Der 31. Juli 2026 wird derzeit häufig als letzte NIS-2-Schonfrist dargestellt. Ab August, so der verbreitete Tenor, beginne die eigentliche Durchsetzung: Das BSI werde kontrollieren, Bußgelder verhängen und Geschäftsleitungen persönlich in Anspruch nehmen. Diese Darstellung hat einen wahren Kern, verkürzt die Rechtslage aber erheblich.
Der 31. Juli ist weder der Beginn der NIS-2-Pflichten noch eine gesetzlich geregelte Nachfrist. Er betrifft ausschließlich die längst überfällige Registrierung beim Bundesamt für Sicherheit in der Informationstechnik. Die materiellen Anforderungen an Risikomanagement, Meldeprozesse, Geschäftsleitungsaufsicht und Lieferkettensicherheit gelten dagegen bereits seit dem 6. Dezember 2025.
Auch die häufig genannte Drohung mit zehn Millionen Euro Bußgeld ist ohne Einordnung irreführend. Für eine verspätete Registrierung gilt eine deutlich niedrigere Bußgeldobergrenze. Die hohen Millionenbeträge betreffen insbesondere erhebliche Verstöße gegen das Risikomanagement, die Dokumentation oder die Meldepflichten. Ebenso wenig entsteht persönliche Haftung automatisch, sobald eine Sicherheitsmaßnahme fehlt oder ein Dienstleister angegriffen wird.
NIS-2 ist deshalb weder ein bloßer Papiertiger noch der von manchen Beratungsanbietern beschriebene Haftungsautomat. Das Gesetz verlangt ein nachvollziehbares, wirksames und risikobasiertes Vorgehen. Genau darin liegt auch der praktikable Weg für Unternehmen.
Der 31. Juli ist keine gesetzliche Nachfrist
Das deutsche NIS-2-Umsetzungsgesetz wurde am 5. Dezember 2025 verkündet und trat am 6. Dezember 2025 in Kraft. Nach § 33 BSIG müssen sich besonders wichtige und wichtige Einrichtungen spätestens drei Monate, nachdem sie erstmals oder erneut als solche gelten, beim BSI registrieren. Für Unternehmen, die bereits mit Inkrafttreten des Gesetzes erfasst waren, endete diese gesetzliche Frist daher am 6. März 2026. Unternehmen, die erst später die Voraussetzungen erfüllen, beispielsweise aufgrund eines Unternehmenswachstums oder einer Tätigkeitsänderung, haben eine eigene Dreimonatsfrist.
Der 31. Juli stammt nicht aus dem Gesetz. Nach übereinstimmender Wiedergabe eines Schreibens des BSI an Wirtschaftsverbände vom 12. Juni 2026 erwartet die Behörde, dass bisher nicht registrierte Einrichtungen die Anmeldung bis zum 31. Juli abschließen. Das BSI erkennt in diesem Schreiben zudem an, dass in seltenen Einzelfällen noch ungeklärte Abgrenzungsfragen bestehen können. Eine förmliche Verlängerung der gesetzlichen Frist enthält das Schreiben jedoch nicht. Auch eine generelle Zusage, bis Ende Juli auf Bußgelder zu verzichten, lässt sich daraus nicht ableiten.
Die treffendere Bezeichnung ist deshalb nicht „gesetzliche Nachfrist“, sondern faktische Vollzugserwartung. Der 31. Juli ist ein deutliches verwaltungspraktisches Signal: Das BSI erwartet, dass Unternehmen eine bereits bestehende Pflicht jetzt nachholen. Am 1. August tritt aber weder ein neuer Bußgeldtatbestand in Kraft noch beginnt erst dann die Geltung von NIS-2. Ein Registrierungsverstoß bestand bei den seit Dezember erfassten Einrichtungen bereits nach Ablauf des 6. März.
Das Datum darf trotzdem nicht bagatellisiert werden. Wer nach Inkrafttreten des Gesetzes, nach Ablauf der gesetzlichen Dreimonatsfrist und nach einer zusätzlichen öffentlichen Erinnerung weiterhin nichts unternimmt, wird eine fahrlässige Pflichtverletzung zunehmend schwerer erklären können. Der 31. Juli ist daher kein rechtlicher Kippschalter, wohl aber eine erkennbare Zäsur für die Bewertung fortgesetzter Untätigkeit.
Eine Registrierung ist noch keine NIS-2-Compliance
Die Registrierung dient zunächst dazu, die betroffene Einrichtung, ihre Tätigkeit, ihre Erreichbarkeit und die zuständigen Kontaktstellen zu erfassen. Sie ist keine Prüfung der Cybersicherheit und kein behördlicher Compliance-Nachweis. Das BSI bestätigt mit einer Registrierung nicht, dass ein Unternehmen sämtliche Anforderungen aus § 30 BSIG erfüllt.
Umgekehrt suspendiert eine fehlende Registrierung die übrigen Pflichten nicht. Das wird besonders deutlich bei Sicherheitsvorfällen: Das BSI weist ausdrücklich darauf hin, dass seit dem 6. Dezember 2025 betroffene Unternehmen erhebliche Sicherheitsvorfälle auch dann melden müssen, wenn ihre Registrierung im BSI-Portal noch nicht abgeschlossen ist. Die materiellen Pflichten bestehen also kraft Gesetzes und nicht erst nach Freischaltung eines Portalkontos.
Das BSI ist außerdem nicht darauf angewiesen, dass sich ein Unternehmen freiwillig meldet. Nach § 33 BSIG kann es eine Registrierung unter bestimmten Voraussetzungen selbst vornehmen. Bestehen Tatsachen, die auf eine verletzte Registrierungspflicht hindeuten, kann die Behörde Aufzeichnungen, Unterlagen und Auskünfte verlangen.
Für Unternehmen bedeutet das: Die Registrierung sollte sofort abgeschlossen werden, wenn die Betroffenheit eindeutig ist. Sie sollte aber nicht mit der Vorstellung verbunden werden, damit sei NIS-2 vorläufig „erledigt“. Das eigentliche regulatorische Risiko liegt in der fehlenden Umsetzung und Dokumentation der Sicherheitsmaßnahmen.
Die Pflicht zur Lieferkettensicherheit gilt seit Dezember 2025
§ 30 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen zu geeigneten, verhältnismäßigen und wirksamen technischen und organisatorischen Maßnahmen. Diese sollen Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der für die Diensteerbringung genutzten Systeme, Komponenten und Prozesse vermeiden und die Folgen von Sicherheitsvorfällen begrenzen. Die Einhaltung dieser Pflicht muss dokumentiert werden.
Zu den ausdrücklich genannten Bereichen gehört die „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“. Das Gesetz stellt dabei ausdrücklich auf die Risikoexposition, die Größe der Einrichtung, die Umsetzungskosten, die Eintrittswahrscheinlichkeit und Schwere möglicher Vorfälle sowie deren gesellschaftliche und wirtschaftliche Auswirkungen ab.
Eine allgemeine Übergangsfrist für diese Risikomanagementpflicht enthält das Gesetz nicht. Ebenso wenig beschränkt sich die Lieferkettensicherheit auf Verträge, die nach dem 31. Juli geschlossen werden. Bestehende und neue Lieferantenbeziehungen sind bereits heute in das Cyberrisikomanagement einzubeziehen.
Dabei ist eine wichtige Unterscheidung erforderlich: Die unmittelbare gesetzliche Pflicht trifft zunächst das NIS-2-regulierte Unternehmen. Ein kleiner Zulieferer wird nicht allein deshalb selbst zu einer wichtigen oder besonders wichtigen Einrichtung, weil er ein reguliertes Unternehmen beliefert. Der Lieferant wird aber mittelbar einbezogen, weil das regulierte Unternehmen die sicherheitsrelevanten Aspekte der Geschäftsbeziehung steuern muss. Das BSI weist selbst darauf hin, dass zahlreiche Dienstleister auf diese Weise indirekt betroffen sind und Auftraggeber Anforderungen sowie Nachweise an sie weiterreichen werden.
Lieferkettensicherheit bedeutet nicht, jeden Lieferanten gleich zu prüfen
Aus § 30 BSIG folgt keine Pflicht, sämtliche Lieferanten mit demselben umfangreichen Fragebogen zu konfrontieren, jedes Unternehmen vor Ort zu auditieren oder nur noch ISO-27001-zertifizierte Anbieter einzusetzen. Eine solche Gleichbehandlung würde dem gesetzlichen Verhältnismäßigkeitsgrundsatz sogar widersprechen.
Entscheidend ist, welche Auswirkungen ein Ausfall, eine Kompromittierung oder eine Manipulation des jeweiligen Anbieters auf die regulierte Dienstleistung haben könnte. Ein Lieferant von Büromaterial ist anders zu behandeln als ein Cloud-Anbieter, ein Betreiber des zentralen Identitätsmanagements, ein Softwarehersteller mit Update-Zugriff, ein externer Administrator, ein Managed-Security-Provider oder ein Wartungsdienstleister für Produktions- und OT-Systeme.
Im Mittelpunkt sollten daher nicht die Lieferanten als solche, sondern die geschäftlichen und technischen Abhängigkeiten stehen. Besonders kritisch sind Anbieter, die privilegierte Zugänge besitzen, sensible Daten verarbeiten, Software oder Updates in produktive Systeme einspielen, einen wesentlichen Geschäftsprozess alleine tragen oder nur mit erheblicher Verzögerung ersetzt werden können. Auch starke Konzentrationen auf einen einzigen Cloud-, Plattform- oder Logistikdienstleister sind relevante Lieferkettenrisiken.
Das BSI empfiehlt unter anderem eine Klassifizierung von Lieferantenbeziehungen, dokumentierte Sicherheitskriterien, Nachweise über Sicherheitsmaßnahmen, Regelungen für Unterauftragnehmer, Vorfallmeldungen, Schwachstellenbehandlung, Kontrollrechte sowie Vorkehrungen für Vertragsbeendigung und Datenrückgabe. Die eigene BSI-Checkliste zeigt damit selbst einen abgestuften Ansatz: Nicht jede Maßnahme ist für jeden Lieferanten zwingend, wohl aber muss die Auswahl nachvollziehbar aus dem Risiko abgeleitet werden.
Auch ein Zertifikat ist nur ein Nachweisbaustein. Eine ISO-27001-Zertifizierung kann wertvoll sein, wenn ihr Geltungsbereich tatsächlich den bezogenen Dienst umfasst. Sie sagt wenig aus, wenn nur ein anderer Unternehmensteil zertifiziert wurde oder relevante Subdienstleister, Rechenzentren und Betriebsprozesse außerhalb des Scopes liegen. Umgekehrt kann ein nicht zertifizierter Spezialanbieter angemessen abgesichert sein, wenn belastbare technische Nachweise, geprüfte Prozesse, gute vertragliche Regelungen und wirksame kompensierende Maßnahmen vorliegen. Das BSI bezeichnet ein Informationssicherheitsmanagementsystem als geeignete Grundlage und empfiehlt vertragliche Vereinbarungen, verlangt aber nicht pauschal eine bestimmte Zertifizierung aller Lieferanten.
Persönliche Haftung: ernst zu nehmen, aber kein Automatismus
Die Geschäftsleitung kann NIS-2 nicht vollständig an die IT-Abteilung delegieren. Nach § 38 BSIG muss sie die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Darüber hinaus müssen Geschäftsleitungsmitglieder regelmäßig an Schulungen teilnehmen, damit sie Cyberrisiken und deren Auswirkungen auf die erbrachten Dienste beurteilen können.
Die oft verkürzte Aussage, Geschäftsführer oder Vorstände „hafteten persönlich für NIS-2“, lässt jedoch wesentliche Voraussetzungen weg. § 38 BSIG bestimmt, dass Geschäftsleitungsmitglieder ihrer eigenen Einrichtung für einen schuldhaft verursachten Schaden nach den jeweils anwendbaren gesellschaftsrechtlichen Regeln haften. Erforderlich sind damit eine konkrete Pflichtverletzung, Verschulden, ein tatsächlich eingetretener Schaden und ein ursächlicher Zusammenhang zwischen Pflichtverletzung und Schaden. Ein Sicherheitsvorfall allein beweist noch keine Haftung. Auch eine nicht vollständig abgeschlossene Umsetzung führt nicht automatisch zu einem persönlichen Zahlungsanspruch.
Das Gesetz verlangt von Geschäftsleitungen nicht, selbst Firewalls zu konfigurieren, Penetrationstests durchzuführen oder technische Lieferantenaudits zu leiten. Operative Aufgaben dürfen und müssen sachgerecht an qualifizierte Fachbereiche oder externe Spezialisten übertragen werden. Nicht vollständig delegierbar bleiben jedoch die Organisations-, Ressourcen- und Überwachungsverantwortung. Die Geschäftsleitung muss erkennen können, welche Risiken wesentlich sind, wer verantwortlich ist, welche Maßnahmen priorisiert werden, welche Lücken verbleiben und warum ein bestimmtes Restrisiko vorläufig akzeptiert wird.
Das persönliche Haftungsrisiko wird deshalb vor allem dort greifbar, wo Warnungen ignoriert, Zuständigkeiten nicht festgelegt, notwendige Mittel ohne nachvollziehbare Abwägung verweigert oder erkennbare kritische Abhängigkeiten über Jahre nicht behandelt werden. Besonders problematisch wäre es, wenn nach einem Vorfall keine dokumentierten Entscheidungen, keine Risikobewertung, keine Eskalationswege und kein belastbarer Umsetzungsplan vorgelegt werden könnten. Eine begründete, dokumentierte und regelmäßig überprüfte Priorisierung ist dagegen etwas grundlegend anderes als Untätigkeit.
Kann das BSI überhaupt rund 29.500 Einrichtungen kontrollieren?
Rechtlich lautet die Antwort eindeutig: Das BSI verfügt über erhebliche Kontroll- und Durchsetzungsbefugnisse. Praktisch wird es aber nicht jedes Unternehmen in gleicher Tiefe und Regelmäßigkeit prüfen können – und genau das ist auch nicht das gesetzliche Aufsichtsmodell.
Das BSI geht von rund 29.500 betroffenen Unternehmen und Einrichtungen aus. Zum Stichtag 2. April 2026 hatte es 15.477 Unternehmensregistrierungen im Portal ausgewiesen. Schon diese Größenordnung zeigt, dass eine lückenlose jährliche Vollprüfung aller Einrichtungen weder realistisch noch vorgesehen ist.
Für besonders wichtige Einrichtungen kann das BSI im Einzelfall unabhängige Audits, Prüfungen oder Zertifizierungen anordnen. Es darf eigene Überprüfungen durchführen, sich qualifizierter Dritter bedienen, während der üblichen Betriebszeiten Geschäftsräume betreten und Unterlagen, Auskünfte sowie Unterstützung verlangen. Bei festgestellten Mängeln kann es Abstellmaßnahmen, Mängelbeseitigungspläne, Nachweise und eine laufende Berichterstattung anordnen. Unter bestimmten Voraussetzungen kann es sogar verlangen, dass Kunden informiert oder Verstöße öffentlich bekannt gemacht werden.
Bei wichtigen Einrichtungen ist die Aufsicht reaktiver ausgestaltet. Nach § 62 BSIG muss es Tatsachen geben, die die Annahme rechtfertigen, dass eine Verpflichtung nicht oder nicht richtig umgesetzt wird. Erst dann kann das BSI die Einhaltung prüfen und die Instrumente des § 61 einsetzen.
Mitunter wird aus § 61 Absatz 3 BSIG abgeleitet, das BSI dürfe in den ersten drei Jahren überhaupt keine Nachweise verlangen. Das ist zu weitgehend. Die Vorschrift verschiebt lediglich ein bestimmtes Instrument zur breiten Nachweisanforderung gegenüber weiteren besonders wichtigen Einrichtungen. Individuelle Anordnungen von Audits und konkrete Prüfungen besonders wichtiger Einrichtungen sind bereits jetzt möglich. Ebenso bestehen die Befugnisse zur Gefahrenabwehr, zur Mängelbeseitigung und zur Reaktion auf Sicherheitsvorfälle schon heute.
Eine realistische Aufsicht wird daher selektiv sein. Naheliegende Anlässe sind erhebliche Sicherheitsvorfälle, unterlassene oder verspätete Meldungen, erkennbare Widersprüche in Unternehmensangaben, Beschwerden, Hinweise anderer Aufsichtsbehörden, öffentlich bekannt gewordene Schwachstellen oder die Nichtbefolgung einer behördlichen Anfrage. Auch eine dauerhaft unterlassene Registrierung kann selbst zum Aufsichtsgegenstand werden. Das Gesetz schreibt ausdrücklich eine risikoorientierte Auswahl vor, bei der unter anderem Risikoexposition, Unternehmensgröße sowie mögliche gesellschaftliche und wirtschaftliche Auswirkungen berücksichtigt werden.
Das BSI muss dabei nicht sofort eine mehrwöchige Vor-Ort-Prüfung durchführen. Schon eine gezielte Anfrage nach Risikobewertung, Geschäftsleitungsbeschluss, Incident-Prozess, Lieferantenklassifizierung oder Mängelbeseitigungsplan kann zeigen, ob ein Unternehmen NIS-2 ernsthaft umgesetzt hat oder lediglich über unverbindliche Richtlinien verfügt.
Drohen ab August tatsächlich Bußgelder?
Bußgelder sind rechtlich möglich und sollten nicht als theoretische Drohung abgetan werden. Die Höhe hängt aber davon ab, welche Pflicht verletzt wurde.
Wer entgegen § 30 BSIG erforderliche Risikomanagementmaßnahmen nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig ergreift oder die Einhaltung nicht ausreichend dokumentiert, handelt bei Vorsatz oder Fahrlässigkeit ordnungswidrig. Für besonders wichtige Einrichtungen sieht § 65 BSIG hierfür einen Höchstbetrag von zehn Millionen Euro vor, für wichtige Einrichtungen sieben Millionen Euro. Bei Unternehmen mit mehr als 500 Millionen Euro Gesamtumsatz treten für diese besonders gewichtigen Verstöße umsatzbezogene Höchstgrenzen von zwei beziehungsweise 1,4 Prozent an die Stelle der festen Beträge. Auch Verstöße gegen die Meldepflichten fallen in diese hohe Sanktionskategorie.
Für die nicht, nicht vollständig oder verspätet vorgenommene Registrierung gilt dagegen ein Höchstbetrag von 500.000 Euro. Die häufig zu lesende Aussage, eine verspätete BSI-Registrierung könne unmittelbar ein Bußgeld von zehn Millionen Euro auslösen, ist daher falsch.
„Bis zu“ bedeutet zudem Höchstgrenze und nicht Regelsatz. Die NIS-2-Vorgaben verlangen wirksame, verhältnismäßige und abschreckende Maßnahmen unter Berücksichtigung des Einzelfalls. Maßgeblich sind unter anderem die Schwere und Dauer des Verstoßes, frühere Verstöße, verursachte Schäden, Vorsatz oder Fahrlässigkeit, Maßnahmen zur Schadensbegrenzung und die Zusammenarbeit mit der Behörde. Als besonders schwer wiegen beispielsweise wiederholte Verstöße, unterlassene Meldungen erheblicher Vorfälle, die Nichtbeseitigung angeordneter Mängel oder die Behinderung einer Prüfung.
Eine Garantie, dass das BSI vor jedem Bußgeld zunächst nur unverbindlich warnt, gibt es nicht. Das Gesetz stellt der Behörde jedoch ein breites Spektrum an Abhilfemaßnahmen zur Verfügung. Bei einem kooperierenden Unternehmen, das einen nachvollziehbaren Umsetzungsstand, priorisierte Restarbeiten und einen belastbaren Mängelbeseitigungsplan vorlegen kann, ist eine Anforderung von Nachweisen und Verbesserungen deutlich plausibler als die sofortige Ausschöpfung des Bußgeldrahmens. Anders sieht es aus, wenn eine Einrichtung nach einem erheblichen Vorfall keine angemessenen Maßnahmen, keine Dokumentation und keine fristgerechte Meldung vorweisen kann oder behördliche Anordnungen ignoriert.
Die besonders drastischen Instrumente wie eine vorübergehende Aussetzung fachrechtlicher Genehmigungen oder eine zeitweise Untersagung der Leitungstätigkeit existieren ebenfalls. Sie gelten jedoch als letztes Mittel, betreffen besonders wichtige Einrichtungen und setzen voraus, dass zuvor erlassene Anordnungen trotz Fristsetzung nicht befolgt wurden. Sie sind kein regulärer erster Schritt nach einer unvollständigen Lieferantenbewertung.
In den für diesen Beitrag geprüften offiziellen BSI-Quellen findet sich mit Stand 20. Juli 2026 weder eine veröffentlichte Ankündigung flächendeckender Kontrollen ab dem 1. August noch eine belastbare öffentliche Statistik über bereits verhängte NIS-2-Bußgelder. Daraus folgt nicht, dass keine Verfahren vorbereitet oder geführt werden. Es bedeutet lediglich, dass Behauptungen über eine fest beschlossene, allgemeine „Enforcement-Welle“ ab August über die bisher öffentlich belegte Kommunikation hinausgehen. Das bekannte BSI-Schreiben formuliert eine Erwartung zur Registrierung, keinen veröffentlichten Sanktionsfahrplan.
Was Unternehmen jetzt pragmatisch tun sollten
Der pragmatische Ausgangspunkt ist eine belastbare Betroffenheitsentscheidung. Dabei ist jede relevante rechtliche Einheit anhand ihrer konkreten Dienste, der Sektoren aus den Anlagen zum BSIG, ihrer Größenmerkmale und möglicher Sonderregelungen zu prüfen. Die Betroffenheitsprüfung des BSI kann dabei helfen, ist nach ausdrücklichem Hinweis der Behörde aber nur eine unverbindliche Orientierung und ersetzt die eigene rechtliche Einordnung nicht. Das Ergebnis sollte in einem kurzen, nachvollziehbaren Vermerk festgehalten werden.
Ist die Betroffenheit eindeutig, sollte die Registrierung nicht weiter hinausgeschoben werden. Dabei ist darauf zu achten, dass nicht nur ein Zugang zu „Mein Unternehmenskonto“ oder zum BSI-Portal eingerichtet, sondern das eigentliche NIS-2-Registrierungsverfahren vollständig abgeschlossen wird. Eine noch nicht perfekte Risikomanagementumsetzung ist kein sachlicher Grund, die Registrierung zurückzustellen.
Parallel sollte die Geschäftsleitung einen dokumentierten Umsetzungsauftrag erteilen. Erforderlich ist kein überdimensioniertes Transformationsprogramm, wohl aber eine eindeutige Verantwortungsstruktur. Die operative Leitung kann beim CISO, Informationssicherheitsbeauftragten oder einer vergleichbaren Funktion liegen. Die Geschäftsleitung sollte Status, wesentliche Risiken, Prioritäten, Ressourcen, Eskalationen und akzeptierte Restrisiken regelmäßig behandeln und protokollieren. Dabei ist ein realistischer Maßnahmenplan mit Verantwortlichen und Terminen wertvoller als eine pauschale Erklärung, sämtliche Anforderungen seien bereits erfüllt.
Bei der Lieferkette sollte das Unternehmen von seinen regulierten Diensten und kritischen Geschäftsprozessen ausgehen. Daraus lässt sich ableiten, welche Systeme, Daten, Schnittstellen und externen Anbieter für die Leistungserbringung unverzichtbar sind. Das Ergebnis ist keine ungewichtete Lieferantenliste, sondern ein risikobasiertes Abhängigkeitsbild. Eine zunächst überschaubare Gruppe besonders kritischer Anbieter gründlich zu behandeln, ist wirksamer, als hunderte wenig relevante Lieferanten mit einem identischen Standardfragebogen zu belasten.
Für diese kritischen Beziehungen sollten vorhandene Nachweise genutzt werden, bevor eigene umfangreiche Prüfungen gestartet werden. Dazu können der konkrete Geltungsbereich einer ISO-27001-Zertifizierung, BSI-C5- oder SOC-Berichte, Zusammenfassungen technischer Prüfungen, Wiederanlauftests, Informationen zum Schwachstellen- und Patchmanagement, Incident-Prozesse sowie Nachweise über privilegierte Zugriffskontrollen gehören. Entscheidend ist nicht das bloße Vorhandensein eines Dokuments, sondern ob es die tatsächlich bezogene Leistung erfasst und erkannte Abweichungen nachvollziehbar behandelt.
Die Vertragsseite sollte ebenfalls nach Kritikalität priorisiert werden. Bei besonders relevanten Anbietern braucht das Unternehmen eine ausreichend schnelle Vorfallinformation, weil die eigene frühe Meldung an das BSI innerhalb von 24 Stunden nach Kenntniserlangung erfolgen muss. Verträge und Betriebsvereinbarungen sollten außerdem eine Zusammenarbeit bei Analyse und Forensik, geeignete Protokollierung, Schwachstellenbehandlung, Regelungen zu Unterauftragnehmern, belastbare Wiederanlaufziele, angemessene Nachweis- oder Kontrollrechte sowie Vorkehrungen für Ausstieg, Datenrückgabe und sichere Löschung ermöglichen. Das BSI empfiehlt gerade für Lieferantenbeziehungen Regelungen zu Vorfallmeldungen, Sicherheitsnachweisen, Unteraufträgen, Überprüfungsrechten und Vertragsbeendigung.
Das bedeutet nicht, dass bis Ende Juli sämtliche Altverträge neu verhandelt werden müssen. Kritische Verträge und anstehende Verlängerungen haben Vorrang. Wo ein Unternehmen gegenüber einem großen Plattform- oder Cloud-Anbieter kaum Verhandlungsmacht besitzt, sollte es die standardisierten Bedingungen, verfügbaren Prüfberichte und verbleibenden Lücken dokumentieren. Anschließend sind kompensierende Maßnahmen zu prüfen, etwa zusätzliche Backups, eine technische Trennung, eigene Protokollierung, geringere Berechtigungen, ein getesteter Notbetrieb oder ein realistischer Exit-Plan. Auch die bewusste Akzeptanz eines Restrisikos kann Teil eines ordnungsgemäßen Risikomanagements sein, wenn sie informiert, begründet, zeitlich überprüfbar und auf der richtigen Leitungsebene beschlossen wird.
Besondere Aufmerksamkeit verdient der Melde- und Eskalationsprozess. Die gesetzliche Uhr beginnt nicht erst, wenn die Rechtsabteilung eine abschließende Bewertung erstellt hat. Für erhebliche Sicherheitsvorfälle sieht das BSI eine frühe Meldung innerhalb von 24 Stunden, eine weitergehende Meldung innerhalb von 72 Stunden und grundsätzlich eine Abschlussmeldung innerhalb eines Monats vor. Ein Unternehmen sollte deshalb praktisch testen, ob ein Vorfall bei einem Dienstleister am Wochenende tatsächlich rechtzeitig den internen Incident-Verantwortlichen, die Geschäftsleitung und die zuständige Meldestelle erreicht.
Ein solcher Test liefert häufig mehr Erkenntnisse als weitere Richtliniendokumente. Dasselbe gilt für die Wiederherstellung aus Backups, den Ausfall eines zentralen Cloud-Dienstes, den Entzug kompromittierter Lieferantenzugänge oder die Fortführung eines kritischen Prozesses ohne den Hauptdienstleister. NIS-2 verlangt Wirksamkeit. Eine theoretisch vollständige Richtlinie ohne getestete Abläufe ist deshalb weniger belastbar als ein noch nicht perfektes, aber praktisch erprobtes System mit dokumentierten Verbesserungsmaßnahmen.
Was bis zum 31. Juli realistisch erreicht sein sollte
Die verbleibenden Tage sollten nicht für den Versuch verwendet werden, kurzfristig den Anschein vollständiger Compliance zu erzeugen. Entscheidend ist zunächst, eine überfällige Registrierung abzuschließen und einen belastbaren Ausgangspunkt zu schaffen.
Ein Unternehmen sollte erklären und belegen können, warum es in den Anwendungsbereich fällt oder warum nicht, welche regulierten Dienste betroffen sind, wer auf Geschäftsleitungsebene verantwortlich ist, wie erhebliche Vorfälle erkannt und gemeldet werden, welche externen Abhängigkeiten besonders kritisch sind und wie erkannte Lücken bearbeitet werden. Dazu gehören eine dokumentierte Betroffenheitsanalyse, eine aktuelle Risiko- und Maßnahmenübersicht, eine nachvollziehbare Lieferantenpriorisierung, klare Verantwortlichkeiten, Geschäftsleitungsentscheidungen und ein terminierter Verbesserungsplan.
In den darauffolgenden Wochen sollte die Prüfung der kritischen Lieferanten vertieft, die Nachweislage bewertet und der größte Vertrags- und Kontrollbedarf behandelt werden. Parallel sollten mindestens ein Incident-Szenario und ein Wiederherstellungsszenario praktisch erprobt werden. Danach muss aus dem Projekt ein wiederkehrender Prozess werden, in dem Risiken, Lieferantenveränderungen, Vorfälle, Tests und Restmaßnahmen regelmäßig an die Geschäftsleitung berichtet werden.
Das größte Risiko ist nicht die unvollständige Checkliste, sondern unbegründete Untätigkeit
Der 31. Juli 2026 ist relevant, aber nicht in der häufig behaupteten Form. Er ist keine gesetzliche Schonfrist für NIS-2 und keine Verlängerung der Pflichten zur Lieferkettensicherheit. Er markiert die vom BSI kommunizierte Erwartung, dass eine bereits seit März überfällige Registrierung endlich abgeschlossen wird.
Das BSI kann Unternehmen kontrollieren. Es wird angesichts der Zahl der regulierten Einrichtungen jedoch selektiv, risikoorientiert und bei wichtigen Einrichtungen überwiegend anlassbezogen vorgehen müssen. Ein Sicherheitsvorfall, eine verspätete Meldung, eine ignorierte Behördenanfrage oder das vollständige Fehlen dokumentierter Sicherheitsentscheidungen erhöht die Wahrscheinlichkeit einer vertieften Prüfung erheblich.
Bußgelder sind real, aber nicht automatisch und nicht für jeden Verstoß gleich hoch. Für die verspätete Registrierung liegt die gesetzliche Obergrenze bei 500.000 Euro, nicht bei zehn Millionen Euro. Die hohen Bußgeldrahmen betreffen vor allem substanzielle Verstöße gegen Risikomanagement-, Dokumentations- und Meldepflichten. Persönliche Haftung der Geschäftsleitung setzt ebenfalls eine schuldhafte Pflichtverletzung, einen Schaden und Kausalität voraus. Sie ist kein Automatismus, wird aber dort ernst, wo elementare Governance fehlt und erkennbare Risiken dauerhaft ignoriert werden.
Pragmatische NIS-2-Umsetzung bedeutet deshalb nicht, sämtliche denkbaren Maßnahmen gleichzeitig umzusetzen. Sie bedeutet, die eigene Betroffenheit sauber zu entscheiden, sich zu registrieren, die kritischen Dienste und Lieferanten zu priorisieren, Vorfälle und Wiederanlauf praktisch vorzubereiten und jede wesentliche Entscheidung nachvollziehbar zu dokumentieren. Ein Unternehmen mit einem ehrlichen, risikobasierten und nachweisbar voranschreitenden Programm steht regulatorisch deutlich besser da als eines mit perfekten Richtlinien, aber ohne funktionierende Prozesse.
Der Beitrag gibt eine allgemeine rechtliche und organisatorische Einordnung wieder und ersetzt nicht die Prüfung des konkreten Unternehmens, seiner Dienste und möglicher sektorspezifischer Sonderregelungen.