Kurz erklärt: NIS2 ist die EU-Richtlinie für mehr Cybersicherheit in Unternehmen. In Deutschland gilt sie seit dem 6. Dezember 2025 als NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG). Betroffen sind rund 29.500 Unternehmen aus 18 Sektoren, meist ab 50 Beschäftigten oder 10 Mio. € Umsatz. Sie müssen sich beim BSI registrieren, Risikomanagementmaßnahmen umsetzen, Sicherheitsvorfälle innerhalb von 24 Stunden melden – und die Geschäftsleitung haftet für die Umsetzung.
Aktualisiert im Oktober 2026. Dieser Beitrag gibt einen Überblick und ersetzt keine Rechtsberatung.
NIS2 auf einen Blick
| Gesetz | NIS2UmsuCG, in Kraft seit 6. Dezember 2025 (ändert vor allem das BSI-Gesetz) |
| Betroffene | ca. 29.500 Unternehmen in 18 Sektoren, in der Regel ab 50 Beschäftigten oder 10 Mio. € Umsatz |
| Registrierung | beim BSI über das MUK-Portal (ELSTER-Zertifikat); Frist 6. März 2026, Nachfrist bis 31. Juli 2026 |
| Meldepflicht | 24 Stunden Frühwarnung, 72 Stunden Meldung, 1 Monat Abschlussbericht |
| Bußgelder | bis 10 Mio. € oder 2 % des Umsatzes (besonders wichtige Einrichtungen), bis 7 Mio. € oder 1,4 % (wichtige Einrichtungen) |
| Haftung | Die Geschäftsleitung ist für die Umsetzung verantwortlich und muss sich schulen lassen. |
Wer ist von NIS2 betroffen?
NIS2 unterscheidet zwischen besonders wichtigen und wichtigen Einrichtungen. Erfasst werden 18 Sektoren, unter anderem Energie, Transport, Gesundheit, Wasser, digitale Infrastruktur, IT-Dienstleistungen, Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel und das verarbeitende Gewerbe. Maßgeblich sind in der Regel die Unternehmensgröße (ab 50 Beschäftigten oder 10 Mio. € Umsatz) und die Tätigkeit im jeweiligen Sektor. Ob Ihr Unternehmen betroffen ist, lässt sich mit der Betroffenheitsprüfung des BSI klären.
Wichtig für Nicht-Betroffene: Über die Lieferkette erreicht NIS2 auch kleinere Unternehmen. Betroffene Kunden müssen die Sicherheit ihrer Dienstleister bewerten und verlangen zunehmend Nachweise wie ISO 27001.
Was verlangt NIS2 konkret?
Betroffene Unternehmen müssen geeignete technische und organisatorische Risikomanagementmaßnahmen umsetzen. Dazu gehören insbesondere:
- Konzepte zur Risikoanalyse und Sicherheit der Informationssysteme
- Bewältigung von Sicherheitsvorfällen
- Aufrechterhaltung des Betriebs: Backup-Management, Notfallwiederherstellung und Krisenmanagement
- Sicherheit der Lieferkette, also auch Ihrer IT-Dienstleister und Rechenzentren
- Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen
- Bewertung der Wirksamkeit der Maßnahmen
- Cyberhygiene und Schulungen
- Kryptografie und Verschlüsselung
- Personalsicherheit, Zugriffskontrolle und Management von Anlagen
- Multi-Faktor-Authentifizierung und gesicherte Kommunikation
Was NIS2 für Ihre IT-Infrastruktur bedeutet
Viele dieser Anforderungen lassen sich nicht allein mit Richtlinien erfüllen, sondern brauchen die passende Infrastruktur. So unterstützen die Leistungen der NMMN GmbH konkret:
| NIS2-Anforderung | Passende Maßnahme |
|---|---|
| Verfügbarkeit & Bewältigung von Vorfällen | DDoS Protection gegen Überlastungsangriffe auf Layer 3 und 4 – inklusive Monitoring und Support |
| Physische Sicherheit | ISO-27001-zertifizierte Rechenzentren in Hamburg mit Zutrittskontrolle, Brandschutz und redundanter Stromversorgung |
| Business Continuity & Backup | Georedundante Standorte, Colocation als Zweitstandort und Georedundanz nach BSI |
| Sicherheit der Lieferkette & Datensouveränität | Private Cloud in Deutschland bei einem deutschen Anbieter – nicht vom US CLOUD Act betroffen |
| Verschlüsselung & gesicherte Kommunikation | Verschlüsselte Glasfaser-Standleitungen statt Datenverkehr über das öffentliche Internet |
| Nachweise für Audits | Zertifikate der Standorte (ISO 27001, ISAE 3402 Type II) für Ihre Dokumentation |
DDoS-Schutz als NIS2-Maßnahme
DDoS-Angriffe (Distributed Denial of Service) überlasten Server, Netzwerke oder Webdienste gezielt, bis sie nicht mehr erreichbar sind. Für NIS2-betroffene Unternehmen ist das doppelt kritisch: Ein erfolgreicher Angriff kann den Betrieb unterbrechen und gleichzeitig eine Meldepflicht innerhalb von 24 Stunden auslösen. Die NMMN DDoS Protection erkennt volumetrische und nicht-volumetrische Angriffe wie SYN-, UDP- und ICMP-Floods sowie DNS-Amplification, leitet den Angriffsverkehr um und lässt den regulären Datenverkehr weitgehend unberührt. So wird DDoS-Schutz zu einem dokumentierbaren Baustein Ihres NIS2-Risikomanagements.
In fünf Schritten zur NIS2-Umsetzung
- Betroffenheit prüfen und sich – falls noch nicht geschehen – beim BSI registrieren.
- Risikoanalyse durchführen: Welche Systeme sind geschäftskritisch, wo liegen die größten Risiken?
- Maßnahmen umsetzen, priorisiert nach Risiko – von Backup und DDoS-Schutz bis Zugriffskontrolle.
- Meldeprozess aufsetzen, damit die 24-Stunden-Frühwarnung im Ernstfall funktioniert.
- Dokumentieren und schulen – inklusive Schulung der Geschäftsleitung und Nachweisen Ihrer Dienstleister.
Vertiefend: NIS-2-Umsetzung 2026: der Compliance-Check für den Mittelstand und Compliance & NIS-2: Pflichten, Risiken und Chancen.
Häufige Fragen zu NIS2
Gilt NIS2 in Deutschland schon?
Ja. Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) ist seit dem 6. Dezember 2025 in Kraft. Es ändert vor allem das BSI-Gesetz und gilt ohne Übergangsfrist.
Ist mein Unternehmen von NIS2 betroffen?
Betroffen sind Unternehmen aus 18 Sektoren – darunter Energie, Gesundheit, Transport, digitale Infrastruktur, verarbeitendes Gewerbe und Lebensmittel –, in der Regel ab 50 Beschäftigten oder 10 Mio. € Jahresumsatz. In Deutschland sind das schätzungsweise rund 29.500 Unternehmen. Einzelne Einrichtungen, etwa Anbieter digitaler Infrastruktur, können unabhängig von der Größe betroffen sein.
Bis wann musste man sich beim BSI registrieren?
Die Registrierungsfrist endete drei Monate nach Inkrafttreten, am 6. März 2026; das BSI hat säumigen Unternehmen eine Nachfrist bis 31. Juli 2026 gewährt. Wer noch nicht registriert ist, sollte das umgehend über das MUK-Portal des BSI (mit ELSTER-Zertifikat) nachholen.
Welche Meldefristen gelten bei einem Sicherheitsvorfall?
Erhebliche Sicherheitsvorfälle müssen gestuft gemeldet werden: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung mit erster Bewertung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats.
Welche Bußgelder drohen?
Für besonders wichtige Einrichtungen bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu 7 Mio. € oder 1,4 %. Zusätzlich haftet die Geschäftsleitung für die Umsetzung der Risikomanagementmaßnahmen.
Ist DDoS-Schutz unter NIS2 Pflicht?
Das Gesetz nennt DDoS-Schutz nicht ausdrücklich, verlangt aber geeignete Maßnahmen für die Verfügbarkeit von Netzen und Diensten, für Business Continuity und für die Bewältigung von Sicherheitsvorfällen. DDoS-Angriffe gehören zu den häufigsten Ursachen für Ausfälle – ein DDoS-Schutz ist daher für viele Unternehmen eine naheliegende, gut dokumentierbare Maßnahme.
Reicht eine ISO-27001-Zertifizierung für NIS2?
ISO 27001 deckt einen großen Teil der Anforderungen ab, aber nicht alles: Die BSI-Registrierung, das gestufte Meldeverfahren und die Pflichten der Geschäftsleitung kommen hinzu. Für Ihre ausgelagerte Infrastruktur hilft es, Anbieter mit eigenen ISO-27001-Nachweisen zu wählen.
Wie unterstützt NMMN bei NIS2?
Mit der Infrastruktur, auf der Ihre Maßnahmen aufsetzen: ISO-27001-zertifizierte Rechenzentren in Hamburg, DDoS Protection, Private Cloud und Backup in Deutschland, georedundante Standorte und verschlüsselte Standleitungen – inklusive der Zertifikate für Ihre Dokumentation.
Sie möchten Ihre Infrastruktur NIS2-fest aufstellen? Sprechen Sie uns an – persönlich aus Hamburg, Tel. +49 40 284 118-0.