Das deutsche NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist seit dem 6. Dezember 2025 in Kraft – ohne Übergangsfrist. Rund 29.500 Unternehmen in 18 Sektoren müssen seitdem Cybersicherheits-Maßnahmen nachweisen, sich beim BSI registrieren und Sicherheitsvorfälle innerhalb von 24 Stunden melden. Betroffen ist, wer mindestens 50 Mitarbeitende oder 10 Millionen Euro Jahresumsatz hat und in einem der regulierten Sektoren tätig ist. Dieser Beitrag fasst zusammen, was jetzt gilt – und wie eine gemanagte Netzwerk-Infrastruktur einen großen Teil der technischen Pflichten abdeckt.
Was ist NIS2 – und was ist das NIS2UmsuCG?
NIS2 (Network and Information Security 2) ist die verschärfte EU-Richtlinie zur Cybersicherheit. Sie ersetzt die NIS1-Richtlinie von 2016 und weitet den Kreis der regulierten Unternehmen massiv aus. In Deutschland wurde sie durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in nationales Recht überführt: Der Bundestag hat das Gesetz am 13. November 2025 beschlossen, der Bundesrat stimmte am 20. November 2025 zu, in Kraft getreten ist es am 6. Dezember 2025. Die Pflichten gelten seitdem unmittelbar – eine Schonfrist für die Umsetzung der Maßnahmen ist nicht vorgesehen.
Ist Ihr Unternehmen betroffen?
NIS2 gilt für Unternehmen, die mindestens eines dieser Kriterien erfüllen: 50 oder mehr Mitarbeitende, oder mehr als 10 Millionen Euro Jahresumsatz – und die in einem der 18 regulierten Sektoren tätig sind. Dazu zählen unter anderem Energie, Transport, Gesundheit, digitale Infrastruktur und IT-Dienste, Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel und das verarbeitende Gewerbe. Das Gesetz unterscheidet dabei zwischen besonders wichtigen Einrichtungen (ab 250 Mitarbeitenden bzw. 50 Mio. € Umsatz) und wichtigen Einrichtungen (ab 50 Mitarbeitenden bzw. 10 Mio. € Umsatz).
Wichtig: Auch wenn Ihr Unternehmen unter den Schwellenwerten liegt, können Ihre Großkunden – die selbst NIS2-pflichtig sind – Cybersicherheits-Nachweise von Ihnen als Teil ihrer Lieferkettensicherheit verlangen. NIS2 wirkt damit weit über die direkt regulierten Unternehmen hinaus.
Registrierung beim BSI: Die Fristen laufen bereits
Betroffene Einrichtungen mussten sich bis zum 6. März 2026 über das Melde- und Kontaktstellenportal des BSI registrieren. Das BSI hat eine Nachfrist bis zum 31. Juli 2026 eingeräumt – auch diese ist inzwischen abgelaufen. Wer betroffen ist und sich noch nicht registriert hat, sollte dies umgehend nachholen: Eine fehlende Registrierung ist bußgeldbewehrt.
Die 10 Pflichtmaßnahmen nach NIS2
- Risikoanalyse und Sicherheitskonzepte: dokumentierter Prozess zur Identifikation und Behandlung von Cyberrisiken.
- Incident Management: Erkennung, Reaktion und Wiederherstellung – mit Erstmeldung an das BSI innerhalb von 24 Stunden und detailliertem Bericht innerhalb von 72 Stunden.
- Business Continuity: Notfall- und Wiederanlaufpläne, getestete Backups, Ausfallszenarien.
- Sicherheit der Lieferkette: Bewertung der Risiken von Dienstleistern und Zulieferern.
- Sicherheit von Netzwerken und Systemen: Firewalls, Netzsegmentierung, Verschlüsselung, Zugriffskontrolle.
- Cyberhygiene und Schulung der Mitarbeitenden.
- Einsatz von Kryptografie und Verschlüsselung.
- Personalsicherheit und Zugriffsmanagement.
- Multi-Faktor-Authentifizierung (MFA) für alle kritischen Zugänge.
- Wirksamkeitskontrolle: Verfahren zur Bewertung der eingesetzten Sicherheitsmaßnahmen.
Sanktionen und persönliche Haftung der Geschäftsführung
Die Bußgelder orientieren sich an der EU-Vorgabe: bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen, bis zu 7 Millionen Euro oder 1,4 % für wichtige Einrichtungen. Neu und für viele Geschäftsführer entscheidend: Das Gesetz sieht eine persönliche Verantwortung der Leitungsorgane für die Billigung und Überwachung der Cybersicherheits-Maßnahmen vor. Cybersicherheit ist damit endgültig Chefsache.
Wie eine gemanagte Netzwerk-Infrastruktur bei der Umsetzung hilft
Ein großer Teil der NIS2-Pflichten betrifft die Netzwerk-Ebene: Firewall, Segmentierung, Zugriffskontrolle, Monitoring, Protokollierung, Redundanz. Genau hier setzt ein Managed-Service-Modell an. Die Lösungen von CityPassenger sind „by design“ auf NIS2 und den Cyber Resilience Act (CRA) abgestimmt: versionierte Managed Firewall, Netzsegmentierung per VLAN, 24/7-Monitoring mit Alarmierung, Verbindungsprotokollierung, redundante Anbindung und dokumentierte Prozesse – als Abonnement, inklusive Hardware. So erhalten Sie belastbare Nachweise für Audits und Kundenanfragen, ohne ein eigenes Sicherheitsteam aufzubauen.
Hinweis: Dieser Beitrag ist keine Rechtsberatung. Ob und wie Ihr Unternehmen unter das NIS2UmsuCG fällt, klären Sie verbindlich mit Ihrer Rechtsabteilung oder über die Informationsangebote des BSI (Stand: August 2026).
Sprechen Sie mit einem Netzwerkexperten: Wir prüfen gemeinsam, welche technischen NIS2-Anforderungen Ihre aktuelle Infrastruktur bereits erfüllt – und wo Lücken bestehen. Jetzt Kontakt aufnehmen.