NIS2 und TK-Infrastruktur: Pflichten, Fristen und Umsetzung

Ihr Unternehmen ist von NIS2 betroffen, wenn es in einem der 18 erfassten Sektoren tätig ist und mindestens 50 Mitarbeitende sowie mindestens 10 Millionen Euro Jahresumsatz oder Bilanzsumme erreicht. Zu den Sektoren zählen unter anderem digitale Infrastruktur, IKT-Dienste, Energie, Verkehr, Gesundheit und Finanzen. Betreiber kritischer Anlagen gelten unabhängig von ihrer Größe als betroffen. Die Einordnung erfolgt durch eine Selbstprüfung. Bleibt die Zuordnung unklar, sollten Sie Sektor, Größenklasse und Tätigkeit strukturiert bewerten lassen.

Die Registrierungsfrist beim BSI ist am 6. März 2026 abgelaufen. Sie begann mit dem Inkrafttreten des Gesetzes am 6. Dezember 2025 und betrug drei Monate. Die Registrierung läuft über das Melde- und Informationsportal des BSI, das seit dem 6. Januar 2026 online ist. Voraussetzung ist ein ELSTER-Organisationszertifikat. Wer die Frist versäumt hat, muss sich umgehend registrieren, da bereits die verspätete Registrierung mit einem Bußgeld geahndet werden kann.

Wer NIS2 nicht umsetzt, riskiert empfindliche Bußgelder und persönliche Haftung der Geschäftsleitung. Für besonders wichtige Einrichtungen liegen die Strafen bei bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem welcher Betrag höher ist. Hinzu kommen Anordnungs- und Aufsichtsbefugnisse des BSI bis hin zur vorübergehenden Untersagung von Tätigkeiten. Auch die verspätete Registrierung oder fehlende Vorfallsmeldungen sind sanktionierbar. Reputationsschäden und Vertrauensverlust bei Kunden kommen oft noch dazu.

Die Geschäftsleitung trägt bei NIS2 die direkte Verantwortung und haftet persönlich. Sie muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und sich regelmäßig zu Cybersicherheit schulen lassen. Diese Pflicht lässt sich nicht vollständig delegieren. Verstöße können zu persönlicher Haftung der Leitungsorgane führen. NIS2 macht Cybersicherheit damit zur Chefsache und verankert sie auf Vorstands- und Geschäftsführungsebene. Eine dokumentierte Beteiligung der Leitung an Entscheidungen ist deshalb ein zentraler Nachweis der Compliance.

Als Zulieferer können Sie indirekt von NIS2 betroffen sein, selbst wenn Sie die Schwellenwerte nicht selbst erreichen. NIS2 verpflichtet betroffene Unternehmen ausdrücklich zur Absicherung ihrer Lieferkette. Ihre Kunden werden deshalb Sicherheitsanforderungen vertraglich an Sie weitergeben und Nachweise verlangen. Wer diese Anforderungen nicht erfüllt, riskiert den Verlust von Aufträgen. Es lohnt sich daher, die eigene Sicherheitsorganisation an NIS2 auszurichten, auch wenn das Gesetz formal nicht unmittelbar für Sie gilt.

NIS2 und Ihre TK-Infrastruktur hängen eng zusammen, weil Netze und Kommunikationsdienste zu den zentralen geprüften Risikofeldern gehören. Die Mindestanforderungen nach Paragraf 30 BSIG umfassen unter anderem Lieferkettensicherheit, Netzwerksegmentierung, Multi-Faktor-Authentifizierung und gesicherte Kommunikation. Genau diese Punkte betreffen Ihre Anbindungen, Carrier und internen Netze direkt. Eine sichere, dokumentierte TK-Infrastruktur deckt einen großen Teil der Pflichten ab. Sie ist damit kein Nebenschauplatz, sondern ein Fundament der gesamten NIS2-Umsetzung.