich erheblich: statt rund 500 Betreiber kritischer Infrastrukturen fallen in Deutschland nun etwa 29.500 Unternehmen darunter.
Neu ist vor allem die Haftung. NIS2 macht Cybersicherheit zur Leitungsaufgabe: die Geschäftsleitung muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und haftet nach §38 BSIG persönlich für Verstöße. Diese Pflicht lässt sich nicht delegieren.
NIS2 in Zahlen
- 29.500
- betroffene Unternehmen in Deutschland
- 18
- Sektoren im Geltungsbereich
- 24 Std.
- Frist für die Erstmeldung eines Vorfalls
- 10 Mio. €
- Bußgeldrahmen, oder 2 % des Jahresumsatzes
Richtlinie, Umsetzungsgesetz, BSIG
Drei Namen, ein Regelwerk. Wer die Kette kennt, findet die Vorschrift, die tatsächlich gilt.
- Europäische Ebene
Die NIS2-Richtlinie
Richtlinie (EU) 2022/2555, in Kraft seit Januar 2023. Eine Richtlinie gilt nicht unmittelbar: sie verpflichtet die Mitgliedstaaten, ihre Vorgaben in nationales Recht zu übersetzen. Für Unternehmen ist sie deshalb Auslegungshilfe, nicht Anspruchsgrundlage.
- Nationale Umsetzung
Das NIS2-Umsetzungsgesetz
Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz ist am 6. Dezember 2025 in Kraft getreten. Es ist ein Artikelgesetz: es enthält selbst kaum Pflichten, sondern schreibt das BSI-Gesetz neu. Wer nach dem Gesetzestext sucht, sucht deshalb im BSIG.
- Geltendes Recht
Das BSIG
Das BSI-Gesetz trägt die Pflichten. §28 regelt, wer betroffen ist, §30 die Risikomanagementmaßnahmen, §32 bis §35 Melde- und Registrierungspflichten, §38 die Pflichten der Geschäftsleitung und §65 die Bußgelder. Eine Übergangsfrist gibt es nicht.
Wer ist betroffen?
Zwei Kriterien müssen zusammenkommen: der Sektor und die Größe. Trifft beides zu, gilt NIS2 automatisch, ohne Bescheid und ohne Aufforderung.
Besonders wichtige Einrichtungen
ab 250 Beschäftigten, oder über 50 Mio. € Jahresumsatz und über 43 Mio. € Bilanzsumme
In den Sektoren hoher Kritikalität: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienstleistungsmanagement, öffentliche Verwaltung, Weltraum. Diese Einrichtungen unterliegen der laufenden Aufsicht des BSI.
Bußgeld bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes
Wichtige Einrichtungen
ab 50 Beschäftigten, oder über 10 Mio. € Jahresumsatz und Bilanzsumme
Alle übrigen Sektoren sowie kleinere Einrichtungen der oben genannten: Post und Kurier, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste, Forschung. Die Aufsicht erfolgt anlassbezogen, die Pflichten selbst sind dieselben.
Bußgeld bis 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes
Unabhängig von der Größe
Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries, DNS-Dienste und Anbieter öffentlicher Telekommunikationsnetze fallen ohne Rücksicht auf Beschäftigtenzahl oder Umsatz unter NIS2.
Und die Lieferkette?
Zulieferer sind nicht automatisch selbst betroffen, werden aber vertraglich in die Pflicht genommen: §30 Abs. 2 Nr. 4 verlangt von betroffenen Unternehmen, die Sicherheit ihrer unmittelbaren Anbieter zu bewerten. In der Praxis heißt das Fragebögen, Nachweise und Vertragsklauseln, die den Standard weitergeben.
Die 18 Sektoren
Sektoren hoher Kritikalität zuerst, danach die sonstigen kritischen Sektoren.
- Energie
- Verkehr und Transport
- Bankwesen
- Finanzmarktinfrastrukturen
- Gesundheitswesen
- Trinkwasser
- Abwasser
- Digitale Infrastruktur
- IKT-Dienstleistungsmanagement
- Öffentliche Verwaltung
- Weltraum
- Post und Kurier
- Abfallwirtschaft
- Chemie
- Lebensmittel
- Verarbeitendes Gewerbe
- Digitale Dienste
- Forschung
Die zehn Anforderungen nach §30 BSIG
§30 Abs. 2 BSIG listet zehn Maßnahmen, die jedes betroffene Unternehmen umsetzen muss. Sie folgen Artikel 21 der Richtlinie und gelten für alle Einrichtungsklassen gleichermaßen.
Der Maßstab ist die Verhältnismäßigkeit: gefordert ist der Stand der Technik, gemessen am Risiko, an der Größe des Unternehmens und an den möglichen Schäden. Eine feste Produktliste gibt es nicht.
| Nr. | Maßnahme | Was dahintersteht | E-Mail-Bezug |
|---|---|---|---|
| §30 Abs. 2Nr. 1 | Risikoanalyse und Sicherheitskonzepte | Dokumentierte Analyse der Risiken für die eigenen Informationssysteme, daraus abgeleitete Konzepte. | kein direkter Bezug |
| §30 Abs. 2Nr. 2 | Bewältigung von Sicherheitsvorfällen | Erkennung, Reaktion, Wiederanlauf und Nachbereitung von Vorfällen als geregelter Prozess. | unmittelbar |
| §30 Abs. 2Nr. 3 | Aufrechterhaltung des Betriebs | Backup-Management, Wiederherstellung nach einem Notfall, Krisenmanagement. | mittelbar |
| §30 Abs. 2Nr. 4 | Sicherheit der Lieferkette | Bewertung und vertragliche Absicherung der unmittelbaren Anbieter und Dienstleister. | unmittelbar |
| §30 Abs. 2Nr. 5 | Sicherheit bei Erwerb, Entwicklung und Wartung | Sicherheitsanforderungen über den Lebenszyklus von Systemen, einschließlich Schwachstellenmanagement. | kein direkter Bezug |
| §30 Abs. 2Nr. 6 | Bewertung der Wirksamkeit | Verfahren, die prüfen, ob die getroffenen Maßnahmen tatsächlich wirken. | mittelbar |
| §30 Abs. 2Nr. 7 | Cyberhygiene und Schulungen | Grundlegende Sicherheitspraktiken und regelmäßige Schulung aller Beschäftigten. | mittelbar |
| §30 Abs. 2Nr. 8 | Kryptografie und Verschlüsselung | Konzepte und Verfahren für den Einsatz kryptografischer Verfahren, einschließlich Schlüsselverwaltung. | unmittelbar |
| §30 Abs. 2Nr. 9 | Personalsicherheit und Zugriffskontrolle | Überprüfung von Personal, Rechtevergabe nach Bedarf, Verwaltung der Anlagen. | kein direkter Bezug |
| §30 Abs. 2Nr. 10 | Multi-Faktor und gesicherte Kommunikation | Mehrfaktor- oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation, Notfallkommunikation. | unmittelbar |
Vier der zehn Maßnahmen betreffen E-Mail unmittelbar
Verschlüsselung, Vorfallsbewältigung, Lieferkettenkommunikation und gesicherte Textkommunikation lassen sich ohne ein Mail-Gateway kaum belegen. Wie das konkret aussieht, steht auf der Seite zur E-Mail-Sicherheit nach NIS2.
Fristen, Meldungen, Bußgelder
Neben den Maßnahmen nach §30 stehen drei formale Pflichten, die unabhängig von der IT-Ausstattung greifen.
Registrierung beim BSI
Betroffene Einrichtungen müssen sich binnen drei Monaten nach Eintritt der Betroffenheit beim BSI registrieren und dabei Kontaktdaten, Sektor und betroffene Dienste angeben. Das BSI verschickt keine Aufforderung: die Pflicht zu prüfen, ob man betroffen ist, liegt beim Unternehmen.
Meldung von Sicherheitsvorfällen
Erheblich ist ein Vorfall, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht oder andere natürliche oder juristische Personen schädigen kann. Die Meldung erfolgt dreistufig:
- 1Innerhalb von 24 Stunden: Erstmeldung mit dem, was bekannt ist.
- 2Innerhalb von 72 Stunden: Bestätigung oder Aktualisierung mit erster Bewertung.
- 3Innerhalb eines Monats: Abschlussmeldung mit Ursache, Auswirkung und ergriffenen Maßnahmen.
Pflichten der Geschäftsleitung
Nach §38 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen. Sie ist zur regelmäßigen Schulung verpflichtet und haftet für Pflichtverletzungen persönlich. Ein Verzicht auf diese Haftung ist unwirksam.
Bußgeldrahmen
Besonders wichtige Einrichtungen: bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Wichtige Einrichtungen: bis 7 Mio. € oder 1,4 %. Für Verstöße gegen Melde- und Registrierungspflichten gelten eigene, niedrigere Rahmen.
NIS2 und KRITIS
Beides steht im selben Gesetz und wird trotzdem oft verwechselt. KRITIS meint die Betreiber kritischer Anlagen: Einrichtungen, die einen Schwellenwert der BSI-Kritisverordnung überschreiten und deren Ausfall die Versorgung der Bevölkerung gefährdet. Sie sind eine Teilmenge der besonders wichtigen Einrichtungen und unterliegen zusätzlich der Nachweispflicht alle drei Jahre sowie dem Einsatz von Systemen zur Angriffserkennung.
NIS2 ist der weitere Begriff. Ein Unternehmen kann unter NIS2 fallen, ohne KRITIS-Betreiber zu sein; umgekehrt gilt für KRITIS-Betreiber alles, was auch unter NIS2 gilt, und darüber hinaus. Das KRITIS-Dachgesetz regelt daneben die physische Resilienz und ist ein eigenes Vorhaben, nicht Teil des BSIG.
| Aspekt | NIS2 | KRITIS |
|---|---|---|
| Auslöser | Sektor und Unternehmensgröße | Schwellenwert der BSI-Kritisverordnung |
| Umfang in Deutschland | rund 29.500 Einrichtungen | einige hundert Anlagenbetreiber |
| Nachweis | auf Verlangen der Aufsicht | verpflichtend alle drei Jahre |
| Angriffserkennung | Teil der Verhältnismäßigkeit | ausdrücklich vorgeschrieben |
Alle NIS2-Themen
Was auf dieser Seite im Überblick steht, ist an anderer Stelle ausgeführt. Dreizehn Seiten, nach Fragestellung sortiert.
Grundlagen und Haftung
- NIS2 und E-Mail-Sicherheit: der komplette GuideDer Einstieg über 30 Seiten: Geltungsbereich, Maßnahmen, Fristen, Fallstricke.
- Welche E-Mail-Pflichten jetzt geltenWas die Richtlinie für den Mailkanal konkret vorschreibt, Absatz für Absatz.
- Geschäftsführerhaftung nach §38 BSIGWarum die Leitung persönlich haftet und wie sich das dokumentieren lässt.
Die Maßnahmen im Einzelnen
- §30 BSIG: die zehn PflichtmaßnahmenJede Maßnahme einzeln erklärt, mit dem jeweiligen Bezug zur E-Mail.
- Ist E-Mail-Verschlüsselung Pflicht?Was Nr. 8 verlangt, wo TLS reicht und wo S/MIME oder PGP nötig werden.
- Meldepflicht bei einem VorfallDie 24-Stunden-Frist in der Praxis: wer meldet, was, an wen.
- Lieferkettensicherheit nach Nr. 4Wie Anforderungen an Zulieferer weitergegeben und nachgewiesen werden.
- Der E-Mail-NotfallplanBetriebskontinuität für den Mailkanal: Ausfall, Wiederanlauf, Ersatzweg.
- Protokollierung und SIEM-AnbindungWelche Nachweise die Aufsicht sehen will und wie E-Mail-Ereignisse dorthin kommen.
Umsetzung mit Conbool
- NIS2 und E-Mail-SicherheitDie vier E-Mail-relevanten Maßnahmen und wie Conbool sie abdeckt.
- NIS2-VerschlüsselungS/MIME und PGP automatisiert, mit Schlüsselverwaltung und Regelwerk.
- NIS2-BetriebskontinuitätNotfallpostfach und Weiterbetrieb, wenn der Mailserver ausfällt.
- NIS2-SchulungspflichtCyberhygiene und Schulungen nach Nr. 7, nachweisbar dokumentiert.
Häufige Fragen zu NIS2
Was ist der Unterschied zwischen NIS2, dem Umsetzungsgesetz und dem BSIG?+
NIS2 ist die europäische Richtlinie und gilt für Unternehmen nicht unmittelbar. Das NIS2-Umsetzungsgesetz ist das deutsche Artikelgesetz, das sie umsetzt, indem es das BSI-Gesetz neu fasst. Die Pflichten, die tatsächlich gelten, stehen deshalb im BSIG, insbesondere in den §§28, 30, 32 bis 35 und 38.
Seit wann gilt NIS2 in Deutschland?+
Seit dem 6. Dezember 2025. Das NIS2-Umsetzungsgesetz enthält keine Übergangsfrist für die Maßnahmen nach §30 BSIG: die Pflichten gelten seit dem Inkrafttreten. Für die Registrierung beim BSI läuft eine eigene Frist von drei Monaten ab Eintritt der Betroffenheit.
Was ist der Unterschied zwischen einer besonders wichtigen und einer wichtigen Einrichtung?+
Die Einstufung folgt aus Sektor und Größe. Besonders wichtige Einrichtungen sind große Unternehmen in Sektoren hoher Kritikalität, wichtige Einrichtungen alle übrigen betroffenen. Die Maßnahmenpflichten nach §30 BSIG sind identisch; sie unterscheiden sich in der Aufsicht, die bei besonders wichtigen Einrichtungen laufend erfolgt, und im Bußgeldrahmen von 10 gegenüber 7 Mio. €.
Muss ich einen Sicherheitsvorfall innerhalb von 24 Stunden vollständig aufklären?+
Nein. Die 24-Stunden-Frist gilt für eine Erstmeldung mit dem Kenntnisstand zu diesem Zeitpunkt, einschließlich der Einschätzung, ob ein rechtswidriger Angriff vorliegt. Die Bewertung folgt binnen 72 Stunden, die Aufklärung mit der Abschlussmeldung binnen eines Monats.
Reicht eine ISO-27001-Zertifizierung für NIS2?+
Sie hilft, genügt aber nicht automatisch. ISO 27001 deckt einen großen Teil der Maßnahmen nach §30 Abs. 2 BSIG ab, adressiert die Melde- und Registrierungspflichten sowie die persönliche Verantwortung der Geschäftsleitung nach §38 BSIG jedoch nicht. Ein vorhandenes Managementsystem verkürzt die Arbeit, ersetzt die Prüfung der einzelnen Pflichten aber nicht.
Fällt mein Unternehmen als Zulieferer unter NIS2?+
Nicht allein deshalb. Betroffen ist, wer selbst Sektor und Größenkriterien erfüllt. Betroffene Kunden geben ihre Anforderungen jedoch nach §30 Abs. 2 Nr. 4 BSIG vertraglich weiter, sodass Zulieferer die Maßnahmen faktisch nachweisen müssen, ohne selbst unter die Aufsicht des BSI zu fallen.
Die E-Mail-Anforderungen abdecken
Vier der zehn Maßnahmen nach §30 BSIG betreffen E-Mail unmittelbar. Conbool deckt sie mit Verschlüsselung, Bedrohungserkennung, Nachrichtenportal und lückenlosen Protokollen ab, gehostet in Deutschland.
Diese Seite fasst den Stand der Gesetzgebung allgemeinverständlich zusammen und ersetzt keine Rechtsberatung. Maßgeblich ist der Gesetzestext in seiner jeweils geltenden Fassung.