Was NIS2 ist und warum 2026 das entscheidende Jahr ist
NIS2 ist die zweite EU-Richtlinie zur Netz- und Informationssicherheit (Richtlinie (EU) 2022/2555). Sie löst die erste NIS-Richtlinie ab und erweitert deren Anforderungen erheblich — sowohl beim Kreis der betroffenen Unternehmen als auch bei den Pflichten zu Risikomanagement, Meldung und Nachweis. In Deutschland erfolgte die Umsetzung später als ursprünglich geplant: Das NIS2-Umsetzungsgesetz wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet und trat einen Tag später, am 6. Dezember 2025, in Kraft (Greenberg Traurig 2025). Eine allgemeine Übergangsfrist gibt es nicht — die Pflichten gelten grundsätzlich unmittelbar (Reed Smith 2025).
Damit ist 2026 das Jahr, in dem die neuen Pflichten praktisch wirksam werden. Anders als frühere Regelwerke trifft NIS2 nicht nur klassische Betreiber kritischer Infrastrukturen, sondern eine breite Mitte der Wirtschaft. Wer eine Website oder Online-Plattform als wesentlichen Teil seines Geschäfts betreibt, sollte deshalb prüfen, ob er in den Anwendungsbereich fällt — und falls ja, ob die internen Prozesse die kurzen Meldefristen überhaupt abbilden können.
Es gibt keine behördliche Einzelbenachrichtigung. Jeder Betrieb muss selbst prüfen, ob er unter NIS2 fällt, sich gegebenenfalls registrieren und die Pflichten erfüllen (Mayer Brown 2025). Die fehlende Registrierung ist nach § 65 BSIG ein eigenständiger Bußgeldtatbestand — unabhängig davon, ob ein Vorfall eingetreten ist.
Der erweiterte Anwendungsbereich seit Dezember 2025
Der größte praktische Unterschied gegenüber der Vorgängerregelung ist die Reichweite. Schätzungen gehen davon aus, dass die Zahl der regulierten Organisationen in Deutschland von rund 4.500 auf etwa 29.000 steigt (Reed Smith 2025). Erfasst werden Betriebe in einer langen Liste von Sektoren — darunter Energie, Verkehr, Finanzwesen, Gesundheit und vor allem die digitale Infrastruktur (OpenKRITIS 2025). Für die meisten Sektoren gilt eine Größenschwelle: erfasst ist, wer mindestens 50 Beschäftigte hat oder einen Jahresumsatz von mehr als 10 Millionen Euro (Freshfields 2025).
Innerhalb des Anwendungsbereichs unterscheidet das Gesetz zwei Stufen, an die unterschiedlich strenge Bußgeldobergrenzen geknüpft sind. Die Einordnung folgt Sektor und Größe und entscheidet über das maximale Sanktionsrisiko.
| Kategorie | Typische Schwelle | Bußgeld-Obergrenze |
|---|---|---|
| Besonders wichtige Betriebe (essential) | ab 250 Beschäftigte oder über 50 Mio. EUR Umsatz | bis 10 Mio. EUR oder 2 % Weltjahresumsatz |
| Wichtige Betriebe (important) | ab 50 Beschäftigte oder über 10 Mio. EUR Umsatz | bis 7 Mio. EUR oder 1,4 % Weltjahresumsatz |
| Digitale Infrastruktur (Teilbereiche) | unabhängig von der Größe | je nach Einstufung essential/important |
Besonders relevant für den Web-Bereich: Mehrere Arten digitaler Dienste fallen unabhängig von ihrer Größe unter NIS2. Dazu zählen unter anderem DNS-Diensteanbieter, Top-Level-Domain-Registrierungsstellen, Anbieter öffentlicher elektronischer Kommunikationsnetze sowie qualifizierte Vertrauensdiensteanbieter nach eIDAS (K&L Gates 2026). Auch Cloud-Computing-Dienste, Rechenzentrumsdienste, Content-Delivery-Netze, Online-Marktplätze, Suchmaschinen und Plattformen sozialer Netzwerke werden von der digitalen Diensteregelung erfasst, sofern ihre Hauptniederlassung in Deutschland liegt (K&L Gates 2026). Wer also eine Plattform betreibt, von der andere Unternehmen abhängen, sollte die Größenschwelle nicht als Entwarnung verstehen.
Hinter dem Sprung von rund 4.500 auf etwa 29.000 Betriebe steht eine bewusst breite Auslegung der Richtlinie durch den deutschen Gesetzgeber, die ein weites Spektrum kritischer, besonders wichtiger und wichtiger Einrichtungen erfasst (Reed Smith 2025). Für die Praxis bedeutet das: Auch mittelständische Unternehmen aus Bereichen wie Maschinenbau, Forschung, Lebensmittel oder Abfallwirtschaft, die sich bislang nicht als Teil einer kritischen Infrastruktur verstanden haben, können nun in den Anwendungsbereich rutschen (OpenKRITIS 2025). Die Einordnung als wichtiger oder besonders wichtiger Betrieb folgt dabei nicht der eigenen Selbstwahrnehmung, sondern den gesetzlichen Schwellen aus Beschäftigtenzahl, Umsatz und Bilanzsumme in Verbindung mit dem Sektor (Freshfields 2025). Wer unsicher ist, ob die eigene Organisation erfasst ist, sollte die Prüfung frühzeitig und nachvollziehbar dokumentieren, denn auch eine fundierte Verneinung will im Zweifel belegt sein.
Selbst wenn ein eigener Betrieb knapp unterhalb der Schwelle liegt, kann er über Lieferketten in die Pflicht geraten: NIS2 verlangt von erfassten Betrieben, die Sicherheit ihrer Dienstleister und Zulieferer mit zu betrachten. Agenturen, Hosting-Partner und Managed-Service-Provider erhalten dadurch häufig vertragliche Anforderungen weitergereicht — verwandt mit dem Gedanken, der auch der Skript-Integrität und Supply-Chain-Überwachung zugrunde liegt.
Die gestaffelten Meldefristen im Detail
Das Herzstück der NIS2-Pflichten ist die dreistufige Meldung eines erheblichen Sicherheitsvorfalls an das BSI. Die Stufen bauen aufeinander auf und sind bewusst so gestaltet, dass am Anfang Geschwindigkeit vor Vollständigkeit steht (Glocert 2025). Wichtig ist: Die Fristen laufen ab dem Zeitpunkt, zu dem der Betrieb Kenntnis vom Vorfall erlangt — nicht ab dem Vorfall selbst. Genau deshalb ist eine frühe, zeitgestempelte Erkennung so wertvoll.
- Frühwarnung innerhalb von 24 Stunden — unverzüglich, spätestens 24 Stunden nach Kenntnis. Sie gibt insbesondere an, ob der Vorfall mutmaßlich auf rechtswidrige oder böswillige Handlungen zurückgeht oder grenzüberschreitende Auswirkungen haben könnte (OpenKRITIS 2025).
- Meldung innerhalb von 72 Stunden — spätestens 72 Stunden nach Kenntnis. Sie aktualisiert die Frühwarnung und enthält eine erste Bewertung des Vorfalls einschließlich Schweregrad und Auswirkungen sowie, soweit verfügbar, Kompromittierungsindikatoren (Glocert 2025).
- Zwischenbericht auf Anforderung — auf Verlangen des BSI oder eines CSIRT sind relevante Statusaktualisierungen nachzureichen (Glocert 2025).
- Abschlussbericht nach einem Monat — spätestens einen Monat nach der Meldung, mit detaillierter Beschreibung des Vorfalls, seiner Schwere und Auswirkungen sowie der getroffenen Maßnahmen (OpenKRITIS 2025).
Die Meldung erfolgt über eine zentrale Meldestelle des BSI (Reed Smith 2025). Erheblich ist ein Vorfall im Sinne von NIS2 unter anderem dann, wenn er eine schwerwiegende Betriebsstörung oder einen finanziellen Verlust verursacht hat oder verursachen kann — oder wenn er andere Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt (Glocert 2025). Für einen Website-Betreiber kann das beispielsweise ein längerer Ausfall, eine Defacement-Attacke, ein Datenabfluss oder eine erfolgreiche Manipulation eingebundener Skripte sein.
Die 24-Stunden-Frist beginnt mit der Kenntnis vom Vorfall. Wer einen Ausfall oder eine Manipulation erst Stunden später zufällig bemerkt, hat einen großen Teil der Frist bereits verbraucht, bevor die eigentliche Aufarbeitung beginnt. Je früher und je präziser der Startzeitpunkt dokumentiert ist, desto realistischer ist die fristgerechte Frühwarnung.
Registrierungspflicht beim BSI über das MUK-Portal
Neben den Meldepflichten besteht eine eigenständige Registrierungspflicht. Erfasste Betriebe mussten sich über die vom BSI bereitgestellte Plattform bis zum 6. März 2026 registrieren (K&L Gates 2026). Das Registrierungsportal ist seit dem 6. Januar 2026 verfügbar (Privacy World 2025). Die Registrierung läuft zweistufig: zunächst ein Konto über Mein Unternehmenskonto (MUK/ELSTER), dann die Registrierung im BSI-Portal (Enobyte 2026).
Wer die Frist versäumt hat, sollte die Registrierung dennoch nachholen, statt sie auszusitzen. Ein erheblicher Teil der betroffenen Unternehmen war zum Stichtag noch nicht registriert — und das BSI hat eine systematische Durchsetzung für 2026 signalisiert (K&L Gates 2026). Unregistrierte Betriebe riskieren dann nicht nur Sanktionen wegen fehlender Sicherheitsmaßnahmen, sondern auch wegen des Registrierungsverstoßes als eigenem Tatbestand nach § 65 BSIG (K&L Gates 2026).
Organisationskonto über Mein Unternehmenskonto anlegen — benötigt ein ELSTER-Organisationszertifikat.
Registrierung der Betriebsdaten und Kontaktstellen im BSI-Meldeportal, das seit Januar 2026 live ist.
Eine erreichbare Meldekontaktstelle festlegen, damit eine Frühwarnung innerhalb von 24 Stunden überhaupt organisierbar ist.
Belege zu Erkennung, Reaktion und Behebung dokumentieren — sie werden im Abschlussbericht und bei einer Prüfung relevant.
Bußgelder und Haftung: Was bei Versäumnissen droht
Die Sanktionen sind nach § 65 BSIG gestaffelt. Für besonders wichtige Betriebe liegt die Obergrenze bei 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes — je nachdem, welcher Betrag höher ist. Für wichtige Betriebe sind es bis zu 7 Millionen Euro oder 1,4 % des Umsatzes (Greenberg Traurig 2025). Hinzu kommt eine persönliche Verantwortung der Leitungsebene: Die deutsche Umsetzung sieht Geldbußen von bis zu 500.000 Euro für einzelne Führungskräfte vor, die ihren Governance-Pflichten nicht nachkommen (Greenberg Traurig 2025).
Diese Zahlen verdeutlichen, dass Cybersicherheit unter NIS2 zur Chefsache wird. Die Geschäftsleitung muss die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen — eine reine Delegation an die IT genügt formal nicht. Ein dokumentiertes, kontinuierliches Monitoring der eigenen Dienste ist deshalb nicht nur technisch sinnvoll, sondern auch ein nachweisbarer Beleg dafür, dass die Leitungsebene ihren Aufsichtspflichten nachkommt.
Ein verbreiteter Irrtum lautet, Sanktionen drohten nur nach einem Sicherheitsvorfall. Tatsächlich ist bereits die fehlende Registrierung oder das Fehlen geeigneter Risikomanagementmaßnahmen ein eigenständiger Bußgeldtatbestand (K&L Gates 2026). Die Prävention beginnt also nicht erst im Ernstfall, sondern mit nachweisbarer, laufender Sorgfalt.
Warum die Fristen ohne Monitoring kaum einhaltbar sind
Die 24-Stunden-Frist setzt voraus, dass der Vorfall überhaupt zeitnah bemerkt wird. Genau hier liegt die praktische Schwäche vieler Organisationen: Ein Ausfall, eine Defacement-Attacke oder ein abgelaufenes Zertifikat wird oft erst durch einen Kundenhinweis oder zufällig entdeckt — unter Umständen viele Stunden nach dem eigentlichen Ereignis. Bis dahin läuft die Frist bereits, ohne dass jemand die Uhr gestartet hat. Eine manuelle, gelegentliche Sichtprüfung bildet weder die Dauerüberwachung noch die zeitliche Präzision ab, die NIS2 faktisch verlangt.
Kontinuierliches, automatisiertes Monitoring dreht dieses Verhältnis um. Statt auf einen externen Hinweis zu warten, erkennt eine fortlaufende Überwachung den Statuswechsel selbst — und versieht ihn mit einem Zeitstempel. Dieser Zeitstempel ist die objektive Grundlage dafür, wann die 24- und 72-Stunden-Fristen zu laufen begannen, und liefert zugleich Material für den Abschlussbericht. Das Prinzip der lückenlosen Soll-Ist-Erfassung kennen Betreiber bereits aus der Überwachung der security.txt und Vulnerability-Disclosure; bei NIS2 dient dieselbe Disziplin der fristgerechten Meldung.
Mehrregionale Checks erkennen Ausfälle in Minuten und dokumentieren Beginn und Ende mit Zeitstempel — Grundlage für die Uptime-Überwachung.
Ablaufende oder zurückgezogene Zertifikate werden frühzeitig gemeldet, bevor daraus eine Störung wird — siehe SSL-Monitoring.
Veränderungen an DNS-Einträgen und am DNSSEC-Status werden überwacht, ein häufiger Hebel für Angriffe auf die Verfügbarkeit.
Visuelle und inhaltliche Veränderungen werden gegen eine Baseline geprüft — unbefugte Manipulation wird so sichtbar.
Sicherheitsrelevante HTTP-Header und gängige Schwachstellenmuster werden regelmäßig geprüft, um den Posture-Status zu belegen.
Jeder relevante Statuswechsel löst eine Benachrichtigung per E-Mail, Slack, Discord oder Telegram aus — mit Eskalation, falls niemand reagiert.
Der Wert liegt in der Verkürzung der Zeit zwischen Ereignis und Kenntnis. Wenn ein Ausfall innerhalb weniger Minuten erkannt und alarmiert wird, beginnt die 24-Stunden-Frist mit dem größtmöglichen zeitlichen Vorlauf für die eigentliche Reaktion. Wer dagegen erst nach Stunden bemerkt, dass etwas nicht stimmt, muss den verbleibenden Rest der Frist unter Druck bewältigen. Wie hoch der wirtschaftliche Hebel einer schnellen Erkennung ist, zeigt der Beitrag zu den Kosten von Website-Ausfällen.
Von der Erkennung zur fristgerechten Meldung
Monitoring ersetzt keine rechtliche Bewertung — ob ein Vorfall im Sinne von NIS2 erheblich ist und gemeldet werden muss, entscheiden die Verantwortlichen im Einzelfall, idealerweise mit juristischer Begleitung. Was Monitoring leistet, ist die zuverlässige, zeitlich präzise Erkennung und die lückenlose Dokumentation, auf der diese Bewertung aufsetzt. Beides zusammen macht aus einer abstrakten Frist einen handhabbaren Prozess.
Ein praktischer Ablauf kann so aussehen: Das Monitoring erkennt einen Statuswechsel und alarmiert die Kontaktstelle. Die Verantwortlichen bewerten, ob ein erheblicher Vorfall vorliegt. Ist das der Fall, läuft die 24-Stunden-Uhr ab dem dokumentierten Erkennungszeitpunkt, und die Frühwarnung wird vorbereitet. Das lückenlose Protokoll aus dem Monitoring — wann der Ausfall begann, wann er erkannt wurde, wann er behoben war — fließt in die 72-Stunden-Meldung und später in den Abschlussbericht ein. Diese Verkettung ist der eigentliche Compliance-Nutzen, weit über die reine Verfügbarkeit hinaus. Die Eskalationslogik dahinter beschreibt der Beitrag zum Incident-Management mit Eskalationsstufen.
Die 24-Stunden-Frist läuft ab Kenntnis, nicht ab dem Vorfall. Wer früh und zeitgestempelt erkennt, gewinnt genau die Stunden, die über eine fristgerechte Frühwarnung entscheiden.
— XICTRAQ Compliance-Monitoring
NIS2 ist damit kein rein juristisches Thema, sondern eines, das technische Sichtbarkeit voraussetzt. Wer seine Dienste nicht laufend beobachtet, kann weder zuverlässig melden noch belegen, dass er angemessen reagiert hat. Ein kontinuierliches Monitoring ist deshalb die praktische Brücke zwischen der gesetzlichen Pflicht und ihrer Erfüllung. Wer parallel die im September 2026 greifende Schwachstellen-Meldepflicht des Cyber Resilience Act im Blick hat, kann beide Regelwerke auf derselben Überwachungs- und Beweisbasis bedienen.
Dieser Artikel basiert auf Daten und Analysen von: DLA Piper (NIS 2 Directive Transposed in Germany, 2026), K&L Gates (Registration Requirement Expires on 6 March 2026, 2026), OpenKRITIS (NIS2 Implementation in Germany / DE NIS2), Reed Smith (Germany Implements NIS2: Immediate Effect, Broad Scope, Near-Term Registration, 2025), Greenberg Traurig (NIS2 in Germany: The New BSI Act, 2025), Freshfields (Germany implements NIS2, 2025), Mayer Brown (Cyber Rules for Essential and Important Entities Take Effect in Germany, 2025), Glocert International (NIS2 Incident Reporting Playbook, Article 23), Privacy World (Registration portal opens 6 January 2026, 2025), Enobyte (Start of registration with the supervisory authority, 2026). Rechtsgrundlagen: BSI-Gesetz (BSIG) in der Fassung des NIS2-Umsetzungsgesetzes, Richtlinie (EU) 2022/2555 (NIS2). Dieser Beitrag ist eine allgemeine Information und ersetzt keine Rechtsberatung.