NIS2 in Deutschland: Was Unternehmen aktuell wissen sollten

Alexander Brütsch · 26 Aug. 2026

Die NIS2-Richtlinie der Europäischen Union hat die Anforderungen an Cybersicherheit in Europa grundlegend neu geordnet. Während die EU-Mitgliedstaaten die Richtlinie in nationales Recht überführen sollten, hinkt Deutschland bei der Umsetzung dem ursprünglichen Zeitplan hinterher. Für betroffene Unternehmen bedeutet das keine Entwarnung, sondern erhöhte Planungsunsicherheit bei gleichzeitig wachsendem Handlungsdruck. Wer jetzt noch abwartet, riskiert, in Zeitverzug zu geraten, sobald das nationale Gesetz in Kraft tritt.

Dieser Beitrag gibt einen sachlichen Überblick über den aktuellen Stand der NIS2-Umsetzung in Deutschland, erklärt, welche Unternehmen tatsächlich betroffen sind, und zeigt, welche Maßnahmen sich bereits jetzt sinnvoll vorbereiten lassen.

Wen NIS2 in Deutschland tatsächlich betrifft

NIS2 erweitert den Kreis der betroffenen Organisationen gegenüber der Vorgängerrichtlinie erheblich. Grundsätzlich richtet sich die Richtlinie an Unternehmen und Einrichtungen in sogenannten kritischen und wichtigen Sektoren, die bestimmte Schwellenwerte überschreiten. Als Faustregel gilt: Unternehmen mit mindestens 50 Mitarbeitern oder einem Jahresumsatz von mehr als 10 Millionen Euro in einem der betroffenen Sektoren fallen in den Anwendungsbereich.

Zu den erfassten Sektoren gehören unter anderem Energie, Transport, Gesundheitswesen, digitale Infrastruktur, Finanzwesen, Wasser und Abwasser, aber auch Lebensmittelproduktion, Chemie, verarbeitendes Gewerbe und Post- und Kurierdienste. Damit sind deutlich mehr mittelständische Unternehmen betroffen als bislang angenommen. Wer sich nicht sicher ist, ob das eigene Unternehmen unter NIS2 fällt, sollte eine NIS2-Betroffenheitsanalyse durchführen, bevor das nationale Umsetzungsgesetz in Kraft tritt.

Besonders relevant ist auch die Lieferkettenperspektive: Selbst Unternehmen, die formal unterhalb der Schwellenwerte liegen, können indirekt betroffen sein, wenn ihre Kunden oder Auftraggeber NIS2-pflichtig sind und Sicherheitsanforderungen an ihre Dienstleister weitergeben.

Welche Pflichten NIS2 konkret vorschreibt

NIS2 definiert einen umfassenden Katalog an Sicherheitsmaßnahmen, der weit über technische Absicherung hinausgeht. Die Richtlinie verlangt einen risikobasierten Ansatz, der organisatorische, technische und personelle Maßnahmen verbindet.

Zu den zentralen Pflichten gehören:

Einführung und Betrieb eines Risikomanagementsystems für Informationssicherheit
Maßnahmen zur Angriffserkennung, Incident Response und Business Continuity
Meldepflichten bei erheblichen Sicherheitsvorfällen gegenüber den zuständigen Behörden (mit engen Fristen von 24 Stunden für eine Erstmeldung)
Sicherheitsanforderungen an die Lieferkette und an Dienstleister
Schulungen und Sensibilisierung der Mitarbeitenden
Persönliche Verantwortung der Geschäftsleitung für die Umsetzung

Gerade der letzte Punkt verdient Beachtung: NIS2 macht die Geschäftsführung explizit haftbar. Führungskräfte können bei Pflichtverletzungen persönlich zur Verantwortung gezogen werden, was den Stellenwert des Themas in Unternehmen deutlich verändert.

Stand der NIS2-Umsetzung in Deutschland

Deutschland hat die ursprüngliche Umsetzungsfrist der EU-Richtlinie (Oktober 2024) nicht eingehalten. Das nationale Umsetzungsgesetz, das sogenannte NIS2UmsuCG, durchläuft 2026 weiterhin den Gesetzgebungsprozess. Das bedeutet: Die konkrete nationale Rechtslage ist noch nicht abschließend geklärt, aber die Grundstruktur der Anforderungen ist aus der EU-Richtlinie bereits bekannt und stabil.

Die Europäische Kommission hat Deutschland wegen der verspäteten Umsetzung ein Vertragsverletzungsverfahren eingeleitet. Dieser Druck erhöht die Wahrscheinlichkeit, dass das Gesetz in absehbarer Zeit verabschiedet wird, und damit werden Übergangsfristen für Unternehmen knapp bemessen sein. Wer die Vorbereitungszeit jetzt nicht nutzt, steht nach Inkrafttreten des Gesetzes unter erheblichem Zeitdruck.

Für Unternehmen empfiehlt es sich, die Umsetzung nicht vom endgültigen Gesetzestext abhängig zu machen. Die wesentlichen Anforderungen aus der EU-Richtlinie sind bekannt, und eine frühzeitige Ausrichtung daran schützt vor Überraschungen und gibt mehr Spielraum für eine geordnete Umsetzung.

Typische Lücken bei der NIS2-Vorbereitung

In der Praxis zeigen sich bei mittelständischen Unternehmen immer wieder ähnliche Schwachstellen, wenn es um die Vorbereitung auf NIS2-Anforderungen geht. Die häufigste ist das fehlende oder unvollständige Risikomanagement: Viele Unternehmen haben einzelne Sicherheitsmaßnahmen eingeführt, aber kein systematisches Verfahren zur Risikoidentifikation und -bewertung.

Weitere verbreitete Lücken betreffen:

Fehlende oder ungetestete Meldeprozesse für Sicherheitsvorfälle
Unzureichende Dokumentation von IT-Systemen, Verantwortlichkeiten und Sicherheitsmaßnahmen
Keine systematische Überprüfung der Sicherheitsanforderungen an externe Dienstleister
Fehlende Awareness-Maßnahmen für Mitarbeitende jenseits der IT-Abteilung
Keine klare Zuweisung der Verantwortung auf Geschäftsführungsebene

Ein häufig unterschätzter Bereich ist die technische Überwachung. NIS2 setzt voraus, dass Unternehmen Angriffe und Anomalien in ihrer IT-Infrastruktur erkennen können, bevor erheblicher Schaden entsteht. Viele mittelständische Unternehmen verfügen bislang weder über ein SIEM-System noch über strukturiertes Log-Management, was eine wesentliche Voraussetzung für die geforderte Angriffserkennung ist.

Nächste Schritte für betroffene Unternehmen

Der sinnvollste erste Schritt ist eine ehrliche Bestandsaufnahme: Fällt das eigene Unternehmen in den Anwendungsbereich von NIS2, und wenn ja, in welche Kategorie? Darauf aufbauend lässt sich eine Gap-Analyse durchführen, die den Abstand zwischen dem aktuellen Sicherheitsniveau und den NIS2-Anforderungen messbar macht.

Parallel dazu lohnt es sich, organisatorische Grundlagen zu schaffen, die unabhängig vom genauen Gesetzestext Bestand haben: die Benennung eines Verantwortlichen für Informationssicherheit, die Dokumentation kritischer IT-Systeme und Prozesse sowie die Einführung eines strukturierten Verfahrens zur Risikobehandlung. Diese Schritte zahlen sich auch dann aus, wenn das nationale Gesetz noch Anpassungen erfährt.

Wer die Umsetzung nicht allein stemmen kann oder will, sollte frühzeitig externe Unterstützung einbinden. Gerade für Unternehmen ohne eigene Sicherheitsabteilung ist es sinnvoll, Expertise von außen zu holen, statt intern Kapazitäten aufzubauen, die dauerhaft gebunden wären. Informationen zu den Anforderungen und möglichen Umsetzungsansätzen bietet auch die offizielle NIS2-Übersicht von UBESAFE.

Wie UBESAFE bei der NIS2-Umsetzung unterstützt

UBESAFE begleitet Unternehmen durch den gesamten NIS2-Prozess, von der ersten Betroffenheitsprüfung bis zur dauerhaften Erfüllung der Anforderungen. Das beginnt mit einem strukturierten NIS2-Audit, das den aktuellen Stand bewertet, die Anwendbarkeit klärt und mit einer Gap-Analyse die notwendigen Maßnahmen konkret benennt.

Was UBESAFE dabei von einer reinen Beratung unterscheidet: Die technische Umsetzung erfolgt aus derselben Hand. Das umfasst unter anderem:

Aufbau und Betrieb von SIEM und Log-Management für die geforderte Angriffserkennung
Einrichtung strukturierter Meldeprozesse und Incident-Response-Verfahren
Schwachstellen-Scanning und Patchmanagement als kontinuierliche Prozesse
Aufbau von Governance-Strukturen und Dokumentation für Audit-Bereitschaft
Externer ISB oder CISO für strategische Verantwortung ohne eigenen Personalaufbau

Nach dem initialen Audit sorgt ein Managed Service dafür, dass NIS2-Anforderungen nicht einmalig erfüllt, sondern kontinuierlich überwacht und weiterentwickelt werden. Einzelne Komponenten lassen sich flexibel einbinden oder als vollumfängliches Paket beziehen. Wer den eigenen Stand prüfen möchte, kann mit einem kostenlosen Erstaudit starten und erhält eine erste Einschätzung ohne Vorabverpflichtung.