NIS2 2027: Ein Compliance-Fahrplan für den Mittelstand

NIS2 ist kein Projekt für später mehr. Die EU-Richtlinie musste bis zum 17. Oktober 2024 umgesetzt werden, das deutsche Umsetzungsgesetz gilt seit dem 6. Dezember 2025 und das österreichische seit dem 1. Oktober 2026. Für viele mittelständische Unternehmen ist 2027 das Jahr, in dem die Aufsicht von der Registrierung zur Frage übergeht, ob die Sicherheitsmaßnahmen tatsächlich funktionieren.

Dieser Leitfaden zeigt, was heute gilt, was sich 2027 ändert und was nur vorgeschlagen ist. Recherchestand: 11. November 2026. Es handelt sich um allgemeine Informationen, nicht um Rechtsberatung; klären Sie Ihre Einstufung mit einer Anwältin, einem Anwalt oder Ihrer Compliance-Beratung.

Die kurze Antwort

Wenn Ihr Unternehmen mindestens 50 Beschäftigte oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme hat und in einem NIS2-Sektor tätig ist, sind Sie sehr wahrscheinlich betroffen. Sie müssen sich bei der nationalen Behörde registrieren, dokumentierte Risikomanagementmaßnahmen umsetzen, erhebliche Sicherheitsvorfälle innerhalb von 24 Stunden melden und dafür sorgen, dass die Geschäftsleitung Cybersicherheit verantwortet, überwacht und geschult ist. Auch wenn Sie selbst zu klein sind, geben betroffene Kunden viele dieser Anforderungen über Verträge an Sie weiter.

Wo NIS2 steht (November 2026)

• 16. Januar 2023: Die NIS2-Richtlinie (EU) 2022/2555 tritt in Kraft.
• 17. Oktober 2024: Frist für die Umsetzung durch die Mitgliedstaaten. Italien wendet sein Dekret seit dem 16. Oktober 2024 an; die meisten Länder waren verspätet.
• 6. Dezember 2025: Das deutsche NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) tritt in Kraft; das neue BSI-Gesetz gilt für rund 29.500 Unternehmen und Institutionen.
• 6. März 2026: Die gesetzliche Frist für die Registrierung deutscher Einrichtungen beim BSI läuft ab. Eine verspätete Registrierung bleibt Pflicht.
• 8. Juli 2026: Die Europäische Kommission verklagt Irland, Spanien, Frankreich und die Niederlande vor dem EuGH, weil sie keine vollständige Umsetzung gemeldet haben.
• 1. Oktober 2026: Das österreichische NISG 2026 tritt in Kraft; die Registrierung ist bis Ende 2026 fällig.

Die Umsetzungsübersicht der Kommission listet die nationalen Gesetze Land für Land. Wo ein nationales Gesetz noch fehlt, binden die Pflichten der Richtlinie Unternehmen noch nicht unmittelbar, sie greifen aber, sobald das Gesetz gilt, meist ohne lange Übergangsfrist.

Ist Ihr Unternehmen betroffen?

NIS2 arbeitet mit drei Prüfungen: Sektor, Größe und in manchen Fällen die Art der Dienstleistung unabhängig von der Größe.

• Sektoren: Anhang I (hohe Kritikalität) umfasst Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, öffentliche Verwaltung und Weltraum. Anhang II umfasst Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, die Herstellung von Medizinprodukten, Elektronik, Maschinen und Fahrzeugen, Anbieter digitaler Dienste und Forschung.
• Größe: Mittlere Unternehmen mit mindestens 50 Beschäftigten oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme sind grundsätzlich erfasst. Große Unternehmen mit mindestens 250 Beschäftigten oder mehr als 50 Millionen Euro Umsatz und 43 Millionen Euro Bilanzsumme in einem Sektor aus Anhang I gelten in Deutschland meist als besonders wichtige Einrichtungen.
• Unabhängig von der Größe: Qualifizierte Vertrauensdiensteanbieter, DNS-Diensteanbieter, Top-Level-Domain-Registries und Anbieter öffentlicher Telekommunikationsdienste sind auch als kleine Unternehmen erfasst.
• Lieferkette: Wer selbst nicht betroffen ist, spürt NIS2 trotzdem, wenn ein betroffener Kunde Sicherheitsklauseln, Nachweise und Meldepflichten in Lieferantenverträge aufnimmt.

Managed-IT-Dienstleister, Managed-Security-Dienstleister, Cloud-Anbieter und Rechenzentrumsbetreiber gehören zu den Sektoren digitale Infrastruktur oder Verwaltung von IKT-Diensten. Wenn Sie Systeme für andere hosten oder betreiben, sollten Sie das genau prüfen.

Was NIS2 verlangt

Artikel 21 der Richtlinie und § 30 BSI-Gesetz verlangen geeignete, verhältnismäßige und dokumentierte technische und organisatorische Maßnahmen. Sie müssen mindestens Folgendes abdecken:

• Risikoanalyse und Konzepte für die Informationssicherheit;
• Bewältigung von Sicherheitsvorfällen;
• Aufrechterhaltung des Betriebs, einschließlich Backup-Management, Notfallwiederherstellung und Krisenmanagement;
• Sicherheit der Lieferkette, einschließlich der Beziehungen zu unmittelbaren Anbietern und Dienstleistern;
• Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen, einschließlich Schwachstellenmanagement und Offenlegung;
• Verfahren zur Bewertung der Wirksamkeit der Maßnahmen;
• grundlegende Cyberhygiene und Schulungen zur Cybersicherheit;
• Konzepte für Kryptografie und, wo sinnvoll, Verschlüsselung;
• Personalsicherheit, Zugriffskontrolle und Verwaltung von Assets;
• Multi-Faktor- oder kontinuierliche Authentifizierung und gesicherte Kommunikation, wo angemessen.

Für Cloud-Anbieter, Rechenzentren, Managed-Service-Provider, Online-Marktplätze und ähnliche digitale Anbieter konkretisiert die Durchführungsverordnung (EU) 2024/2690 diese Maßnahmen im Detail und legt fest, wann ein Vorfall erheblich ist.

Meldepflichten: 24 Stunden, 72 Stunden, ein Monat

Für einen erheblichen Sicherheitsvorfall folgt § 32 BSI-Gesetz dem dreistufigen Modell der Richtlinie:

• eine frühe Erstmeldung unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, mit der Angabe, ob ein böswilliger Angriff oder grenzüberschreitende Auswirkungen vermutet werden;
• eine Meldung innerhalb von 72 Stunden mit einer ersten Bewertung von Schweregrad und Auswirkungen sowie, falls vorhanden, Kompromittierungsindikatoren;
• eine Abschlussmeldung spätestens einen Monat nach der Meldung oder eine Fortschrittsmeldung, wenn der Vorfall noch andauert.

Vierundzwanzig Stunden sind knapp. Die Frist beginnt mit der Kenntniserlangung, deshalb muss vorher feststehen, wer einen Vorfall einstuft, wer meldet und über welches Portal.

Die Geschäftsleitung ist verantwortlich

Nach § 38 BSI-Gesetz muss die Geschäftsleitung betroffener Einrichtungen die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Wer diese Pflicht verletzt, haftet der Einrichtung nach den gesellschaftsrechtlichen Regeln ihrer Rechtsform, und die Geschäftsleitung muss regelmäßig an Schulungen teilnehmen, um Cyberrisiken erkennen und bewerten zu können. Cybersicherheit lässt sich nicht mehr vollständig an die IT-Abteilung delegieren.

Bußgelder und Aufsicht

Die Richtlinie sieht Höchstbußgelder von mindestens 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes für besonders wichtige und 7 Millionen Euro oder 1,4 % für wichtige Einrichtungen vor. In Deutschland gelten die prozentualen Obergrenzen nach § 65 BSI-Gesetz nur für Unternehmen mit mehr als 500 Millionen Euro Gesamtumsatz; eine fehlende Registrierung kann bis zu 500.000 Euro kosten. Besonders wichtige Einrichtungen werden proaktiv beaufsichtigt, wichtige Einrichtungen vor allem dann, wenn Hinweise auf Verstöße vorliegen.

Deutschland: Was das NIS2UmsuCG praktisch bedeutet

Die Registrierung in Deutschland erfolgt in zwei Schritten: zuerst ein Konto bei „Mein Unternehmenskonto“, das ELSTER-Organisationszertifikate nutzt, danach die Registrierung im BSI-Portal, das am 6. Januar 2026 freigeschaltet wurde. Die gesetzliche Frist lief am 6. März 2026 ab, drei Monate nach Inkrafttreten. Laut der BSI-Seite zu den NIS-2-Pflichten müssen sich Einrichtungen spätestens drei Monate, nachdem sie erstmals NIS2-betroffen sind, registrieren und Änderungen binnen zwei Wochen melden.

Betreiber kritischer Anlagen haben eine zusätzliche Pflicht: Sie müssen ihre Maßnahmen alle drei Jahre zu einem vom BSI festgelegten Zeitpunkt durch Audits, Prüfungen oder Zertifizierungen nachweisen. Für alle anderen wird 2027 das Jahr, in dem Risikoanalysen, Dokumentation und Meldeprozesse vorliegen sollten, wenn das BSI danach fragt.

Österreich und Italien: Fristen 2027

In Österreich gilt das NISG 2026 seit dem 1. Oktober 2026. Wesentliche und wichtige Einrichtungen müssen sich über das Unternehmensserviceportal USP registrieren; das Bundesamt für Cybersicherheit nennt den 31. Dezember 2026 als Endtermin, während die Drei-Monats-Regel im Gesetz bis zum 4. Jänner 2027 reichen kann. Eine fehlende Registrierung kann mit bis zu 50.000 Euro, im Wiederholungsfall bis zu 100.000 Euro bestraft werden.

In Italien gilt das Gesetzesdekret 138/2024 seit dem 16. Oktober 2024. Einrichtungen, die 2026 erstmals in die NIS-Liste aufgenommen wurden, müssen erhebliche Vorfälle ab dem 1. Januar 2027 melden, also bis Ende 2026 eine CSIRT-Kontaktperson benennen, und die grundlegenden Sicherheitsmaßnahmen bis zum 31. Juli 2027 umsetzen, so die nationale Cybersicherheitsagentur ACN. Einrichtungen aus der Liste 2025 melden bereits seit Januar 2026.

Was sich 2027 ändern könnte und was nur vorgeschlagen ist

Zwei Vorschläge der Kommission würden NIS2 ändern: gezielte Änderungen in COM(2026) 13 vom 20. Januar 2026 zu Anwendungsbereich, Größenregeln und Registrierung sowie der Digital Omnibus COM(2025) 837, der einfachere Meldewege vorschlägt. Am 21. Oktober 2026 hat der Rat seine Position zum Digital Omnibus festgelegt und das zentrale EU-Meldeportal durch nationale Meldestellen ersetzt. Keiner der Vorschläge ist Gesetz; das Europäische Parlament hat noch nicht abgestimmt, und die Kommission muss NIS2 bis zum 17. Oktober 2027 überprüfen. Planen Sie mit den geltenden Regeln, nicht mit Entwürfen. Wenn Sie auch KI einsetzen, behandelt unser Leitfaden zum EU AI Act 2027 die parallelen KI-Fristen.

Ein Fahrplan 2027 für mittelständische Unternehmen

1. Betroffenheit prüfen und registrieren

Gleichen Sie Ihren Sektor mit den Anhängen I und II ab, berechnen Sie Beschäftigte und Umsatz nach der EU-Definition für KMU, die Partner- und verbundene Unternehmen einbeziehen kann, und dokumentieren Sie das Ergebnis auch dann, wenn Sie nicht betroffen sind. Sind Sie betroffen und noch nicht registriert, holen Sie das jetzt nach. Eine späte Registrierung ist besser als keine.

2. Risikoanalyse und Lückenprüfung durchführen

Erfassen Sie Ihre kritischen Dienste, die Systeme dahinter und die Lieferanten, von denen sie abhängen. Vergleichen Sie den Ist-Stand mit den zehn Mindestmaßnahmen und halten Sie Lücken mit Verantwortlichen und Terminen fest. Genau dieses Dokument verlangen Aufsicht und Kunden zuerst.

3. Meldeprozess praxistauglich machen

Legen Sie fest, was für Ihr Unternehmen ein erheblicher Vorfall ist, wer entscheidet, wer meldet und wer mit Kunden spricht. Üben Sie mit einem realistischen Szenario wie Ransomware oder einem Hosting-Ausfall. Unser Artikel wie wir Ausfälle, 500-Fehler und Malware bewältigen zeigt, wie die ersten Stunden in der Praxis aussehen.

4. Backups, Zugänge und Updates absichern

Nutzen Sie Multi-Faktor-Authentifizierung für alle administrativen und Fernzugriffe, halten Sie getestete Offline- oder unveränderliche Backups vor und patchen Sie aus dem Internet erreichbare Systeme schnell. Die Wahl zwischen Managed Hosting und Shared Hosting ist hier wichtig, denn sie entscheidet, wer für Updates, Überwachung und Wiederherstellung zuständig ist.

5. Lieferanten steuern

Listen Sie die Lieferanten auf, die Ihre kritischen Dienste beeinflussen können, fordern Sie Nachweise wie ISO/IEC-27001-Zertifikate oder Prüfberichte an und ergänzen Sie Verträge um Sicherheits- und Meldeklauseln. Bei der Cloud-Wahl gehören Datenstandort und Support zum Risiko; siehe unseren Vergleich Hetzner, AWS und Azure für KMU.

6. Geschäftsleitung und Mitarbeitende schulen

Planen Sie regelmäßige Schulungen für die Geschäftsführung ein, wie es das Gesetz verlangt, und führen Sie kurze, rollenbezogene Awareness-Schulungen für Mitarbeitende durch. Dokumentieren Sie die Teilnahme. Phishing und gestohlene Zugangsdaten bleiben der häufigste Einstiegsweg.

7. Dokumentieren, messen und überprüfen

Halten Sie Richtlinien, Risikoentscheidungen, Schulungsnachweise und Vorfallprotokolle an einem Ort, definieren Sie wenige Kennzahlen wie Patch-Zeiten und Ergebnisse von Backup-Tests und überprüfen Sie diese alle sechs Monate. Fehlen Ihnen die Leute dafür, kann ein Managed-IT-Dienstleister Überwachung und Betrieb übernehmen, die rechtliche Verantwortung bleibt aber bei Ihrer Geschäftsleitung.

Wie Metanow unterstützt

Metanow arbeitet seit 2022 an Cloud-, Hosting- und ERP-Projekten, und Metanow Cloud betreibt Websites und Anwendungen für mehr als 10.000 Unternehmen. Wir unterstützen mittelständische Unternehmen bei der technischen Seite von NIS2: Managed Hosting mit Überwachung, Backups und Patches, Multi-Faktor-Zugänge, Protokollierung, Asset- und Lieferantenverzeichnisse in Odoo sowie mit n8n automatisierte Meldeabläufe. Wir sind weder Kanzlei noch Zertifizierungsstelle; wir arbeiten mit Ihrer Rechtsberatung und Ihren Prüfern zusammen, damit die Dokumentation zu den Systemen passt.

Häufig gestellte Fragen

Offizielle Quellen

• EUR-Lex — Directive (EU) 2022/2555 (NIS2 Directive)
• EUR-Lex — Commission Implementing Regulation (EU) 2024/2690 (technical and methodological requirements for digital providers)
• European Commission — NIS2 Directive transposition in EU countries
• European Commission — referral of Ireland, Spain, France and the Netherlands to the Court of Justice (8 July 2026)
• EUR-Lex — procedure for COM(2026) 13, proposal amending Directive (EU) 2022/2555
• BSI Act (BSIG) § 28 — essential and important entities
• BSI Act (BSIG) § 30 — risk management measures
• BSI Act (BSIG) § 32 — reporting obligations
• BSI Act (BSIG) § 33 — registration obligation
• BSI Act (BSIG) § 38 — duties of management
• BSI Act (BSIG) § 39 — evidence obligations for operators of critical facilities
• BSI Act (BSIG) § 65 — fines
• BSI — NIS-2 obligations and registration
• BSI press release — NIS-2 implementation act in force (5 December 2025)
• BSI press release — BSI portal opened for NIS-2 registration (6 January 2026)
• Austria, Federal Office for Cybersecurity — NISG 2026 registration FAQ
• Austria, RIS — NISG 2026 § 29 (register and registration)
• Italy, ACN — determinations on obligations for new NIS entities (2026)
• Italy, ACN — NIS FAQ: security measures and incident notification
• Council of the EU — position on the Digital Omnibus for data protection, privacy and cyber reporting (21 October 2026)