NIS2 wird ernst: Das BSI startet die Durchsetzung – wie Sie das als Projekt aufsetzen

Was tatsächlich passiert ist

Nach einem Bericht von Tagesspiegel Background vom 8. Oktober, auf den sich ChannelPartner und andere Fachmedien berufen, kündigte der zuständige BSI-Abteilungsleiter Timo Hauschild eine „Durchsetzungsinitiative" an: „Noch im vierten Quartal beginnen wir" – zuerst gegenüber Einrichtungen, bei denen offensichtlich ist, dass sie sich hätten registrieren müssen. Der Prozess beginnt mit einer Anhörung und kann mit einem Bußgeld enden; ab dem ersten Quartal 2027 will das BSI einzelne Einrichtungen zudem per Anordnung zu IT-Prüfungen mit Nachweisen verpflichten. Der Anlass ist ernüchternd: Zum 30. September 2026 meldete das BSI 20.373 Registrierungen, erwartet werden knapp 30.000 – rund ein Drittel fehlt. Die gesetzliche Registrierungsfrist war am 6. März 2026 abgelaufen, verspätete Meldungen hat die Behörde bis zum 31. Juli 2026 geduldet. NIS2 gilt in Deutschland seit dem 6. Dezember 2025 über das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, ohne Übergangsfrist. Am 28. Oktober hat das BSI ein Beispielcurriculum für die NIS2-Schulung der Geschäftsleitung vorgelegt.

Meine Einordnung

NIS2 ist kein Formular, sondern ein Projekt – und es wird zu oft wie ein Formular behandelt. Fast jede Organisation, die ich sehe, hat jemanden, der es „neben dem Tagesbetrieb" mitbetreut. Genau so entsteht der Zustand, in dem die Registrierung irgendwo im Postfach liegt und niemand weiß, ob man überhaupt betroffen ist. Dabei ist die zentrale Pflicht keine technische: Es ist die dokumentierte Prüfung, ob Ihr Unternehmen in einen regulierten Sektor fällt und die Schwellenwerte – in der Regel 50 Beschäftigte oder entsprechende Umsatz- und Bilanzsummen – erreicht. Das BSI teilt Ihnen nicht mit, ob Sie betroffen sind. Diese Prüfung ist Ihre.

Der zweite Punkt, den ich als wichtiger halte als die Registrierung selbst: NIS2 ist auf Nachweis gebaut. § 30 BSIG verlangt geeignete technisch-organisatorische Maßnahmen und ihre Dokumentation, § 38 nimmt die Geschäftsleitung in die Pflicht – sie billigt und überwacht die Maßnahmen, muss an Schulungen teilnehmen und haftet persönlich. Als CISO einer Behörde mit rund 1.500 Mitarbeitenden habe ich erlebt, wie viel Arbeit in dem Satz steckt, dass man am Ende belegen können muss, wann und warum eine Maßnahme gesetzt wurde. Für die ab 2027 angeordneten Audits zählt nicht die Einstellung im System, sondern die nachvollziehbare Entscheidung dahinter. Eine hohe Kennzahl auf einer Hersteller-Oberfläche ist eine gute Orientierung, aber kein NIS2-Nachweis.

Und ein dritter Punkt, bei dem ich widerspreche: Viele Betriebe in Fürstenfeldbruck, Augsburg und dem Münchener Umland höre ich sagen „uns trifft das nicht, wir sind zu klein". Mag sein – dann ist die Prüfung in zwei Stunden erledigt und schriftlich abgelegt. Die teure Variante ist die ungeprüfte Annahme. Wer betroffen ist und es nicht weiß, bekommt im schlechtesten Fall ein Anschreiben des BSI, und die Anhörung ist der ungünstigste Zeitpunkt, um zum ersten Mal über das Thema nachzudenken.

Was Sie jetzt konkret tun können

1. Betroffenheit prüfen und dokumentieren. Sektor, Beschäftigtengröße, Umsatz- und Bilanzschwellen abgleichen. Das Ergebnis gehört schriftlich in die Akte – für eine Anhörung wie für ein Audit.

2. Registrierung nachholen, falls nötig. Wer betroffen und noch nicht registriert ist, holt das jetzt nach, bevor ein Anschreiben kommt. Für das BSI-Portal braucht es ein Unternehmenskonto.

3. Meldeweg festlegen und testen. Ein erheblicher Sicherheitsvorfall wird in Stufen gemeldet: Erstmeldung binnen 24 Stunden, Bewertung nach 72 Stunden, Abschlussbericht nach einem Monat. Wer meldet, mit welchen Informationen?

4. Maßnahmen und Nachweise verbinden. Nicht nur schützen, sondern notieren, wann welche Maßnahme beschlossen und umgesetzt wurde. Nachweisbarkeit ist Teil der Maßnahme.

5. Geschäftsleitung einbinden. Die Schulung nach § 38 ist Pflicht und sollte belegbar sein. Das BSI hat dafür am 28. Oktober ein Beispielcurriculum vorgelegt.

Wenn Sie das als Projekt führen wollen – mit Zeitplan, Verantwortlichkeiten und Nachweisen, die einem Audit standhalten –, ist das genau die Arbeit, die ich als externer Informationssicherheitsbeauftragter übernehme.