Seit Ende 2025 fallen Tausende Unternehmen in Deutschland unter die NIS2-Regulierung : Betreiber kritischer Anlagen (KRITIS) und viele Unternehmen in NIS2-Sektoren. Nach der eigenen Identifikation müssen sich betroffene Unternehmen in drei Monaten – bis 6. März 2026 beim BSI registrieren. Dann folgen Pflichten und Cybersecurity unmittelbar nach Registrierung: Meldung von Sicherheitsvorfällen, Umsetzung der Maßnahmen sowie Nachweise und Audits (KRITIS). Eine Übersicht: Pflicht Handlung Verantwortlich (A) (R) Dritte (C/I) Wann Identifikation Betroffenheit Einrichtung Betroffenheit Anlagen GF jährlich bei Änderungen Registrierung Registrierung Einrichtung beim BSI Registrierung Anlagen beim BSI/BBK GF BSI BBK nach Identifikation bei Änderungen Geltungsbereich Anlagen und eigenen Scope definieren im Unternehmen GF Stabsstelle CISO nach Identifikation bei Änderungen Meldepflicht Erhebliche Sicherheits­vorfälle Vorfälle GF CISO SOC BSI BBK unverzüglich Komponenten Freigabe Kritische Komponenten GF Stabsstelle CISO BMI vor Einsatz Cybersecurity Maßnahmen §30 BSIG umsetzen GF Fachbereiche CISO regelmäßig Resilienz Maßnahmen §30 BSIG umsetzen Maßnahmen DachG umsetzen GF Fachbereiche CISO regelmäßig Angriffserkennung Maßnahmen §31 BSIG und OH SzA GF SOC/CISO regelmäßig Dokumentation Nachweis Umsetzung BSIG GF CISO (BSI) regelmäßig Prüfungen Audit Umsetzung BSIG in Anlagen Audit Umsetzung DachG in Anlagen GF Prüfer BSI BBK alle 3 Jahre Reifegrade Reifegrade BSI RUN GF Prüfer BSI Prüfungen Betriebsführung Betriebsführung im EnWG GF Betriebsführer BNetzA konstant Bußgelder Sanktionen Verstöße BSIG Sanktionen Verstöße DachG GF BSI BBK bei Anlaß