NIS-2 Deutschland: 29.500 Firmen, €10 Mio. Strafe [2026]

Das NIS-2-Umsetzungsgesetz (NIS2UmsuCG) ist seit dem 6. Dezember 2025 in Kraft, und die Registrierungsfrist beim BSI lief am 6. März 2026 ab. Rund 29.500 Unternehmen in Deutschland sind nun verpflichtet, Cybersicherheitsmaßnahmen nach dem schärfsten IT-Sicherheitsrahmen der deutschen Geschichte umzusetzen. Wer nicht handelt, riskiert Bußgelder von bis zu 10 Millionen Euro. Shattered.io analysiert den aktuellen Stand, die konkreten Anforderungen und die Folgen für die deutsche Wirtschaft.

Die wichtigsten Fakten auf einen Blick

Das NIS2UmsuCG ist nicht mehr nur Theorie. Der Bundestag verabschiedete das Gesetz am 13. November 2025, der Bundesrat bestätigte es am 20. November 2025, und mit der Verkündung im Bundesgesetzblatt am 6. Dezember 2025 trat es ohne Übergangsfrist in Kraft. Keine Schonzeit, keine Aufwärmphase: Unternehmen mussten ab Tag eins compliant sein.

Die Zahlen zeigen das Ausmaß der Transformation. Bisher unterlag das deutsche KRITIS-Regime rund 4.500 Unternehmen. Das NIS2UmsuCG weitet diesen Kreis auf 29.500 Einrichtungen aus, eine fast siebenfache Steigerung. Betroffen sind alle Unternehmen aus 18 Sektoren, die mindestens 50 Mitarbeiter beschäftigen oder einen Jahresumsatz von mehr als 10 Millionen Euro erzielen.

Das BSI öffnete sein Registrierungsportal, das sogenannte Meldeportal für KRITIS und regulierte Unternehmen (MUK), am 6. Januar 2026. Die Frist für die Erstregistrierung lief bis zum 6. März 2026. Wer diese Deadline verpasst hat, riskiert sofortige Bußgelder. Das Risiko ist nicht abstrakt: Paragraph 65 NIS2UmsuCG macht die Registrierungspflicht selbst bußgeldbewehrt, ohne dass zuvor ein Sicherheitsvorfall eingetreten sein muss.

Zeitlinie: Von der EU-Richtlinie zum deutschen Gesetz

Die Geschichte des NIS2UmsuCG ist auch eine Geschichte des Scheiterns an Fristen. Die EU veröffentlichte die NIS-2-Richtlinie (2022/2555) im Dezember 2022 mit klarer Vorgabe: Alle EU-Mitgliedstaaten mussten sie bis zum 17. Oktober 2024 in nationales Recht überführen. Deutschland verpasste dieses Datum um mehr als ein Jahr.

Der Grund lag in langwierigen Gesetzgebungsverfahren, die sich über mehrere Entwürfe und Koalitionsdebatten hinzogen. Länder wie Frankreich, Belgien und Kroatien hatten ihre nationalen Umsetzungsgesetze deutlich früher verabschiedet, teils mit großzügigeren Übergangsfristen für betroffene Unternehmen. Deutschland entschied sich dagegen für den harten Schnitt: keine Übergangsfrist nach der Verkündung im Dezember 2025.

Die Europäische Kommission leitete wegen der Verspätung ein Vertragsverletzungsverfahren gegen Deutschland ein. Erst die Verabschiedung des NIS2UmsuCG beendete diese offizielle Beanstandung. Der politische Druck war erheblich, was erklärt, warum die deutsche Umsetzung am Ende deutlich strenger und weniger kompromissbereit ausfiel als in manchen Nachbarländern. Für deutsche Unternehmen bedeutet das konkret: keine Zeit für langsames Herantasten an Compliance-Anforderungen.

Wer die gesetzliche Grundlage im Detail nachlesen möchte, findet die offizielle Kommunikation zur Umsetzung auf der Website der Bundesregierung zum NIS-2-Umsetzungsgesetz. Die zugrunde liegende EU-Strategie erläutert die EU-Kommission in ihrer digitalen Strategie zur NIS-2-Richtlinie.

Wer ist betroffen? Die 29.500 Unternehmen im Detail

Das Gesetz unterscheidet zwischen zwei Kategorien: besonders wichtige Einrichtungen und wichtige Einrichtungen. Diese Einteilung entscheidet über Bußgeldhöhe, Aufsichtsintensität und Nachweispflichten. Für viele Unternehmen ist die erste Frage, ob sie überhaupt betroffen sind, schon eine Herausforderung: Die Sektordefinitionen sind komplex, und die Schwellenwerte variieren je nach Kategorie.

Besonders wichtige vs. wichtige Einrichtungen

Besonders wichtige Einrichtungen sind große Unternehmen aus kritischen Sektoren wie Energie, Wasser, digitale Infrastruktur oder dem Gesundheitswesen. Für sie gelten proaktive Aufsichtsmechanismen: Das BSI kann Audits anordnen, auch ohne konkreten Verdacht. Die maximale Strafe beträgt 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Ein Dax-Konzern mit 10 Milliarden Euro Umsatz riskiert damit theoretisch 200 Millionen Euro Bußgeld für einen einzelnen schwerwiegenden Verstoß.

Wichtige Einrichtungen umfassen mittlere Unternehmen aus erweiterten Sektoren wie dem Maschinenbau, der Lebensmittelproduktion oder der Logistik. Sie unterliegen reaktiver Aufsicht: Das BSI wird erst nach einem Vorfall oder einer Beschwerde tätig. Das Bußgeld ist begrenzt auf 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes. Auch das ist ein historischer Sprung gegenüber dem bisherigen IT-Sicherheitsgesetz, das Strafen von maximal 100.000 Euro vorsah.

Beide Kategorien teilen die grundlegenden Compliance-Pflichten: Risikomanagement, Vorfallmeldung, Lieferkettenüberwachung und Dokumentation. Was sich unterscheidet, ist die Aufsichtsintensität und die Sanktionshöhe. Für besonders wichtige Einrichtungen kommen außerdem Nachweispflichten alle drei Jahre hinzu, die belegen, dass die Umsetzung tatsächlich erfolgt ist.

Die 18 betroffenen Sektoren im Überblick

Das NIS2UmsuCG weitet den Anwendungsbereich gegenüber dem bisherigen IT-Sicherheitsgesetz erheblich aus. Folgende Tabelle zeigt alle 18 regulierten Sektoren und die jeweilige Einordnung:

Sektor	Einordnung	Mindest-Schwellenwert
Energie (Strom, Gas, Fernwärme, Öl)	Besonders wichtig	250 MA oder 50 Mio. € Umsatz
Trinkwasser und Abwasser	Besonders wichtig	250 MA oder 50 Mio. € Umsatz
Digitale Infrastruktur (DNS, TLD, Rechenzentren)	Besonders wichtig	250 MA oder 50 Mio. € Umsatz
Gesundheitswesen (Krankenhäuser, Labore)	Besonders wichtig	250 MA oder 50 Mio. € Umsatz
Bankwesen und Finanzmarktinfrastruktur	Besonders wichtig	250 MA oder 50 Mio. € Umsatz
Öffentliche Verwaltung (Bundes- und Landesebene)	Besonders wichtig	Alle Einrichtungen
Transport und Verkehr (Luft, Schiene, See, Straße)	Besonders wichtig	250 MA oder 50 Mio. € Umsatz
Raumfahrt	Besonders wichtig	250 MA oder 50 Mio. € Umsatz
Digitale Dienste (Cloud, Suchmaschinen, Online-Marktplätze)	Wichtig	50 MA oder 10 Mio. € Umsatz
Post- und Kurierdienste	Wichtig	50 MA oder 10 Mio. € Umsatz
Abfallwirtschaft	Wichtig	50 MA oder 10 Mio. € Umsatz
Chemische Industrie	Wichtig	50 MA oder 10 Mio. € Umsatz
Lebensmittelproduktion und -vertrieb	Wichtig	50 MA oder 10 Mio. € Umsatz
Herstellung und Maschinenbau	Wichtig	50 MA oder 10 Mio. € Umsatz
Pharmazeutische Industrie	Wichtig	50 MA oder 10 Mio. € Umsatz
Forschungseinrichtungen	Wichtig	50 MA oder 10 Mio. € Umsatz
Kommunikationsdienstleister	Wichtig	50 MA oder 10 Mio. € Umsatz
Verwaltung von IKT-Diensten (B2B)	Wichtig	50 MA oder 10 Mio. € Umsatz

Besonders bemerkenswert ist die Aufnahme des Maschinenbaus und der Lebensmittelproduktion. Beide Branchen galten bisher als weit von IT-Sicherheitsregulierung entfernt. Angesichts der Tatsache, dass moderne Produktionsanlagen hochgradig vernetzt sind und Cyberangriffe auf Produktionssysteme (OT-Angriffe) stark zugenommen haben, schließt das Gesetz hier eine lange bestehende Regulierungslücke.

Bußgelder und Sanktionen: Was droht bei Verstoß?

Die Sanktionsstruktur des NIS2UmsuCG ist schärfer als alles, was Deutschland bisher im IT-Sicherheitsrecht kannte. Paragraph 65 regelt die Bußgelder im Detail. Anders als unter dem alten IT-Sicherheitsgesetz, das Strafen von maximal 100.000 Euro vorsah, liegen die neuen Höchstgrenzen in einer anderen Dimension.

Cybersecurity-Spezialistin Katja Olkhovaya kommentierte die neuen Haftungsregeln im Februar 2026: “NIS-2 in Deutschland wird rund 29.000 bis 30.000 Organisationen betreffen. Nicht-Compliance kann zu Bußgeldern von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes führen, hinzu kommen persönliche Haftung und Betriebsunterbrechungen.”

Das Rechtsberatungsunternehmen Morrison Foerster beschrieb das NIS2UmsuCG als Gesetz, das Cybersicherheit “zu einem Thema auf Vorstandsebene” mache. Die Kanzlei hob hervor, dass das Gesetz ohne allgemeine Übergangszeit in Kraft getreten sei und Unternehmen unmittelbar hafteten. Besonders wichtige Einrichtungen stehen zusätzlich unter proaktiver BSI-Aufsicht, was regelmäßige Prüfungen ohne vorherigen Verdacht ermöglicht.

Für wichtige Einrichtungen gilt die reaktive Aufsicht. Das bedeutet: Das BSI greift erst nach einem Vorfall oder einer Beschwerde ein. Doch auch hier sind die Bußgelder empfindlich. Ein mittelständisches Logistikunternehmen mit 80 Millionen Euro Jahresumsatz riskiert bei einem festgestellten Verstoß bis zu 7 Millionen Euro Strafe, sofern keine angemessene Risikomanagementstruktur nachgewiesen werden kann.

Technische Anforderungen: Was Unternehmen konkret umsetzen müssen

Paragraph 30 NIS2UmsuCG definiert den Mindeststandard für Risikomanagementmaßnahmen. Das Gesetz fordert keine spezifische Zertifizierung, sondern verlangt, dass Unternehmen “geeignete, wirksame und verhältnismäßige technische und organisatorische Maßnahmen” ergreifen, die dem Stand der Technik entsprechen. In der Praxis bedeutet das einen strukturierten Aufbau von sieben Kernbereichen.

Lufthansa Industry Solutions beschrieb die Anforderungen in einer Analyse aus dem Januar 2026 so: “Die betroffenen Unternehmen müssen sich beim BSI registrieren und darüber hinaus technische und organisatorische Maßnahmen implementieren, Vorfälle melden sowie Nachweise für Audits oder Zertifizierungen erbringen.” Die sieben Pflichtbereiche umfassen: Risikoanalyse und Informationssicherheitspolitik, Incident Response, Business Continuity Management, Lieferkettensicherheit, Beschaffungs- und Entwicklungssicherheit, Effektivitätsmessung sowie Schulungen.

Die 24-72-Stunden-Meldepflicht im Detail

Die Meldepflicht bei erheblichen Sicherheitsvorfällen folgt einem dreistufigen Zeitplan, der in der Praxis erhebliche operative Anforderungen stellt. Innerhalb von 24 Stunden nach Entdeckung muss eine Erstmeldung an das BSI erfolgen, eine sogenannte Frühwarnung. Diese muss den Vorfall beschreiben und eine erste Einschätzung zu Art und möglicher Ursache enthalten, auch wenn die vollständige Analyse noch läuft.

Innerhalb von 72 Stunden folgt eine detaillierte Bewertung des Vorfalls mit Einschätzung des Schweregrads und der Auswirkungen auf Systeme und Dienste. Innerhalb von einem Monat ist ein vollständiger Abschlussbericht vorzulegen, der Maßnahmen zur Eindämmung und Prävention beschreibt. Für Unternehmen ohne bestehende Security-Operations-Center-Strukturen (SOC) ist diese Meldekette in der geforderten Qualität kaum ohne externe Unterstützung zu leisten.

Das BSI als zentrale Aufsichtsbehörde hat betont, dass auch grenzüberschreitende Vorfälle, die Einrichtungen in mehreren EU-Staaten betreffen, zusätzlich über das europaweite CyCLONe-Netzwerk koordiniert werden müssen. Für multinational tätige deutsche Konzerne entsteht damit ein Meldeprozess, der mehrere EU-Behörden gleichzeitig involvieren kann.

Vorstandshaftung: Neue persönliche Verantwortung für Geschäftsführer

Eine der einschneidendsten Neuerungen des NIS2UmsuCG ist die persönliche Haftung von Geschäftsleitungsorganen. In den bisherigen deutschen IT-Sicherheitsgesetzen hafteten primär die juristischen Personen. Das neue Gesetz ändert das grundlegend und folgt damit einem Trend, der in der DSGVO und im Lieferkettensorgfaltspflichtengesetz bereits begonnen hatte.

Geschäftsführer und Vorstände besonders wichtiger Einrichtungen können bei Pflichtverletzungen im Bereich Cybersicherheit persönlich mit bis zu 2 Millionen Euro belegt werden, wenn sie die notwendigen Maßnahmen nicht angeordnet oder überwacht haben. Das Gesetz verlangt ausdrücklich, dass Leitungsorgane Schulungen zu Cybersicherheitsrisiken absolvieren und aktiv am Risikomanagement mitwirken. Passive Unwissenheit ist kein Schutzschild mehr.

Das Beratungsunternehmen GT Law fasste die Konsequenz zusammen: “Die neuen Regeln betonen Vorstandshaftung und Compliance-Nachweise für Audits und Untersuchungen.” Für Aufsichtsräte bedeutet das: Sie müssen nun aktiv überwachen, ob die Unternehmensleitung NIS-2-Pflichten ernst nimmt. Untätigkeit bei bekannten Compliance-Lücken kann als grob fahrlässig gewertet werden. Executive-Personalberatungen berichten von einer wachsenden Nachfrage nach CISOs mit expliziter NIS-2-Expertise in Bewerbungsgesprächen seit dem ersten Quartal 2026.

NIS-2 im DACH-Vergleich: Deutschland, Österreich und die Schweiz

Innerhalb der DACH-Region verlief die NIS-2-Umsetzung unterschiedlich. Deutschland hat mit 29.500 betroffenen Unternehmen die höchste absolute Zahl regulierter Einrichtungen in der DACH-Region, bedingt durch die umfassende Sektordefinition und die niedrigen Schwellenwerte von 50 Mitarbeitern.

Land	Gesetz / Regelwerk	In Kraft seit	Betroffene Unternehmen	Max. Bußgeld	EU-Frist eingehalten?
Deutschland	NIS2UmsuCG	6. Dez. 2025	ca. 29.500	10 Mio. € / 2 % Umsatz	Nein (14 Monate Verzögerung)
Österreich	NISG 2024	Q1 2025	ca. 4.000	10 Mio. € / 2 % Umsatz	Ja (leicht verzögert)
Frankreich	Transpositionsdekret	Okt. 2024	ca. 15.000	10 Mio. € / 2 % Umsatz	Ja
Schweiz	ISG / revDSG (kein EU-Mitglied)	Seit 2023 (ISG)	Nicht anwendbar (EU)	Kein EU-Bußgeld	Nicht anwendbar
EU-Durchschnitt	Nationale Gesetze (27 Staaten)	Ø Okt. 2024	Varies stark	10 Mio. € / 2 % Umsatz	17 von 27 Staaten fristgerecht

Die Schweiz als Nicht-EU-Mitglied unterliegt keiner NIS-2-Pflicht. Schweizer Unternehmen, die im EU-Binnenmarkt tätig sind und dort Tochtergesellschaften oder Dienstleistungen betreiben, können jedoch über diese EU-Einheiten in den Anwendungsbereich fallen. Das Schweizer Informationssicherheitsgesetz (ISG) und das revidierte Datenschutzgesetz (revDSG) schaffen einen eigenen Rahmen, der deutlich weniger weitreichend ist als das deutsche NIS2UmsuCG.

Österreich hat mit dem NISG 2024 einen etwas pragmatischeren Ansatz gewählt und zeitlich früher umgesetzt, dafür mit weniger betroffenen Einrichtungen. Die österreichische Regulierungsbehörde Rundfunk und Telekom Regulierungs-GmbH (RTR) teilt die Aufsicht mit dem Bundesamt für Verfassungsschutz und Terrorismusbekämpfung (BVT). Die unterschiedliche Behördenstruktur im DACH-Raum erschwert international tätige Konzerne, die ein einheitliches Compliance-Framework für alle drei Länder aufbauen wollen.

Bedrohungslage 2026: Warum NIS-2 jetzt dringlicher ist denn je

Die gesetzliche Intervention kommt nicht ohne Grund. Das BSI registrierte im Zeitraum Juli 2024 bis Juni 2025 durchschnittlich 119 neue Schwachstellen pro Tag, ein Anstieg von 24 Prozent gegenüber dem Vorjahreszeitraum. Deutsche Unternehmen wurden 2025 im Schnitt mit 1.223 Cyberangriffen pro Woche attackiert, 14 Prozent mehr als im Vorjahr. Diese Zahlen belegen, dass die Bedrohungslage sich schneller verschlechtert, als die meisten Unternehmen ihre Schutzmaßnahmen angepasst haben.

Besonders beunruhigend ist die Geschwindigkeit moderner Angriffe. Der Sophos Active Adversary Report 2026 dokumentierte, dass Angreifer nach einem erfolgreichen Erstzugang das Active Directory innerhalb von median 3,40 Stunden kompromittieren, was 70 Prozent schneller ist als im Jahr zuvor. Wer keine automatischen Erkennungssysteme betreibt, hat faktisch keine Chance, einen Angriff zu stoppen, bevor kritische Systeme übernommen sind.

In der DACH-Region berichteten 60 Prozent der Unternehmen von einem Cybersicherheitsvorfall innerhalb der vergangenen zwölf Monate, so eine Arctic Wolf Erhebung aus dem Frühjahr 2026. Erschreckend: 17 Prozent der befragten Unternehmen wussten nicht einmal, ob sie angegriffen worden waren. Diese Lücke in der Erkennungsfähigkeit ist exakt das, was das NIS2UmsuCG mit der Pflicht zu automatischen Erkennungssystemen und strukturiertem Monitoring schließen soll.

Ransomware bleibt die dominierende Bedrohung. 34 Prozent der DACH-Unternehmen waren von Ransomware betroffen, und in 86 Prozent dieser Angriffe erfolgte zusätzlich eine Datenexfiltration. Das sogenannte Double-Extortion-Modell, erst stehlen, dann verschlüsseln, dann drohen, macht die Rückkehr zur bloßen Datensicherung als primäre Schutzmaßnahme obsolet. Unternehmen ohne NIS-2-konformes Risikomanagement sind für dieses Angriffsmuster strukturell anfällig.

Die Verbindung zwischen Angriffswellen und Regulierung zeigt sich auch beim Thema KI-generierte Angriffe. Laut aktuellen Branchenberichten sind 82,6 Prozent aller Phishing-Mails mittlerweile KI-generiert, und Deepfake-Angriffe auf Unternehmen haben um mehr als 300 Prozent zugenommen. Der NIS-2-Anforderungsrahmen verlangt, dass Unternehmen ihre Maßnahmen regelmäßig an neue Bedrohungslagen anpassen: ein Kernaspekt, der bei klassischen einmaligen Compliance-Projekten oft vernachlässigt wird.

Marktauswirkungen: Der Compliance-Boom für Sicherheitsdienstleister

Die Ausweitung von 4.500 auf 29.500 regulierte Einrichtungen ist für den deutschen IT-Sicherheitsmarkt ein erheblicher Wachstumstreiber. Unternehmen, die bisher keine formale IT-Sicherheitsstrategie hatten, müssen nun investieren. Der Bedarf reicht von Gap-Analysen und ISMS-Implementierungen über SIEM-Systeme bis hin zu Penetrationstests, Incident-Response-Retainern und Schulungen für Vorstände.

Managed Security Service Provider (MSSPs) verzeichnen seit der Verabschiedung des NIS2UmsuCG im November 2025 einen starken Anstieg der Anfragen, insbesondere von mittelständischen Unternehmen aus dem Maschinenbau, der Lebensmittelbranche und der Logistik, die erstmals mit formalen IT-Sicherheitspflichten konfrontiert sind. Größere Beratungsunternehmen wie PwC, Deloitte und KPMG haben dedizierte NIS-2-Practice-Groups aufgebaut.

Software-Anbieter für GRC-Systeme (Governance, Risk and Compliance) berichten von Nachfrage, die deutlich über den Projektionen liegt. Die Anforderung, Risikoanalysen, umgesetzte Maßnahmen und deren Wirksamkeit dauerhaft zu dokumentieren, erzeugt Nachfrage nach Compliance-Management-Plattformen, die bisher vor allem in der Finanzbranche und im Gesundheitswesen verbreitet waren. Schätzungen der Branchenverbände gehen davon aus, dass die rund 25.000 neu regulierten Unternehmen in den ersten drei Jahren der Umsetzung kumulierte Investitionen im zweistelligen Milliardenbereich tätigen werden.

Der Fachkräftemangel in der IT-Sicherheit verstärkt diese Marktdynamik. Unternehmen, die keine eigenen Security-Teams aufbauen können, sind auf externe Dienstleister angewiesen. Das treibt die Preise für spezialisierte NIS-2-Berater, CISO-as-a-Service-Angebote und MSSP-Verträge nach oben. Die Allianz für Cybersicherheit, eine BSI-Initiative zur Vernetzung von Unternehmen und Sicherheitsexperten, verzeichnet seit dem ersten Quartal 2026 signifikant steigende Mitgliederzahlen.

NIS-2 und der EU Cyber Resilience Act: Das regulatorische Doppelpack

NIS-2 steht nicht allein. Die EU hat parallel den Cyber Resilience Act (CRA) verabschiedet, der Hersteller von vernetzten Produkten zu Cybersicherheits-by-Design verpflichtet. Für viele Unternehmen aus dem Maschinenbau und der Elektronikindustrie bedeutet das eine doppelte regulatorische Last: NIS-2-Pflichten als Betreiber kritischer Systeme und CRA-Pflichten als Hersteller vernetzter Geräte.

Bis zum 11. September 2026 endet die Meldepflicht-Frist des CRA für Hersteller, die aktiv ausgenutzten Schwachstellen in ihren Produkten innerhalb von 24 Stunden melden müssen. Unternehmen, die sowohl von NIS-2 als auch vom CRA betroffen sind, müssen zwei parallele Compliance-Strukturen aufbauen, die zwar konzeptionell ähnlich sind, aber unterschiedliche Berichtspflichten und Aufsichtsbehörden haben. Mehr dazu in unserer Analyse des EU Cyber Resilience Act und seiner 85-Tage-Meldepflicht.

5 Prognosen: So entwickelt sich NIS-2 bis Ende 2027

Auf Basis der aktuellen Gesetzeslage, der BSI-Kommunikation und der Marktentwicklung zeichnen sich fünf konkrete Entwicklungen für die kommenden 18 Monate ab.

Prognose 1: Erste BSI-Bußgelder im zweiten Halbjahr 2026. Das BSI hat angekündigt, die Aufsichtsfunktion aktiv wahrzunehmen. Da die Registrierungsfrist seit mehr als drei Monaten abgelaufen ist, ist mit ersten Bußgeldbescheiden gegen besonders säumige besonders wichtige Einrichtungen bis Dezember 2026 zu rechnen. Erfahrungen aus der DSGVO-Durchsetzung zeigen, dass Behörden typischerweise 12 bis 18 Monate nach Inkrafttreten mit signifikanten Sanktionen beginnen. Das Gesetz trat im Dezember 2025 in Kraft; die Uhr läuft.

Prognose 2: MSSP-Markt wächst auf über 4 Milliarden Euro bis 2027. Mit 25.000 neu regulierten Unternehmen und einem geschätzten Mindestaufwand von 50.000 bis 200.000 Euro pro Unternehmen für Gap-Analyse, ISMS-Aufbau und laufenden Betrieb liegt das adressierbare Marktvolumen für Compliance-Dienstleistungen im Mehrstelligen-Milliarden-Bereich. Der Fachkräftemangel garantiert, dass ein Großteil dieser Nachfrage an externe Dienstleister fließt.

Prognose 3: Erste Verurteilung einer Führungskraft nach Vorstandshaftungsregelung. Die persönliche Haftung von Geschäftsführern ist neu im deutschen IT-Sicherheitsrecht. Ein prominenter Fall, in dem ein Vorstand nach einem schwerwiegenden Angriff auf ein besonders wichtiges Unternehmen persönlich zur Rechenschaft gezogen wird, ist statistisch wahrscheinlich und wird in der Öffentlichkeit stark diskutiert werden. Dieser Fall dürfte 2026 oder spätestens 2027 eintreten.

Prognose 4: Österreich und Schweiz passen Eigenregulierung an. Der Druck aus Brüssel und die Umsetzungserfahrungen aus Deutschland werden dazu führen, dass Österreich sein NISG 2024 präzisiert. Die Schweiz wird, obwohl kein EU-Mitglied, NIS-2-konforme Standards in Exportverträge und Partnerschaftsabkommen einbeziehen müssen, um im EU-Binnenmarkt wettbewerbsfähig zu bleiben.

Prognose 5: KI-Angriffswellen beschleunigen NIS-2-Investitionen. Da KI-generierte Angriffe exponentiell zunehmen und Angreifer Active Directory-Systeme in unter vier Stunden kompromittieren können, werden weitere prominente Angriffswellen den politischen und wirtschaftlichen Druck zur schnellen NIS-2-Umsetzung erhöhen. Unternehmen, die nach einem schwerwiegenden Angriff keine NIS-2-Konformität nachweisen können, riskieren sowohl Bußgelder als auch zivilrechtliche Schadensersatzklagen von betroffenen Partnern und Kunden.

Häufige Fragen zum NIS-2-Umsetzungsgesetz (FAQ)

Gilt das NIS2UmsuCG auch für Kleinstunternehmen?
Nein. Das Gesetz gilt nur für Unternehmen mit mindestens 50 Mitarbeitern oder mindestens 10 Millionen Euro Jahresumsatz. Kleinstunternehmen unter diesen Schwellen sind grundsätzlich ausgenommen, es sei denn, sie gehören zu einer kritischen Infrastruktur-Kategorie, für die eigene Sonderregeln gelten.

Was passiert, wenn mein Unternehmen die Registrierungsfrist verpasst hat?
Eine Registrierung beim BSI-Portal MUK ist weiterhin möglich und dringend empfohlen. Da die Frist am 6. März 2026 abgelaufen ist, ist das Bußgeldrisiko akut. Wer sich unverzüglich registriert und aktiv Schritte zur Compliance dokumentiert, reduziert das Risiko einer sofortigen Sanktion erheblich. Ignorieren des Themas ist die schlechteste Option.

Braucht mein Unternehmen eine ISO 27001-Zertifizierung für NIS-2?
Das Gesetz schreibt keine spezifische Zertifizierung vor. Eine ISO 27001-Zertifizierung ist jedoch ein anerkannter Nachweis dafür, dass ein Unternehmen dem Stand der Technik entsprechende Maßnahmen implementiert hat. Besonders wichtige Einrichtungen, die BSI-Prüfungen unterliegen, sind mit einer solchen Zertifizierung deutlich besser positioniert und reduzieren das Risiko von Bußgeldern erheblich.

Wie verhält sich NIS-2 zur DSGVO?
Beide Regelwerke sind unabhängig und ergänzen sich. Die DSGVO regelt den Schutz personenbezogener Daten, NIS-2 regelt die IT-Sicherheit von Systemen und Netzwerken. Ein Sicherheitsvorfall kann gleichzeitig meldepflichtig nach NIS-2 (an das BSI) und nach DSGVO (an die Datenschutzbehörde) sein, wenn personenbezogene Daten betroffen sind. Doppelte Meldepflichten sind keine Seltenheit.

Müssen auch ausländische Unternehmen mit Aktivitäten in Deutschland NIS-2 einhalten?
Ja, sofern sie Dienste in Deutschland erbringen und die Schwellenwerte erreichen. Die territorialen Regeln orientieren sich am Ort der Dienstleistungserbringung. Ein US-amerikanisches Cloud-Unternehmen mit einer deutschen Niederlassung und mehr als 50 Mitarbeitern in Deutschland ist in den betroffenen Sektoren genauso reguliert wie ein deutsches Unternehmen.

Welche Behörde überwacht die NIS-2-Compliance?
Das BSI ist die zentrale NIS-2-Aufsichtsbehörde in Deutschland. Es kann Audits anordnen, Nachweise einfordern und Bußgelder verhängen. Bei Finanzunternehmen teilt das BSI die Aufsicht mit der BaFin. Telekommunikationsunternehmen werden zusätzlich von der Bundesnetzagentur beaufsichtigt.

Wann drohen die ersten echten Bußgelder?
Das BSI hat keinen offiziellen Zeitplan für Bußgelder kommuniziert. Auf Basis der DSGVO-Erfahrungen rechnen Branchenexperten damit, dass erste signifikante Bußgelder im zweiten Halbjahr 2026 verhängt werden, insbesondere gegen Unternehmen, die auf BSI-Anfragen nicht reagieren oder schwerwiegende Vorfälle ohne konformes Risikomanagement erleiden.

Wie hoch sind die typischen Umsetzungskosten für ein mittelständisches Unternehmen?
Die Kosten variieren stark je nach Ausgangslage. Unternehmen, die bereits nach ISO 27001 zertifiziert sind oder ein ISMS betreiben, haben einen wesentlich geringeren Gap. Neu betroffene Mittelständler ohne bestehende Sicherheitsstrukturen müssen typischerweise mit Erstinvestitionen von 80.000 bis 250.000 Euro für Konzeption, Tooling und externe Beratung rechnen, zuzüglich laufender Kosten für Monitoring und Incident Response.