The New IT Security Obligation for German Companies
If you searched for 'IT Sicherheitspflicht', you are looking for NIS2. Since December 2025, the revised BSIG makes cybersecurity a legal obligation for roughly 29,500 German companies.
NIS2 Is the IT Security Obligation You Have Been Hearing About
Er bestaat in Duitsland geen zelfstandige 'wet op de IT-beveiligingsplicht'. Wat er bestaat is de NIS2-richtlijn (EU 2022/2555), in Duits recht omgezet met de NIS2UmsuCG, die de BSI-wet (BSIG) grondig heeft herzien. Dit is de wet die bindende IT-beveiligingsverplichtingen schept voor bedrijven in de sectoren uit de bijlagen 1 en 2 van de BSIG.
De BSIG is op 6 december 2025 in werking getreden. Zij verplicht getroffen bedrijven om 10 specifieke maatregelen voor cyberbeveiligingsrisicobeheer uit te voeren (§ 30 BSIG), zich te registreren bij het BSI, significante incidenten binnen strikte termijnen te melden en hun toeleveringsketens te beveiligen. Op grond van § 38 BSIG moet de leiding de maatregelen uitvoeren en erop toezien, en is zij jegens het bedrijf aansprakelijk voor schade die zij door schuld veroorzaakt.
Als uw bedrijf 50 of meer werknemers heeft, of zowel een jaaromzet als een balanstotaal van meer dan 10 miljoen euro, en actief is in een van de sectoren uit de bijlagen 1 en 2 van de BSIG, gelden deze verplichtingen nu voor u. De registratietermijn was 6 maart 2026.
Sector
Uw bedrijf biedt tegen betaling goederen of diensten aan in een van de sectoren uit de bijlagen 1 en 2 van de BSIG: energie, vervoer, financiën, gezondheid, water, digitale infrastructuur (inclusief beheerde IT- en beveiligingsdiensten), ruimtevaart, post en koeriersdiensten, afval, chemie, voedsel, maakindustrie, digitale diensten, onderzoek.
Employee Count
U hebt 50 of meer werknemers. Dit volgt de EU-definitie van kmo's en omvat alle werknemers in de hele groep, niet alleen de Duitse entiteit. Uitzondering: partner- of verbonden bedrijven worden niet opgeteld als uw IT onafhankelijk van die van hen draait (§ 28 Abs. 4 BSIG). Parttimers tellen naar rato mee.
Annual Revenue
Your annual turnover exceeds 10 million euros AND your balance sheet total exceeds 10 million euros. If you exceed either the employee OR the financial threshold, you are in scope.
Critical Services
Sommige entiteiten vallen ongeacht hun omvang binnen de reikwijdte: exploitanten van kritieke installaties (KRITIS), verleners van vertrouwensdiensten, TLD-naamregisters en DNS-dienstverleners (§ 28 BSIG).
Register with the BSI
Registreer in twee stappen: maak eerst een account aan bij Mein Unternehmenskonto (mein-unternehmenskonto.de, met een ELSTER-organisatiecertificaat) en registreer u daarna in het BSI-portaal (portal.bsi.bund.de). Dit is een wettelijke verplichting op grond van § 33 BSIG met een eigen boete van maximaal 500.000 euro. Het portaal is sinds januari 2026 live en de termijn was 6 maart 2026. Hebt u die gemist, registreer u dan onmiddellijk.
Conduct a Risk Assessment
Identify your critical IT assets, assess the risks to each, and document treatment decisions. Section 30 BSIG requires risk management measures that are proportionate to the risk exposure. You need an asset inventory and a structured risk assessment before you can implement measures.
Implement 10 Security Measures
§ 30, lid 2 BSIG noemt 10 gebieden: 1 risicoanalyse en beveiligingsbeleid; 2 incidentafhandeling; 3 bedrijfscontinuïteit (back-ups, herstel, crisisbeheer); 4 beveiliging van de toeleveringsketen; 5 beveiliging bij aanschaf, ontwikkeling en onderhoud van IT, inclusief omgaan met kwetsbaarheden; 6 controleren of de maatregelen werken; 7 basistraining en bewustwording; 8 cryptografie; 9 personeelsbeveiliging, toegangsbeheersing en assetbeheer; 10 multifactorauthenticatie en beveiligde communicatie. Elk gebied vereist gedocumenteerd beleid en bewijs van uitvoering.
Set Up Incident Reporting
Significant cybersecurity incidents must be reported to the BSI within 24 hours (initial early warning), 72 hours (full notification), and 1 month (final report). Define what a significant incident means for your company and establish a clear reporting chain before something happens.
Maintain Ongoing Compliance
NIS2 is geen eenmalig project. Houd de risicobeoordeling actueel wanneer er iets verandert, train de leiding regelmatig (§ 38 BSIG vereist persoonlijke deelname; de memorie van toelichting leest 'regelmatig' als ten minste om de drie jaar), toets leveranciers en blijf monitoren op incidenten.
Essentiële entiteiten riskeren boetes tot 10 miljoen euro of 2 % van de wereldwijde jaaromzet. Belangrijke entiteiten riskeren tot 7 miljoen euro of 1,4 %. Alleen al registratieovertredingen kunnen boetes tot 500.000 euro opleveren. Het BSI kan naleving bevelen (§§ 61, 62 BSIG). Als bijzonder belangrijke entiteiten (besonders wichtige Einrichtungen) zijn bevelen negeren, kan de bevoegde sectorautoriteit als laatste redmiddel tijdelijk een vergunning schorsen en onbetrouwbare leidinggevenden tijdelijk uitsluiten van hun functie (§ 61 Abs. 9 BSIG).
Naast boetes schept § 38 BSIG persoonlijke aansprakelijkheid voor de leiding. Bestuurders moeten cyberbeveiligingsmaatregelen uitvoeren, toezien op de uitvoering en regelmatig opleidingen volgen. Zij zijn jegens hun eigen bedrijf aansprakelijk voor schade die zij door schuld veroorzaken, volgens de regels van het vennootschapsrecht voor de rechtsvorm van het bedrijf.
Frequently Asked Questions
Is NIS2 the same as the IT security obligation I keep hearing about?
Yes. There is no separate 'IT Sicherheitspflicht' law. NIS2 is the EU directive that was transposed into German law as the revised BSIG via the NIS2UmsuCG. When people talk about new IT security obligations for German companies, they mean this law. It has been in force since 6 December 2025.
We are a 60-person manufacturing company. Does this really apply to us?
Zeer waarschijnlijk wel. Maakindustrie staat in bijlage II van NIS2 (met onder meer medische hulpmiddelen, elektronica, elektrische apparatuur, machines, motorvoertuigen en overige transportmiddelen). Met 60 werknemers overschrijdt u de drempel van 50 werknemers. U wordt ingedeeld als 'belangrijke entiteit' op grond van § 28, lid 2 BSIG en alle NIS2-verplichtingen zijn van toepassing.
The registration deadline has passed. What should we do?
Registreer onmiddellijk. Maak eerst een account aan bij Mein Unternehmenskonto (mein-unternehmenskonto.de) en registreer u daarna in het BSI-portaal (portal.bsi.bund.de), dat nog registraties accepteert. Te laat registreren is beter dan niet registreren. De boete voor niet registreren bedraagt maximaal 500.000 euro (§ 65 BSIG).
Can our external IT provider handle NIS2 compliance for us?
Zij kunnen helpen bij de technische maatregelen, maar de wettelijke verplichting blijft bij uw bedrijf, ook als uw IT volledig is uitbesteed. Het BSI zegt dat in zijn FAQ over NIS-2: u moet ervoor zorgen dat uw dienstverleners de maatregelen uitvoeren, hen regelmatig controleren en erop toezien dat incidenten worden gemeld. Uw leiding blijft op grond van § 38 BSIG verantwoordelijk voor het uitvoeren van de maatregelen en het toezicht daarop. U moet vastleggen wat uw IT-dienstverlener doet, zijn beveiligingsmaatregelen verifiëren en hem opnemen in uw leveranciersbeheer.
How much does NIS2 compliance cost for a mid-market company?
Dat hangt af van wat u al hebt. De wet vraagt om maatregelen die passen bij uw omvang en risico, en de kosten van de uitvoering behoren tot de zaken die worden meegewogen (§ 30 Abs. 1 BSIG).
In de praktijk
Waar dit in de begeleide doorloop terugkomt
De begeleide doorloop maakt hier stappen van die u invult, met de wet bij elke stap uitgelegd. Open een stap om het scherm te zien, ingevuld voor een verzonnen bedrijf.
De doorloop zelf is in het Duits en het Engels.
Risk Management
Decide how you rate risks
We recommend a ready-made risk assessment method.
Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Moet u zich met NIS2 bezighouden?
We begeleiden u stap voor stap. U vult in, wij leggen elk punt in eenvoudige woorden uit, en aan het eind tekent de directie.
