Die sog. „Network and Information Security Directive 2“, kurz NIS2, wird für viele Unternehmen in Deutschland und Österreich zum Gamechanger. Die EU-Richtlinie (EU 2022/2555) und das Ende 2025 verabschiedete deutsche Umsetzungsgesetz NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) – 6. Dezember 2025 offiziell in Kraft -erweitern den Kreis der Unternehmen, die in die Pflicht zur Meldung kommen, erheblich und verpflichten diese zu umfassenden Maßnahmen in den Bereichen Cybersecurity, Risk-Management und betriebliches Meldewesen. Zudem steigen die Anforderungen an die Geschäftsleitung, die künftig stärker für die Umsetzung und Überwachung der Sicherheitsmaßnahmen verantwortlich gemacht werden kann. Verstöße können dabei mit empfindlichen Sanktionen geahndet werden. Es gibt insbesondere keine Schonfrist.
Die wichtigsten Meilensteine und Termine für betroffene Firmen im Überblick:

  • Pflicht seit Dezember 2025: Die Pflicht zur Cybersicherheit, zu den strengen Schutzmaßnahmen und zur schnellen Meldung von Hackerangriffen gilt seit dem Tag des Inkrafttretens unmittelbar.
  • BSI-Registrierung (Frühjahr 2026): Anfang 2026 öffnete das Bundesamt für Sicherheit in der Informationstechnik (BSI) sein Meldeportal. Die offizielle Frist, bis zu der sich alle betroffenen Unternehmen dort registrieren mussten, lief bis zum 6. März 2026 (wobei das BSI eine verlängerte Kulanzfrist bis zum 31. Juli 2026 gewährte).

Wer sich bis heute nicht darum gekümmert hat, befindet sich also bereits in der Zone, in der theoretisch Bußgelder drohen.

Die NIS2-Richtlinie ist wie eine neue, strenge Straßenverkehrsordnung für die digitale Welt. Weil Cyberangriffe immer gefährlicher werden, hat die Politik beschlossen: Unternehmen müssen sich viel besser gegen Hacker schützen als früher.

In Deutschland regelt das ein eigenes Gesetz (das sogenannte NIS2UmsuCG). Es sorgt dafür, dass IT-Sicherheit kein reines Thema mehr für die Computer-Abteilung ist, sondern zur Chefsache wird.

Welche Unternehmen sind verpflichtet?

Früher betrafen solche Regeln nur die ganz großen Akteure, wie Kraftwerke oder Wasserwerke. Durch das neue Gesetzt betrifft es rund 30.000 Unternehmen in Deutschland: Wer mehr als 50 Mitarbeiter hat oder über 10 Millionen Euro Umsatz macht und in einer wichtigen Branche arbeitet (zum Beispiel im Transport, in der Medizin, bei Lebensmitteln oder in der Produktion), ist betroffen.

Was müssen die Unternehmen tun?

  • Die digitalen Türen abschließen: Unternehmen müssen moderne Schutzmaßnahmen einrichten. Dazu gehören sichere Passwörter, Verschlüsselung von Daten, regelmäßige Updates und Notfallpläne für den Fall, dass doch mal ein Hacker durchkommt.
  • Den Vorfall melden: Wird ein Unternehmen erfolgreich angegriffen, darf es das nicht mehr verheimlichen. Der Chef muss den Vorfall extrem schnell (oft innerhalb von 24 Stunden) an die Behörden melden.
  • Sich registrieren: Jedes betroffene Unternehmen muss sich offiziell beim Bundesamt für Sicherheit in der Informationstechnik (BSI) anmelden, damit der Staat weiß, wer dazugehört.

Warum ist das Gesetz ein „Gamechanger“?

Das Gesetz hat echte Zähne. Wenn eine Firma die Regeln ignoriert, drohen hohe Geldstrafen, die auch in die Millionen gehen können.

Das Wichtigste ist: Die Unternehmensführer haften persönlich. Geschäftsführer können sich nicht mehr herausreden, sie hätten von der IT keine Ahnung. Kümmern sie sich nicht darum, müssen sie im schlimmsten Fall mit ihrem privaten Geld für Schäden geradestehen. Deshalb verändert NIS2 gerade alles – IT-Sicherheit wird jetzt in den Führungsetagen endlich ernst genommen.