NIS2-Beratung: Betroffenheit prüfen, Pflichten umsetzen, Nachweise führen

Die EU-Richtlinie NIS2 wurde in Deutschland mit dem NIS2-Umsetzungsgesetz in nationales Recht überführt; es ist am 6. Dezember 2025 in Kraft getreten. Damit gelten die Pflichten unmittelbar: Registrierung beim BSI, Umsetzung der Risikomanagement-Maßnahmen und laufende Meldepflichten bei erheblichen Sicherheitsvorfällen. Wer auf weitere Übergangsfristen wartet, wartet auf etwas, das nicht kommt.

Entscheidend sind Sektor und Größe: In den regulierten Sektoren – u. a. Energie, Transport, Gesundheit, digitale Infrastruktur, produzierendes Gewerbe, Entsorgung, Post, Lebensmittel, Chemie – gelten Unternehmen ab 50 Mitarbeitenden oder 10 Mio. Euro Jahresumsatz als „wichtige Einrichtungen“, größere als „besonders wichtige Einrichtungen“. Das BSI stellt für die Prüfung ein eigenes Verfahren bereit (Betroffenheitsprüfung/Entscheidungsbaum). Wir führen diese Prüfung für Sie durch – gerade bei Grenzfällen, Konzernstrukturen und der Frage, ob Sie als Zulieferer mittelbar betroffen sind.

Die Bußgeldrahmen sind empfindlich: für besonders wichtige Einrichtungen bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu 7 Mio. Euro oder 1,4 %. Hinzu kommt die persönliche Verantwortung der Geschäftsleitung: Sie muss die Risikomanagement-Maßnahmen billigen, ihre Umsetzung überwachen und sich schulen lassen; bei Pflichtverletzungen greift die Haftung nach den allgemeinen gesellschaftsrechtlichen Regeln. Sachlich formuliert heißt das: NIS2 ist Chefsache – nicht delegierbar an „die IT“.