Deutschland hat NIS2 mit dem NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) umgesetzt. Es ist am 6. Dezember 2025 in Kraft getreten und hat das BSI-Gesetz (BSIG) neu gefasst. Es erfasst weit mehr Unternehmen als die alten KRITIS-Regeln: besonders wichtige Einrichtungen und wichtige Einrichtungen in den Sektoren von NIS2 sowie Betreiber kritischer Anlagen. Für die meisten stellen sich drei praktische Fragen: Sind wir beim BSI registriert, können wir einen erheblichen Sicherheitsvorfall innerhalb von 24 Stunden melden, und bemerken wir ihn früh genug, um das zu schaffen?
Wer betroffen ist
Die Größenschwellen folgen NIS2. Im Allgemeinen ist ein Unternehmen erfasst, wenn es in einem der im Gesetz genannten Sektoren tätig ist und mindestens mittelgroß ist: 50 oder mehr Beschäftigte oder ein Jahresumsatz und eine Jahresbilanzsumme von jeweils mehr als 10 Mio. EUR. Manche Einrichtungen sind unabhängig von ihrer Größe erfasst. Die Seiten des BSI zu NIS-2-regulierten Unternehmen erklären, wie Sie prüfen, ob Ihr Unternehmen dazugehört.
Registrierung beim BSI
Eine betroffene Einrichtung registriert sich innerhalb von drei Monaten, nachdem sie betroffen ist, beim BSI (§ 33 BSIG). Die Registrierung hat zwei Schritte: ein Konto bei Mein Unternehmenskonto (MUK) und danach die Registrierung im BSI-Portal. Für Unternehmen, die von Anfang an betroffen waren, liefen die drei Monate ab dem 6. Dezember 2025.
Meldung: 24 Stunden, 72 Stunden, ein Monat
Erhebliche Sicherheitsvorfälle werden in Stufen gemeldet (§ 32 Abs. 1 BSIG): eine frühe Erstmeldung innerhalb von 24 Stunden, nachdem Sie Kenntnis erlangt haben, eine Meldung innerhalb von 72 Stunden, eine Zwischenmeldung auf Ersuchen des BSI und eine Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung; dauert der Vorfall dann noch an, ist stattdessen eine Fortschrittsmeldung fällig und die Abschlussmeldung nach abschließender Bearbeitung (§ 32 Abs. 2). Die Stufen und ihr Inhalt folgen Artikel 23 NIS2. Die Meldungen gehen an die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK), die über das BSI-Portal erreicht wird; wer vor der Registrierung einen erheblichen Sicherheitsvorfall hat, nutzt ein Formular im Melde- und Informationsportal (MIP) des BSI. Unser NIS2-Fristenrechner macht aus dem Zeitpunkt der Kenntnis konkrete Daten.
Risikomanagementmaßnahmen und Angriffserkennung
Das BSIG übernimmt die Risikomanagementmaßnahmen aus Artikel 21 NIS2: Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs, Sicherheit der Lieferkette, Konzepte zur Bewertung der Wirksamkeit der Maßnahmen und weitere. Ein bestimmtes Produkt nennt das Gesetz nicht.
Für Betreiber kritischer Anlagen gilt eine Anforderung mehr. Nach § 31 Abs. 2 BSIG müssen sie Systeme zur Angriffserkennung einsetzen, die fortlaufend und automatisch geeignete Parameter aus dem laufenden Betrieb erfassen und auswerten. Das BSI veröffentlicht eine Orientierungshilfe dazu, was solche Systeme abdecken sollten.
Was das für die Netzwerküberwachung heißt
Einen Vorfall, den Sie nicht bemerkt haben, können Sie nicht innerhalb von 24 Stunden melden. Die meisten Einbrüche, die in einem meldepflichtigen Vorfall enden, laufen lange vor dem Schaden über das Netz: ein Arbeitsplatzrechner, der sich bei einem externen Server meldet, ein Host, der andere scannt, neue Administratorsitzungen, ein großer Upload in der Nacht. Diesen Verkehr fortlaufend zu beobachten, ist einer der wenigen Wege, auf denen ein kleines Team rechtzeitig etwas merkt, und es erfasst auch Geräte, auf denen kein Endpoint-Agent laufen kann, etwa Drucker, Kameras und Produktionsmaschinen.
Für Betreiber kritischer Anlagen kann Netzwerkerkennung ein Teil eines Systems zur Angriffserkennung nach § 31 Abs. 2 BSIG sein. Ob eine bestimmte Lösung die Anforderung erfüllt, muss der Betreiber gegenüber seinem Prüfer nachweisen; kein Werkzeug erfüllt sie allein.
Was NetSenX tut und was nicht
NetSenX beobachtet, wie sich jeder Host im Netz verhält, und erkennt C2-Beaconing, Scans, Lateral Movement und ungewöhnliche ausgehende Datenmengen, in jedem Plan, auch im Free-Plan. Es erklärt jeden Alarm in verständlicher Sprache, schreibt Alarme, Analystenentscheidungen und Konfigurationsänderungen in ein Audit-Log und verfolgt jeden Vorfall gegen die Fristen nach Artikel 23 NIS2. Kundendaten werden in der EU gespeichert, die API läuft in Frankfurt und Paris.
NetSenX entscheidet nicht, ob Ihr Unternehmen betroffen ist, registriert es nicht beim BSI und meldet nicht in Ihrem Namen: Diese Pflichten bleiben bei Ihnen. Der Free-Plan überwacht bis zu 3 Geräte ohne zeitliche Begrenzung; siehe Preise und NIS2-Netzwerküberwachung.
FAQ
Seit wann gilt NIS2 in Deutschland?
Seit dem 6. Dezember 2025, als das NIS2UmsuCG in Kraft trat und das neue BSI-Gesetz (BSIG) anwendbar wurde.
Wo melden deutsche Unternehmen NIS2-Vorfälle?
An die gemeinsame Meldestelle von BSI und BBK, erreichbar über das BSI-Portal: eine frühe Erstmeldung innerhalb von 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls, eine Meldung innerhalb von 72 Stunden und eine Abschlussmeldung spätestens einen Monat danach (§ 32 Abs. 1 BSIG). Vor der Registrierung steht dafür ein Formular im Melde- und Informationsportal (MIP) des BSI bereit.
Braucht jedes betroffene Unternehmen ein System zur Angriffserkennung?
Die ausdrückliche Pflicht aus § 31 Abs. 2 BSIG gilt für Betreiber kritischer Anlagen. Andere betroffene Einrichtungen müssen die Risikomanagementmaßnahmen des BSIG umsetzen, die kein bestimmtes Werkzeug nennen; fortlaufende Netzwerküberwachung ist ein Weg, Vorfälle rechtzeitig zu erkennen und zu melden.
Registriert NetSenX uns oder meldet es an das BSI?
Nein. NetSenX erkennt verdächtiges Netzwerkverhalten, bewahrt die Alarme und das Audit-Log auf, auf die sich eine Meldung stützt, und verfolgt die Meldefristen. Registrierung und Meldung bleiben bei Ihrem Unternehmen.
Quellen
Abgerufen am 7. November 2026, die drei BSIG-Paragrafen am 9. November 2026.
- BSI — Pressemitteilung vom 5. Dezember 2025: NIS-2-Umsetzungsgesetz ab morgen in Kraft
- BSI — NIS-2-regulierte Unternehmen
- BSI — NIS-2-Meldepflicht
- BSI — Schritt-für-Schritt-Anleitung für die Registrierung im BSI-Portal
- § 31 BSIG (2025) — gesetze-im-internet.de
- § 32 BSIG (2025), Meldepflichten — gesetze-im-internet.de
- § 33 BSIG (2025), Registrierungspflicht — gesetze-im-internet.de
- Richtlinie (EU) 2022/2555 (NIS2) — EUR-Lex
Verfasst vom NetSenX-Team der TriStiX S.L. Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung; prüfen Sie Ihre Pflichten mit dem BSI oder Ihrer Rechtsberatung. Fragen: info@netsenx.com.