Die NIS2-Richtlinie: Der vollständige Leitfaden für 2026

Das Wichtigste in Kürze

• Die NIS2-Richtlinie gilt in Deutschland seit dem 6. Dezember 2025 über das NIS2-Umsetzungsgesetz und das neu gefasste BSI-Gesetz. Eine materielle Übergangsfrist gibt es nicht.
• Rund 29.500 Einrichtungen fallen in Deutschland unter die Aufsicht des BSI. Nach Ablauf der letzten Kulanzfrist am 31. Juli 2026 waren rund 11.000 davon weiterhin nicht registriert, also etwa ein Drittel.
• Das BSIG unterscheidet besonders wichtige und wichtige Einrichtungen. Die Personalschwelle liegt bei 250 beziehungsweise 50 Mitarbeitern; alternativ genügen ein Umsatz über 50 Millionen Euro bei zugleich über 43 Millionen Euro Bilanzsumme beziehungsweise Umsatz und Bilanzsumme von jeweils über 10 Millionen Euro.
• § 30 BSIG schreibt zehn Mindestmaßnahmen für das Risikomanagement vor, § 32 BSIG ein gestuftes Meldeverfahren: Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung binnen eines Monats nach der 72-Stunden-Meldung.
• Die Bußgelder erreichen bei besonders wichtigen Einrichtungen 10 Millionen Euro, bei wichtigen Einrichtungen 7 Millionen Euro. Ein Verstoß gegen die Registrierungspflicht allein ist auf 500.000 Euro begrenzt.

Was ist die NIS2-Richtlinie?

Die NIS2-Richtlinie ist die Richtlinie (EU) 2022/2555, die einen angehobenen Mindeststandard für Cybersicherheits-Risikomanagement und die Meldung von Sicherheitsvorfällen in wesentlichen und wichtigen Sektoren festlegt. Sie ist am 16. Januar 2023 in Kraft getreten und hat die erste NIS-Richtlinie von 2016 ersetzt, die zu wenige Betreiber erfasste und in den Mitgliedstaaten zu unterschiedlich angewandt wurde.

Die entscheidende Änderung ist die Reichweite. Die erste Richtlinie betraf einige Tausend Betreiber, die jeder Mitgliedstaat einzeln benannte. NIS2 erfasst deutlich mehr Unternehmen, weil der Anwendungsbereich jetzt einer Größen- und Sektorregel folgt, und vereinheitlicht die Pflichten, sodass ein Unternehmen in allen Mitgliedstaaten weitgehend dieselben Erwartungen erfüllt. Die Richtlinie zählt in ihren Anhängen 18 Sektoren auf, elf in Anhang I und sieben in Anhang II. Den vollständigen Text finden Sie in der amtlichen EU-Rechtsdatenbank.

NIS2 ist eine Richtlinie und wirkt nicht unmittelbar; verbindlich ist immer das nationale Umsetzungsgesetz. Wenn Sie Standorte in mehreren Mitgliedstaaten betreiben, prüfen Sie jedes Land einzeln, denn die Umsetzungen weichen in Details voneinander ab.

Umsetzungsstand in der EU

Die Umsetzungsfrist war der 17. Oktober 2024; die meisten Mitgliedstaaten haben sie verpasst. Die Europäische Kommission hat daraufhin Vertragsverletzungsverfahren eingeleitet und am 8. Juli 2026 Irland, Spanien, Frankreich und die Niederlande wegen der ausstehenden Umsetzung vor dem Gerichtshof der Europäischen Union verklagt. In den meisten übrigen Mitgliedstaaten, Deutschland eingeschlossen, gelten die Pflichten bereits. Wer auf die nationale Frist wartet, verliert nur Zeit.

NIS2 in Deutschland: das BSIG gilt seit dem 6. Dezember 2025

Deutschland hat NIS2 mit dem NIS2-Umsetzungsgesetz umgesetzt, verkündet am 5. Dezember 2025 im Bundesgesetzblatt (BGBl. 2025 I Nr. 301) und in Kraft seit dem 6. Dezember 2025. Materielle Übergangsfristen enthält das Gesetz nicht. Die Pflichten aus §§ 30 bis 38 BSIG gelten seit dem ersten Tag; wer damals betroffen war, war damals verpflichtet.

Die erste Pflicht, die praktisch greift, ist die Registrierung. Nach § 33 Abs. 1 BSIG müssen sich besonders wichtige und wichtige Einrichtungen spätestens drei Monate, nachdem sie erstmals als solche gelten, beim BSI registrieren. Für die zum Inkrafttreten betroffenen Einrichtungen lief diese Frist am 6. März 2026 ab. Registriert waren zu diesem Zeitpunkt rund 11.500 von etwa 29.500 erwarteten Einrichtungen.

Das BSI hat darauf mit einer Vollzugskulanz reagiert und Registrierungen bis zum 31. Juli 2026 ohne weitere Folgen akzeptiert. Diese Kulanz war keine Änderung der gesetzlichen Frist, was zwei Konsequenzen hat: die Registrierung ist seit dem 6. März 2026 rechtlich verspätet; wer sich heute registriert, holt eine bereits versäumte Pflicht nach.

Bis zum Ablauf der Kulanz war die Lücke kleiner, aber nicht geschlossen. Rund 11.000 Einrichtungen, also etwa ein Drittel der erwarteten 29.500, waren Anfang August 2026 weiterhin nicht registriert. Das BSI weist unverändert darauf hin, dass die gesetzliche Registrierungsfrist abgelaufen ist, erwartet die Registrierung aller betroffenen Einrichtungen und hat sich weitere Schritte ausdrücklich vorbehalten. Die Registrierung läuft zweistufig: zuerst über das Mein Unternehmenskonto, danach im BSI-Portal.

Die Registrierung gehört zu den am mildesten bewehrten Pflichten des Gesetzes: ein Verstoß dagegen ist nach § 65 BSIG auf 500.000 Euro begrenzt, während die Maßnahmen nach § 30 und die Meldepflichten nach § 32 mit bis zu 10 Millionen Euro bewehrt sind. Wer sich registriert und es dabei belässt, erledigt damit die vergleichsweise günstige Pflicht und wird für die Aufsicht sichtbar, ohne die teuren erfüllt zu haben. Was zu tun ist, wenn Sie die Frist versäumt haben, und in welcher Reihenfolge, behandelt unser Leitfaden zur versäumten NIS2-Frist Schritt für Schritt.

Für wen gilt NIS2? Besonders wichtige und wichtige Einrichtungen

NIS2 gilt für mittlere und größere Unternehmen in einem der erfassten Sektoren. Die Richtlinie spricht von wesentlichen und wichtigen Einrichtungen; das BSIG verwendet die Begriffe besonders wichtige und wichtige Einrichtungen. Wer nach der Richtlinie eine wesentliche Einrichtung ist, ist nach deutschem Recht eine besonders wichtige Einrichtung. Beide Stufen unterliegen denselben Kernpflichten, aber unterschiedlicher Aufsicht und unterschiedlichen Bußgeldobergrenzen.

Auf das Wort „oder“ kommt es an. Ein Unternehmen mit 60 Mitarbeitern und 6 Millionen Euro Umsatz ist eine wichtige Einrichtung, weil das Personalkriterium allein genügt. Umgekehrt greift das finanzielle Kriterium nur, wenn Umsatz und Bilanzsumme beide über der Schwelle liegen.

Für die Berechnung der Unternehmensgröße gilt nach § 28 Abs. 4 BSIG die Empfehlung 2003/361/EG der Kommission, allerdings ohne Artikel 3 Abs. 4 des Anhangs. Eine Beteiligung öffentlicher Stellen von 25 Prozent oder mehr schließt die Einordnung als kleines oder mittleres Unternehmen also nicht aus. Die Daten von Partnerunternehmen und verbundenen Unternehmen werden dagegen nach Artikel 6 des Anhangs zusammengerechnet, was Konzerntöchter regelmäßig über die Schwelle hebt.

Das BSIG fasst die Sektoren anders zusammen als die Richtlinie. Anlage 1 listet sieben Sektoren: Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur, Weltraum. Anlage 2 listet ebenfalls sieben: Transport und Verkehr mit Post- und Kurierdiensten, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe, Anbieter digitaler Dienste, Forschung. Innerhalb dieser Sektoren zählt das Gesetz einzelne Einrichtungsarten auf; erfasst ist nur, wer einer dieser Arten entspricht. Managed Service Provider und Managed Security Service Provider sitzen dabei im Sektor digitale Infrastruktur, nicht in einem eigenen IT-Sektor.

Ein Beispiel aus der Praxis: Ein Maschinenbauer mit 140 Mitarbeitern und 38 Millionen Euro Umsatz fällt unter Anlage 2 Nr. 5, überschreitet die Personalschwelle von 50 und ist damit eine wichtige Einrichtung. Seine Registrierungsfrist lief am 6. März 2026 ab, er unterliegt allen zehn Maßnahmen nach § 30 und den Meldefristen nach § 32, und beaufsichtigt wird er reaktiv. Nichts davon hängt daran, ob er sich selbst als kritische Infrastruktur versteht.

Welche Pflichten im Detail an Ihre Einstufung geknüpft sind, erläutert unsere Aufschlüsselung der NIS2-Anforderungen. Der Anwendungsbereich ist außerdem die Stelle, an der die meisten Fehleinschätzungen entstehen, von „wir sind zu klein“ bis „das ist Sache der IT“; die häufigsten räumen wir in den gefährlichsten NIS2-Irrtümern auf. Betreiber kritischer Anlagen unterliegen zusätzlich den KRITIS-Regeln und damit den intensivsten Pflichten, die der NIS2-Implementierungsleitfaden für KRITIS im Einzelnen abdeckt.

Die zehn Risikomanagementmaßnahmen nach § 30 BSIG

§ 30 Abs. 1 BSIG verpflichtet erfasste Einrichtungen zu geeigneten, verhältnismäßigen und wirksamen technischen und organisatorischen Maßnahmen. Was verhältnismäßig ist, richtet sich nach der Risikoexposition, der Unternehmensgröße, den Umsetzungskosten sowie der Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen. Der letzte Satz des Absatzes wird häufig überlesen und ist der eigentliche Arbeitsauftrag: die Einhaltung ist zu dokumentieren. Ohne Nachweis existiert eine Maßnahme aus Sicht der Aufsicht nicht.

§ 30 Abs. 2 BSIG setzt Artikel 21 der Richtlinie um und benennt zehn Mindestmaßnahmen:

1. Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik
2. Bewältigung von Sicherheitsvorfällen
3. Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement
4. Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern
5. Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen
6. Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen
7. grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik
8. Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren
9. Konzepte für die Sicherheit des Personals, die Zugriffskontrolle und die Verwaltung von IKT-Systemen, -Produkten und -Prozessen
10. Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme

Neun der zehn Punkte lassen sich mit Konzepten und Nachweisen belegen. Nummer 3, die Aufrechterhaltung des Betriebs, ist die Ausnahme: ihre Wirksamkeit ist nach Nummer 6 praktisch nur durch Tests zu belegen, denn ein ungetesteter Notfallplan bleibt gegenüber der Aufsicht eine Absichtserklärung. Wie Sie Business Impact Analysis, Backup-Strategie und Krisenstab so aufbauen, dass ein Test sie nicht sofort widerlegt, behandelt unser Leitfaden zur NIS2-Notfallplanung.

Lieferkettensicherheit ist die aufwendigste der zehn Maßnahmen

Nummer 4 verlangt Sicherheit in der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern. Das Wort „unmittelbar“ begrenzt die Pflicht auf Ihre erste Lieferantenebene, was viele Projekte zu spät erkennen und deshalb monatelang Sub-Sub-Dienstleister erfassen. Zugleich reicht ein Lieferantenverzeichnis nicht aus, denn verlangt sind sicherheitsbezogene Aspekte der Beziehung, also eine Bewertung des jeweiligen Anbieters und vertragliche Regelungen, die zu dieser Bewertung passen.

Ein realistischer Zuschnitt beginnt bei denjenigen Anbietern, deren Ausfall oder Kompromittierung Ihre erfassten Dienste direkt trifft, typischerweise Cloud- und Rechenzentrumsdienste, Managed Service Provider, Software mit Zugriff auf produktive Systeme und Anbieter mit administrativen Zugängen. Für diese Gruppe brauchen Sie eine dokumentierte Bewertung, ein Datum, einen Verantwortlichen und einen Wiederholungszyklus. Genau diese Kette aus Bewertung, Nachweis und Wiedervorlage bildet unser Risikomanagement ab.

Beachten Sie den Rückkopplungseffekt: sobald Ihre Kunden unter NIS2 fallen, werden Sie selbst zum bewerteten unmittelbaren Anbieter. Anfragen nach Sicherheitsnachweisen aus dem Kundenkreis sind daher häufig der erste Anlass, aus dem Unternehmen ihre eigene Betroffenheit prüfen.

Meldepflichten: 24 Stunden, 72 Stunden, ein Monat

§ 32 BSIG verlangt bei einem erheblichen Sicherheitsvorfall eine gestufte Meldung an eine gemeinsame Meldestelle des BSI und des Bundesamtes für Bevölkerungsschutz und Katastrophenhilfe. Jede Stufe ist unverzüglich fällig, die Stundenangaben sind Höchstfristen und keine Zielwerte.

Betreiber kritischer Anlagen müssen nach § 32 Abs. 3 BSIG zusätzlich angeben, welche Anlage und welche kritische Dienstleistung betroffen sind und wie sich der Vorfall auf diese Dienstleistung auswirkt. Diese Ergänzung hat kein Gegenstück in der Richtlinie.

Die 24-Stunden-Frist scheitert in der Praxis selten an fehlender Technik, sondern an fehlender Zuständigkeit. Wenn ein Vorfall an einem Freitagabend erkannt wird und niemand benannt ist, der die Erstmeldung ohne Rückfrage absetzen darf, ist die Frist verstrichen, bevor die Bewertung überhaupt begonnen hat. Ein versäumter Meldetermin ist selbst ein Verstoß, unabhängig davon, wie gut der Vorfall danach behandelt wurde.

Geschäftsleitung: Pflichten, Schulung und Haftung

§ 38 BSIG adressiert die Geschäftsleitung direkt, und zwar knapper und anders, als oft berichtet wird. Nach Abs. 1 ist die Geschäftsleitung verpflichtet, die Risikomanagementmaßnahmen nach § 30 umzusetzen und ihre Umsetzung zu überwachen. Von einer Billigung oder Genehmigung ist im deutschen Gesetz nicht die Rede, anders als in Artikel 20 der Richtlinie. Nach Abs. 3 muss die Geschäftsleitung regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagementpraktiken erkennen, bewerten und in ihren Auswirkungen auf die eigenen Dienste beurteilen zu können. Diese Schulungspflicht trifft ausschließlich die Geschäftsleitung; die Sensibilisierung der Beschäftigten ist eine eigene Pflicht aus § 30 Abs. 2 Nr. 7.

Die Haftungsregel wird meist verkürzt wiedergegeben, und zwar in beide Richtungen. § 38 Abs. 2 BSIG bestimmt, dass Geschäftsleitungen, die ihre Pflichten nach Abs. 1 verletzen, ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform anwendbaren Regeln des Gesellschaftsrechts haften. Es geht also um eine Innenhaftung gegenüber dem eigenen Unternehmen über § 43 GmbHG beziehungsweise § 93 AktG, nicht um ein persönliches Bußgeld und nicht um eine Haftung gegenüber Dritten. Nach dem BSIG selbst haftet die Geschäftsleitung nur dann, wenn das maßgebliche Gesellschaftsrecht keine eigene Haftungsregelung enthält.

Harmlos ist die Pflicht damit nicht: ein Schaden aus einem Sicherheitsvorfall, der bei ordnungsgemäßer Umsetzung vermeidbar gewesen wäre, wird damit zu einem Anspruch der Gesellschaft gegen ihre eigenen Geschäftsführer, den ein Insolvenzverwalter oder ein neuer Gesellschafter geltend machen kann.

Welche Nachweise Sie als Geschäftsführer konkret vorhalten sollten, von belegten Schulungsterminen über die dokumentierte Überwachung bis zur Berichtsroutine, fasst unsere NIS2-Checkliste für Geschäftsführer zusammen.

Bußgelder und Aufsicht

§ 65 BSIG staffelt die Bußgelder nach Verstoß und Einstufung. Die höchste Stufe betrifft die Verstöße gegen die Risikomanagementmaßnahmen und die Meldepflichten.

Die deutsche Konstruktion weicht in der Mechanik von der Richtlinie ab. Artikel 34 der Richtlinie stellt Eurobetrag und Prozentsatz gegenüber und lässt den höheren Wert gelten. § 65 BSIG setzt stattdessen einen Schwellenwert: die prozentuale Obergrenze greift erst bei einem Gesamtumsatz über 500 Millionen Euro. Rechnerisch führt das zum gleichen Ergebnis, denn 2 Prozent von 500 Millionen Euro sind genau 10 Millionen Euro. Für die Zitierfähigkeit ist der Unterschied dennoch relevant.

Als Gesamtumsatz gilt nach § 65 Abs. 8 BSIG die Summe aller weltweit erzielten Umsatzerlöse des Unternehmens, dem die Einrichtung angehört, in dem der Behördenentscheidung vorausgegangenen Geschäftsjahr. Die Bezugsgröße ist also die Gruppe, nicht die einzelne betroffene Gesellschaft.

Geldbußen sind nicht das einzige Instrument. Gegenüber besonders wichtigen Einrichtungen können die Aufsichtsbehörden nach § 61 Abs. 9 BSIG zusätzlich fachrechtliche Genehmigungen vorübergehend aussetzen und unzuverlässigen Geschäftsleitungen die Ausübung von Leitungsaufgaben vorübergehend untersagen. Ein ISO-27001-Zertifikat kann das BSI dagegen nicht aussetzen; gemeint sind Genehmigungen nach dem jeweiligen Fachrecht. Eine Doppelsanktionierung ist ausgeschlossen, soweit eine Datenschutzaufsichtsbehörde denselben Sachverhalt bereits nach der DSGVO geahndet hat.

NIS2 umsetzen: der schnellste Weg führt über ein ISMS

Die zehn Maßnahmen aus § 30 BSIG decken sich weitgehend mit den Anforderungen von ISO 27001. Ein Informationssicherheits-Managementsystem, das Sie möglicherweise schon betreiben, hat damit einen großen Teil der Arbeit bereits erledigt. Es deckt sie allerdings nicht vollständig ab: die Meldefristen nach § 32, die Registrierung nach § 33 und die persönlichen Pflichten der Geschäftsleitung nach § 38 haben in ISO 27001 kein direktes Gegenstück. Welcher Anteil übertragbar ist und welche Lücken bleiben, zeigt unser Leitfaden zu den Überschneidungen von NIS2 und ISO 27001.

Wenn Sie noch nicht zertifiziert sind, lohnt die Reihenfolge trotzdem: das ISMS zuerst aufzubauen und die NIS2-spezifischen Ergänzungen daran anzuhängen ist günstiger, als zwei getrennte Nachweisstrukturen zu pflegen. Was eine Zertifizierung dauert und kostet, steht in unserem Leitfaden zur ISO-27001-Zertifizierung.

Der Rest ist planbare Arbeit in fünf Schritten. Bestätigen Sie Anwendungsbereich und Einstufung nach § 28 und dokumentieren Sie das Ergebnis, denn die Betroffenheitsprüfung ist selbst ein Nachweis. Registrieren Sie sich, falls das noch nicht erfolgt ist. Schließen Sie die Lücken gegenüber den zehn Maßnahmen und legen Sie für jede fest, wer sie verantwortet und woran ihre Wirksamkeit gemessen wird. Setzen Sie den Meldeprozess mit benannten Bereitschaften und vorbereiteten Meldevorlagen auf und testen Sie ihn mindestens einmal. Binden Sie die Geschäftsleitung mit Schulungsterminen und einer wiederkehrenden Berichtsroutine nachweisbar ein.

Wie Kertos bei NIS2 unterstützt

Kertos verbindet eine Compliance-Plattform mit zertifizierten Experten, die die Umsetzung mit Ihnen durchführen statt sie nur zu bewerten. Die Plattform bildet ein gemeinsames Kontroll-Set über NIS2, ISO 27001, die DSGVO und Ihre weiteren Rahmenwerke ab, sammelt Nachweise automatisiert ein und macht sichtbar, welche der zehn Maßnahmen aus § 30 BSIG belegt sind und welche nicht.

Praktisch heißt das: Ihre Betroffenheitsprüfung, das Lieferantenverzeichnis für Nummer 4, die Wirksamkeitsbewertung für Nummer 6 und die Meldevorlagen für § 32 liegen an einer Stelle, versioniert und mit Datum. Wenn Sie ISO 27001 schon betreiben, wird NIS2 damit zur Erweiterung eines bestehenden Programms und nicht zu einem zweiten Projekt mit eigener Nachweisführung. Die Einzelheiten finden Sie auf der NIS2-Lösungsseite und auf der Compliance-Plattform; wenn Sie den konkreten Stand Ihres Unternehmens besprechen möchten, buchen Sie eine Demo.

Häufige Fragen

Für wen gilt NIS2 in Deutschland?

Für Unternehmen, die einer der in den Anlagen 1 und 2 des BSIG aufgeführten Einrichtungsarten entsprechen und mindestens 50 Mitarbeiter beschäftigen oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Millionen Euro erreichen. Ab 250 Mitarbeitern werden Einrichtungen aus Anlage 1 zu besonders wichtigen Einrichtungen. Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, DNS-Diensteanbieter und Top-Level-Domain-Name-Registries fallen unabhängig von ihrer Größe darunter.

Was ist der Unterschied zwischen besonders wichtigen und wichtigen Einrichtungen?

Die Pflichten aus §§ 30 bis 38 BSIG sind für beide Stufen identisch. Unterschiedlich sind Aufsicht und Sanktionsrahmen: besonders wichtige Einrichtungen kann das BSI ohne konkreten Anlass prüfen und mit bis zu 10 Millionen Euro belangen, wichtige Einrichtungen werden im Regelfall erst nach einem Vorfall geprüft und liegen bei 7 Millionen Euro.

Muss ich mein Unternehmen beim BSI registrieren, und ist die Frist abgelaufen?

Ja. § 33 BSIG verlangt die Registrierung spätestens drei Monate, nachdem ein Unternehmen als besonders wichtige oder wichtige Einrichtung gilt. Für die bei Inkrafttreten betroffenen Einrichtungen endete die Frist am 6. März 2026; das BSI hat Registrierungen bis zum 31. Juli 2026 im Rahmen einer Vollzugskulanz akzeptiert. Beide Termine sind verstrichen; die Pflicht besteht unverändert weiter, und eine verspätete Registrierung ist immer noch besser als keine.

Welche Meldefristen gelten bei NIS2?

Nach § 32 BSIG eine frühe Erstmeldung binnen 24 Stunden nach Kenntniserlangung, eine Meldung mit erster Bewertung binnen 72 Stunden und eine Abschlussmeldung binnen eines Monats nach der 72-Stunden-Meldung. Dauert der Vorfall nach einem Monat noch an, tritt an die Stelle der Abschlussmeldung zunächst eine Fortschrittsmeldung. Das BSI kann zusätzlich Zwischenmeldungen anfordern.

Haftet die Geschäftsführung bei NIS2 persönlich?

Ja, aber nicht in Form eines persönlichen Bußgelds. Nach § 38 Abs. 2 BSIG haften Geschäftsleitungen, die die Umsetzung und Überwachung der Maßnahmen nach § 30 versäumen, ihrer eigenen Einrichtung für den schuldhaft verursachten Schaden nach den Regeln des Gesellschaftsrechts, also über § 43 GmbHG beziehungsweise § 93 AktG. Zusätzlich müssen Geschäftsleitungen nach § 38 Abs. 3 regelmäßig an Schulungen zur Informationssicherheit teilnehmen.

Reicht eine ISO-27001-Zertifizierung für NIS2 aus?

Nein, sie bringt Sie aber einen großen Schritt weiter. Ein zertifiziertes ISMS belegt den Großteil des technisch-organisatorischen Teils von § 30 BSIG. Die gesetzlichen Zusatzpflichten müssen Sie separat aufsetzen: Meldung nach § 32, Registrierung nach § 33 und die persönlichen Pflichten der Geschäftsleitung nach § 38.

‍