NIS2 umsetzen: so gehen Sie im Mittelstand vor
Sie registrieren Ihr Unternehmen beim BSI, setzen Sicherheitsmaßnahmen in zehn Bereichen um und melden erhebliche Vorfälle. Die Geschäftsleitung überwacht das. Wie gründlich jede Maßnahme sein muss, hängt von Größe und Risiko Ihres Unternehmens ab.
Programme und Mitgliedschaften
Die vier Pflichten
NIS 2 ist eine Richtlinie der EU. In Deutschland setzt sie das BSI-Gesetz (BSIG) um. Ein Unternehmen, für das sie gilt, heißt dort „Einrichtung“. Jede Einrichtung hat vier Pflichten.
Registrieren
Sie melden Ihr Unternehmen einmal beim BSI an, über dessen Portal.
- Vorschrift
- Art. 3 Abs. 4 NIS 2 · § 33 BSIG
- Wer
- Wer das Unternehmenskonto bei ELSTER verwaltet
Maßnahmen umsetzen und festhalten
Sie schützen Ihre IT in zehn Bereichen, vom Notfallplan bis zur Anmeldung mit zweitem Faktor. Was Sie entscheiden, halten Sie schriftlich fest.
- Vorschrift
- Art. 21 NIS 2 · § 30 BSIG
- Wer
- Wer die IT verantwortet, intern oder als Dienstleister
Erhebliche Vorfälle melden
Einen erheblichen Sicherheitsvorfall melden Sie dem BSI, die erste Meldung binnen 24 Stunden. Erheblich ist ein Vorfall etwa, wenn er Ihren Betrieb schwer stört.
- Vorschrift
- Art. 23 NIS 2 · § 32 BSIG
- Wer
- Wer im Notfall entscheidet
Die Geschäftsleitung führt
Sie setzt die Maßnahmen um und überwacht sie. Außerdem nimmt sie regelmäßig an einer Schulung teil. Diese Pflichten treffen die Geschäftsleitung selbst.
- Vorschrift
- Art. 20 NIS 2 · § 38 BSIG
- Wer
- Geschäftsleitung, persönlich
Was das für 50 bis 150 Beschäftigte heißt
Sie brauchen kein eigenes Sicherheitsteam. Das Gesetz verlangt keins.
Sie brauchen kein Zertifikat wie ISO 27001. Das Gesetz schreibt keins vor, es kann aber beim Nachweis helfen.
Die Maßnahmen müssen zu Ihnen passen. Maßstab sind Ihre Risikolage, Ihre Größe, die Kosten und wie wahrscheinlich und schwer Vorfälle wären (§ 30 Abs. 1 Satz 2 BSIG).
Sie halten fest, was Sie umsetzen (§ 30 Abs. 1 Satz 3 BSIG). Die Maßnahmen müssen außerdem wirksam sein.
Die Arbeit machen Leute, die Sie schon haben: die Geschäftsleitung, wer die IT verantwortet, und die Abteilungen, die wissen, was der Betrieb braucht.
In welcher Reihenfolge
Jeder Schritt baut auf dem vorigen auf.
- 1Prüfen, ob NIS2 für Sie gilt. Das hängt von Ihrem Sektor, der Zahl der Beschäftigten und dem Umsatz ab (§ 28 BSIG).
- 2Beim BSI registrieren.
- 3Die Geschäftsleitung schulen.
- 4Aufschreiben, welche IT Ihr Betrieb nutzt und wer für Sie arbeitet. Danach die Risiken bewerten.
- 5Die Maßnahmen beschließen und als Dokumente festhalten: Leitlinie, Notfallpläne und Regeln für Zugänge, Updates und Verschlüsselung.
- 6Die Geschäftsleitung liest die Dokumente und gibt sie frei.
- 7Danach regelmäßig prüfen, ob alles noch passt.
Ein Beispiel
Eine erfundene Firma: ein Hersteller von Fördertechnik mit 90 Beschäftigten. Die IT betreut ein Mitarbeiter, zusammen mit einem externen Dienstleister.
Die Prüfung ergibt: Maschinenbau steht in Anlage 2 des BSIG. Mit 90 Beschäftigten gilt die Firma als wichtige Einrichtung.
Der Geschäftsführer beantragt ein Organisationszertifikat bei ELSTER. Sobald der Brief mit dem Aktivierungscode da ist, registriert er die Firma im Portal des BSI.
Er nimmt an einer Schulung für die Geschäftsleitung teil.
Der Mitarbeiter für die IT schreibt auf, wovon der Betrieb abhängt: ERP, E-Mail, Konstruktion, Steuerung der Fertigung, Datensicherung. Dazu kommen die Lieferanten, etwa der IT-Dienstleister und der Anbieter des ERP.
Gemeinsam bewerten sie für jeden Eintrag, was passieren kann. Ein Ausfall der Fertigungssteuerung wiegt am schwersten.
Daraus entstehen die Dokumente: die Leitlinie, ein Notfallplan für Vorfälle, ein Notfallplan für den Betrieb und Regeln für Zugänge, Updates und Verschlüsselung.
Der Geschäftsführer liest sie und gibt sie frei. Im Notfallplan steht, wer bei einem Vorfall entscheidet.
So geht das im Durchgang
Der Durchgang auf nisd2.eu führt Sie in dieser Reihenfolge durch die Umsetzung, einen Schritt nach dem anderen.
20 Schritte. Betreiber kritischer Anlagen haben einen Schritt mehr.
Neben jedem Schritt steht die Vorschrift, in einfachen Worten erklärt.
Aus Ihren Antworten entstehen sechs Dokumente, darunter die Leitlinie und die beiden Notfallpläne.
Was noch nicht geht, legen Sie zur Seite und machen weiter.
Wollen Sie einen Punkt bewusst nicht umsetzen, schreiben Sie auf, warum. Die Geschäftsleitung unterschreibt diese Entscheidung mit.
Am Ende gibt die Geschäftsleitung die Dokumente in der App frei, angemeldet mit dem eigenen Zugang. Name und Datum stehen danach auf jedem Dokument.
Häufige Fehler
Auf eine endgültige Anleitung warten
Das BSIG gilt seit dem 6. Dezember 2025. Seitdem gilt auch die Pflicht zu Maßnahmen nach § 30 BSIG.
Zu groß planen
Das Gesetz verlangt verhältnismäßige Maßnahmen, keine größtmöglichen. Systeme zur Angriffserkennung sind zum Beispiel nur für Betreiber kritischer Anlagen Pflicht (§ 31 Abs. 2 BSIG).
NIS2 nur der IT überlassen
Die Geschäftsleitung muss die Maßnahmen umsetzen und überwachen (§ 38 Abs. 1 BSIG). Binden Sie sie von Anfang an ein.
Die Lieferanten vergessen
Die Sicherheit der Lieferkette ist einer der zehn Bereiche (§ 30 Abs. 2 Nr. 4 BSIG). Gemeint sind alle direkten Anbieter und Dienstleister, nicht nur die IT.
Nur Papier
Das Gesetz verlangt wirksame Maßnahmen (§ 30 Abs. 1 BSIG). Ein Dokument, das niemand kennt, schützt nichts.
Quellen
- Richtlinie (EU) 2022/2555 (NIS 2), Art. 3, 20, 21 und 23 (eur-lex.europa.eu)
- BSI-Gesetz (BSIG) vom 2. Dezember 2025, §§ 28, 30, 31, 32, 33 und 38, in Kraft seit 6. Dezember 2025 (gesetze-im-internet.de/bsig_2025)
- BSIG, Anlage 2, Nr. 5.4 Maschinenbau (gesetze-im-internet.de/bsig_2025/anlage_2.html)
- BSI, Mein Unternehmenskonto und Registrierung im BSI-Portal (bsi.bund.de/dok/muk)
In der Praxis
Wo das im Durchgang vorkommt
Im Durchgang werden daraus Schritte, die Sie ausfüllen, mit dem Gesetz jeweils daneben erklärt. Öffnen Sie einen Schritt, um ihn ausgefüllt am Beispiel einer erfundenen Firma zu sehen.
Registrierung & Meldung
Beim BSI registrieren
Ihr Unternehmen meldet sich einmal beim BSI an.
Risikomanagement
Aufschreiben, was Ihr Unternehmen hat
Eine Liste der Abläufe, Programme und Geräte, mit denen Sie arbeiten.
Wirksamkeitsbewertung
Die Managementbewertung festhalten
Die Geschäftsführung prüft, ob die Maßnahmen wirken, und gibt Ihre Dokumente frei.
Was der Durchgang kostet
4.800 € netto im Jahr, zzgl. USt.
30 Tage Geld zurückAuf Rechnung, 30 Tage Zahlungsziel. Kündigung in den ersten 30 Tagen: Rechnung storniert oder Geld zurück.
Geführte NIS 2 Umsetzung, Schritt für Schritt
Verlauf der Änderungen und Freigaben, vorzeigbar beim BSI
Fristen und Erinnerungen je Anforderung
Sicherheitsfragebogen an Ihre Lieferanten
Export als PDF oder CSV, jederzeit
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.