NIS2 in Deutschland: Pflichten umsetzen und mit Microsoft 365 nachweisen
Das Wichtigste in Kürze
- Das NIS-2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft. Betroffene Unternehmen müssen sich beim BSI registrieren, Risikomanagementmaßnahmen umsetzen und dokumentieren und erhebliche Sicherheitsvorfälle melden.
- Betroffen sind Unternehmen in den geregelten Sektoren ab 50 Beschäftigten oder mit mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme.
- Die meisten Maßnahmen aus § 30 BSIG lassen sich in einer Microsoft-Umgebung technisch abbilden und belegen, etwa mit Conditional Access, Defender XDR, Sentinel, Intune und Microsoft 365 Backup.
- Die Geschäftsleitung muss die Maßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen (§ 38 BSIG).
Mit NIS2 hat die EU den Kreis der Unternehmen, die verbindliche Cybersicherheitspflichten erfüllen müssen, deutlich erweitert. In Deutschland sind diese Pflichten seit Dezember 2025 geltendes Recht. Jetzt geht es darum, die geforderten Maßnahmen nachweisbar umzusetzen. Arbeitet Ihr Unternehmen mit Microsoft 365 und Azure, liegt ein großer Teil der nötigen Werkzeuge bereits im Tenant; entscheidend sind richtige Konfiguration und belegbare Wirkung.
Gilt NIS2 in Deutschland bereits?
Ja. Das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) wurde am 13. November 2025 vom Bundestag beschlossen, am 21. November 2025 vom Bundesrat gebilligt, am 5. Dezember 2025 im Bundesgesetzblatt verkündet (BGBl. 2025 I Nr. 301) und ist am 6. Dezember 2025 in Kraft getreten. Die Pflichten stehen im neu gefassten BSI-Gesetz (BSIG). Die drei Kernpflichten sind Registrierung, Meldung erheblicher Vorfälle und dokumentiertes Risikomanagement.
Die Registrierung läuft über das BSI-Portal mit einem Zugang über „Mein Unternehmenskonto“. Die Frist beträgt drei Monate, nachdem ein Unternehmen die Kriterien erstmals erfüllt (§ 33 BSIG). Für Unternehmen, die schon bei Inkrafttreten betroffen waren, lief diese Frist Anfang März 2026 ab; steht die Registrierung noch aus, sollte sie jetzt erfolgen.
Fällt mein Unternehmen unter NIS2?
Maßgeblich sind zwei Fragen: Ist Ihr Unternehmen in einem der Sektoren aus den Anlagen 1 und 2 des BSIG tätig, etwa Energie, Transport, Gesundheit, digitale Infrastruktur, Verwaltung von IKT-Diensten oder verarbeitendes Gewerbe? Und überschreitet es die Größenschwellen aus § 28 BSIG?
- Wichtige Einrichtung: mindestens 50 Beschäftigte oder ein Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro.
- Besonders wichtige Einrichtung: mindestens 250 Beschäftigte oder ein Jahresumsatz von über 50 Millionen Euro und eine Jahresbilanzsumme von über 43 Millionen Euro.
Einige Einrichtungsarten, etwa Betreiber kritischer Anlagen, gelten unabhängig von diesen Schwellen als besonders wichtig. Das BSI bietet eine Betroffenheitsprüfung und ausführliche Fragen und Antworten zu NIS-2 an. Die verbindliche Einordnung sollte rechtlich abgesichert werden.
Welche Maßnahmen verlangt § 30 BSIG, und wie setzen Sie sie mit Microsoft um?
§ 30 BSIG verlangt „geeignete, verhältnismäßige und wirksame“ technische und organisatorische Maßnahmen und nennt zehn Bereiche. Für die Geschäftsführung genügt es nicht, Maßnahmen zu besitzen: Sie müssen dokumentiert und ihre Wirksamkeit überprüfbar sein. Für die IT braucht jede Maßnahme eine konkrete Konfiguration und einen Nachweis, der sich jederzeit erzeugen lässt.
| NIS2-Maßnahme (§ 30 Abs. 2 BSIG) | Microsoft-Umsetzung | Nachweis |
|---|---|---|
| Risikoanalyse und Wirksamkeitsbewertung (Nr. 1, 6) | Microsoft Secure Score, Microsoft Purview Compliance Manager | Bewertete Risiken, Maßnahmenliste mit Verantwortlichen, Verlauf der Bewertung |
| Zugriffskontrolle und MFA (Nr. 9, 10) | Microsoft Entra Conditional Access mit Authentifizierungsstärke „Phishing-resistente MFA“, Privileged Identity Management (PIM) | Richtlinienexport, Bericht zu Authentifizierungsmethoden, PIM-Aktivierungsprotokoll |
| Bewältigung von Sicherheitsvorfällen (Nr. 2) | Microsoft Defender XDR, Microsoft Sentinel, Unified Audit Log in Microsoft Purview | Incident-Historie mit Zeitstempeln, aktive Analyseregeln, Aufbewahrung der Protokolle |
| Aufrechterhaltung des Betriebs (Nr. 3) | Microsoft 365 Backup, Azure Backup mit unveränderlichem Tresor | Sicherungsrichtlinien, protokollierte Wiederherstellungstests |
| Sicherheit der Lieferkette (Nr. 4) | Microsoft Entra External ID für Gastzugriffe mit Zugriffsüberprüfungen, Einwilligungseinstellungen und Admin-Consent-Workflow für Apps | Gästeliste mit Prüfergebnissen, freigegebene App-Berechtigungen |
| Sicherheit bei Erwerb und Wartung (Nr. 5) | Microsoft Intune mit Update-Ringen, Microsoft Defender Vulnerability Management | Patch-Stand je Gerät, offene Schwachstellen mit Alter |
| Schulung und Sensibilisierung (Nr. 7) | Attack simulation training in Microsoft Defender for Office 365 | Teilnahme an Schulungen, Ergebnisse der Simulationen |
Drei Hinweise für die Umsetzung. Erstens: Phishing-resistente MFA, also Passkeys, FIDO2-Schlüssel oder Windows Hello for Business, setzen Sie in Conditional Access über eine Authentifizierungsstärke durch. Zweitens: Das Unified Audit Log hält Ereignisse in Audit (Standard) 180 Tage vor, längere Aufbewahrung erfordert Audit (Premium) oder einen Export nach Sentinel. Drittens: Nicht jede Funktion ist in jeder Lizenz enthalten. Attack simulation training setzt Defender for Office 365 Plan 2 oder Microsoft 365 E5 voraus, PIM eine Lizenz für Entra ID P2 oder Entra ID Governance.
Welche Meldefristen gelten bei einem erheblichen Sicherheitsvorfall?
§ 32 BSIG sieht ein gestuftes Verfahren vor:
- Erstmeldung unverzüglich, spätestens 24 Stunden nach Kenntniserlangung.
- Meldung mit Bewertung von Schweregrad, Auswirkungen und Kompromittierungsindikatoren spätestens 72 Stunden nach Kenntniserlangung.
- Zwischenmeldung auf Anforderung des BSI.
- Abschlussmeldung spätestens einen Monat nach der Meldung.
Für die Geschäftsführung ist die zentrale Frage, wer entscheidet, ob ein Vorfall „erheblich“ ist, und wer die Meldung freigibt, auch am Wochenende. Für die IT muss der Zeitpunkt der Kenntniserlangung belegbar sein. Defender XDR und Sentinel führen Vorfälle mit Zeitstempeln, Zuständigkeit und Bearbeitungsverlauf; das ist die Grundlage für eine fristgerechte Meldung.
Was bedeutet § 38 BSIG für die Geschäftsleitung?
§ 38 BSIG verpflichtet die Geschäftsleitung, die Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen. Sie muss außerdem regelmäßig an Schulungen teilnehmen, um Risiken erkennen und bewerten zu können. Bei schuldhafter Pflichtverletzung haftet die Geschäftsleitung der Einrichtung nach den gesellschaftsrechtlichen Regeln ihrer Rechtsform. Die Aufgabe lässt sich also delegieren, die Verantwortung nicht.
§ 65 BSIG sieht zudem Bußgelder vor, für besonders wichtige Einrichtungen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Gesamtumsatzes, für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent, jeweils der höhere Betrag. Praktisch relevanter ist die Frage, ob die Geschäftsleitung belegen kann, dass sie ihre Pflichten wahrgenommen hat. Dafür braucht es die Nachweise aus der Tabelle oben.
Wie gehen Sie pragmatisch vor?
Vier Schritte haben sich bewährt:
- Betroffenheit klären und registrieren. Sektor und Schwellenwerte prüfen, Ergebnis dokumentieren, im BSI-Portal registrieren.
- Ist-Stand erheben. § 30 BSIG gegen die tatsächliche Konfiguration von Entra ID, Microsoft 365, Intune und Azure prüfen.
- Nach Risiko priorisieren. Identitäten und privilegierte Zugänge zuerst, dann Erkennung und Meldewege, dann Wiederherstellung und Lieferkette.
- Nachweise laufend führen. Berichte aus Secure Score, Compliance Manager, Sentinel und Intune regelmäßig erzeugen und ablegen.
Unser Gap Assessment prüft Ihre Microsoft-Umgebung zum Festpreis gegen die Anforderungen aus § 30 BSIG und liefert eine priorisierte Maßnahmenliste mit der jeweiligen Nachweisquelle. Wenn Sie Erkennung, Reaktion und Berichtswesen dauerhaft abgeben möchten, übernimmt unser Managed Security den Betrieb von Defender und Sentinel mit auditfähigem Reporting.
Häufig gestellte Fragen
Seit wann gilt NIS2 in Deutschland?
Das NIS-2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten, nach der Verkündung im Bundesgesetzblatt am 5. Dezember 2025. Die Pflichten gelten seitdem. Für die Registrierung beim BSI gilt eine Frist von drei Monaten ab dem Zeitpunkt, an dem ein Unternehmen die Kriterien erstmals erfüllt.
Reicht es, Microsoft 365 einzusetzen, um NIS2 zu erfüllen?
Nein. Microsoft liefert Werkzeuge, die viele Maßnahmen technisch abdecken, doch sie wirken erst, wenn sie konfiguriert, betrieben und dokumentiert sind. Risikoanalyse, Meldeprozess, Notfallplanung und Schulung der Geschäftsleitung sind organisatorische Aufgaben, die kein Produkt übernimmt.
Müssen wir jeden Sicherheitsvorfall an das BSI melden?
Nein, nur erhebliche Sicherheitsvorfälle, also solche, die schwerwiegende Betriebsstörungen oder finanzielle Verluste verursachen oder verursachen können oder andere erheblich beeinträchtigen. Die Erstmeldung muss spätestens 24 Stunden nach Kenntniserlangung erfolgen. Legen Sie vorab fest, wer die Einstufung vornimmt und wer die Meldung freigibt.
Was gilt für Zulieferer und IT-Dienstleister?
Sie fallen nur dann selbst unter NIS2, wenn sie in einem geregelten Sektor tätig sind und die Schwellenwerte überschreiten. Regulierte Kunden müssen jedoch ihre Lieferkette absichern und geben Anforderungen häufig vertraglich weiter, etwa zu MFA, Protokollierung oder Meldewegen.