NIS2 ist jetzt deutsches Recht
Am 5. Dezember 2025 hat Deutschland die EU-NIS2-Richtlinie offiziell in nationales Recht umgesetzt und damit umfassende Cybersicherheitsanforderungen fuer ein breites Spektrum von Unternehmen festgelegt. Der Geltungsbereich ist weitaus groesser als bei der urspruenglichen NIS-Richtlinie: Etwa 29.500 Unternehmen in ganz Deutschland unterliegen nun verpflichtenden Cybersicherheitsauflagen, gegenueber rund 4.500 unter dem vorherigen Regime.
Die dringendste Frist ist die BSI-Registrierung, die bis April 2026 abgeschlossen sein muss. Unternehmen, die in den Geltungsbereich fallen und sich nicht registrieren, drohen erhebliche Strafen und regulatorische Pruefungen.
Wer ist betroffen?
NIS2 gilt fuer Organisationen, die als "wesentliche" oder "wichtige" Einrichtungen in 18 Sektoren eingestuft werden. In Deutschland sind folgende Sektoren betroffen:
- Energie, Verkehr und Wasserversorgung
- Gesundheitswesen und Pharmazie
- Digitale Infrastruktur und IT-Dienstleistungen
- Herstellung kritischer Produkte
- Lebensmittelproduktion und -vertrieb
- Post- und Kurierdienste
- Oeffentliche Verwaltung
Die Schwellenwerte basieren auf der Unternehmensgroesse: Generell fallen Organisationen mit 50 oder mehr Beschaeftigten oder einem Jahresumsatz von ueber 10 Millionen EUR in einem betroffenen Sektor in den Geltungsbereich. Einige kritische Einrichtungen sind unabhaengig von der Groesse eingeschlossen.
BSI-Registrierung bis April 2026
Das Bundesamt fuer Sicherheit in der Informationstechnik (BSI) ist die zustaendige Aufsichtsbehoerde. Alle betroffenen Unternehmen muessen sich bis April 2026 ueber das BSI-Portal registrieren. Die Registrierung erfordert:
- Unternehmensidentifikationsdaten und Sektorklassifizierung
- Benennung eines verantwortlichen Cybersicherheitsbeauftragten
- Kontaktinformationen fuer die Vorfallmeldung
- Eine vorlaeufige Selbstbewertung der aktuellen Cybersicherheitsmassnahmen
Unternehmen, die unsicher sind, ob sie in den Geltungsbereich fallen, sollten umgehend eine Selbstbewertung durchfuehren. Bis zur Frist zu warten birgt sowohl das Risiko der Nichteinhaltung als auch die praktische Herausforderung einer ueberstuerzten Registrierung.
Zentrale Cybersicherheitsanforderungen
Ueber die Registrierung hinaus legt NIS2 laufende Pflichten fest, die Folgendes umfassen:
- Risikomanagement: Implementierung technischer und organisatorischer Massnahmen, die den Risiken Ihrer Organisation angemessen sind
- Vorfallmeldung: Meldung bedeutender Cybersicherheitsvorfaelle an das BSI innerhalb von 24 Stunden nach Entdeckung, mit einem vollstaendigen Bericht innerhalb von 72 Stunden
- Lieferkettensicherheit: Bewertung und Management von Cybersicherheitsrisiken entlang Ihrer Lieferkette und bei Dienstleistern
- Geschaeftskontinuitaet: Aufrechterhaltung von Backup-, Wiederherstellungs- und Krisenmanagementverfahren
- Dokumentation: Fuehrung umfassender Aufzeichnungen ueber alle Cybersicherheitsrichtlinien, Risikobewertungen und Vorfallreaktionen
Leitungsorgane tragen die persoenliche Verantwortung fuer die Sicherstellung der Einhaltung - eine bedeutende Aenderung gegenueber frueheren Rahmenwerken, bei denen Cybersicherheit oft ohne Verantwortlichkeit auf Vorstandsebene delegiert wurde.
Dokumentation ist die Grundlage der Compliance
Einer der am meisten unterschaetzten Aspekte von NIS2 ist der Dokumentationsaufwand. Regulierungsbehoerden erwarten schriftliche Richtlinien, Risikobewertungsunterlagen, Vorfallprotokolle, Schulungsnachweise und Pruefberichte. Diese Dokumentation muss jederzeit zugaenglich, faelschungssicher und fuer die vom BSI festgelegten Zeitraeume aufbewahrt werden.
Organisationen, die kein strukturiertes Dokumentenmanagement- und Archivierungssystem besitzen, werden Schwierigkeiten haben, die Einhaltung bei Inspektionen nachzuweisen. Diese Infrastruktur jetzt aufzubauen ist weitaus einfacher, als sie nach einer regulatorischen Anfrage nachtraeglich zu erstellen.
Wie Arhivix hilft
Arhivix bietet die sichere Dokumentenarchivierung, die NIS2-Compliance erfordert. Alle Cybersicherheitsdokumentationen, Richtlinien, Vorfallberichte und Pruefungsunterlagen werden mit AES-256-Verschluesselung auf AWS S3 gespeichert, wodurch Vertraulichkeit und Haltbarkeit gewaehrleistet sind. Faelschungssichere Audit-Trails zeichnen jede Dokumentenaktion auf und liefern Ihnen die Nachweiskette, die BSI-Pruefer verlangen. Mit Arhivix ist Ihre NIS2-Dokumentation organisiert, geschuetzt und jederzeit pruefungsbereit.
