NIS-2 Umsetzungsgesetz in Kraft: Pflichten & BSI-Portal 2026

NIS-2 ist nicht nur ein "Gesetz" – es ist ein konkreter Auftrag, Sicherheitsvorfälle strukturiert zu managen und nachweisbar vorzubeugen.

Viele Unternehmen wissen nicht, ob sie meldepflichtig sind, und haben keinen klaren Incident-Response-Prozess. Im Ernstfall kostet das Zeit – und kann rechtlich/operativ teuer werden.

Wir zeigen, welche praktischen Schritte du jetzt gehen solltest: Verantwortlichkeiten, Meldewege, Basis-ISMS, Logging/Backup, Notfallplan – plus eine kurze Checkliste.

Das erwartet Sie in diesem Artikel:

Was das BSI aktuell kommuniziert (Portal, Zeitpunkte)
Was sich für Unternehmen praktisch ändert
Checkliste: Vorbereitung in 10 Punkten
Incident Response & Meldeprozess KMU-tauglich
HELITS-Ansatz für Security-Basics

Was ist jetzt neu? (BSI-Portal, Meldewege, Zeitpunkte)

Laut BSI wird das neu entwickelte BSI-Portal am 06. Januar 2026 freigeschaltet und dient u.a. als Meldestelle für erhebliche Sicherheitsvorfälle. Das BSI empfiehlt außerdem, einen Account bei "Mein Unternehmenskonto" bis spätestens Jahresende 2025 anzulegen, um sich ab Anfang 2026 registrieren zu können.

•Empfehlung: Account "Mein Unternehmenskonto" bis Ende 2025 anlegen
•BSI-Portal: Freischaltung am 06.01.2026
•Meldepflichtige Vorfälle vor Registrierung: Meldung via Online-Formular möglich

Wichtig für die Praxis

Auch wenn dein Unternehmen noch nicht im Portal registriert ist: Für meldepflichtige Vorfälle gibt es laut BSI einen Weg zur Meldung.

Bin ich betroffen? (ohne Panik, aber strukturiert)

Ob ein Unternehmen NIS-2-pflichtig ist, hängt u.a. von Branche und Größe ab. Unabhängig davon gilt: Die meisten Maßnahmen sind gute Security-Praxis und reduzieren reale Risiken (Ransomware, Phishing, Ausfälle). Wenn du unsicher bist, hilft eine strukturierte Einordnung (Branche, Mitarbeiterzahl, Kritikalität, Lieferkette).

•Einordnung: Branche + Schwellenwerte + Rolle in der Lieferkette
•Auch "nicht betroffen" profitiert von Incident Response & Security-Basics
•Ziel: Nachweisbarkeit (Dokumentation) und Reaktionsfähigkeit

Checkliste: 10 Dinge, die du jetzt umsetzen kannst

Diese Liste ist bewusst pragmatisch. Sie ist ein guter Startpunkt für KMU und lässt sich dann schrittweise erweitern:

•Verantwortlichkeiten festlegen (Incident Lead, Stellvertreter)
•Meldewege & Kontaktdaten dokumentieren (intern/extern)
•Asset-Inventar pflegen (Server, Clients, Cloud-Accounts)
•Patch- und Update-Prozess definieren und nachweisen
•Backup-Strategie (3-2-1-1-0) + Restore-Tests
•MFA überall, wo möglich (E-Mail, Admin, Remote)
•Logging/Monitoring (mindestens: Admin-Aktionen, Server-Events)
•Phishing-Awareness kurz & regelmäßig
•Notfallplan: Isolation, Kommunikation, Wiederanlauf
•Lieferanten/IT-Dienstleister vertraglich sauber einbinden (Erreichbarkeit, SLA)

Incident Response: So sieht ein KMU-tauglicher Ablauf aus

Im Ernstfall zählt Geschwindigkeit. Ein einfacher Prozess ist besser als gar keiner. Ein bewährtes Minimal-Setup:

•Erkennen: Wer darf einen Vorfall ausrufen?
•Eindämmen: betroffene Geräte isolieren (Netzwerk/WLAN trennen)
•Sichern: Logs, Screenshots, Zeiten – Beweise erhalten
•Bewerten: Auswirkungen (Datenverlust? Betriebsausfall?)
•Wiederherstellen: saubere Backups, Schritt-für-Schritt
•Nacharbeiten: Lessons Learned + Maßnahmenplan

Ohne Restore-Test ist Backup nur Theorie

Viele Unternehmen haben Backups – aber nie getestet, ob eine Rücksicherung in akzeptabler Zeit wirklich funktioniert.

📋 HELITS-Praxisbeispiel: Security-Basics & Notfallplan für regionales KMU

Kunde:

Dienstleistungsbetrieb (Region Bad Reichenhall)

Herausforderung:

Keine klaren Meldewege, keine Restore-Tests, uneinheitliche Rechte und fehlende Übersicht über Assets.

Lösung:

HELITS setzte ein pragmatisches Baseline-Paket um: Inventar, MFA, Backup-Tests, Rollen/ Rechte, Incident-Runbook und kurze Awareness-Schulungen.

Ergebnis:

Deutlich bessere Reaktionsfähigkeit und Nachweisbarkeit – ohne die Organisation mit "Overengineering" zu überfordern.

Fazit

Unabhängig davon, ob du formal betroffen bist: NIS-2 lenkt den Fokus auf das Wesentliche – belastbare Security-Basics und eine funktionierende Reaktion auf Vorfälle. Wer jetzt strukturiert vorbereitet, reduziert Risiken und Stress im Ernstfall.

Die wichtigsten Erkenntnisse:

BSI-Portal wird am 06.01.2026 freigeschaltet (Meldestelle).
Verantwortlichkeiten, Meldewege und Incident Response sind Pflichtdisziplinen.
Backup + Restore-Test ist zentral.
MFA, Patch-Management, Logging und Awareness sind pragmatische Basics.

Häufig gestellte Fragen

Was ist das BSI-Portal im NIS-2 Kontext?

Laut BSI dient das neu entwickelte Portal u.a. als Meldestelle für erhebliche Sicherheitsvorfälle und wird am 06.01.2026 freigeschaltet.

Müssen wir sofort ein komplettes ISMS einführen?

In vielen Fällen ist ein stufenweiser Einstieg sinnvoll: zuerst Baselines (MFA, Patch, Backup, Logging), dann Prozesse/Dokumentation erweitern. Entscheidend ist Umsetzbarkeit und Nachweisbarkeit.

Was ist der wichtigste Startpunkt für KMU?

Ein klarer Incident-Response-Ablauf + getestete Backups. Das reduziert Schäden am stärksten, wenn etwas passiert.

Was, wenn wir noch nicht im Portal registriert sind, aber einen Vorfall haben?

Das BSI nennt dafür einen Meldeweg über ein Online-Formular. Wichtig ist, intern einen klaren Ablauf und Verantwortliche zu definieren.

Welche Maßnahmen bringen schnell Wirkung?

MFA, Patch-Management, E-Mail-Schutz, Rechte-Minimierung (Least Privilege) und Backup mit Restore-Tests.

NIS-2 Readiness Check (pragmatisch)

Wir prüfen in einem kompakten Workshop Ihre aktuelle Sicherheitsbasis und liefern einen priorisierten Maßnahmenplan (inkl. Incident Response & Backup-Tests).

Check anfragen

NIS-2 ist in Kraft: Was Unternehmen jetzt praktisch tun müssen (BSI-Portal ab 06.01.2026)