NIS2 Deutschland: 29.500 Firmen, Bußgelder bis 10 Mio. € [2026]

Am 6. Dezember 2025 trat das neue Bundessicherheitsgesetz (BSIG) in Kraft und zieht seither mehr als 29.500 deutsche Unternehmen in die Pflicht, eine Verfünffachung gegenüber dem Vorgängergesetz. Die dreimonatige Registrierungsfrist lief am 6. März 2026 ab. Wer kein BSI-Konto hat, begeht eine eigenständige Ordnungswidrigkeit mit Bußgeldern bis zehn Millionen Euro.

Das Wichtigste auf einen Blick

BSIG neu in Kraft: 6. Dezember 2025 (14 Monate nach EU-Deadline)
Betroffene Unternehmen: von rund 4.500 auf 29.500 gestiegen
BSI-Registrierungsportal live seit 6. Januar 2026
Registrierungsfrist abgelaufen: 6. März 2026 (Nachregistrierung bußgeldbewehrt)
Erstmeldepflicht bei bedeutenden Sicherheitsvorfällen: 24 Stunden
Folgmeldung mit Details: 72 Stunden
Höchststrafe besonders wichtige Einrichtungen: 10 Mio. Euro oder 2 % globaler Umsatz
Persönliche Haftung: Vorstandsmitglieder haften individuell

Der lange Weg zum BSIG: 14 Monate Verzug

Die EU-NIS2-Richtlinie hätte bis zum 17. Oktober 2024 in nationales Recht umgesetzt werden müssen. Deutschland verfehlte diese Frist um 14 Monate. Das Umsetzungsgesetz (NIS2UmsG) passierte den Bundestag am 13. November 2025 und trat nach Veröffentlichung im Bundesgesetzblatt am 6. Dezember 2025 in Kraft.

Die Gründe für die Verzögerung waren politischer Natur. Mehrere Gesetzgebungsanläufe scheiterten an Koalitionskonflikten über Lastenverteilung, Sektordefinitionen und die Rolle des BSI als zentraler Aufsichtsbehörde. Nach der Bundestagswahl im Februar 2025 beschleunigte die neue Bundesregierung den Prozess. Laut einer Analyse von Reed Smith gehört Deutschland damit zu den späten Umsetzern unter den EU-Mitgliedstaaten, während Belgien, Polen und die Niederlande die EU-Deadline bereits 2024 einhielten.

Das Ergebnis ist einer der weitreichendsten NIS2-Transpositionstexte in Europa. „Das neue BSIG macht Cybersicherheit zur Chefsache und zieht die erste Führungsebene direkt in die Verantwortung”, analysiert Greenberg Traurig in seiner Einschätzung vom Dezember 2025. Keine andere EU-Umsetzung dehnt die Regulierung in ähnlichem Ausmaß auf die Fertigungsindustrie aus. Keine Pflicht steht unter einem Übergangsvorbehalt: Seit dem 6. Dezember 2025 muss jede betroffene Einrichtung vollständig compliant sein.

Wer ist betroffen? Die Ausweitung auf 29.500 Unternehmen

Unter dem alten IT-SiG 2.0 galten Cybersicherheitsregeln für rund 4.500 KRITIS-Betreiber. Das neue BSIG schließt laut BSI-Schätzung nun rund 29.500 Einrichtungen ein, eine Steigerung um den Faktor 6,5. Einzelne Quellen nennen bis zu 40.000, abhängig von der Auslegung neu hinzugekommener Sektordefinitionen.

Der Haupttreiber des Wachstums ist die erstmalige Regulierung der Fertigungsindustrie, einem Kernbereich der deutschen Wirtschaft. Fahrzeughersteller, Elektronikunternehmen, Maschinenbauer und Medizinproduktehersteller fallen nun unter das Gesetz. Hinzu kommen Lebensmittelproduzenten, Chemieunternehmen, Abfallwirtschaft und Post- und Kurierdienste.

„Das neue BSIG betrifft etwa fünfmal so viele Unternehmen wie das Vorgängergesetz, vor allem weil neue Sektoren wie die Fertigungsindustrie jetzt erfasst werden”, schreibt DLA Piper in seiner Analyse vom Februar 2026. Auch Lieferanten von regulierten Einrichtungen und digitale Dienstleister mit Sitz außerhalb der EU fallen unter das BSIG, wenn sie deutschen Unternehmen wesentliche Dienste erbringen.

Kleinunternehmen sind nicht pauschal ausgenommen. Die Grundregel gilt für mittlere und große Betriebe ab 50 Mitarbeitern oder 10 Millionen Euro Jahresumsatz. Unternehmen, die als alleinige Anbieter eines kritischen Dienstes eingestuft werden, können auch darunter reguliert werden. Das BSI benachrichtigt betroffene Einrichtungen nicht aktiv. Jedes Unternehmen muss selbst prüfen, ob es unter das Gesetz fällt.

Zwei Kategorien: Besonders wichtige und wichtige Einrichtungen

Das BSIG kennt zwei Regulierungskategorien mit unterschiedlichen Bußgeldobergrenzen und Aufsichtsintensitäten. Die Einstufung in Anhang 1 oder 2 des Gesetzes bestimmt, welche Pflichten gelten und welche Strafen drohen.

Kategorie	Anhang BSIG	Höchstbußgeld	Beispiele
Besonders wichtige Einrichtungen	Anhang 1	10 Mio. € oder 2 % globaler Jahresumsatz (je nachdem, was höher ist)	Energieversorger, Krankenhäuser, Flughäfen, Banken, Wasserwerke, Telekommunikation, Cloud-Infrastruktur
Wichtige Einrichtungen	Anhang 2	7 Mio. € oder 1,4 % globaler Jahresumsatz (je nachdem, was höher ist)	Chemieunternehmen, Lebensmittelhersteller, Maschinenbauer, Postdienste, Abfallwirtschaft, Online-Marktplätze
KRITIS-Betreiber	Definition § 28 BSIG	Fällt unter besonders wichtige Einrichtungen	Betreiber kritischer Infrastrukturen in Energie, Wasser, IT, Gesundheit
Digitale Infrastruktur	Anhang 1	10 Mio. € oder 2 %	DNS-Betreiber, CDN-Anbieter, TLD-Register, Rechenzentrumsbetreiber

Ein zentrales Novum gegenüber dem alten Recht: Vorstandsmitglieder und Geschäftsführer haften persönlich für Cybersicherheitspflichtverletzungen. Strafen treffen nicht mehr nur die juristische Person, sondern individuell auch die verantwortlichen Personen an der Unternehmensspitze. Laut Eversheds Sutherland ist diese persönliche Haftung eines der schärfsten Elemente der deutschen Umsetzung im EU-Vergleich.

15 Sektoren: Welche Branchen das Gesetz erfasst

Das BSIG deckt 15 Sektoren ab. Sieben gelten als besonders wichtig (Anhang 1), acht als wichtig (Anhang 2). Das BSI informiert betroffene Unternehmen nicht proaktiv. Sechs der 15 Sektoren sind erstmals seit dem BSIG 2025 reguliert.

Sektor	Kategorie	Neu seit BSIG 2025	Besonderheit
Energie	Besonders wichtig	Nein	Strom, Gas, Fernwärme, Öl; zusätzlich BNetzA-Anforderungen
Verkehr	Besonders wichtig	Nein	Luftfahrt, Schiene, Straße, Seeschifffahrt
Bankwesen	Besonders wichtig	Nein	Kreditinstitute, Finanzmarktinfrastrukturen
Gesundheit	Besonders wichtig	Nein	Krankenhäuser, Labore, Pharmazie, Medizingeräte
Digitale Infrastruktur	Besonders wichtig	Nein (ausgeweitet)	Cloud, DNS, CDN, TLD-Register, Rechenzentren
Trinkwasser	Besonders wichtig	Nein	Wasserversorgung und -aufbereitung
Abwasser	Besonders wichtig	Ja	Abwasserbetriebe erstmals reguliert
Öffentliche Verwaltung	Besonders wichtig	Ja	Bundes- und Länderbehörden
Weltraum	Besonders wichtig	Ja	Satellitenbetreiber, Bodenstationen
Post- und Kurierdienste	Wichtig	Ja	Deutsche Post, DHL, Kurierdienste
Abfallwirtschaft	Wichtig	Ja	Müllentsorgung, Recyclingunternehmen
Chemie	Wichtig	Ja	Chemikalienproduktion und -handel
Lebensmittelproduktion	Wichtig	Ja	Hersteller und Verarbeiter ab mittlerer Größe
Fertigung	Wichtig	Ja	Fahrzeuge, Elektronik, Medizinprodukte, Maschinenbau
Digitale Dienste	Wichtig	Nein (ausgeweitet)	Online-Marktplätze, Suchmaschinen, soziale Netzwerke

Die drei Kernpflichten: Registrierung, Meldung, Risikomanagement

Das BSIG verpflichtet alle erfassten Einrichtungen zu drei zentralen Maßnahmen, die seit dem 6. Dezember 2025 ohne Übergangsfrist gelten.

1. Registrierung beim BSI

Alle betroffenen Einrichtungen mussten sich bis 6. März 2026 beim BSI registrieren. Das Portal ist unter muk.bsi.bund.de erreichbar und seit dem 6. Januar 2026 aktiv. Voraussetzung ist ein Organisationskonto über „Mein Unternehmenskonto” (MUK) mit ELSTER-Zertifikat. Wer die Frist verpasst hat, kann sich nachregistrieren, begeht dabei jedoch nach § 65 BSIG eine eigenständige, bußgeldbewehrte Ordnungswidrigkeit. Das BSI akzeptiert Nachregistrierungen, wertet das Versäumnis aber als separaten Verstoß.

2. Meldung bedeutender Sicherheitsvorfälle

Bei einem bedeutenden Sicherheitsvorfall gilt eine 24-Stunden-Erstmeldepflicht gegenüber dem BSI, gerechnet ab dem Moment der Kenntnisnahme. Innerhalb von 72 Stunden folgt eine detaillierte Folgmeldung. Bis zur vollständigen Portalregistrierung akzeptiert das BSI Meldungen über ein Übergangsformular auf bsi.bund.de. Die 24-Stunden-Frist galt für KRITIS-Betreiber unter dem alten Recht bereits seit dem 1. April 2025. Das BSIG weitet sie nun auf alle 29.500 Einrichtungen aus.

3. Risikomanagement und Dokumentation

Alle erfassten Einrichtungen müssen Risikomanagementmaßnahmen implementieren und vollständig dokumentieren. Die Pflicht gilt seit dem ersten Tag des Inkrafttretens. KRITIS-Betreiber weisen die korrekte Umsetzung nach §§ 30, 31 und 38 BSIG alle drei Jahre durch Audits, Inspektionen oder Zertifizierungen gegenüber dem BSI nach, mit erheblich erweitertem Prüfkatalog gegenüber dem IT-SiG 2.0.

Bußgelder und persönliche Vorstandshaftung

§ 65 BSIG sieht für Verstöße empfindliche Sanktionen vor. Die Höhe richtet sich nach der Einrichtungskategorie und der Schwere des Verstoßes. Das BSI muss keinen tatsächlichen Sicherheitsvorfall nachweisen. Die Nichteinhaltung der Registrierungspflicht oder das Versäumen einer Meldepflicht reicht als Bußgeldgrundlage aus.

Für besonders wichtige Einrichtungen, darunter Energieversorger, Krankenhäuser und Banken, gilt die Obergrenze von zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes, je nachdem, was höher ausfällt. Für wichtige Einrichtungen, wie Maschinenbauer und Lebensmittelproduzenten, liegt die Grenze bei sieben Millionen Euro oder 1,4 Prozent.

Das gravierendste Novum gegenüber dem Vorgängergesetz ist die persönliche Haftung von Vorstandsmitgliedern und Geschäftsführern. Sie können individuell für Cybersicherheitspflichtverletzungen ihrer Einrichtung sanktioniert werden. „Das macht Cybersicherheit unausweichlich zur Führungsaufgabe”, fasst die Kanzlei SZA Schilling, Zutt und Anschütz in ihrer Einschätzung zusammen. „Wer dieses Thema an die IT-Abteilung delegiert und sich selbst nicht damit befasst, riskiert persönliche Konsequenzen.”

Analysten von Copla betonen: „Mit der fast zehnfachen Ausweitung des Anwendungsbereichs und Bußgeldern auf DSGVO-Niveau stehen auch mittelständische Maschinenbauer und lokale Versorgungsunternehmen erstmals im Visier der Regulatoren.”

BSI-Registrierung: Der dreistufige Prozess

Unternehmen, die die Registrierungsfrist verpasst haben, sollten den Prozess sofort anstoßen. Jeder weitere Tag ohne Registrierung verlängert die Haftungsperiode.

ELSTER-Organisationszertifikat beschaffen: Ohne gültiges ELSTER-Zertifikat ist keine Registrierung möglich. Unternehmen ohne Zertifikat müssen dieses zunächst bei den zuständigen Finanzbehörden beantragen. Der Prozess dauert in der Regel mehrere Werktage.
MUK-Konto anlegen: Über „Mein Unternehmenskonto” (MUK) unter muk.bsi.bund.de richtet das Unternehmen ein Organisationskonto ein. Das BSI empfahl diesen Schritt bereits bis Ende 2025, um Registrierungsverzögerungen zu vermeiden.
Registrierung im BSI-Meldeportal abschließen: Ab dem 6. Januar 2026 dient das BSI-Portal sowohl der Erstregistrierung als auch der laufenden Meldung bedeutender Sicherheitsvorfälle. Vor Abschluss der Portalregistrierung sind Vorfälle über das BSI-Übergangsformular zu melden.

Laut Docusnap ist die Nachregistrierung zu empfehlen, auch wenn die Frist verstrichen ist: „Die fehlende Registrierung ist eine eigenständige Ordnungswidrigkeit. Wer sich nachregistriert, zeigt zumindest Compliance-Willen, was bei der Strafzumessung relevant sein kann.”

Cybersicherheitslage 2026: Warum das Gesetz jetzt kommt

Das BSIG trifft eine Wirtschaft unter erheblichem Angriffsdruck. Der BKA-Cybercrime-Lagebericht 2025 dokumentierte 333.922 gemeldete Cybercrime-Fälle und wirtschaftliche Schäden von 202,4 Milliarden Euro allein für Deutschland. Ransomware, Phishing und Identitätsdiebstahl bleiben die häufigsten Angriffsvektoren.

Check Point Software Technologies identifizierte für 2025 einen Anstieg der Cyberangriffe auf die DACH-Region um 124 Prozent. Deutschland trägt mit 82 Prozent den größten Anteil aller DACH-Vorfälle. Hacktivist-Gruppen wie NoName057(16) und Dark Storm Team führten Website-Defacement-Kampagnen durch, während Ransomware-Gruppen wie Qilin, Akira und LockBit Einrichtungen mit schwacher Authentifizierung und exponierten Systemen angriffen. Ransomware machte 30 Prozent aller DACH-Vorfälle aus.

Chambers and Partners hält im Germany-Cybersecurity-Länderbericht 2026 fest: „Cyberkriminalität in Deutschland wird 2026 von gut organisierten Gruppen mit klaren internen Strukturen, spezialisierten Rollen und definierten Erlösmodellen dominiert. Diese Gruppen ähneln in ihrer Betriebsdisziplin und strategischen Planung zunehmend regulären Unternehmen.“

Der KI-Angriffs-Vektor wächst. 73 Prozent der DACH-CISOs geben an, KI-gestützte Angriffe nicht ausreichend abwehren zu können. Global lag die durchschnittliche Angriffslast bei 2.090 Cyberangriffen pro Organisation pro Woche im Januar 2026, ein Anstieg von 17 Prozent gegenüber Januar 2025. Europa verzeichnete ein Plus von 18 Prozent. Das BSIG soll Cybersicherheit vom freiwilligen Standard zur gesetzlichen Mindestanforderung machen. Der politische Druck war nach dem APT28-Angriff auf 30 deutsche TP-Link-Router und dem Qilin-Angriff auf Die Linke erheblich gestiegen.

Deutschland im EU-Vergleich: Spät, aber weitreichend

Deutschland implementierte NIS2 mit 14 Monaten Verzug gegenüber der EU-Deadline. Laut OpenKRITIS zählt Deutschland zu den späten Umsetzern, während Kroatien, Belgien und die Niederlande bereits 2024 im Plan lagen. Der Verzug hatte praktische Konsequenzen: Für über ein Jahr nach dem EU-Stichtag galten keine verbindlichen NIS2-Pflichten in Deutschland.

Der Umfang der deutschen Umsetzung gehört dennoch zu den weitreichendsten in Europa. Mit rund 29.500 regulierten Einrichtungen reguliert Deutschland proportional zur Wirtschaftsgröße mehr Unternehmen als die meisten EU-Staaten. Die explizite Einbeziehung der Fertigungsindustrie ist dabei ein Alleinstellungsmerkmal der deutschen Umsetzung, das dem Industriestandort besondere Bedeutung gibt.

Für internationale Konzerne mit deutschen Tochtergesellschaften gilt das BSIG auch dann, wenn der Mutterkonzern außerhalb der EU sitzt, sofern die deutsche Einrichtung in einem regulierten Sektor tätig ist. Digitale Dienstleister aus Drittstaaten fallen ebenfalls in den Anwendungsbereich, wenn sie deutschen BSIG-pflichtigen Einrichtungen wesentliche Dienste bereitstellen. Diese extraterritoriale Wirkung ist ein wichtiges Detail für US- und asiatische Technologieanbieter mit deutschem Kundenstamm.

Was Unternehmen jetzt tun müssen

Für Einrichtungen, die bislang keine Schritte unternommen haben, sind vier Maßnahmen sofort anzugehen.

Selbsteinstufung vornehmen: Anhand der BSIG-Sektorenliste prüfen, ob das Unternehmen als besonders wichtige oder wichtige Einrichtung gilt. Das BSI informiert Unternehmen nicht proaktiv. Irrtum über die eigene Regulierungspflicht schützt nicht vor Strafe.
Registrierung nachholen: MUK-Konto einrichten, ELSTER-Zertifikat beschaffen und Registrierung im BSI-Portal abschließen. Nachregistrierungen sind möglich, aber bußgeldbewehrt.
Meldeprozesse einrichten: Interne Prozesse für die 24-Stunden-Erstmeldung und die 72-Stunden-Folgmeldung bei bedeutenden Vorfällen schriftlich definieren, verantwortliche Personen benennen und den Prozess intern testen.
Risikomanagementdokumentation erstellen: Bestandsaufnahme bestehender Sicherheitsmaßnahmen, Lückenanalyse und vollständige Dokumentation nach BSIG-Anforderungen. Für KRITIS-Betreiber gilt dies auch als Vorbereitung auf den Drei-Jahres-Audit.

Für KRITIS-Betreiber, die bereits seit Jahren BSI-Audits kennen, bedeutet das BSIG einen ausgeweiteten Prüfkatalog. Für Fertigungsunternehmen, Lebensmittelproduzenten und Chemiekonzerne, die erstmals reguliert werden, ist der Umsetzungsaufwand erheblich größer. ISO-27001-Zertifizierungen und BSI IT-Grundschutz bieten sich als strukturierter Einstieg an.

Fünf Prognosen für NIS2-Enforcement in Deutschland

Erste BSI-Bußgelder noch 2026: Die Registrierungsfrist ist seit März 2026 abgelaufen. Das BSI hat Sanktionen für Verstöße angekündigt. Erste Bußgeldbescheide gegen nicht registrierte Einrichtungen sind bis Ende 2026 wahrscheinlich. Die Höhe wird Signalwirkung für die gesamte Branche haben.
Streit über Sektorzugehörigkeit vor Verwaltungsgerichten: Die breite Definition des Fertigungssektors wird zahlreiche Unternehmen dazu bewegen, ihre Einstufung anzufechten. Verwaltungsgerichte werden erstmals über die Reichweite des BSIG urteilen. Erste Entscheidungen sind 2027 zu erwarten.
Vorstandshaftung als Präzedenzfall: Die erste persönliche Sanktion gegen ein Vorstandsmitglied wird eine erhebliche Signalwirkung entfalten. Dieser Schritt ist eine Frage des Zeitpunkts, nicht der Wahrscheinlichkeit. Die Beweislast für mangelhafte Compliance liegt beim BSI, aber umfangreiche Dokumentationspflichten erleichtern diesen Nachweis.
Boom bei Zertifizierungen und ISMS-Audits: ISO 27001 und BSI IT-Grundschutz gewinnen als Nachweisinstrument stark an Bedeutung. Zertifizierungsdienstleister, ISMS-Berater und Auditoren profitieren direkt. Der Markt für Compliance-Dienstleistungen wächst parallel zur Ausweitung des Anwendungsbereichs.
Lieferkettendruck auf nicht regulierte Zulieferer: Größere BSIG-Einrichtungen werden ihre Lieferanten zunehmend nach NIS2-kompatiblen Sicherheitsstandards auswählen. Kleine Zulieferer unterhalb der BSIG-Schwellenwerte geraten trotzdem unter Druck, weil ihre Kunden entsprechende Vertragsverpflichtungen einfordern werden.

Häufige Fragen (FAQ)

Gilt das BSIG auch für GmbHs und Mittelständler?

Ja. Das BSIG unterscheidet nicht nach Rechtsform. Es gilt für alle Unternehmen ab 50 Mitarbeitern oder 10 Millionen Euro Jahresumsatz, die in einem der 15 regulierten Sektoren tätig sind. Kleinere Unternehmen können ebenfalls reguliert werden, wenn sie als alleinige Anbieter kritischer Dienste eingestuft werden.

Was passiert, wenn die Registrierungsfrist verpasst wurde?

Die Erstregistrierungsfrist lief am 6. März 2026 ab. Die Nachregistrierung ist möglich, gilt aber nach § 65 BSIG als eigenständige Ordnungswidrigkeit. Wer sich noch nicht registriert hat, sollte dies umgehend nachholen, da jeder weitere Tag die Haftungsperiode verlängert. Das BSI kann die Nachregistrierung als Compliance-Signal werten, das bei der Strafzumessung berücksichtigt wird.

Müssen Vorstandsmitglieder bei einem Cyberangriff persönlich haften?

Ein eingetretener Cyberangriff allein löst keine persönliche Haftung aus. Entscheidend ist, ob die nach BSIG vorgeschriebenen Sicherheitsmaßnahmen implementiert und dokumentiert waren. Haftung droht bei nachgewiesener Pflichtverletzung, also wenn die Einrichtung ihre Cybersicherheitspflichten nicht erfüllt hat.

Wann ist ein Sicherheitsvorfall meldepflichtig?

Das BSIG definiert einen meldepflichtigen Vorfall als Ereignis mit erheblichen Auswirkungen auf Verfügbarkeit, Integrität oder Vertraulichkeit der IT-Systeme oder Dienste einer Einrichtung. Kriterien sind die Anzahl betroffener Nutzer, Ausfallzeit und finanzielle Folgen. Das BSI veröffentlicht hierzu Leitlinien. Im Zweifel gilt: melden.

Fallen Tochtergesellschaften ausländischer Konzerne unter das BSIG?

Ja. Entscheidend ist der Ort der Dienstleistungserbringung, nicht der Konzernsitz. Eine deutsche Tochtergesellschaft eines US-Konzerns, die in einem regulierten Sektor tätig ist, fällt unter das BSIG. Ausländische digitale Dienstleister ohne EU-Sitz sind ebenfalls reguliert, wenn sie deutschen BSIG-pflichtigen Einrichtungen Dienste anbieten.

Wie verhält sich das BSIG zur DSGVO?

BSIG und DSGVO ergänzen sich. Die DSGVO schreibt technische Sicherheitsmaßnahmen für personenbezogene Daten vor (Art. 32). Das BSIG verpflichtet zur Absicherung aller IT-Systeme, unabhängig davon, ob personenbezogene Daten verarbeitet werden. Manche Sicherheitsvorfälle lösen Meldepflichten nach beiden Gesetzen gleichzeitig aus: DSGVO-Meldung an die Datenschutzbehörde innerhalb von 72 Stunden, BSIG-Erstmeldung an das BSI innerhalb von 24 Stunden.

Wie oft müssen KRITIS-Betreiber ihre Compliance nachweisen?

KRITIS-Betreiber weisen die Einhaltung der Sicherheitsanforderungen nach §§ 30, 31 und 38 BSIG alle drei Jahre gegenüber dem BSI nach. Der Nachweis erfolgt durch Audits, Inspektionen oder Zertifizierungen. Der erste Nachweis-Zyklus beginnt mit der Registrierung im BSI-Portal.

NIS2 Deutschland: 29.500 Firmen unter neuem BSIG, Bußgelder bis 10 Mio. € [2026]