NIS2 erfüllen mit ISO 27001: Was betroffene Unternehmen jetzt tun müssen

Das NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft – ohne Übergangsfrist. Rund 29.500 Unternehmen in Deutschland müssen seitdem verschärfte Anforderungen an ihre Informationssicherheit erfüllen. Die Registrierungsfrist beim BSI ist am 6. März 2026 abgelaufen. Wer betroffen ist und bisher nicht gehandelt hat, ist damit bereits im Verzug – und die Geschäftsleitung haftet persönlich. Dieser Beitrag zeigt, wer unter das Gesetz fällt, welche Pflichten gelten und warum ISO 27001 der strukturierteste Weg ist, sie zu erfüllen.

Was ist NIS2 – kurz eingeordnet

Die europäische NIS2-Richtlinie verpflichtet die EU-Staaten, Mindeststandards für Cybersicherheit gesetzlich vorzuschreiben. Deutschland hat das mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) getan, das im Kern das BSI-Gesetz (BSIG) neu fasst. Verabschiedet im November 2025, verkündet am 5. Dezember 2025, in Kraft seit dem 6. Dezember 2025 – ohne jede Übergangsfrist.

Wer ist betroffen?

Das Gesetz erfasst Unternehmen aus 18 Sektoren – deutlich mehr als die klassischen KRITIS-Branchen. Dazu gehören u. a. Energie, Transport, Gesundheit, Wasser, digitale Infrastruktur und IT-Dienste, aber auch verarbeitendes Gewerbe (z. B. Maschinenbau, Elektronik, Medizinprodukte), Chemie, Lebensmittel, Entsorgung und Post-/Kurierdienste. Als Faustregel gilt (gesetzliche Anforderung, hier vereinfacht dargestellt):

• Wichtige Einrichtungen: ab 50 Mitarbeitenden oder mehr als 10 Mio. € Jahresumsatz in einem der regulierten Sektoren
• Besonders wichtige Einrichtungen: ab 250 Mitarbeitenden oder mehr als 50 Mio. € Jahresumsatz sowie Betreiber kritischer Anlagen – hier gelten strengere Aufsichts- und Nachweispflichten

Wichtig: Die genaue Einstufung hängt von Sektor, Größe und Tätigkeit ab. Das BSI stellt dafür eine offizielle NIS-2-Betroffenheitsprüfung bereit. Und auch wer selbst nicht direkt betroffen ist, bekommt NIS2 zunehmend über die Lieferkette zu spüren: Betroffene Unternehmen müssen die Sicherheit ihrer Dienstleister und Zulieferer steuern – und fordern dafür Nachweise ein.

Welche Pflichten gelten seit Dezember 2025?

• Registrierung beim BSI: Betroffene Einrichtungen mussten sich bis zum 6. März 2026 über das BSI-Portal registrieren. Wer das versäumt hat, sollte die Registrierung unverzüglich nachholen.
• Risikomanagement: Technische und organisatorische Maßnahmen nach Stand der Technik – u. a. Risikoanalysen, Zugriffskontrolle, Verschlüsselung, Backup- und Notfallkonzepte, Sicherheit der Lieferkette und Schulungen.
• Meldepflichten: Erhebliche Sicherheitsvorfälle sind gestuft an das BSI zu melden – Erstmeldung innerhalb von 24 Stunden, detaillierte Folgemeldung innerhalb von 72 Stunden, Abschlussbericht nach spätestens einem Monat.
• Geschäftsleitungspflichten: Die Geschäftsführung muss die Maßnahmen selbst billigen, ihre Umsetzung überwachen und sich schulen lassen. Diese Verantwortung ist nicht delegierbar – bei Verstößen haftet die Leitung persönlich.
• Sanktionen: Bußgelder von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, je nach Einstufung und Verstoß.

Warum ISO 27001 der effizienteste Weg zur NIS2-Umsetzung ist

NIS2 schreibt kein bestimmtes Managementsystem vor. Aber: Die geforderten Risikomanagement-Maßnahmen decken sich in weiten Teilen mit dem, was ein ISMS nach ISO 27001 ohnehin leistet – systematische Risikoanalyse, Maßnahmen aus Anhang A (Zugriffskontrolle, Kryptografie, Lieferantensteuerung, Business Continuity), internes Audit und kontinuierliche Verbesserung. Wer ein zertifiziertes ISMS betreibt, hat den Großteil der NIS2-Anforderungen strukturiert umgesetzt und kann das gegenüber Kunden und Behörden belegen.

Zur Ehrlichkeit gehört aber auch: ISO 27001 ersetzt nicht alle NIS2-Pflichten. Die BSI-Registrierung, die konkreten Meldewege mit ihren Fristen und die gesetzlichen Geschäftsleitungspflichten müssen zusätzlich organisiert werden. In der Praxis ist das der kleinere Teil – er lässt sich in ein bestehendes ISMS sauber integrieren. Ein Zertifikat allein ist zudem kein gesetzlicher Freifahrtschein: Entscheidend ist, dass der Geltungsbereich des ISMS die regulierten Tätigkeiten tatsächlich abdeckt.

Ihr Fahrplan in 5 Schritten

1. Betroffenheit prüfen: Sektor, Mitarbeiterzahl und Umsatz gegen die gesetzlichen Schwellen halten – im Zweifel mit der BSI-Betroffenheitsprüfung und fachlicher Unterstützung.
2. Registrierung klären: Falls betroffen und noch nicht registriert – unverzüglich nachholen.
3. Gap-Analyse: Bestehende Sicherheitsmaßnahmen strukturiert gegen die NIS2-Anforderungen und die ISO 27001 prüfen. Ergebnis: eine priorisierte Maßnahmenliste.
4. ISMS aufbauen bzw. erweitern: Risikoanalyse, Richtlinien, technische Maßnahmen, Meldeprozesse und Schulungen – schlank und praxistauglich, nicht als Papiertiger.
5. Nachweisfähigkeit herstellen: Internes Audit, Managementbewertung und – wo sinnvoll – die ISO 27001 Zertifizierung als belastbaren Nachweis gegenüber Kunden, Versicherern und Aufsicht.

Häufige Fragen zu NIS2 und ISO 27001

Reicht eine ISO 27001 Zertifizierung, um NIS2 zu erfüllen?
Sie deckt den Großteil der Risikomanagement-Anforderungen ab, ersetzt aber nicht Registrierung, Meldewege und Geschäftsleitungspflichten. Die Kombination – ISMS nach ISO 27001 plus die NIS2-spezifischen Prozesse – ist der belastbarste Weg.

Ich liege unter den Schwellenwerten – bin ich sicher raus?
Nicht unbedingt. Einzelne Tätigkeiten sind größenunabhängig reguliert, und als Zulieferer oder Dienstleister betroffener Unternehmen erreichen Sie die Anforderungen über deren Lieferkettenpflichten – dann verlangt der Kunde die Nachweise.

Die Registrierungsfrist ist abgelaufen – was jetzt?
Unverzüglich nachregistrieren und die Umsetzung der Pflichten dokumentiert starten. Nichts zu tun verschärft das Haftungs- und Bußgeldrisiko mit jedem Monat.

Was kostet die Umsetzung?
Für die ISO 27001 als Kernbaustein finden Sie eine konkrete Kostenübersicht nach Unternehmensgröße in unserem Beitrag Was kostet eine ISO 27001 Zertifizierung? – inklusive BAFA-Förderung für die Beratung.

Wie lange dauert die Umsetzung?
Je nach Ausgangslage typischerweise 6–12 Monate bis zur Zertifizierungsreife. Die NIS2-Grundpflichten (Registrierung, Meldeprozesse, erste Maßnahmen) lassen sich deutlich schneller herstellen – und genau damit sollte man beginnen.