Das Wichtigste auf einen Blick
NIS2 klingt nach viel Bürokratie, lässt sich aber auf wenige Kernpunkte herunterbrechen. Hier die schnelle Antwort, bevor wir ins Detail gehen.
- 1NIS2 ist die neue EU-Richtlinie für Cybersicherheit. In Deutschland gilt sie seit dem 6. Dezember 2025 durch das NIS2-Umsetzungsgesetz.
- 2Betroffen sind Unternehmen aus 18 wichtigen Sektoren, in der Regel ab 50 Mitarbeitenden oder ab 10 Millionen Euro Umsatz. Insgesamt rund 29.500 Unternehmen in Deutschland.
- 3Auch kleinere Unternehmen können indirekt betroffen sein, wenn sie Zulieferer oder Dienstleister eines betroffenen Unternehmens sind.
- 4Die Kernpflichten sind: Registrierung beim BSI, ein Risikomanagement mit technischen und organisatorischen Maßnahmen und die Meldung von Sicherheitsvorfällen (24 Stunden, 72 Stunden, ein Monat).
- 5Die Geschäftsführung ist persönlich verantwortlich. Bei Verstößen drohen Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes.
- 6Die Registrierungsfrist ist bereits abgelaufen (rechtlich 6. März 2026, BSI-Nachfrist 31. Juli 2026). Wer noch nicht registriert ist, sollte jetzt schnell handeln.
Was ist NIS2 und warum betrifft es so viele Unternehmen?
NIS2 ist die zweite EU-Richtlinie zur Netz- und Informationssicherheit. Ihr Ziel ist ein einheitlich höheres Schutzniveau gegen Cyberangriffe in Europa. In Deutschland wurde sie mit dem NIS2-Umsetzungsgesetz in nationales Recht gegossen und gilt seit dem 6. Dezember 2025.
Wer ist betroffen?
Früher betraf das Thema vor allem klassische Betreiber kritischer Infrastruktur. NIS2 erweitert den Kreis deutlich: Betroffen sind jetzt Unternehmen aus 18 Sektoren, zum Beispiel Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur, verarbeitendes Gewerbe, Logistik, Lebensmittel, Chemie, Abfallwirtschaft, Forschung und Teile der öffentlichen Verwaltung.
Als Faustregel gilt: Wer in einem dieser Sektoren tätig ist und mindestens 50 Mitarbeitende oder 10 Millionen Euro Jahresumsatz hat, ist in der Regel erfasst. Das Gesetz unterscheidet dabei zwischen besonders wichtigen und wichtigen Einrichtungen.
Wichtig: Auch kleinere Betriebe geraten oft über die Lieferkette hinein. Wenn Sie einen betroffenen Kunden beliefern, verlangt dieser die passenden Sicherheitsnachweise häufig vertraglich von Ihnen.
Laut Bundesamt für Sicherheit in der Informationstechnik sind in Deutschland rund 29.500 Unternehmen von NIS2 betroffen, statt zuvor etwa 4.500. Bis zur gesetzlichen Frist am 6. März 2026 hatten sich davon nur rund 11.500 registriert.
Ist mein Unternehmen von NIS2 betroffen?
Drei kurze Fragen für eine erste Einschätzung. Unverbindlich und in unter einer Minute.
Ist Ihr Unternehmen in einem NIS2-Sektor tätig?
Zum Beispiel Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur, verarbeitendes Gewerbe, Logistik, Lebensmittel, Chemie, Abfall, öffentliche Verwaltung oder Forschung.
Welche Pflichten bringt NIS2 mit sich?
NIS2 verlangt kein einzelnes Produkt, sondern ein System aus Organisation, Technik und klaren Abläufen. Das sind die vier Kernpflichten.
Registrierung beim BSI
Betroffene Unternehmen mussten sich beim Bundesamt für Sicherheit in der Informationstechnik registrieren und eine Kontaktstelle benennen. Wer das versäumt hat, sollte es umgehend nachholen.
Risikomanagement
Technische und organisatorische Maßnahmen sind Pflicht: Zugriffskontrolle, Verschlüsselung, Backups, Notfallpläne, Absicherung der Lieferkette und regelmäßige Mitarbeiterschulungen.
Meldepflicht bei Vorfällen
Erhebliche Sicherheitsvorfälle müssen in festen Fristen an das BSI gemeldet werden. Dafür braucht es einen klaren, geübten Melde-Prozess im Unternehmen.
Verantwortung der Leitung
Die Geschäftsführung muss die Maßnahmen billigen, ihre Umsetzung überwachen und sich selbst schulen. Sie trägt die persönliche Verantwortung.
Die Meldefristen im Überblick
Bei einem erheblichen Sicherheitsvorfall gilt ein dreistufiger Melde-Prozess an das BSI.
Eine erste Meldung an das BSI, dass ein erheblicher Vorfall vorliegt.
Eine ausführlichere Bewertung des Vorfalls mit ersten Erkenntnissen.
Ein Abschlussbericht mit Ursache, Auswirkungen und ergriffenen Maßnahmen.
Was Sie jetzt tun sollten, und wie SYTO hilft
NIS2 wirkt groß, lässt sich aber in klaren Schritten abarbeiten. Wir begleiten Sie von der ersten Einschätzung bis zum laufenden Betrieb.
Betroffenheit klären und registrieren
Wir prüfen gemeinsam, ob und als was Ihr Unternehmen betroffen ist, und kümmern uns um die Registrierung beim BSI, falls sie noch fehlt.
Ist-Aufnahme Ihrer IT-Sicherheit
Wir schauen ehrlich auf den aktuellen Stand: Firewall, Backups, Zugriffe, E-Mail-Sicherheit, Notfallpläne. Wo sind die größten Lücken?
Maßnahmen umsetzen
Wir führen die nötigen technischen und organisatorischen Maßnahmen ein, etablieren einen geübten Melde-Prozess und schulen Ihr Team.
Dranbleiben und dokumentieren
NIS2 ist kein Einmalprojekt. Wir überwachen, aktualisieren und dokumentieren laufend, damit Sie dauerhaft nachweisbar sicher aufgestellt sind.
Häufige Fragen zu NIS2
Kurze, ehrliche Antworten auf die Fragen, die uns Unternehmen zu NIS2 am häufigsten stellen.
SYTO IT, Ihr Partner für IT-Sicherheit im Rhein-Main-Gebiet
SYTO begleitet Unternehmen seit 2003 in Fragen der IT-Sicherheit. Gegründet von Torsten Riegel, heute in zweiter Generation von Maurice und Melvin Riegel geführt. Bei einem Thema wie NIS2 heißt das: Wir erklären verständlich, prüfen ehrlich und setzen nur um, was wirklich schützt.
Ob Firewall, Backup, Notfallplan oder die komplette NIS2-Umsetzung, bei uns kommt die IT-Sicherheit aus einer Hand. Herstellerunabhängig, mit Lösungen aus deutschen Rechenzentren, festen Ansprechpartnern und einer klaren Reaktionszeit. Kein anonymes Callcenter.
Machen wir Ihr Unternehmen NIS2-fest
Wir prüfen Ihre Betroffenheit, schließen die Lücken und begleiten Sie in den laufenden Betrieb. Unverbindlich und ohne Verkaufsdruck.
Mehr aus unserem Blog & Ratgeber, zum Beispiel Cloud- oder klassische Telefonanlage.