Seit Ende 2025 fallen Tausende Unternehmen in Deutschland unter die NIS2-Regulierung: Betreiber kritischer Anlagen (KRITIS) und viele Unternehmen in NIS2-Sektoren. Nach der eigenen Identifikation müssen sich betroffene Unternehmen in drei Monaten – bis 6. März 2026 beim BSI registrieren.
Dann folgen Pflichten und Cybersecurity unmittelbar nach Registrierung: Meldung von Sicherheitsvorfällen, Umsetzung der Maßnahmen sowie Nachweise und Audits (KRITIS). Eine Übersicht:
Pflicht Handlung Verantwortlich (A) (R) Dritte (C/I) Wann
Identifikation Betroffenheit Einrichtung
Betroffenheit Anlagen
GF
jährlich bei Änderungen
Registrierung Registrierung Einrichtung beim BSI
Registrierung Anlagen beim BSI/BBK
GF
BSI BBK nach Identifikation bei Änderungen
Geltungsbereich Anlagen und eigenen Scope definieren im Unternehmen GF Stabsstelle CISO
nach Identifikation bei Änderungen
Meldepflicht Erhebliche Sicherheitsvorfälle
Vorfälle
GF CISO SOC BSI BBK unverzüglich
Komponenten Freigabe Kritische Komponenten GF Stabsstelle CISO BMI vor Einsatz
Cybersecurity Maßnahmen §30 BSIG umsetzen GF Fachbereiche CISO
regelmäßig
Resilienz Maßnahmen §30 BSIG umsetzen
Maßnahmen DachG umsetzen
GF Fachbereiche CISO
regelmäßig
Angriffserkennung Maßnahmen §31 BSIG und OH SzA GF SOC/CISO
regelmäßig
Dokumentation Nachweis Umsetzung BSIG GF CISO (BSI) regelmäßig
Prüfungen Audit Umsetzung BSIG in Anlagen
Audit Umsetzung DachG in Anlagen
GF Prüfer BSI BBK alle 3 Jahre
Reifegrade Reifegrade BSI RUN GF Prüfer BSI Prüfungen
Betriebsführung Betriebsführung im EnWG GF Betriebsführer BNetzA konstant
Bußgelder Sanktionen Verstöße BSIG
Sanktionen Verstöße DachG
GF
BSI BBK bei Anlaß