NIS2 Umsetzung Deutschland: BSI startet Durchsetzung, Audits folgen ab 2027

• Das BSI startet im vierten Quartal 2026 eine Durchsetzungsinitiative zu NIS2 und spricht zuerst Einrichtungen an, die sich offensichtlich hätten registrieren müssen.
• Das Verfahren beginnt mit einer Anhörung und kann mit einem Bußgeld enden.
• Ab dem ersten Quartal 2027 will das BSI einzelne Einrichtungen anweisen, ihre IT-Sicherheit prüfen zu lassen und Nachweise vorzulegen.
• Zum 30. September 2026 hat das BSI 20.373 Registrierungen erfasst, erwartet werden knapp 30.000 betroffene Einrichtungen.
• In vielen Unternehmen wird ein großer Teil der Maßnahmen nach § 30 BSIG im Microsoft 365 Tenant umgesetzt und muss dort auch nachweisbar sein.

Bei der NIS2 Umsetzung deutschlandweit beginnt jetzt die Phase der Durchsetzung. Fast ein Jahr nach Inkrafttreten des NIS2-Umsetzungsgesetzes am 6. Dezember 2025 hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) angekündigt, noch im vierten Quartal 2026 eine Durchsetzungsinitiative zu starten. Das berichtete Tagesspiegel Background am 8. Oktober 2026 unter Berufung auf den zuständigen BSI-Abteilungsleiter Timo Hauschild. Kontrolliert hat das BSI bisher nicht.

Der Fahrplan hat zwei Stufen:

1. Ab dem vierten Quartal 2026: Das BSI geht direkt auf Einrichtungen zu, die sich aus Sicht der Behörde offensichtlich hätten registrieren müssen. Am Anfang steht eine Anhörung und nicht sofort ein Bußgeld. Am Ende des Verfahrens kann ein Bußgeld aber stehen. Im KRITIS-Umfeld spricht das BSI zuerst besonders wichtige Einrichtungen in den Sektoren an, in denen es den größten Bedarf sieht.
2. Ab dem ersten Quartal 2027: Das BSI will einzelne Einrichtungen anweisen, ihre IT-Sicherheit prüfen zu lassen und Nachweise vorzulegen.

Eine eigene Mitteilung des BSI mit Einzelheiten zum Verfahren gibt es bislang nicht, der Zeitplan stammt aus einem Pressegespräch. Behauptungen, das BSI prüfe schon seit Mai 2026 flächendeckend, lassen sich damit nicht belegen.

Weil die Registrierung deutlich hinter den Erwartungen zurückbleibt. Das BSI rechnet mit knapp 30.000 betroffenen Einrichtungen. Zum 30. September 2026 meldete die Behörde 20.373 Registrierungen, Nebenniederlassungen eingerechnet. Die gesetzliche Frist endete am 6. März 2026, verspätete Registrierungen hat das BSI noch bis zum 31. Juli 2026 geduldet.

Das BSI teilt Unternehmen nicht von sich aus mit, ob sie betroffen sind. Diese Prüfung liegt bei Ihnen. In der Regel fallen Unternehmen in einem der regulierten Sektoren unter NIS2, wenn sie mindestens 50 Beschäftigte haben oder Jahresumsatz und Jahresbilanzsumme oberhalb der EU-Schwelle für kleine Unternehmen liegen. Viele mittelständische Unternehmen sind damit zum ersten Mal reguliert.

Die Registrierung ist nur der erste Schritt. Seit dem 6. Dezember 2025 gelten außerdem:

• Risikomanagementmaßnahmen nach § 30 BSIG: technische und organisatorische Maßnahmen von der Zugriffskontrolle über die Bewältigung von Sicherheitsvorfällen bis zur Sicherheit in der Lieferkette.
• Meldepflichten: Erstmeldung eines erheblichen Sicherheitsvorfalls innerhalb von 24 Stunden, Bewertung nach 72 Stunden, Abschlussbericht nach einem Monat.
• Verantwortung der Geschäftsleitung nach § 38 BSIG: Die Geschäftsleitung billigt und überwacht die Maßnahmen, haftet persönlich und muss regelmäßig an Schulungen teilnehmen.

Die ab 2027 angeordneten Audits werden genau danach fragen: Was haben Sie umgesetzt und können Sie es belegen? Besonders wichtige Einrichtungen müssen dem BSI ohnehin innerhalb von drei Jahren nach Inkrafttreten nachweisen, dass ihre Maßnahmen wirksam umgesetzt sind. Bei Verstößen gegen die Risikomanagementpflichten drohen Bußgelder in Millionenhöhe, bei besonders wichtigen Einrichtungen bis zu 2 Prozent des weltweiten Jahresumsatzes.

In den meisten Unternehmen laufen Identitäten, E-Mail, Dateien und Endgeräte über Microsoft 365. Damit ist der Tenant einer der ersten Orte, an denen sich die Maßnahmen nach § 30 BSIG zeigen müssen:

• Zugriffskontrolle und Multi-Faktor-Authentifizierung: Mit Entra ID und Conditional Access in Microsoft 365 steuern Sie, wer unter welchen Bedingungen zugreift. NIS2 nennt Multi-Faktor-Authentifizierung ausdrücklich.
• Bewältigung von Sicherheitsvorfällen: Die 24-Stunden-Frist ist nur zu halten, wenn Angriffe schnell erkannt werden. Microsoft Defender XDR bündelt Erkennung und Reaktion für Endgeräte, E-Mail und Identitäten.
• Cyberhygiene und Schwachstellenmanagement: Geräte mit Intune verwalten, Updates zuverlässig verteilen und veraltete Systeme erkennen.
• Kryptografie und Schutz von Daten: Verschlüsselung und Klassifizierung sensibler Informationen, etwa mit Sensitivity Labels in Microsoft Purview.
• Bewertung der Wirksamkeit: Der Microsoft Secure Score zeigt, wie konsequent Schutzmaßnahmen aktiv sind. Er ist eine gute Kennzahl, ersetzt aber keine NIS2-Dokumentation.

Welche Maßnahmen wir im Tenant konkret umsetzen, beschreiben wir ausführlich auf unserer Seite NIS2 und Microsoft 365.

1. Betroffenheit prüfen und Registrierung nachholen. Wer sich noch nicht registriert hat, sollte das vor einer Anhörung durch das BSI tun. Für das BSI-Portal brauchen Sie ein ELSTER-Organisationszertifikat und „Mein Unternehmenskonto“.
2. Meldeweg testen. Legen Sie fest, wer einen erheblichen Sicherheitsvorfall innerhalb von 24 Stunden meldet und mit welchen Informationen.
3. Ist-Stand im Tenant erheben. Unser Microsoft Tenant Sicherheitscheck zum Festpreis zeigt, wo Entra ID, Defender, Intune und Conditional Access heute stehen.
4. Lücken schließen und dokumentieren. Für ein Audit zählt nicht nur die Einstellung, sondern auch der Nachweis, wann und warum sie gesetzt wurde.
5. Geschäftsleitung schulen. Die Teilnahme ist Pflicht und sollte belegbar sein.

Die InSys AG^® ist Microsoft 365 Partner für Security und Microsoft Solutions Partner für Security. Wir konfigurieren Microsoft 365 Tenants nach den Anforderungen aus § 30 BSIG und halten sie mit unserem Managed-Security-Service SSMS dauerhaft auf Stand. Kunden lizenzieren über die InSys AG^® mehr als 80.000 Microsoft 365 Lizenzen.

Unser Schwerpunkt ist die technische Umsetzung in Microsoft 365. Für die rechtliche Bewertung Ihrer Betroffenheit empfehlen wir zusätzlich juristische Beratung. Sie erreichen uns telefonisch unter +49 (521) 260105-0 oder über das Kontaktformular unter diesem Beitrag.