NIS2 gilt seit Dezember 2025 – ist Ihr Unternehmen bereits registriert?
Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist seit dem 6. Dezember 2025 in Deutschland in Kraft – ohne Übergangsfrist, ohne Aufschub. Von den rund 29.500 betroffenen Unternehmen hatten bis zur BSI-Registrierungsfrist am 6. März 2026 nur etwa 11.500 (38,5 %) gehandelt. Seit Mai 2026 prüft das BSI aktiv. Über 18.000 Unternehmen sind derzeit im Verzug.
Wer jetzt noch nichts unternommen hat, steht vor einem Zeitdruck – und vor einer persönlichen Haftung der Geschäftsführung, die gesetzlich nicht abdingbar ist. TTG ist als einziges ISO/IEC 27001:2022-zertifiziertes IT-Systemhaus in Nordthüringen in der Lage, NIS2-Compliance und ein auditiertes Sicherheitsmanagementsystem aus einer Hand zu liefern.
| Kennzahl | Wert | Quelle |
|---|---|---|
| Betroffene Unternehmen in Deutschland | ca. 29.500 | BSI / NIS2UmsuCG, Dez. 2025 |
| Registrierungen bis BSI-Frist 6. März 2026 | ca. 11.500 (38,5 %) | BSI-Registrierungsstatistik |
| Unternehmen noch im Verzug | > 18.000 | BDO NIS2-6-Monats-Analyse, April 2026 |
| BSI-Prüfphase aktiv seit | Mai 2026 | BSI-Pressemitteilung |
Bin ich überhaupt betroffen?
NIS2 trifft Unternehmen in 18 definierten Sektoren, sobald sie mindestens 50 Mitarbeitende oder 10 Millionen Euro Jahresumsatz erreichen. Dazu zählen Energie- und Wasserversorgung, Gesundheitswesen, Transport und Logistik, Lebensmittelproduktion, Finanzmarktinfrastruktur, öffentliche Verwaltung sowie die gesamte IKT-Branche.
Besonders relevant für TTG-Kunden: IT-Dienstleister, Managed-Service-Provider und Hosting-Anbieter fallen unabhängig von der Unternehmensgröße unter NIS2, sobald sie Dienste für kritische Einrichtungen erbringen. Auch Zulieferer, die Teil der Lieferkette eines NIS2-pflichtigen Unternehmens sind, können indirekt zur Compliance verpflichtet werden.
- Energie · Wasser · Gesundheit · Transport · Lebensmittel · Finanzmarkt · IKT
- IT-Dienstleister, MSP, Hosting-Provider, Software-Anbieter für kritische Dienste
- Zulieferer von NIS2-pflichtigen Unternehmen (vertraglich zunehmend gefordert)
- Kritische Infrastruktur-Betreiber jeder Größe (KRITIS-Dachgesetz greift zusätzlich)
Unsicher, ob Ihr Unternehmen betroffen ist? TTG prüft Ihre Betroffenheit im Erstgespräch kostenlos und ohne Verpflichtung.
Was auf dem Spiel steht
Geschäftsführerhaftung nach § 38 BSIG – persönlich, nicht abdingbar
Das ist der Punkt, der viele Geschäftsführerinnen und Geschäftsführer am härtesten trifft: § 38 BSIG begründet eine persönliche Haftung der Unternehmensleitung für die Umsetzung der NIS2-Maßnahmen. Diese Haftung kann weder durch Gesellschafterbeschluss noch durch Satzungsregelungen ausgeschlossen werden.
Die Geschäftsleitung muss die Maßnahmen nicht nur anordnen, sondern sie genehmigen, überwachen und selbst an den vorgeschriebenen Schulungen teilnehmen. Wer das als Formalie abtut, riskiert mit dem eigenen Privatvermögen zu haften.
Bußgelder – gestaffelt nach Einrichtungstyp
NIS2 unterscheidet zwischen „besonders wichtigen“ und „wichtigen“ Einrichtungen:
- Besonders wichtige Einrichtungen (u. a. Energie, Gesundheit, große IKT): bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes – der höhere Betrag gilt.
- Wichtige Einrichtungen: bis zu 7 Millionen Euro oder 1,4 % des Jahresumsatzes.
Diese Beträge gelten nicht nur für schwerwiegende Vorfälle – bereits fehlende oder mangelhafte Sicherheitsmaßnahmen können gebußt werden.
Meldepflichten – enge Fristen, aktives BSI-Portal
Im Fall eines erheblichen Sicherheitsvorfalls tickt die Uhr:
- 24 Stunden: Frühwarnung an das BSI
- 72 Stunden: Vollständige Meldung mit Ausmaß und Ursache
- 1 Monat: Abschlussbericht mit Gegenmaßnahmen
Das BSI-Meldeportal ist seit dem 6. Januar 2026 aktiv. Wer keine funktionierenden Prozesse für Erkennung, Dokumentation und Meldung hat, wird diese Fristen im Ernstfall nicht einhalten können.
ISO 27001 deckt 70–80 % von NIS2 bereits ab
Wer ein Informationssicherheits-Managementsystem nach ISO/IEC 27001 betreibt, hat einen erheblichen Vorsprung: Risikobeurteilung, Maßnahmenplanung, Schulung der Mitarbeitenden, Vorfallsmanagement und kontinuierliche Verbesserung – das sind Kernbestandteile von ISO 27001, und genau das fordert auch NIS2. Nach übereinstimmenden Einschätzungen verschiedener Prüfgesellschaften deckt ein auditiertes ISMS rund 70 bis 80 Prozent der NIS2-Anforderungen strukturell ab.
Die verbleibenden 20 bis 30 Prozent sind NIS2-spezifisch: das Registrierungsverfahren beim BSI, die Meldeprozesse nach § 32 BSIG und die im Gesetz explizit verankerten Pflichten der Geschäftsleitung nach § 38 BSIG.
TTG ist selbst nach ISO/IEC 27001:2022 zertifiziert (Proks Certification, gültig bis Dezember 2028) – wir beraten nicht theoretisch, sondern aus gelebter Praxis. Kein anderer IT-Dienstleister in Nordthüringen verbindet eine auditierte ISO-Zertifizierung mit aktiver NIS2-Beratung und vollständiger IT-Infrastrukturbetreuung aus einer Hand.
| Merkmal | TTG GmbH | Mitbewerber Region |
|---|---|---|
| ISO/IEC 27001:2022 zertifiziert | ✔ bis Dez. 2028 | ✗ keiner |
| NIS2-Beratung aktiv angeboten | ✔ | vereinzelt, ohne Zertifizierung |
| Gelebtes ISMS als eigene Referenz | ✔ auditiert | ✗ |
| IT-Infrastruktur + ISMS aus einer Hand | ✔ | ✗ |
| Vor-Ort-Präsenz (Eichsfeld / Nordthüringen) | ✔ | teilweise |
Was TTG für Sie übernimmt – Schritt für Schritt
-
Kostenlose Ersteinschätzung (60 Minuten)
Wir klären gemeinsam: Sind Sie betroffen? Welche Einrichtungsklasse gilt? Was ist dringend, was kann warten? Welche Maßnahmen sind bereits vorhanden? Klare Einschätzung – ohne Verkaufsdruck und ohne versteckte Kosten. -
NIS2-Gap-Analyse
Wir gleichen Ihre bestehende IT-Sicherheits- und Organisationsstruktur mit den konkreten NIS2-Anforderungen ab. Das Ergebnis: ein priorisierter Maßnahmenplan mit Quick-Wins und mittelfristigen Strukturmaßnahmen. -
BSI-Registrierung und Meldestrukturen
Die Registrierung im BSI-MELDE- und INFORMATIONSPORTAL ist Pflicht. Wir begleiten Sie durch den Prozess und richten gleichzeitig die internen Meldeprozesse ein, damit Sie im Ernstfall die 24-h-Frühwarnung fristgerecht einhalten können. -
Sofortmaßnahmen-Paket (4–8 Wochen)
Technische Prioritätsmaßnahmen: Multi-Faktor-Authentifizierung, sichere Backup-Strategie nach 3-2-1-Prinzip, Netzwerksegmentierung, Logging und Monitoring. Diese Maßnahmen adressieren direkt die häufigsten BSI-Prüfpunkte. -
ISMS-Aufbau und Zertifizierungsbegleitung
Wer dauerhaft 70–80 % der NIS2-Anforderungen systematisch abdecken möchte, begleiten wir von der Dokumentation über das interne Audit bis zur Erstzertifizierung durch eine akkreditierte Zertifizierungsstelle. -
Nachweis gegenüber Ihrer Lieferkette
Viele NIS2-pflichtige Großunternehmen fordern schriftliche Sicherheitsnachweise von ihren IT-Dienstleistern. Wir helfen Ihnen, diese Nachweise zu erstellen – und umgekehrt Ihre eigenen Dienstleister zu bewerten.
Häufige Fragen
Wir haben die Registrierungsfrist am 6. März 2026 verpasst – was jetzt?
Die Registrierung ist auch jetzt noch möglich und sollte sofort nachgeholt werden. Das BSI priorisiert in der aktuellen Prüfphase Beratung vor Bußgeldern – aber das ist kein Freifahrtschein. Wer zum Zeitpunkt eines Sicherheitsvorfalls noch nicht registriert ist, riskiert deutlich härtere Konsequenzen. Handeln Sie, bevor das BSI Sie aktiv anschreibt.
Wir haben ISO 27001 – sind wir damit NIS2-konform?
ISO 27001 schafft eine sehr gute Ausgangslage – rund 70 bis 80 Prozent der NIS2-Anforderungen sind bei einem laufenden ISMS strukturell abgedeckt. Die verbleibenden Punkte – BSI-Registrierung, gesetzliche Meldeprozesse nach § 32 BSIG und Geschäftsleitungspflichten nach § 38 BSIG – sind NIS2-spezifisch. Eine gezielte Gap-Analyse zeigt, wo der konkrete Restbedarf liegt.
Gilt NIS2 auch für kleinere Unternehmen unter 50 Mitarbeitende?
Für bestimmte Kategorien gilt NIS2 unabhängig von der Größe: IT-Dienstleister, MSP, Hosting-Provider und Softwareanbieter, die kritische Dienste erbringen, sind immer betroffen. Darüber hinaus fordern immer mehr NIS2-pflichtige Unternehmen Sicherheitsnachweise von ihren Zulieferern – auch wenn diese selbst nicht unmittelbar unter die Regelung fallen.
Was kostet NIS2-Beratung bei TTG?
Die erste Einschätzung (60 Minuten) ist kostenlos und unverbindlich. Der Aufwand für Gap-Analyse, Maßnahmen-Umsetzung und Dokumentation hängt von Ihrer Ausgangssituation ab. Wir erstellen immer zuerst ein transparentes Angebot – keine Überraschungsrechnung, kein Stundensatz ohne Deckel.
Wollen Sie wissen, ob und wie stark Ihr Unternehmen von NIS2 betroffen ist – und was das konkret für Sie bedeutet?
NIS2-Ersteinschätzung – kostenlos und unverbindlich
Klären Sie in 60 Minuten: Sind Sie betroffen? Was ist dringend? Was kostet die Umsetzung? Direkt mit einem ISO 27001-zertifizierten Experten – vor Ort in Dingelstädt oder per Teams.
