Das deutsche NIS-2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025. Unternehmen, die nach dem BSIG als besonders wichtige oder wichtige Einrichtungen eingestuft werden, müssen ihre Betroffenheit prüfen, Risikomanagementmaßnahmen umsetzen und – sofern erfasst – Registrierungs- und Meldepflichten erfüllen. Der iX-Workshop verbindet laut seiner Ankündigung IT-Rechtswissen mit technischer Umsetzungspraxis; er ist ein Lern- und Unterstützungsangebot, nicht die Rechtsgrundlage für die Pflichten.
Wer muss NIS-2 im Unternehmen umsetzen?
Nicht jedes Unternehmen fällt automatisch unter die NIS-2-Pflichten. Entscheidend ist, ob es nach den gesetzlichen Einrichtungsarten, Sektoren und Kriterien des geltenden Gesetzes über das Bundesamt für Sicherheit in der Informationstechnik (BSIG) als besonders wichtige oder wichtige Einrichtung gilt. Die konkreten Voraussetzungen und mögliche Ausnahmen müssen anhand der einschlägigen Bestimmungen geprüft werden; bei Überschneidungen mit anderen Regimen kann fachkundige Einzelfallprüfung nötig sein.
As an Amazon Associate I earn from qualifying purchases.
Beginnen Sie deshalb mit einer dokumentierten Einordnung statt mit der Annahme, die Pflichten träfen entweder alle Unternehmen oder nur bisher regulierte Betreiber kritischer Anlagen. Das BSI-Portal beschreibt Registrierung und weitere Pflichten ebenfalls unter den Voraussetzungen des Gesetzes.
Was verlangt das BSIG von erfassten Einrichtungen?
Besonders wichtige und wichtige Einrichtungen müssen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen zum Risikomanagement ergreifen. Ziel ist, Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der für die Dienste genutzten Systeme, Komponenten und Prozesse zu vermeiden und die Auswirkungen von Sicherheitsvorfällen zu begrenzen. Die Anforderungen stehen in § 30 BSIG.
#1 Best Overall
Bei der Verhältnismäßigkeit sind unter anderem Risikoexposition, Größe der Einrichtung, Umsetzungskosten, Eintrittswahrscheinlichkeit und mögliche Schadensschwere einzubeziehen. Das ist keine pauschale Checkliste, die für jede Organisation identische Maßnahmen vorschreibt: Die Einrichtung muss ihre Risiken und Prioritäten nachvollziehbar auf den eigenen Kontext beziehen.
So gehen Unternehmen bei der Umsetzung vor
-
Betroffenheit und Zuständigkeit feststellen
Prüfen Sie die gesetzlichen Einrichtungsarten, den Sektor und die jeweils geltenden Kriterien im BSIG. Halten Sie fest, welche Tatsachen die Einordnung tragen, welche offenen Fragen bestehen und wer die Prüfung freigibt. Lassen Sie Ausnahmen oder mögliche Überschneidungen mit anderen Regimen bei Bedarf fachkundig klären.
-
Verantwortung auf Leitungsebene verankern
Die Geschäftsleitung einer besonders wichtigen oder wichtigen Einrichtung muss die nach § 30 BSIG zu ergreifenden Maßnahmen umsetzen und ihre Umsetzung überwachen. Legen Sie daher klare Zuständigkeiten und Berichtswege fest. IT-Sicherheit kann die fachliche Arbeit koordinieren, ersetzt aber nicht die Verantwortung der Geschäftsleitung.
Quick wins for a faster PC:
Scan for outdated or missing drivers - takes under a minuteDriver Scan →Clear out junk files and repair common Windows errorsFree Scan →Special offer. See more information about Outbyte and uninstall instructions. Please review EULA and Privacy policy.Binden Sie je nach Aufgabenverteilung auch Recht, Datenschutz, Einkauf und Kommunikation ein. So lassen sich beispielsweise rechtliche Einordnung, technische Maßnahmen, externe Abhängigkeiten und interne Abläufe gemeinsam bearbeiten, statt sie in getrennten Arbeitspaketen ohne Verantwortliche zu belassen.
-
Risiken bewerten und Maßnahmen planen
Erstellen Sie eine dokumentierte Risikobewertung und leiten Sie daraus einen priorisierten Maßnahmenplan ab. Für jede Maßnahme sollten Verantwortliche, Umsetzungsstand und ein nachvollziehbarer Bezug zum Risiko erkennbar sein. Begründen Sie die Priorisierung unter anderem mit Risikoexposition, Eintrittswahrscheinlichkeit, Schadensschwere, Unternehmensgröße und Umsetzungskosten.
Prüfen Sie die im geltenden § 30 BSIG genannten Risikomanagementbereiche für Ihre Einrichtung und ordnen Sie bestehende Kontrollen und noch offene Arbeiten zu. Welche Nachweise im Einzelfall erforderlich sind, richtet sich nach den für die Einrichtung geltenden gesetzlichen Anforderungen.
-
Registrierung und Kontaktdaten einplanen
Für NIS-2 erfolgt die Registrierung über das dafür vorgesehene BSI-Portal, nicht über das MIP. Die BSI-Information „Infos zu NIS-2“ nennt ausdrücklich das Portal als Registrierungsweg. Betreiber kritischer Anlagen und Bundesbehörden können für Meldungen übergangsweise etablierte MIP-Prozesse weiter nutzen; das ist keine allgemeine Alternative zur NIS-2-Registrierung.
Special offer. See more information about Outbyte and uninstall instructions. Please review EULA and Privacy policy.Nach § 33 BSIG ist die Registrierung grundsätzlich spätestens drei Monate vorzunehmen, nachdem eine Einrichtung erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gilt. Zu den zu übermittelnden Angaben gehören unter anderem Name, Anschrift und Kontaktdaten, der relevante Sektor beziehungsweise die Branche, die Mitgliedstaaten, in denen Leistungen erbracht werden, sowie zuständige Aufsichtsbehörden. Änderungen registrierter Angaben sind unverzüglich, spätestens binnen zwei Wochen ab Kenntnis, mitzuteilen. Prüfen Sie für Ihren Fall die aktuellen BSI-Verfahrenshinweise und den Gesetzestext.
-
Meldeverfahren für Sicherheitsvorfälle vorbereiten
Planen Sie, wie ein möglicher Sicherheitsvorfall erkannt, intern eskaliert und über den für Ihre Einrichtung geltenden BSI-Weg gemeldet wird. Legen Sie Zuständigkeiten, erreichbare Kontakte und die benötigten Informationen fest. Die konkreten Meldeanforderungen und Fristen hängen von den anwendbaren gesetzlichen Bestimmungen ab; leiten Sie sie daher nicht aus einem allgemeinen Muster ab.
-
Übungen, Nachweise und Schulungen integrieren
Integrieren Sie Übungen und die Pflege von Nachweisen in den laufenden Betrieb, damit Verantwortliche Abläufe nicht erst im Ernstfall suchen müssen. Geschäftsleitungen müssen regelmäßig Schulungen besuchen, um ausreichende Kenntnisse und Fähigkeiten zur Bewertung von Risiken und Maßnahmen zu erwerben. Planen Sie diese Schulungen als Führungsaufgabe mit wiederkehrendem Termin.
Was bietet der iX-Workshop – und was nicht?
Die Ankündigung des iX-Workshops beschreibt eine Verbindung von IT-Rechtswissen und technischer Umsetzungspraxis. Diese Kombination passt zu einem Vorhaben, bei dem die gesetzliche Einordnung in konkrete Zuständigkeiten, Risikobewertungen und Abläufe übersetzt werden muss. Die Beschreibung belegt jedoch weder eine unabhängige Qualitätsbewertung noch persönliche Teilnahmeerfahrungen oder individuelle Rechtsberatung.
Do these 3 things before closing this tab:
1Clear out junk files and repair common Windows errors2Fix the driver behind crashes, sound loss and screen glitches3Repair Windows errors before they cause bigger problemsEin Workshop kann Wissen vermitteln und die Planung unterstützen. Er übernimmt nicht die Pflichten der Einrichtung oder die Umsetzungs- und Überwachungsverantwortung ihrer Geschäftsleitung. Ob ein Angebot für Ihr Unternehmen passt, sollten Sie anhand der abgedeckten Pflichten und Ihres Sektors prüfen.
Best Value
Woran lässt sich externe Unterstützung messen?
Vergleichen Sie Workshops oder Beratungsangebote anhand konkreter Kriterien, nicht allein anhand eines allgemeinen Versprechens, „NIS-2-konform“ zu machen:
- Rechtlicher Umfang: Werden die relevanten BSIG-Pflichten und die Einordnung für den betreffenden Sektor behandelt?
- Verhältnis von Recht und Technik: Wird verständlich gezeigt, wie rechtliche Anforderungen in technische und organisatorische Arbeit übersetzt werden?
- Arbeitsergebnisse: Entstehen verwertbare Ergebnisse, etwa eine dokumentierte Betroffenheitsanalyse, ein Maßnahmenplan oder ein Verfahren für Meldungen?
- Einbindung der Geschäftsleitung: Sind Verantwortlichkeiten, Überwachung und regelmäßige Schulungen für die Leitung vorgesehen?
- Aktualität: Beziehen sich Inhalte auf das geltende deutsche Gesetz und die aktuellen BSI-Verfahrenshinweise – nicht nur auf ältere Entwürfe oder historische Webinare?
Fragen Sie vorab, welche Ergebnisse tatsächlich Bestandteil des Angebots sind und welche Leistungen außerhalb des Umfangs liegen. Der beschriebene iX-Workshop ist eine mögliche Lern- und Unterstützungsform; aus seiner Ankündigung allein folgt keine Empfehlung oder Aussage über die Qualität eines konkreten Angebots.
Welche Quellen sind für den Rechtsstand maßgeblich?
Maßgeblich für die gesetzlichen Pflichten ist das geltende BSIG, insbesondere die jeweils anwendbaren Bestimmungen in §§ 30 und 33, nicht ein älterer Richtlinienentwurf. Für Portalweg und Verfahrensinformationen ist die aktuelle BSI-Seite „Infos zu NIS-2“ heranzuziehen. Die BSI-Seite nennt den 6. Dezember 2025 als Inkrafttreten des deutschen Umsetzungsgesetzes und erklärt, dass die NIS-2-Registrierung ausschließlich über das dafür vorgesehene BSI-Portal erfolgt.
Recommended Free Tools
Quick Recap
Product prices and availability are accurate as of the date/time indicated and are subject to change. Any price and availability information displayed on Amazon at the time of purchase will apply.
