NIS2-Leitfaden 2026: Pflichten, Bußgelder, Roadmap nach § 30 BSIG

Überblick und Vertiefung: Dieser Leitfaden ordnet NIS2 für Deutschland und Österreich ein und enthält die vollständige 12-Schritte-Roadmap. Die deutsche Rechtslage im Detail steht in NIS2-Umsetzung in Deutschland: Fristen, Meldestelle, Nachweise, die österreichische in NIS2 Österreich (NISG 2026). Alle Artikel sammelt der NIS2-Themenbereich.

1. Was ist NIS2?

NIS2 ist die Richtlinie (EU) 2022/2555 für ein hohes gemeinsames Cybersicherheitsniveau in der Union. Als Richtlinie verpflichtet sie Unternehmen erst über das nationale Gesetz. Die Umsetzungsfrist lief bis 17.10.2024 (Art. 41 Abs. 1 NIS-2-RL); für die Pflichten einer Einrichtung zählt aber das nationale Inkrafttreten.

In Deutschland wurde das BSI-Gesetz als Artikel 1 des NIS2UmsuCG vom 2. Dezember 2025 neu gefasst (BGBl. 2025 I Nr. 301), ist am 06.12.2025 in Kraft getreten (Art. 30) und wurde zuletzt durch Art. 8 Abs. 1 des Gesetzes vom 23.07.2026 (BGBl. 2026 I Nr. 226) geändert. Nach Angabe des BSI haben rund 29.500 besonders wichtige und wichtige Einrichtungen erstmals gesetzliche Pflichten. In Österreich gilt das NISG 2026 (BGBl. I Nr. 94/2025), dessen §§ 2 bis 45 seit 01.10.2026 in Kraft sind (§ 51 Abs. 2).

Inhaltlich folgt NIS2 vier Linien, hier mit den deutschen Fundstellen: Risikomanagement mit zehn Mindestbereichen (Art. 21 NIS-2-RL, § 30 BSIG), Verantwortung der Geschäftsleitung (Art. 20, § 38 BSIG), Meldepflichten an die gemeinsame Meldestelle von BSI und BBK (Art. 23, § 32 BSIG) sowie Registrierung beim BSI und Aufsicht (§§ 33, 61, 62, 65 BSIG). Das NISG 2026 regelt dieselben Linien in Österreich in den §§ 32, 31, 34 und 29.

2. Wer ist von NIS2 betroffen?

Die Einordnung läuft zweistufig über § 28 BSIG: Die Einrichtung muss einer Einrichtungsart aus Anlage 1 oder 2 BSIG angehören und die Größenschwelle erreichen, also als wichtige Einrichtung mindestens 50 Mitarbeiter oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. € (§ 28 Abs. 2 Nr. 3) und als besonders wichtige Einrichtung der Anlage 1 mindestens 250 Mitarbeiter oder Jahresumsatz über 50 Mio. € und Jahresbilanzsumme über 43 Mio. € (§ 28 Abs. 1 Nr. 4). Größenunabhängig besonders wichtig sind Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Diensteanbieter (§ 28 Abs. 1 Nr. 1 und 2), größenunabhängig wichtig Vertrauensdiensteanbieter und kleinere TK-Anbieter (§ 28 Abs. 2 Nr. 1 und 2). Deutschland spricht von besonders wichtigen und wichtigen Einrichtungen. „Wesentliche Einrichtung“ ist der Begriff der Richtlinie und des österreichischen Rechts (§ 24 NISG 2026). Für die Größe gilt die KMU-Empfehlung 2003/361/EG, Partner- und verbundene Unternehmen werden grundsätzlich hinzugerechnet (§ 28 Abs. 4 Satz 1 BSIG), außer das Unternehmen ist bei Beschaffenheit und Betrieb seiner IT-Systeme von ihnen unabhängig (Satz 2). Für kritische Anlagen gilt das KRITIS-Dachgesetz seit 17.03.2026 (BGBl. 2026 I Nr. 66), die Rechtsverordnung nach § 4 Abs. 3 und § 5 Abs. 1 KRITISDachG fehlt noch, bis dahin ergeben sich die Schwellen nach § 66 BSIG aus der BSI-KritisV, etwa 30.000 vollstationäre Fälle im Jahr für Krankenhäuser (§ 6 Abs. 4 i. V. m. Anhang 5 Teil 3 BSI-KritisV). Einstufungstabelle und Sektorlisten: NIS2-Umsetzung in Deutschland.

Praxis-Tipp: Das BSI teilt die Betroffenheit nicht mit, die Prüfung liegt bei der Einrichtung. Einen ersten Einstieg bietet der NIS2-Readiness-Check; kleinere Einrichtungen finden die Einstufung vertieft in NIS2 für kleine Unternehmen mit 50 bis 100 Mitarbeitern.

3. Die 10 Pflichtmaßnahmen nach § 30 BSIG

§ 30 BSIG setzt Art. 21 NIS-2-RL um. Besonders wichtige und wichtige Einrichtungen müssen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen ergreifen, um Störungen ihrer IT-Systeme zu vermeiden und Auswirkungen von Sicherheitsvorfällen gering zu halten (§ 30 Abs. 1 Satz 1). Die Maßnahmen beruhen auf einem gefahrenübergreifenden Ansatz und umfassen zumindest:

Verhältnismäßigkeit: Maßgeblich sind Risikoexposition, Größe der Einrichtung, Umsetzungskosten sowie Wahrscheinlichkeit, Schwere und Auswirkungen von Vorfällen (§ 30 Abs. 1 Satz 2). „Flächendeckend“ steht nicht im Gesetz; auch bei Nr. 10 entscheidet die Risikobewertung. Die Einhaltung ist zu dokumentieren (§ 30 Abs. 1 Satz 3). Für DNS, TLD, Cloud, Rechenzentren, CDN, MSP, MSSP, Online-Marktplätze, Suchmaschinen, soziale Netzwerke und Vertrauensdienste hat die Durchführungsverordnung (EU) 2024/2690 Vorrang (§ 30 Abs. 3 BSIG).

Vertiefung: die Übersichtstabelle zu allen zehn Pflichten, § 30 BSIG mit ISO-27001-Mapping, der Glossareintrag § 30 BSIG und die sieben Quick Wins für KMU.

4. Stichtage 2024–2027

Die Registrierungsfrist ist kein einheitliches Kalenderdatum, sie läuft je Einrichtung ab Eintritt der Einrichtungseigenschaft. Für bereits erfasste Einrichtungen weist das BSI darauf hin, dass sie abgelaufen ist. Die Meldepflicht gilt frühestens ab Einrichtung des Meldewegs (§ 32 Abs. 1 letzter Satz BSIG). Übergang und Nachweise erläutert NIS2-Umsetzung in Deutschland: Fristen, Meldestelle, Nachweise.

5. Bußgelder und Geschäftsführer-Haftung (§ 38 BSIG)

5.1 Bußgelder gegen die Einrichtung (§ 65 BSIG)

In Deutschland gelten feste Höchstbeträge; die Umsatzvariante gilt nur bei einem Gesamtumsatz von mehr als 500 Mio. €. Die Regel „der höhere Betrag gilt“ stammt aus Art. 34 der Richtlinie und gilt in Deutschland nicht. In Österreich gilt sie nach § 45 NISG 2026.

Gesamtumsatz ist der weltweite Umsatz im Geschäftsjahr vor der Entscheidung (§ 65 Abs. 8). Bußgeldbewehrt sind unter anderem fehlende Maßnahmen und Dokumentation (§ 65 Abs. 2 Nr. 2 und 3), fehlende oder verspätete Meldungen (Nr. 4 und 5) und Registrierungsangaben (Nr. 6, bis 500.000 €, § 65 Abs. 5 Satz 1 Nr. 5). Eine Größenordnung liefert der Bußgeld-Rechner.

5.2 Pflichten der Geschäftsleitung nach § 38 BSIG

• § 38 Abs. 1: Die Geschäftsleitung muss die Maßnahmen nach § 30 umsetzen und ihre Umsetzung überwachen. „Billigen“ ist der Wortlaut von Art. 20 der Richtlinie, nicht des § 38.
• § 38 Abs. 2: Bei Pflichtverletzung haftet sie der eigenen Einrichtung für schuldhaft verursachten Schaden nach dem Gesellschaftsrecht der Rechtsform, bei der GmbH also nach GmbH-Recht; nur wenn dieses keine Regel enthält, nach dem BSIG. Das ist Innenhaftung, keine Haftung gegenüber Dritten.
• § 38 Abs. 3: Die Geschäftsleitung muss regelmäßig an Schulungen teilnehmen.

Das BSI kann bei besonders wichtigen Einrichtungen Audits anordnen, die auch die Schulungspflicht nach § 38 Abs. 3 erfassen (§ 61 Abs. 1), bei wichtigen Einrichtungen, wenn Tatsachen die Annahme rechtfertigen, dass sie ihre Pflichten nicht oder nicht richtig umsetzen (§ 62). Beschluss, Statusberichte und Teilnahmenachweise gehören deshalb in die Akte. Für die Geschäftsleitung hat das E-Learning Cybersicherheit einen eigenen Pfad mit sechs Kapiteln in rund 35 Minuten. D&O-Fragen behandelt § 38 BSIG: GF-Haftung und D&O-Versicherung; Begriffe erklären die Glossareinträge § 38 BSIG und Geschäftsführer-Haftung. Die Bußgeldtatbestände und die Geschäftsleitungs-Pflichten im Detail stehen in NIS2-Umsetzung in Deutschland unter Bußgelder und persönliche Haftung und § 38 BSIG: Geschäftsleitungs-Pflichten.

6. 12-Schritte-Roadmap zur NIS2-Umsetzung

Für mittelständische Einrichtungen mit 50 bis 250 Mitarbeitern ohne eigene CISO-Funktion. Als Planungsannahme sind vier bis sechs Monate realistisch. Die Wochen sind Praxis-Rhythmen; gesetzlich laufen nur Registrierungs- und Meldefristen.

1. Betroffenheitsanalyse (Woche 1): Einrichtungsart nach Anlage 1 oder 2, Größe nach § 28 Abs. 4 BSIG einschließlich verbundener Unternehmen, Ausnahme bei IT-Unabhängigkeit, Sonderregime nach § 28 Abs. 5 und 6. Österreichische Gesellschaften nach §§ 24 und 25 NISG 2026 gesondert einstufen.
2. Registrierung (Woche 2): In Deutschland über die gemeinsame Registrierungsmöglichkeit von BSI und BBK, zweistufig über „Mein Unternehmenskonto“ und das BSI-Portal (§ 33 BSIG). In Österreich bei der Cybersicherheitsbehörde (§ 29 NISG 2026).
3. Gap-Analyse (Woche 3–4): Ist-Zustand gegen die zehn Bereiche des § 30 Abs. 2 BSIG.
4. Beschluss und Schulung der Geschäftsleitung (Woche 4): Beschluss der Geschäftsleitung als Nachweis ihrer Umsetzungs- und Überwachungspflicht (§ 38 Abs. 1), erste Schulung nach § 38 Abs. 3, beides dokumentiert.
5. ISMS-Aufbau (Woche 5–10): Leitlinie, Risikomanagement-Prozess, Risikoregister, Rollen. Vertiefung: ISMS nach NIS2 in zehn Wochen, Risikomanagement-Vorlage nach Art. 21, Glossar ISMS.
6. Vorfallsbewältigung (Woche 8–10): Klassifikation nach § 2 Nr. 11 BSIG, Meldekette für 24 Stunden, 72 Stunden und einen Monat an die gemeinsame Meldestelle von BSI und BBK (§ 32 BSIG), bei andauerndem Vorfall statt der Abschlussmeldung zunächst eine Fortschrittsmeldung (§ 32 Abs. 2 BSIG), Erreichbarkeit auch am Wochenende. Bei personenbezogenen Daten parallel die Meldung an die Datenschutzaufsicht prüfen, unverzüglich und möglichst binnen 72 Stunden (Art. 33 DSGVO).
7. Business Continuity (Woche 10–14): Business-Impact-Analyse, Wiederanlaufziele, Backup, Krisenmanagement (§ 30 Abs. 2 Nr. 3). Vertiefung: BCM nach NIS2, Disaster-Recovery-Plan-Vorlage.
8. Lieferkette (Woche 10–16): IKT-Dienstleister erfassen, klassifizieren, Verträge anpassen (§ 30 Abs. 2 Nr. 4). Vertiefung: NIS2-Lieferkette absichern, Lieferanten-Audit-Fragebogen.
9. Technische Maßnahmen (Woche 12–20): MFA nach Risiko, Kryptokonzept, Berechtigungen, Protokollierung, Patch-Management (§ 30 Abs. 2 Nr. 5, 8, 9, 10).
10. Schulung (Woche 14–20): Awareness für Beschäftigte (§ 30 Abs. 2 Nr. 7), etwa mit dem E-Learning Cybersicherheit, regelmäßige Schulung der Geschäftsleitung (§ 38 Abs. 3).
11. Wirksamkeitsbewertung (Woche 20–24): interne Audits, Management-Review (§ 30 Abs. 2 Nr. 6).
12. Kontinuierliche Verbesserung: regelmäßige Reviews, jährliche Risikobewertung, Anpassung an neue Rechtsverordnungen und Festlegungen des BSI.

Dokumentation mit Vorlagen: Das NIS2-Kit enthält 72 bearbeitbare Dokumente (51 Word, 19 Excel, 2 PowerPoint) für diese Schritte, vom Scope-Assessment bis zu den Meldevorlagen für die Meldungen an BSI und BBK nach 24 Stunden, 72 Stunden und einem Monat (in der Fassung für Österreich an das CSIRT), als Fassung für Deutschland oder für Österreich. Basis mit 66 Dokumenten 990 €, Plus mit Schulungs-Pack 1.390 €, Komplett mit E-Learning 1.690 €, netto, einmalig, mit 12 Monaten Rechtsstand-Updates. Standardisierte Dokumentation, keine Rechtsberatung im Einzelfall. Die Zuordnung der Vorlagen zeigt die NIS2-Vorlagen-Übersicht.

7. Die häufigsten NIS2-Umsetzungsfehler

1. „Wir sind unter der Schwelle“, ohne Konzern-Check. Verbundene Unternehmen zählen grundsätzlich mit (§ 28 Abs. 4 BSIG); eine Tochter mit 30 Mitarbeitern kann so erfasst sein, außer sie betreibt ihre IT unabhängig.
2. Die ISO-27001-Zertifizierung gilt als NIS2-Konformität. Das BSI widerspricht; die Lücken stehen im Abschnitt NIS2 und ISO 27001.
3. Die Geschäftsleitung delegiert alles an die IT. § 38 Abs. 1 BSIG verpflichtet sie selbst zu Umsetzung und Überwachung.
4. Lieferanten werden nicht bewertet. § 30 Abs. 2 Nr. 4 BSIG verlangt Sicherheit der Lieferkette; die Tiefe richtet sich nach der Kritikalität des Dienstes.
5. Die Meldefrist wird unterschätzt. Die 24 Stunden für die frühe Erstmeldung an die gemeinsame Meldestelle von BSI und BBK laufen ab Kenntniserlangung (§ 32 Abs. 1 Nr. 1 BSIG), auch am Wochenende. Details: NIS2-Meldewege, Glossar Vorfall (NIS2) und Significant Incident.
6. Die Dokumentation fehlt. § 30 Abs. 1 Satz 3 BSIG verlangt sie ausdrücklich; jede Maßnahme braucht Konzept und Umsetzungsbeleg.
7. Die Registrierung wird vergessen. Sie ist eine eigene Pflicht nach § 33 BSIG und bußgeldbewehrt (§ 65 Abs. 2 Nr. 6).

8. NIS2 vs. ISO 27001 — Was deckt was ab?

Das BSI ist eindeutig: Eine Zertifizierung nach ISO/IEC 27001 bedeutet nicht automatisch, dass sämtliche Anforderungen nach § 30 BSIG erfüllt sind. Als Basis ist sie trotzdem wertvoll.

Fazit: ISO 27001 deckt den Großteil der Maßnahmenbereiche ab, ersetzt NIS2 aber nicht. Es fehlen die Pflichten der §§ 32, 33 und 38 BSIG, Geltungsbereich und Risikobehandlung sind anzupassen. Ohne Zertifizierung lässt sich NIS2 auch direkt nach dem BSIG umsetzen. Den Zertifizierungsweg beschreibt NIS2 und ISO 27001: 12-Monats-Pfad.

9. Branchen-Praxis: NIS2 in verschiedenen Sektoren

Gesundheitswesen: Krankenhäuser ab 30.000 vollstationären Fällen im Jahr betreiben nach der BSI-KritisV eine kritische Anlage und sind größenunabhängig besonders wichtig (§ 28 Abs. 1 Nr. 1 BSIG), mit Nachweispflicht nach § 39. Gegenüber zugelassenen Krankenhäusern, die ohne kritische Anlage besonders wichtige Einrichtungen sind, kann das BSI Nachweise frühestens fünf Jahre nach Inkrafttreten anordnen, soweit keine Rechtsverordnung einen früheren Zeitpunkt bestimmt (§ 61 Abs. 3 Satz 5). Mehr: NIS2 im Gesundheitswesen.

Energieversorgung: Für Betreiber von Energieversorgungsnetzen, Energieanlagen und digitalen Energiediensten, die den §§ 5c bis 5e EnWG unterliegen, gelten die §§ 30, 31, 32, 35, 36, 38, 39, 61 und 62 BSIG nicht (§ 28 Abs. 5 Satz 1 Nr. 2 BSIG); maßgeblich ist das EnWG. Ausnahmen gelten für weitere kritische Anlagen oder Tätigkeiten (Satz 2) und für Energieanlagen als Nebentätigkeit (Satz 4). Mehr: NIS2 in der Energieversorgung.

Maschinenbau: Er steht in Anlage 2 BSIG unter dem verarbeitenden Gewerbe; Hersteller sind ab 50 Mitarbeitern oder jeweils über 10 Mio. € Umsatz und Bilanzsumme wichtige Einrichtungen. Praxis-Schwerpunkte sind Netztrennung, Fernwartung und Lieferkette. Mehr: NIS2 im Maschinenbau.

IT-Dienstleister und Cloud: Cloud-Computing-Dienste und Managed Service Provider gehören zu Anlage 1 und sind ab den Größenschwellen erfasst; größenunabhängig besonders wichtig sind sie, wenn sie eine kritische Anlage betreiben, etwa ein Rechenzentrum oder eine Serverfarm über den Schwellen der BSI-KritisV (§ 28 Abs. 1 Nr. 1 BSIG). Größenunabhängig erfasst sind außerdem DNS, TLD, Vertrauensdienste und TK-Anbieter (§ 28 Abs. 1 und 2 BSIG). Für Cloud-Computing-Dienste, Rechenzentrumsdienste, MSP und MSSP sowie für DNS, TLD und Vertrauensdienste hat die Durchführungsverordnung (EU) 2024/2690 Vorrang (§ 30 Abs. 3). Cloud-, Rechenzentrums-, MSP-, MSSP-, DNS- und TLD-Anbieter unterliegen zudem der zentralen EU-Zuständigkeit nach dem Ort der Hauptniederlassung (§ 60 Abs. 1) und der besonderen Registrierungspflicht (§ 34 Abs. 1). Mehr: NIS2 für Cloud-Provider und SaaS-Anbieter.

Weitere Sektoren: Verkehr und Logistik, Wasser und Abfall sowie Banken und Finanzdienstleister. Für Finanzunternehmen nach der DORA-Verordnung (EU) 2022/2554 gelten die §§ 30, 31, 32, 35, 36, 38 und 39 BSIG nicht (§ 28 Abs. 6 Nr. 1); für Betreiber öffentlicher Telekommunikationsnetze und Anbieter öffentlich zugänglicher Telekommunikationsdienste gelten diese Vorschriften nach § 28 Abs. 5 Satz 1 Nr. 1 BSIG ebenfalls nicht.

10. Beispielszenarien zur Einstufung

Die drei Konstellationen sind konstruierte Beispiele, keine realen Fälle. Sie zeigen den Prüfweg und ersetzen keine Prüfung im Einzelfall.

Szenario 1: Maschinenbauer mit 180 Mitarbeitern in Deutschland

Maschinenbau gehört zu Anlage 2, 180 Mitarbeiter liegen über 50: wichtige Einrichtung (§ 28 Abs. 2 Nr. 3 BSIG). Auch eine Gruppe mit über 250 Mitarbeitern macht ihn nicht besonders wichtig, weil Maschinenbau kein Anlage-1-Sektor ist. Schwerpunkte: Registrierung, Bewertung des Plattformanbieters der vernetzten Produktion, Netztrennung, Beschluss und Schulung der Geschäftsleitung.

Szenario 2: Krankenhaus mit 35.000 vollstationären Fällen

Über der Schwelle der BSI-KritisV betreibt das Haus eine kritische Anlage und ist besonders wichtige Einrichtung (§ 28 Abs. 1 Nr. 1 BSIG). Eine ISO-27001-Zertifizierung hilft, deckt aber Meldung, Registrierung und Geschäftsleitungspflichten nicht ab. Schwerpunkte: Bereitschaft für die frühe Erstmeldung an die gemeinsame Meldestelle von BSI und BBK binnen 24 Stunden, Inventar der Medizintechnik, Nachweis nach § 39 Abs. 1 BSIG alle drei Jahre.

Szenario 3: Lebensmittelhersteller in Deutschland und Österreich

Ein industrieller Lebensmittelhersteller mit 120 Mitarbeitern gehört zu Anlage 2 BSIG und ist wichtige Einrichtung. Seine österreichische Schwestergesellschaft wird nach dem NISG 2026 eingestuft, wobei nach § 25 Abs. 1 NISG 2026 die Empfehlung 2003/361/EG gilt und die Daten von Partner- und verbundenen Unternehmen grundsätzlich einbezogen werden, außer die Gesellschaft ist bei ihren Netz- und Informationssystemen organisatorisch, technisch und operativ unabhängig (§ 25 Abs. 4 NISG 2026). Die deutsche Gesellschaft registriert sich beim BSI und meldet an die gemeinsame Meldestelle von BSI und BBK. Ist die österreichische Gesellschaft danach wichtige Einrichtung (§ 24 Abs. 2 NISG 2026), registriert sie sich bei der Cybersicherheitsbehörde (§ 29 NISG 2026) und meldet an das zuständige CSIRT (§ 34 NISG 2026).

11. 6 Mythen zu NIS2 in Deutschland und Österreich

Mythos 1: „Wir sind nicht KRITIS, also gilt NIS2 nicht“

Falsch. Betreiber kritischer Anlagen sind nur eine Gruppe. § 28 BSIG erfasst alle Einrichtungen der Anlagen 1 und 2 ab den Größenschwellen. KRITIS ist eine Teilmenge, kein Synonym.

Mythos 2: „Compliance kommt von der IT-Abteilung“

Falsch. Die IT setzt um, verantwortlich ist die Geschäftsleitung (§ 38 Abs. 1 BSIG), die der eigenen Einrichtung bei schuldhafter Pflichtverletzung haftet (Abs. 2). In Österreich haben die Leitungsorgane die Einhaltung sicherzustellen und zu beaufsichtigen (§ 31 NISG 2026).

Mythos 3: „ISO 27001 reicht automatisch“

Falsch. Meldung, Registrierung und Geschäftsleitungspflichten fehlen in der Norm; Details im Abschnitt NIS2 und ISO 27001.

Mythos 4: „Die 24-Stunden-Meldung gilt nur bei großen Vorfällen“

Falsch. Die frühe Erstmeldung an die gemeinsame Meldestelle von BSI und BBK knüpft an den erheblichen Sicherheitsvorfall nach § 2 Nr. 11 BSIG an: ein Vorfall, der schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann oder andere erheblich schädigen kann. Schon das Potenzial genügt; eine Rechtsverordnung nach § 56 Abs. 5 kann den Begriff konkretisieren.

Mythos 5: „Bei einer Übernahme ändert sich nichts“

Falsch. Eine Transaktion kann Einrichtungsart und Größe verschieben (§ 28 Abs. 1, 2 und 4 BSIG). Wer dadurch erstmals oder erneut als Einrichtung gilt, registriert sich binnen drei Monaten beim BSI (§ 33 Abs. 1); Änderungen einer bestehenden Registrierung sind dem BSI binnen zwei Wochen zu übermitteln (§ 33 Abs. 5).

Mythos 6: „Cloud-Anbieter sind nur Auftragsverarbeiter“

Falsch. Cloud-Computing-Dienste sind eine Einrichtungsart der Anlage 1; ab den Größenschwellen haben die Anbieter eigene NIS2-Pflichten, unabhängig von Art. 28 DSGVO. Der Kunde muss seine Lieferkette zudem selbst steuern (§ 30 Abs. 2 Nr. 4 BSIG); ein Auftragsverarbeitungsvertrag ersetzt das nicht.

Gemeinsamer Nenner: Alle sechs Mythen behandeln NIS2 als IT-Aufgabe. Tatsächlich ist es eine Governance-Aufgabe der Geschäftsleitung.

12. NIS2 in Deutschland und Österreich — Stand 2026

Deutschland: Das BSI-Gesetz gilt seit 06.12.2025; das BSI ist die zentrale Stelle für Informationssicherheit (§ 1 BSIG). Details: NIS2-Umsetzung in Deutschland: Fristen, Meldestelle, Nachweise.

Österreich: Das NISG 2026 hat mit 01.10.2026 das NISG 2018 abgelöst (§ 51 Abs. 2). Zuständig ist das Bundesamt für Cybersicherheit, eine dem Bundesminister für Inneres unmittelbar nachgeordnete Behörde mit Sitz in Wien (§§ 3a und 3b Abs. 3). Erhebliche Vorfälle gehen an das zuständige sektorspezifische oder nationale CSIRT (§ 34 Abs. 2). Mehr: NIS2 Österreich (NISG 2026).

Den Vergleich Punkt für Punkt zeigt NIS2-Umsetzung in Deutschland.