Mit der nationalen Umsetzung der europäischen NIS-2-Richtlinie durch das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) werden Registrierungs- und Meldepflichten gegenüber dem Bundesamt für Sicherheit in der Informationstechnik (BSI) im Jahr 2026 für den deutschen Mittelstand zur operativen Realität.
Betroffen sind bundesweit Zehntausende Unternehmen aus rund 18 Sektoren – von Energie und Verkehr über Maschinenbau und Chemie bis zu Lebensmittelproduktion und digitalen Diensten –, von denen viele die neuen Verpflichtungen bislang nicht auf dem Schirm haben.

Was regelt die NIS-2-Richtlinie?

Die NIS-2-Richtlinie (Richtlinie (EU) 2022/2555) erweitert den europäischen Rahmen für die Sicherheit von Netz- und Informationssystemen erheblich.
Wo zuvor vor allem Betreiber kritischer Infrastrukturen (KRITIS) im Fokus standen, erfasst NIS-2 nun auch deutlich kleinere Organisationen.
Das Gesetz unterscheidet zwischen "besonders wichtigen Einrichtungen" und "wichtigen Einrichtungen" und knüpft die Einstufung an Sektor sowie Größe: Als grobe Schwelle gelten 50 Beschäftigte oder mehr als 10 Mio.
Euro Jahresumsatz.
Anders als beim bisherigen KRITIS-Regime müssen Unternehmen selbst prüfen, ob sie unter das Gesetz fallen – eine staatliche Vorab-Einstufung gibt es nicht.

Welche Pflichten kommen auf Unternehmen zu?

Im Zentrum stehen drei Verpflichtungen.
Erstens müssen sich betroffene Einrichtungen beim BSI registrieren und einen Kontaktpunkt benennen.
Zweitens greifen abgestufte Meldepflichten bei erheblichen Sicherheitsvorfällen: eine Erstmeldung innerhalb von 24 Stunden, eine Bestätigungs- und Bewertungsmeldung binnen 72 Stunden sowie ein Abschlussbericht in der Regel nach einem Monat.
Drittens schreibt das Gesetz technische und organisatorische Risikomanagementmaßnahmen vor – darunter Konzepte zur Vorfallsbehandlung, Lieferkettensicherheit, Verschlüsselung und Notfallpläne.
Neu ist zudem eine persönliche Verantwortung der Geschäftsleitung, die Maßnahmen zu billigen und zu überwachen; bei Verstößen drohen empfindliche Bußgelder.

Warum gilt der Mittelstand als unvorbereitet?

Branchenbeobachter verweisen darauf, dass die erweiterten Schwellenwerte erstmals einen großen Teil des klassischen Mittelstands erfassen – Unternehmen, die bislang keine Berührung mit dem BSI hatten und oft über keine dedizierte IT-Sicherheitsabteilung verfügen.
Erschwerend kommt hinzu, dass sich die deutsche Umsetzung gegenüber der ursprünglichen EU-Frist vom 17.
Oktober 2024 verzögert hat, was bei vielen Marktteilnehmern zu Abwarten statt Vorbereitung führte.
Mit dem Inkrafttreten verschiebt sich der Druck nun in die Praxis: Unternehmen müssen Selbsteinstufung, Registrierung und Meldeprozesse aufsetzen, ohne dass eine längere Übergangsfrist für die Kernpflichten vorgesehen ist.
Fachleute raten dazu, zunächst die Betroffenheit zu klären und anschließend Melde- und Notfallprozesse zu dokumentieren, um im Ernstfall die engen Fristen einhalten zu können.