Die NIS2-Richtlinie der Europäischen Union hat den regulatorischen Rahmen für Cybersicherheit in Europa grundlegend neu geordnet. Für viele Unternehmen in Deutschland stellt sich dabei eine ganz konkrete Frage: Wann genau müssen wir compliant sein, und welche NIS2-Übergangsfristen gelten tatsächlich? Die Antwort darauf ist komplizierter als erwartet, denn zwischen dem europäischen Zeitplan und der deutschen Rechtslage klafft eine Lücke, die bis heute nicht vollständig geschlossen ist.
Wer auf eine klare gesetzliche Deadline wartet, bevor er handelt, riskiert, unvorbereitet in eine Pflicht hineinzulaufen. Dieser Beitrag erklärt den aktuellen Stand der NIS2-Umsetzungsfrist in Deutschland, was das für betroffene Unternehmen konkret bedeutet und welche Schritte bereits jetzt sinnvoll sind.
NIS2-Umsetzung in Deutschland: aktueller Stand
Die EU-Mitgliedstaaten waren verpflichtet, die NIS2-Richtlinie bis zum 17. Oktober 2024 in nationales Recht umzusetzen. Deutschland hat diesen Termin nicht eingehalten. Das nationale Umsetzungsgesetz, das sogenannte NIS2UmsuCG (NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz), durchläuft seit längerer Zeit den parlamentarischen Prozess und ist bis heute nicht in Kraft getreten. Stand 2026 befindet sich Deutschland damit weiterhin in einem Umsetzungsrückstand gegenüber dem europäischen Zeitplan.
Das bedeutet jedoch nicht, dass die Richtlinie wirkungslos ist. Die NIS2-Richtlinie gilt als EU-Recht unmittelbar und entfaltet in Teilen bereits Wirkung, auch wenn das nationale Gesetz noch aussteht. Sobald das NIS2UmsuCG verabschiedet ist, tritt es mit sofortiger Wirkung in Kraft, ohne dass Unternehmen eine weitere Anlaufzeit erhalten. Die NIS2-Anforderungen sind in ihrem Kern bereits bekannt und stabil genug, um die Vorbereitung jetzt zu beginnen.
Welche Fristen konkret für betroffene Unternehmen gelten
Eine offizielle NIS2-Umsetzungsfrist für Unternehmen, die über das Inkrafttreten des deutschen Gesetzes hinausgeht, ist im aktuellen Gesetzentwurf nicht vorgesehen. Anders als bei einigen anderen Regulierungsvorhaben gibt es keine gestaffelte Einführungsphase, in der Unternehmen nach Inkrafttreten noch Monate Zeit hätten, sich anzupassen. Das Gesetz sieht vor, dass betroffene Unternehmen ab dem Tag des Inkrafttretens den Anforderungen genügen müssen.
Konkret bedeutet das: Unternehmen, die unter NIS2 fallen, müssen sich registrieren, ein Risikomanagement etablieren, Sicherheitsmaßnahmen technisch und organisatorisch umsetzen sowie Meldeprozesse für Sicherheitsvorfälle einrichten. Die Registrierungspflicht beim Bundesamt für Sicherheit in der Informationstechnik (BSI) greift unmittelbar nach Inkrafttreten, mit einer kurzen Meldefrist von in der Regel drei Monaten. Wer erst dann mit der Vorbereitung beginnt, wird diese Anforderungen kaum fristgerecht erfüllen können.
Betroffenheit besteht für Unternehmen ab 50 Mitarbeitern oder einem Jahresumsatz von mehr als zehn Millionen Euro, die in einem der 18 regulierten Sektoren tätig sind. Dazu zählen unter anderem Energie, Transport, Gesundheit, digitale Infrastruktur, Produktion kritischer Güter und Abfallwirtschaft. Für sogenannte „wichtige Einrichtungen“ und „wesentliche Einrichtungen“ gelten dabei unterschiedliche Aufsichtsintensitäten, aber grundsätzlich dieselben Pflichten.
Warum die Verzögerung kein Grund zum Abwarten ist
Die ausgebliebene nationale Umsetzung wird von manchen Unternehmen als Aufschub interpretiert. Das ist ein Trugschluss. Die inhaltlichen Anforderungen der NIS2-Richtlinie sind seit Jahren bekannt und haben sich durch die Verzögerung nicht verändert. Was fehlt, ist lediglich der formale Startschuss, nicht aber die inhaltliche Grundlage für die Vorbereitung.
Hinzu kommt: Die Einführung eines funktionsfähigen Informationssicherheits-Managementsystems, die Schulung von Mitarbeitern, die Einrichtung von Meldeprozessen und die technische Absicherung der Infrastruktur sind Vorhaben, die Zeit brauchen. Erfahrungen aus der Praxis zeigen, dass Unternehmen ohne Vorerfahrung in der Informationssicherheit mehrere Monate benötigen, um NIS2-konform zu werden. Wer erst nach Inkrafttreten des Gesetzes beginnt, steht unter erheblichem Druck.
Die Aufsichtsbehörden, allen voran das BSI, haben bereits signalisiert, dass sie die Anforderungen ernst nehmen und Verstöße konsequent verfolgen werden. Die Bußgeldrahmen unter NIS2 sind erheblich: Für wesentliche Einrichtungen sind Strafen bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes möglich. NIS2-Compliance ist damit keine optionale Zusatzaufgabe, sondern ein Haftungsthema für die Geschäftsführung.
Erste Maßnahmen, die Unternehmen jetzt umsetzen sollten
Der sinnvollste erste Schritt ist eine strukturierte Betroffenheitsanalyse. Nicht jedes Unternehmen fällt unter NIS2, und die Sektorzuordnung ist in einigen Fällen nicht eindeutig. Wer seine Betroffenheit kennt, kann gezielt planen, anstatt auf Verdacht zu investieren.
Steht die Betroffenheit fest, empfiehlt sich eine Gap-Analyse des aktuellen Sicherheitsniveaus gegenüber den NIS2-Anforderungen. Dabei geht es um konkrete Fragen: Gibt es ein dokumentiertes Risikomanagement? Sind Verantwortlichkeiten für Informationssicherheit klar geregelt? Existieren Meldeprozesse für Sicherheitsvorfälle? Ist die Lieferkette sicherheitstechnisch bewertet? Die Antworten zeigen, wie groß der tatsächliche Handlungsbedarf ist.
Parallel dazu lohnt es sich, die technische Basis zu prüfen. NIS2 verlangt angemessene Maßnahmen zur Angriffserkennung, zum Patch-Management, zur Zugriffskontrolle und zur Datensicherung. Viele dieser Maßnahmen sind unabhängig von NIS2 sinnvoll und lassen sich schrittweise einführen, ohne auf das Gesetz zu warten. Wer hier bereits investiert, reduziert gleichzeitig das operative Risiko.
- Betroffenheit prüfen: Sektorzugehörigkeit und Schwellenwerte klären
- Gap-Analyse durchführen: Ist-Stand gegenüber NIS2-Anforderungen bewerten
- Governance aufbauen: Verantwortlichkeiten, Richtlinien und Meldeprozesse definieren
- Technische Maßnahmen einleiten: Monitoring, Patch-Management, Zugriffskontrolle
- Lieferkette einbeziehen: Sicherheitsanforderungen an relevante Dienstleister kommunizieren
Wie UBESAFE bei der NIS2-Umsetzung unterstützt
UBESAFE begleitet Unternehmen durch den gesamten NIS2-Prozess, von der ersten Betroffenheitsprüfung bis zur dauerhaften Compliance. Das beginnt mit einem strukturierten NIS2-Audit: Anwendbarkeit, Reifegrad und konkreter Handlungsbedarf werden systematisch bewertet, sodass Unternehmen wissen, wo sie stehen und was als nächstes zu tun ist.
Im Anschluss übernimmt UBESAFE auf Wunsch die vollständige Umsetzung, einschließlich Governance-Strukturen, Meldeprozessen und technischer Maßnahmen wie 24/7-Monitoring, SIEM, Schwachstellen-Scans und Patch-Management. Der anschließende Managed IT Service sorgt dafür, dass NIS2 nicht als einmaliges Projekt behandelt wird, sondern dauerhaft erfüllt bleibt. Alle Komponenten sind flexibel buchbar, als vollumfängliches Paket oder modular nach Bedarf.
- Betroffenheitsanalyse und Pflichtenbild
- Gap-Assessment mit konkretem Maßnahmenplan
- Aufbau von Governance, Richtlinien und Meldeprozessen
- Technische Umsetzung: SIEM, MDR, Monitoring, Patch-Management
- Kontinuierliche Überwachung und regelmäßige Reviews
Wer den Einstieg strukturiert angehen möchte, kann mit einem kostenlosen Erstaudit beginnen, um den eigenen Stand einzuschätzen und die nächsten Schritte zu klären.