TL;DR
NIS-2 ist nicht mehr Planung, sondern Pflicht. Seit Januar 2026 müssen rund 30.000 Unternehmen in Deutschland beim BSI-Portal registrieren, Vorfälle melden und Risiken dokumentieren. Chefs haften persönlich. Das Portal läuft auf AWS – Datensouveränität sieht anders aus.
Das Problem: Viele merken nicht, dass sie dran sind
Im Bayerischen Wald und in Niederbayern läuft viel im Kleinen. Familiengeführte Betriebe, Handwerksgroßunternehmen, lokale Energieversorger, Krankenhäuser, Verwaltungen. Genau diese Firmen sind jetzt plötzlich von NIS-2 betroffen. Der Fehler: Sie denken, das gilt nur für die großen KRITIS-Betreiber. Falsch. NIS-2 zieht den Kreis deutlich enger. Energie, Wasser, Banken, Gesundheit, Abfallwirtschaft, Post, Raumfahrt, Teile der Industrie, öffentliche Verwaltungen – alles dabei. Und wer jetzt noch wartet, bekommt ein Problem. Nicht nur wegen der Bußgelder. Sondern weil Geschäftsführer und Vorstände persönlich haften, wenn angemessene Sicherheitsmaßnahmen fehlen.
Was ist das BSI-Portal und was ist NIS-2?
NIS-2 ist die EU-Richtlinie für hohe gemeinsame Cybersicherheitsanforderungen. Sie soll kritische Infrastruktur und wichtige Dienste besser schützen. In Deutschland wird sie durch das NIS2UmsuCG umgesetzt. Das BSI-Portal unter portal.bsi.bund.de ist die offizielle Anlaufstelle. Dort registrieren sich betroffene Unternehmen, hinterlegen Kontaktstellen und melden Sicherheitsvorfälle. Kurz gesagt: Es ist die Meldestelle, über die der Staat jetzt den Überblick behält.
Konkrete Anwendung: Was Unternehmen in der Region tun müssen
Stellen Sie sich einen mittelständischen Industriebetrieb bei Deggendorf vor. Der beliefert Kunden im In- und Ausland, hat ein eigenes IT-System und mehrere Lieferanten. Bisher gab es keine zentrale Meldepflicht für Vorfälle. Jetzt muss das Unternehmen:
-
sich beim BSI-Portal registrieren,
-
verantwortliche Kontaktstellen hinterlegen,
-
Sicherheitsvorfälle innerhalb von 24 Stunden melden,
-
Risikoanalysen dokumentieren und
-
angemessene technische und organisatorische Maßnahmen nachweisen.
Beispiele aus der Region
-
Energieversorger im Bayerischen Wald: Wer Strom oder Wasser verteilt, ist klassisch betroffen. Ein Ausfall muss gemeldet werden.
-
Krankenhaus in Passau: Patientendaten und Versorgungssicherheit machen das Haus zur Pflicht-Adresse für NIS-2.
-
Großes Handwerksunternehmen: Wer Teil einer Lieferkette für kritische Sektoren ist, kann indirekt betroffen sein. Mehr dazu unter NIS-2 kommt: Was der Mittelstand bis 2027 wirklich tun muss.
-
Verwaltungen und öffentliche Einrichtungen: Auch hier greift die Melde- und Dokumentationspflicht.
Vor NIS-2 und nach NIS-2: Der Unterschied
| Thema | Vor NIS-2 | Ab 2026 |
|---|---|---|
| Registrierung | Freiwillig oder sektorbezogen | Pflicht für viele Unternehmen |
| Vorfallsmeldung | Oft intern gelöst | Meldung innerhalb 24 Stunden |
| Haftung | Meist IT-verantwortlich | Geschäftsführung haftet persönlich |
| Bußgelder | Wenig Durchsetzung | Bis zu 10 Mio. EUR oder 2 % Umsatz |
| Risikoanalyse | Gute Praxis | Nachweispflicht |
Die Tabelle zeigt: NIS-2 macht Cybersicherheit zur Chefsache. Nicht mehr nur ein Thema für den IT-Admin im Keller.
Häufige Fehler und Mythen
"Das betrifft uns nicht"
Prüfen Sie das lieber zweimal. NIS-2 erfasst deutlich mehr Unternehmen als der alte NIS-1-Regelkreis. Selbst wenn Sie selbst nicht direkt kritisch sind, können Sie als Zulieferer oder Dienstleister eingebunden sein.
"Das ist ein IT-Problem"
Nein, es ist ein Führungsproblem. BSI-Präsidentin Claudia Plattner nennt die persönliche Haftung ausdrücklich den "großen Hebel". Wer keine angemessenen Maßnahmen nachweisen kann, trägt das Risiko selbst. Mehr zur Bedrohungslage lesen Sie unter Insolvenzrisiko durch Cyberangriffe.
"Meine D&O-Versicherung zahlt sowieso"
Nicht unbedingt. Wenn Vorsatz oder grobe Fahrlässigkeit vorliegen, kann die Versicherung leer ausgehen. Und bei fehlenden Sicherheitsmaßnahmen wird das schnell als Fahrlässigkeit gewertet.
"Das BSI-Portal ist sicher, schließlich macht das BSI das"
Technisch läuft das Portal komplett in der AWS-Cloud. Das BSI begründet das mit Skalierbarkeit. Kritiker sagen: Datensouveränität sieht anders aus. Wer NIS-2 ernst nimmt, sollte auch bei seinen eigenen Daten genau hinschauen. Denn wenn das BSI selbst auf AWS setzt, warum sollten Sie dann Ihre eigenen Daten besser schützen? Genau darum geht es bei NIS-2. Nicht nur Meldung, sondern echte Sicherheit. Mehr dazu lesen Sie unter DSGVO-konforme KI im Mittelstand: Was Sie wirklich beachten müssen.
"Wir haben noch Zeit bis 2027"
Falsch. Die Registrierungspflicht läuft bereits. Vorfälle müssen ab jetzt gemeldet werden. Jeder Tag, an dem Sie nicht vorbereitet sind, ist ein Tag zu viel.
Was Sie jetzt konkret tun sollten
Erste Hilfe in fünf Schritten:
-
Prüfen: Sind Sie von NIS-2 betroffen? Sektor, Größe, Bedeutung für die Versorgung zählen.
-
Registrieren: Melden Sie sich beim BSI-Portal mit Mein Unternehmenskonto und ELSTER-Zertifikat.
-
Kontakte benennen: Wer ist Ansprechpartner für Cybersicherheit?
-
Dokumentieren: Risikoanalysen, Notfallpläne, Sicherheitsmaßnahmen aufschreiben.
-
Testen: Simulieren Sie einen Vorfall. Können Sie innerhalb von 24 Stunden melden?
Fazit
NIS-2 ist kein Papier-Tiger. Die Fristen laufen, die Bußgelder sind real, und die persönliche Haftung der Geschäftsführung macht das Thema unangenehm greifbar. Wer jetzt handelt, hat noch Zeit. Wer wartet, spielt russisches Roulette mit seinem Unternehmen.
Nächster Schritt
Sie wissen nicht, ob NIS-2 für Sie gilt oder wie Sie starten? Buchen Sie einen kostenlosen 15-Minuten-Potenzialcheck. Wir sagen Ihnen ehrlich, ob Sie betroffen sind und was als Nächstes zu tun ist. Termin vereinbaren.
