NIS2-Umsetzung in Deutschland: Folgen für Projektteams

Was regelt das NIS2-Umsetzungsgesetz?

Für die Praxis bedeutet das: Die Pflichten gelten bereits, auch wenn das BSI Aufsicht und Kontrollen schrittweise aufbaut.

Der Gesetzgeber hat bewusst auf eine allgemeine Übergangsfrist verzichtet, weil die Richtlinie bereits im Oktober 2024 hätte umgesetzt werden müssen. Unternehmen, die sich bisher nicht mit NIS2 beschäftigt haben, sollten deshalb zügig prüfen, ob sie betroffen sind, und die Registrierung sowie die wesentlichen Maßnahmen nachholen.

Mit dem NIS2-Umsetzungsgesetz (NIS2UmsuCG) hat Deutschland die europäische NIS-2-Richtlinie in nationales Recht überführt. Das Gesetz wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet und ist am Tag darauf, dem 6. Dezember 2025, in Kraft getreten.^[2][1] Kern ist eine Neufassung des BSI-Gesetzes, die den Kreis der regulierten Unternehmen erheblich erweitert. Nach Schätzungen der IHK Braunschweig betrifft das rund 25'000 wichtige und 5'000 bis 10'000 besonders wichtige Einrichtungen.^[1]

Für Projektteams ist NIS2 in zweifacher Hinsicht relevant. Unternehmen, die selbst unter das Gesetz fallen, müssen Sicherheitsanforderungen in ihre Projekte integrieren, insbesondere bei IT-Vorhaben. Und Dienstleister, die für betroffene Unternehmen arbeiten, spüren die Anforderungen über die Lieferkette: Kunden verlangen Nachweise, vertragliche Zusicherungen und Meldewege.

Wer ist betroffen?

Die eigene Einordnung sollte dokumentiert und bei Veränderungen der Unternehmensgröße oder der Tätigkeit überprüft werden.

Zu den erfassten Sektoren gehören unter anderem Energie, Verkehr, Bankwesen, Gesundheit, Trinkwasser, digitale Infrastruktur, das Management von IKT-Diensten, öffentliche Verwaltung und Weltraum sowie weitere Sektoren wie Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe und digitale Dienste. Für IT-Dienstleister ist besonders der Bereich der verwalteten IKT-Dienste relevant, der Managed-Service-Anbieter und Managed-Security-Service-Anbieter erfasst.

Das Gesetz unterscheidet zwei Kategorien: besonders wichtige Einrichtungen und wichtige Einrichtungen.^[2] Die Zuordnung richtet sich nach dem Sektor, in dem ein Unternehmen tätig ist, und nach seiner Größe. Nach der IHK Braunschweig gelten als wichtige Einrichtungen Unternehmen ab 50 Mitarbeitenden oder mit mehr als zehn Millionen Euro Umsatz und Jahresbilanz in den erfassten Sektoren, als besonders wichtige Einrichtungen Unternehmen ab 250 Mitarbeitenden oder mit mehr als 50 Millionen Euro Umsatz und mehr als 43 Millionen Euro Bilanzsumme.^[1] Betreiber kritischer Anlagen zählen zu den besonders wichtigen Einrichtungen.

Ob ein Unternehmen betroffen ist, sollte es selbst prüfen; das BSI bietet dafür eine Online-Betroffenheitsprüfung an, die Sektor, Größe und Umsatz berücksichtigt.^[3] Die genauen Kriterien, einschließlich der Regeln für verbundene Unternehmen und Sonderfälle, ergeben sich aus dem Gesetz und seinen Anlagen.

Die Angaben zu Aufsicht und Bußgeldern folgen den Darstellungen von SECJUR und Luther.^[3][4]

Welche Pflichten gelten?

Wichtig ist, die Maßnahmen verhältnismäßig zu gestalten: Das Gesetz verlangt Maßnahmen, die dem Risiko, der Größe der Einrichtung und den Kosten angemessen sind. Eine mittelgroße Einrichtung muss nicht dieselben Strukturen aufbauen wie ein Großkonzern, aber die Risiken ihrer Systeme kennen und angemessen behandeln.

Für die Umsetzung empfiehlt sich ein strukturiertes Vorgehen: Bestandsaufnahme der Systeme und Prozesse, Risikoanalyse, Maßnahmenplan mit Prioritäten, Umsetzung und Dokumentation. Viele Unternehmen orientieren sich dabei an etablierten Standards wie ISO 27001 oder dem IT-Grundschutz des BSI, die eine Struktur für das Informationssicherheitsmanagement vorgeben.

Besonders wichtige und wichtige Einrichtungen müssen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen treffen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit ihrer informationstechnischen Systeme zu vermeiden (§ 30 BSIG in der neuen Fassung).^[2] Dazu gehören etwa Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs, Sicherheit der Lieferkette, Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen, Schulungen sowie Kryptografie und Zugriffskontrolle.

Außerdem müssen sich betroffene Einrichtungen spätestens drei Monate, nachdem sie erstmals oder erneut als solche gelten, beim BSI registrieren (§ 33).^[2] Die IHK München beschreibt den Stand zur Registrierungspflicht und die Aufsichtsbefugnisse des BSI.^[5] Erhebliche Sicherheitsvorfälle sind in mehreren Stufen zu melden: eine frühe Erstmeldung, eine Meldung mit erster Bewertung und ein Abschlussbericht. Die Geschäftsleitung ist für die Umsetzung verantwortlich und muss regelmäßig an Schulungen teilnehmen.

Welche Bußgelder drohen?

Die Höhe im Einzelfall richtet sich nach Art und Schwere des Verstoßes.

Neben Bußgeldern kann das BSI Anordnungen treffen und bei besonders wichtigen Einrichtungen Nachweise verlangen. Für die Geschäftsleitung ist zudem relevant, dass das Gesetz ihre Verantwortung für die Umsetzung ausdrücklich festschreibt; Pflichtverletzungen können Haftungsfragen gegenüber dem Unternehmen auslösen.

Der Bußgeldrahmen ist gestaffelt. Für besonders wichtige Einrichtungen reicht er bis zu zehn Millionen Euro, für wichtige Einrichtungen bis zu sieben Millionen Euro.^[2] Bei sehr großen Unternehmen kann alternativ ein Prozentsatz des weltweiten Jahresumsatzes maßgeblich sein, nach Luther bis zu 2 Prozent bei besonders wichtigen Einrichtungen mit über 500 Millionen Euro Umsatz.^[4] Zusätzliche Übergangsfristen sieht das Gesetz nicht vor; die Pflichten gelten seit dem Inkrafttreten.

Warum NIS2 auch Dienstleister betrifft

Wer solche Anforderungen frühzeitig erfüllt, gewinnt Vertrauen und wird bei Neuvergaben bevorzugt berücksichtigt.

Für Dienstleister lohnt es sich, ein kurzes Sicherheitsprofil vorzubereiten: eingesetzte Standards, Zertifizierungen, Verantwortliche, Meldewege und der Umgang mit Zugangsdaten zu Kundensystemen. Ein solches Profil beschleunigt Ausschreibungen und Lieferantenbewertungen erheblich.

Für die Auswahl und Bewertung von Dienstleistern unter Sicherheitsgesichtspunkten eignet sich die Checkliste Lieferantenauswahl, ergänzt um die konkreten Sicherheitsanforderungen des Unternehmens.

Die Sicherheit der Lieferkette gehört zu den Risikomanagementmaßnahmen, die betroffene Einrichtungen treffen müssen. Das bedeutet in der Praxis, dass sie ihre Dienstleister und Lieferanten nach Sicherheitsgesichtspunkten auswählen, vertragliche Anforderungen stellen und deren Einhaltung überprüfen. Für Agenturen, Softwarehäuser und Beratungen, die für solche Kunden arbeiten, wird NIS2 damit zur Vertragsrealität, auch wenn sie selbst nicht unter das Gesetz fallen.

Typische Anforderungen an Dienstleister sind Nachweise über ein Informationssicherheitsmanagement, Regeln zu Zugriffen auf Kundensysteme, Meldepflichten bei Sicherheitsvorfällen, Anforderungen an sichere Softwareentwicklung und Regeln für den Einsatz von Unterauftragnehmern. Wer solche Anforderungen früh kennt und erfüllen kann, hat einen Vorteil bei Ausschreibungen und Vertragsverhandlungen.

NIS2 in IT-Projekten

Zugriffe externer Projektbeteiligter auf produktive Systeme verdienen besondere Aufmerksamkeit. Sie sollten personenbezogen, zeitlich befristet und auf das Nötige beschränkt sein und nach Projektende zuverlässig entzogen werden. Eine regelmäßige Überprüfung der Berechtigungen gehört zu den einfachsten und wirksamsten Maßnahmen.

Projektleitende sollten Sicherheitsanforderungen zudem früh mit der Informationssicherheit des Unternehmens abstimmen. Spät erkannte Anforderungen — etwa an Verschlüsselung, Protokollierung oder Zugriffsrechte — führen zu Umbauten kurz vor dem Go-live, die Zeit und Budget kosten. Eine Sicherheitsbewertung als fester Meilenstein im Projektplan verhindert das.

Für IT-Projekte betroffener Unternehmen bedeutet NIS2, dass Sicherheitsanforderungen von Beginn an Teil der Anforderungen sind — ähnlich wie Datenschutz durch Technikgestaltung nach der DSGVO. Dazu gehören eine Risikoanalyse des neuen Systems, Anforderungen an Authentifizierung, Protokollierung und Verschlüsselung, Regeln für die Entwicklung und Wartung sowie die Einbindung in das Vorfallmanagement des Unternehmens. Bei der Auswahl von Software und Dienstleistern ist die Lieferkettensicherheit ein eigenes Auswahlkriterium.

• Sicherheitsanforderungen in Lastenheft und Abnahmekriterien aufnehmen.
• Risikoanalyse für neue Systeme und wesentliche Änderungen durchführen.
• Dienstleister und Tools nach Sicherheitskriterien auswählen und vertraglich binden.
• Zugriffe externer Beteiligter minimieren, protokollieren und nach Projektende entziehen.
• Meldewege für Sicherheitsvorfälle im Projekt festlegen.
• Dokumentation für Nachweise gegenüber dem BSI vorhalten.

Viele dieser Maßnahmen überschneiden sich mit den Anforderungen der DSGVO an technische und organisatorische Maßnahmen, die das Kapitel DSGVO im Projektmanagement beschreibt. Wie man Werkzeuge und Dienstleister prüft, zeigt das Kapitel AVV bei SaaS-Tools.

Checkliste für Unternehmen und Dienstleister

1. 1Betroffenheit prüfen, etwa mit der Online-Prüfung des BSI.
2. 2Falls betroffen: Registrierung beim BSI fristgerecht vornehmen.
3. 3Risikomanagementmaßnahmen nach § 30 BSIG umsetzen und dokumentieren.
4. 4Meldeprozess für erhebliche Sicherheitsvorfälle etablieren.
5. 5Geschäftsleitung schulen und Verantwortlichkeiten festlegen.
6. 6Als Dienstleister: Sicherheitsnachweise und Vertragsklauseln für NIS2-Kunden vorbereiten.

Den Überblick über weitere Rechtsthemen bietet der Recht-Leitfaden Deutschland.