NIS-2-Nachfrist abgelaufen: Fahrplan für Nachzügler
Die NIS-2-Nachfrist ist Geschichte: Das deutsche Umsetzungsgesetz gilt seit dem 6. Dezember 2025, die gesetzliche Registrierungsfrist beim BSI endete am 6. März 2026, und die Kulanz, die das Amt bis zum 31. Juli gewährte, ist ebenfalls verstrichen. Rund 29.500 Einrichtungen fallen nach der Schätzung im Gesetzentwurf unter das Gesetz, ein erheblicher Teil davon hat sich bis heute nicht gemeldet. Wer dazugehört, ist im Verzug, aber nicht verloren. Dieser Beitrag sortiert, was seit dem 1. August rechtlich gilt und in welcher Reihenfolge Nachzügler ihre Pflichten sinnvoll nachholen.
Was seit dem 1. August gilt
Mit dem Ende der Kulanzfrist hat sich an den Pflichten nichts geändert, wohl aber an der Ausgangslage. Die Registrierungspflicht besteht fort, sie erlischt nicht durch Fristablauf. Was hinzukommt, ist die Möglichkeit von Bußgeldern: Paragraf 65 des neuen BSI-Gesetzes staffelt sie nach Einrichtungskategorie, für besonders wichtige Einrichtungen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent, jeweils der höhere Wert. Die Umsatzkomponente greift ab 500 Millionen Euro Jahresumsatz, für den typischen Mittelständler zählt also der absolute Rahmen.
Der zweite Punkt betrifft die Geschäftsleitung persönlich. Paragraf 38 verpflichtet sie, die Risikomanagement-Maßnahmen zu billigen und ihre Umsetzung zu überwachen. Wer das versäumt, haftet dem eigenen Unternehmen gegenüber für entstandene Schäden, und zwar mit dem Privatvermögen. Das ist der Grund, warum NIS-2 in vielen Häusern erst jetzt Chefsache wird.
Realistisch betrachtet wird das BSI nicht 29.500 Bescheide verschicken. Die Behörde priorisiert, und wer nachweisbar begonnen hat, steht anders da als wer weiter abwartet. Genau darin liegt die Chance des Nachzüglers: Jeder dokumentierte Schritt verbessert die Position, und die ersten Schritte sind keine Großprojekte.
Schritt 1: Betroffenheit ehrlich klären
Vor der Registrierung steht die Frage, ob das eigene Unternehmen überhaupt erfasst ist. Das Gesetz knüpft an Sektoren und Größe an: Wer in einem der Anlage-Sektoren tätig ist, etwa Energie, Transport, Gesundheit, digitale Infrastruktur, Abfall, Chemie, Lebensmittel oder verarbeitendes Gewerbe, und mindestens 50 Beschäftigte oder 10 Millionen Euro Jahresumsatz erreicht, ist in der Regel betroffen. Das BSI stellt dafür eine Betroffenheitsprüfung online bereit, die in wenigen Minuten ein Ergebnis liefert.
Zwei Fallen tauchen dabei regelmäßig auf. Erstens der Sektor: Viele Industriebetriebe halten sich für unbeteiligt, obwohl das verarbeitende Gewerbe mit Maschinenbau, Elektrotechnik und Fahrzeugbau ausdrücklich erfasst ist. Zweitens die Lieferkette: Wer selbst nicht unter das Gesetz fällt, aber wichtige Einrichtungen beliefert, bekommt die Anforderungen vertraglich durchgereicht, weil die Kunden ihre Lieferanten absichern müssen. Für diese Gruppe ist die Frage nicht, ob das BSI kommt, sondern wann der nächste Kundenfragebogen kommt.
Schritt 2: Registrierung nachholen
Die Registrierung läuft über das Meldeportal des BSI, das seit dem 6. Januar 2026 geöffnet ist. Abgefragt werden Stammdaten, Sektor und Einrichtungskategorie, öffentliche IP-Bereiche und eine erreichbare Kontaktstelle für Sicherheitsvorfälle. Der Aufwand liegt bei wenigen Stunden, wenn die Angaben vorliegen. Die Kontaktstelle verdient dabei die meiste Sorgfalt: Sie muss auch außerhalb der Bürozeiten erreichbar sein, weil die Meldefristen ab Kenntnis eines Vorfalls laufen, nicht ab Montagmorgen.
Wer die Frist verpasst hat, sollte sich jetzt registrieren statt auf eine Aufforderung zu warten. Eine verspätete Registrierung ist ein dokumentierter Schritt in Richtung Compliance, eine unterlassene bleibt ein offener Verstoß.
Schritt 3: Die drei Pflichten, die zuerst zählen
Nach der Registrierung stehen drei Pflichten an, die sich in überschaubarer Zeit aufsetzen lassen und den größten Teil des Risikos abdecken.
Die Meldekette für Sicherheitsvorfälle folgt einer festen Kaskade: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen eines Monats. Das ist dasselbe Muster, das der Cyber Resilience Act seit September für Produkthersteller vorschreibt, wie in unserem Artikel zur CRA-Meldepflicht beschrieben. Wer für eines der beiden Gesetze eine Meldekette mit benannten Rollen aufgebaut hat, erweitert sie für das andere um den Gegenstand: NIS-2 meldet Vorfälle der eigenen Organisation, der CRA Schwachstellen des eigenen Produkts.
Das Risikomanagement nach Paragraf 30 verlangt Maßnahmen in zehn Bereichen, von Zugriffskontrolle über Backup und Verschlüsselung bis zur Lieferkettensicherheit. Niemand muss alle zehn am ersten Tag vollständig haben. Bewährt hat sich, mit Mehrfaktor-Authentifizierung, getesteten Backups und zentralem Logging zu beginnen, weil diese drei den größten Teil realer Angriffe abfangen und sich in Wochen statt Monaten umsetzen lassen. Welche Werkzeuge und Architekturen dafür im Mittelstand taugen, zeigt unser Beitrag zur technischen Umsetzung von NIS-2.
Die Schulungspflicht der Geschäftsleitung nach Paragraf 38 ist die am schnellsten erfüllbare und die am häufigsten übersehene. Das BSI hat in einer Handreichung zur Geschäftsleitungsschulung drei Kompetenzfelder definiert, die eine Schulung abdecken muss; ein Seminar, das nur eines davon behandelt, erfüllt die Anforderung nach Lesart des BSI nicht. Die Teilnahme gehört dokumentiert, denn sie ist zugleich der Nachweis, der im Haftungsfall zählt.
Was Nachzügler nicht tun sollten
Drei Reflexe kosten Zeit und Geld, ohne das Risiko zu senken. Der erste ist der Zertifizierungsreflex: NIS-2 verlangt keine ISO-27001-Zertifizierung, und ein Zertifizierungsprojekt bindet Monate, bevor die erste wirksame Maßnahme steht. Der zweite ist das Papier-ISMS, also ein Ordner voller Richtlinien, die niemand umsetzt; das BSI prüft Wirksamkeit, nicht Seitenzahl. Der dritte ist das Abwarten auf eine Prüfung oder eine weitere Fristverlängerung. Die Kulanzphase hat es gegeben, sie ist vorbei, und nichts deutet auf eine zweite hin. Einen Überblick über den gesamten Pflichtenkatalog jenseits der Nachzügler-Perspektive gibt unser Grundlagenartikel zur NIS-2-Compliance im Mittelstand.
Fazit
Die abgelaufene Nachfrist ändert die Pflichten nicht, sie ändert das Risiko des Wartens. Betroffenheit klären, registrieren, Meldekette und drei Kernmaßnahmen aufsetzen, Geschäftsleitung schulen und alles dokumentieren: In dieser Reihenfolge ist ein Nachzügler in wenigen Wochen von „im Verzug” bei „nachweisbar auf dem Weg”. Für die technische Seite, von Mehrfaktor-Authentifizierung über Backup-Architektur bis zum zentralen Logging, unterstützt unsere Cloud- und Infrastruktur-Beratung hands-on, die rechtliche Bewertung im Einzelfall gehört zu einer Kanzlei.
Häufige Fragen
Was passiert, wenn die NIS-2-Registrierungsfrist verpasst wurde?
Die Registrierungspflicht besteht weiter, sie erlischt nicht mit der Frist. Seit Ende der BSI-Kulanzphase am 31. Juli 2026 sind Bußgelder möglich, bis zu 10 Millionen Euro für besonders wichtige und 7 Millionen Euro für wichtige Einrichtungen. Wer jetzt registriert und erste Maßnahmen dokumentiert, verbessert seine Position deutlich gegenüber weiterem Abwarten.
Muss sich ein Unternehmen jetzt noch beim BSI registrieren?
Ja, wenn es unter das Gesetz fällt. Die Registrierung erfolgt über das BSI-Meldeportal, das seit Januar 2026 geöffnet ist, und erfordert Stammdaten, Sektor, IP-Bereiche und eine rund um die Uhr erreichbare Kontaktstelle. Eine verspätete Registrierung ist ein dokumentierter Compliance-Schritt, eine unterlassene bleibt ein fortlaufender Verstoß.
Welche Bußgelder drohen bei NIS-2-Verstößen in Deutschland?
Paragraf 65 des BSI-Gesetzes staffelt nach Kategorie: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen, bis zu 7 Millionen Euro oder 1,4 Prozent für wichtige Einrichtungen, jeweils der höhere Wert. Dazu kommt die persönliche Haftung der Geschäftsleitung gegenüber dem eigenen Unternehmen.
Muss die Geschäftsführung eine NIS-2-Schulung absolvieren?
Ja. Paragraf 38 verpflichtet die Geschäftsleitung, regelmäßig an Schulungen teilzunehmen, um Risiken und Risikomanagement-Praktiken bewerten zu können. Das BSI verlangt in seiner Handreichung die Abdeckung von drei Kompetenzfeldern; ein Seminar zu nur einem Feld genügt nicht. Die Teilnahme sollte dokumentiert werden, sie dient im Haftungsfall als Nachweis.
