Klare Antworten auf die häufigsten Fragen zu NIS2 und dem BSIG: wer betroffen ist, was zu tun ist, welche Fristen gelten, und wie NIS2Have dabei hilft.
NIS2 ist die EU-Richtlinie 2022/2555 für ein hohes gemeinsames Cybersicherheitsniveau. Deutschland hat sie mit dem NIS2-Umsetzungsgesetz umgesetzt: Die Pflichten stehen im neuen BSI-Gesetz (BSIG) und gelten seit dem 6. Dezember 2025, ohne Übergangsfrist. Die Bundesregierung schätzt, dass rund 29.500 Unternehmen und Einrichtungen betroffen sind.
Für betroffene Unternehmen heißt das im Kern:
Wie weit die anderen EU-Staaten sind, zeigt unser NIS2-Status-Tracker.
Betroffen sind Unternehmen aus den Sektoren der Anlagen 1 und 2 zum BSIG, zum Beispiel Energie, Transport, Gesundheit, Wasser, digitale Infrastruktur, IT-Dienstleistungen, Chemie, Lebensmittel, verarbeitendes Gewerbe und Abfallwirtschaft, wenn sie eine Größenschwelle erreichen (§ 28):
Auch wer selbst nicht erfasst ist, spürt NIS2 oft über die Kunden: Die Pflicht, die Lieferkette abzusichern, wird vertraglich an Zulieferer weitergegeben.
Die Betroffenheitsprüfung in der NIS2 App stuft Ihr Unternehmen nach § 28 ein und nennt die Registrierungsfrist. Dauerhaft kostenlos.
Betroffenheit prüfen →Spätestens drei Monate, nachdem Ihr Unternehmen erstmals als wichtige oder besonders wichtige Einrichtung gilt (§ 33). Für alle, die schon beim Inkrafttreten betroffen waren, lief diese Frist am 6. März 2026 ab. Wer sie verpasst hat, sollte sich unverzüglich nachregistrieren.
Registriert wird im BSI-Portal. Voraussetzung ist ein Konto bei „Mein Unternehmenskonto“ (MUK), das auf ELSTER aufsetzt. Die Einrichtung dauert erfahrungsgemäß einige Tage, fangen Sie also nicht am letzten Tag an.
Schritt für Schritt: So funktioniert die BSI-Registrierung.
Ein erheblicher Sicherheitsvorfall wird in drei Stufen an das BSI gemeldet (§ 32). Die Fristen laufen ab dem Zeitpunkt, an dem Sie davon Kenntnis erlangen, nicht erst nach Abschluss der Untersuchung.
Unverzüglich, spätestens 24 Stunden nach Kenntnis: dass ein erheblicher Vorfall vorliegt, ob er auf rechtswidrige Handlungen zurückgehen könnte und ob er grenzüberschreitend wirkt.
Spätestens 72 Stunden nach Kenntnis: eine erste Bewertung von Schweregrad und Auswirkungen, soweit bekannt mit Kompromittierungsindikatoren.
Einen Monat nach der Meldung: Beschreibung, Ursache, ergriffene Maßnahmen. Dauert der Vorfall noch an, zunächst eine Fortschrittsmeldung.
Im Vorfallmodul der NIS2 App laufen diese Fristen ab dem Erkennungszeitpunkt sichtbar mit, und die Meldungen sind vorbereitet.
Cybersicherheit ist ausdrücklich Chefsache. Nach § 38 BSIG muss die Geschäftsleitung:
Wer diese Pflichten verletzt, haftet der eigenen Gesellschaft für den daraus entstandenen Schaden nach den Regeln des Gesellschaftsrechts. Die Umsetzung darf delegiert werden, die Verantwortung nicht.
Die Grundlagenschulung für die Geschäftsleitung ist in der NIS2 App kostenlos, mit Teilnahmenachweis.
Das BSIG staffelt die Höchstbeträge nach der Einstufung (§ 65):
Bei besonders wichtigen Einrichtungen kann das BSI als letztes Mittel Leitungspersonen vorübergehend die Wahrnehmung ihrer Leitungsaufgaben untersagen (§ 61 Abs. 9).
Nein. Die IT betreibt die Systeme, NIS2 verlangt aber ein Management der Risiken: bewertet, entschieden, dokumentiert und von der Geschäftsleitung gebilligt. Dazu gehören Dinge, die keine Technik sind, etwa Notfallpläne, Lieferantenbewertung, Schulungen und ein geübter Meldeweg.
Die IT ist dabei unverzichtbar. Aber die Nachweise, die eine Prüfung verlangt, entstehen nicht im Serverraum, sondern in einem geführten Register.
Die meisten Angriffe suchen sich ihre Opfer nicht aus. Automatisierte Werkzeuge durchsuchen das Internet nach bekannten Schwachstellen und schwachen Zugängen, unabhängig von der Größe dahinter. Ransomware trifft den Handwerksbetrieb genauso wie den Konzern, und kleinere Unternehmen brauchen oft länger, um sich zu erholen.
Dazu kommt die Lieferkette: Kleine Zulieferer sind ein bequemer Weg zu ihren großen Kunden. Genau deshalb fragen diese Kunden inzwischen nach Nachweisen.
Ja, für die Risiken, die aus ihnen entstehen. § 30 Abs. 2 Nr. 4 BSIG verlangt die Sicherheit der Lieferkette, einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern. In der Praxis heißt das:
Das Lieferkettenmodul der NIS2 App verschickt den Fragebogen per Link und wertet die Antworten aus.
Ein Arbeitsbereich, in dem Sie Ihre NIS2-Pflichten laufend führen statt einmal zu dokumentieren. Acht Module arbeiten füreinander: Betroffenheitsprüfung, Governance und Richtlinien, Risikomanagement, Vorfallmanagement, Business Continuity, Lieferkette, Schulung der Geschäftsleitung und kontinuierliche Verbesserung.
Fristen laufen von selbst, jede Maßnahme trägt ihren Bezug zu § 30 bis in den Nachweis, und alles ist zusätzlich auf ISO 27001 abgebildet. Die App ist für Unternehmen ohne eigene Sicherheitsabteilung gebaut: Eine Person kann sie neben ihren anderen Aufgaben führen.
Alle Preise sind Nettopreise; gemäß § 19 UStG wird keine Umsatzsteuer berechnet.
Die Vorlagen-Kits sind Word- und Excel-Mappen für die Pflichtmaßnahmen nach § 30, sofort einsetzbar und offline: 29–49 € je Kit oder 149 € für alle sechs, einmalig, ohne Abo. Sie passen, wenn Sie Ihre Dokumentation selbst in Dateien führen möchten.
Die App passt, wenn Fristen, Zuständigkeiten und Nachweise laufend gepflegt werden sollen und mehrere Personen daran arbeiten.
Sie müssen sich nicht festlegen: Jedes Modul der App liest die ausgefüllte Mappe seines Kits ein, mit Ihren Zeilen, Bewertungen und Terminen. Nichts wird doppelt getippt.
Ja. Sie laden eine Beraterin oder einen Berater als externe Person ein, mit einer Rolle, auf Wunsch nur für bestimmte Module und mit einem Enddatum, an dem der Zugang von selbst endet.
Berater, die mehrere Unternehmen betreuen, brauchen dafür kein zweites Postfach: Ein Konto kann zu mehreren Organisationen gehören. Nach der Anmeldung wählen sie den Arbeitsbereich und sehen immer nur die Daten der gewählten Organisation.
Was wir technisch und organisatorisch tun, steht in der App unter „Vertrag & Sicherheit“. Den Betriebsstatus aller Dienste zeigt unser Systemstatus.
Ein monatliches Abonnement können Sie mit 14 Tagen Frist zum Ende der Laufzeit kündigen, ein jährliches mit einem Monat Frist. Eine E-Mail genügt. Das laufende Abonnement beenden Sie am schnellsten selbst in der Abonnementverwaltung, die in der App verlinkt ist.
Während der 14 kostenlosen Tage der ersten Buchung zahlt nichts, wer vor Ablauf kündigt. Die kostenlosen Module bleiben Ihnen auch ohne Abonnement erhalten.
Alle Einzelheiten stehen in unseren AGB.
Prüfen Sie in wenigen Minuten und kostenlos, ob NIS2 für Ihr Unternehmen gilt, oder schreiben Sie uns.