NIS2 für Softwareunternehmen: Wer betroffen ist, welche Pflichten gelten und ab wann

Kurz beantwortet: Ob ein Softwareunternehmen oder SaaS-Anbieter direkt von der NIS2-Richtlinie (EU) 2022/2555 erfasst wird, hängt von Sektor, Größe und Rolle ab, etwa als Anbieter digitaler Dienste oder als Cloud-Computing-Dienst. In Deutschland ist die Richtlinie inzwischen umgesetzt, denn das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) ist am 6. Dezember 2025 in Kraft getreten und ändert das BSI-Gesetz (BSIG), sodass betroffene Unternehmen bereits jetzt handeln müssen. Selbst wer die Schwellenwerte nicht erreicht, gerät über die Lieferkette in die Pflicht, weil regulierte Kunden ihre Anbieter vertraglich zur Einhaltung vergleichbarer Sicherheitsstandards verpflichten.

Sind Softwareunternehmen und SaaS-Anbieter überhaupt von NIS2 betroffen?

Die NIS2-Richtlinie (EU) 2022/2555 unterscheidet auf europäischer Ebene zwischen wesentlichen und wichtigen Einrichtungen, wobei die Einordnung über Sektor und Größe erfolgt (Art. 3 NIS2-Richtlinie (EU) 2022/2555). Der deutsche Gesetzgeber hat diese Systematik im BSI-Gesetz (BSIG) übernommen und dort die beiden Kategorien besonders wichtige Einrichtungen und wichtige Einrichtungen ausgeformt. Für Softwareunternehmen und SaaS-Anbieter ist zunächst die Sektorzuordnung entscheidend, denn das Gesetz erfasst nicht jedes Softwarehaus pauschal, sondern knüpft an bestimmte Tätigkeiten an, etwa Cloud-Computing-Dienste, Rechenzentrumsdienste, Anbieter verwalteter Dienste (Managed Service Provider) oder Anbieter digitaler Dienste im engeren Sinn.

Hinzu kommt die Größenschwelle, die sich an der europäischen Definition mittlerer Unternehmen orientiert: Als wichtige Einrichtung erfasst werden regelmäßig Unternehmen mit mindestens 50 Mitarbeitern oder mit einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Millionen Euro (§ 28 Abs. 2 Nr. 3 BSIG). Als besonders wichtige Einrichtung gelten in den einschlägigen Sektoren Unternehmen mit mindestens 250 Mitarbeitern oder mit einem Jahresumsatz über 50 Millionen Euro und einer Jahresbilanzsumme über 43 Millionen Euro (§ 28 Abs. 1 Nr. 4 BSIG), wobei die genaue Einstufung von Sektor und Größenklasse abhängt. Wer eine der genannten Rollen ausfüllt und zugleich die Größenschwelle überschreitet, fällt unter das Gesetz und muss die dort vorgesehenen Pflichten erfüllen. Insgesamt sind nach Einschätzung zum Redaktionsstand rund 29.500 Unternehmen in 18 Sektoren betroffen.

Kleinere Softwareunternehmen unterhalb der Schwellenwerte sind formal häufig nicht unmittelbar erfasst. Das bedeutet aber nicht, dass NIS2 für sie irrelevant wäre, denn die Vorgaben wirken über zwei weitere Kanäle: über die Lieferketten-Pflichten der direkt betroffenen Einrichtungen und über die vertragliche Weitergabe von Sicherheitsanforderungen. Beides betrifft gerade Softwareanbieter, die an größere, regulierte Kunden liefern.

Was bedeutet der Lieferketten-Durchgriff für Zulieferer und Dienstleister?

Die Richtlinie verpflichtet wesentliche und wichtige Einrichtungen ausdrücklich, die Sicherheit ihrer Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern zu berücksichtigen (Art. 21 Abs. 2 lit. d NIS2-Richtlinie (EU) 2022/2555). In der Praxis bedeutet das für einen Softwareanbieter, dass ein regulierter Kunde, etwa ein Energieversorger, ein Krankenhausbetreiber oder eine Bank, seine Sicherheitsanforderungen an die eigenen Zulieferer weiterreicht. Wer als SaaS-Anbieter oder Softwarehaus einen solchen Kunden beliefert, sieht sich dann mit Anforderungen an Risikomanagement, Meldewege und Nachweispflichten konfrontiert, die inhaltlich der NIS2-Richtlinie entsprechen, auch wenn das eigene Unternehmen selbst nicht unter die gesetzliche Definition fällt.

Dieser Durchgriff verläuft nicht über eine Behörde, sondern über den Vertrag. Regulierte Kunden nehmen entsprechende Klauseln in Rahmenverträge, Service-Level-Agreements und Einkaufsbedingungen auf, etwa Auditrechte, Nachweispflichten zu technischen und organisatorischen Maßnahmen oder eigene Meldefristen bei Sicherheitsvorfällen, die kürzer ausfallen können als die gesetzliche Frist. Wer diese Klauseln erst bei Vertragsunterzeichnung zur Kenntnis nimmt, verhandelt aus einer schwächeren Position, als wer die eigene Sicherheitsorganisation bereits vorher an einem NIS2-Maßstab ausgerichtet hat.

Welche Pflichten treffen unmittelbar betroffene Unternehmen?

Die Meldepflicht verdient besondere Aufmerksamkeit, weil sie deutlich strenger ausfällt als vergleichbare Fristen im Datenschutzrecht. Die Parallele zur 72-Stunden-Meldefrist bei Datenpannen kennen viele Softwareunternehmen bereits aus der DSGVO-Praxis, doch § 32 BSIG verlangt zusätzlich eine erste Frühwarnung binnen 24 Stunden, bevor überhaupt eine vollständige Bewertung des Vorfalls möglich ist, sowie eine Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung. Wer für diesen sehr engen Zeitrahmen keinen eingeübten internen Meldeweg hat, verpasst die Frist faktisch schon durch interne Abstimmung.

Sind Sie zugleich Hersteller eines Produkts mit digitalen Elementen, läuft seit dem 11. September 2026 eine zweite Meldepflicht parallel: Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle sind nach Art. 14 Verordnung (EU) 2024/2847 (Cyber Resilience Act) gleichzeitig dem als Koordinator benannten CSIRT und der ENISA über die einheitliche Meldeplattform zu melden, ebenfalls mit Frühwarnung binnen 24 Stunden. Diese Pflicht gilt auch für Produkte, die Sie bereits vor Dezember 2027 in Verkehr gebracht haben (Art. 69 Abs. 3 CRA). Wie beide Meldewege nebeneinander funktionieren, ordnet der Beitrag zur CRA-Meldepflicht ein.

Wie ist der Umsetzungsstand in Deutschland?

Die europäische Umsetzungsfrist für die Mitgliedstaaten war der 17. Oktober 2024 (Art. 41 NIS2-Richtlinie (EU) 2022/2555), die Bundesrepublik hat diese Frist zunächst überschritten, die Umsetzung inzwischen aber vollzogen. Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) ist am 6. Dezember 2025 in Kraft getreten, nachdem der Bundestag es am 13. November 2025 und der Bundesrat es am 21. November 2025 gebilligt hatten. Es ändert das BSI-Gesetz (BSIG), das damit die zentrale nationale Rechtsgrundlage für die NIS2-Pflichten bildet. Für die Praxis heißt das eindeutig: Es gibt jetzt ein geltendes deutsches Gesetz, aus dem sich unmittelbar bußgeldbewehrte Pflichten für betroffene Unternehmen ergeben.

Besonders zu beachten ist, dass das Gesetz keine allgemeine Übergangsfrist vorsieht, die Pflichten gelten seit Inkrafttreten am 6. Dezember 2025 unmittelbar. Die Registrierungsfrist beim BSI endete bereits am 6. März 2026, sodass sie zum jetzigen Redaktionsstand abgelaufen ist; Unternehmen, die sich noch nicht registriert haben, sollten dies unverzüglich nachholen. Wer erst später in den Anwendungsbereich hineinwächst, muss sich spätestens drei Monate danach registrieren (§ 33 Abs. 1 BSIG). Eine regelmäßige Nachweispflicht durch Sicherheitsaudits, Prüfungen oder Zertifizierungen trifft nur Betreiber kritischer Anlagen, zu einem vom BSI festgelegten Zeitpunkt, frühestens drei Jahre nach ihrer erstmaligen Einordnung und danach alle drei Jahre (§ 39 Abs. 1 BSIG). Gegenüber besonders wichtigen Einrichtungen kann das BSI aber Audits anordnen, die Einhaltung selbst überprüfen und frühestens drei Jahre nach Inkrafttreten des Gesetzes auch Nachweise verlangen (§ 61 Abs. 1, 3 und 5 BSIG). Das Risikomanagement selbst ist für alle erfassten Einrichtungen schon jetzt Pflicht und zu dokumentieren (§ 30 Abs. 1 BSIG).

Was heißt das für Ihre Kundenverträge?

Für Softwareunternehmen und SaaS-Anbieter, die an mittelbar oder unmittelbar regulierte Kunden liefern, liegt der praktisch wichtigste Hebel in der Vertragsgestaltung. Wer schon bei Vertragsverhandlungen weiß, welche Nachweise ein Kunde später verlangen könnte, etwa zu Zertifizierungen, zur eigenen Meldeorganisation oder zu Auditrechten, kann Umfang und Kosten dieser Pflichten mitgestalten, statt sie im laufenden Vertrag nachträglich zu akzeptieren. Das betrifft insbesondere Klauseln zu Unterauftragsverarbeitern und weiteren Zulieferern in der eigenen Kette, zu Reaktionszeiten bei Sicherheitsvorfällen und zur Abgrenzung, welche Partei welche Meldepflicht gegenüber welcher Behörde trägt.

Auch die Haftungsfrage verdient frühzeitige Klärung: Wird ein Sicherheitsvorfall beim Softwareanbieter zum Anlass für Schadensersatzforderungen des Kunden, wenn dieser dadurch seine eigene, unter Umständen bußgeldbewehrte Meldepflicht verletzt? Eine saubere vertragliche Abgrenzung zwischen den Pflichten des Anbieters und den Pflichten des Kunden verhindert, dass diese Frage erst im Streitfall geklärt wird.

Vertiefende Beiträge zu angrenzenden Themen

Für KI-Anbieter mit ähnlicher Lieferketten-Logik ordnet der Beitrag zum Cyber Resilience Act für KI-Anbieter die parallelen Cybersecurity-Pflichten ein. Die Mechanik gestufter Meldefristen, wie sie NIS2 verschärft, kennen viele Unternehmen bereits aus der Datenschutzpraxis, vertieft im Beitrag zur 72-Stunden-Meldepflicht bei Datenpannen. Welche technischen und organisatorischen Maßnahmen ein Risikomanagement nach NIS2-Maßstab in der Praxis trägt, zeigt der Beitrag zu technischen und organisatorischen Maßnahmen. Wie sich diese Cybersicherheitspflichten zur neuen, verschuldensunabhängigen Produkthaftung verhalten, ordnet der Beitrag zur Produkthaftung für Software und KI ein. Den datenschutzrechtlichen Gesamtrahmen für Software- und SaaS-Geschäfte liefert der Leitfaden zur DSGVO für Software- und SaaS-Unternehmen. Den Einstieg in die laufende rechtliche Begleitung bietet die Seite für Software-, SaaS- und KI-Unternehmen, den Überblick über das gesamte Leistungsspektrum die Rechtsberatung im IT-Recht.

Setzen Sie daneben KI im Unternehmen ein, bündelt der Leitfaden KI im Unternehmen einsetzen die parallelen Pflichten des betrieblichen KI-Einsatzes.

Ob NIS2 Ihr Unternehmen direkt oder über Kundenverträge erreicht, klärt die Geschäftsführung oft erst, wenn ein Kunde Nachweise verlangt. Das Rechtliche Audit prüft Ihre Vertragsdokumente und Abläufe und ordnet offene Punkte nach Risiko in einen Maßnahmenplan. Rechtliches Audit: Kundenverträge und Abläufe im Überblick

Wie das in der Praxis aussieht

Ein Beispiel, wie es in dieser Form häufig vorkommt: Ein Anbieter von Software für die Patientenaufnahme in Krankenhäusern mit rund 45 Mitarbeitenden betreibt seine Anwendung als SaaS und will im nächsten Jahr wachsen. Ein Klinikverbund schickt einen Liefervertrag mit Auditrechten, Nachweisen zu Sicherheitsmaßnahmen und einer Meldefrist, die kürzer ist als die gesetzliche. Zu klären ist, ob NIS2 das Unternehmen selbst trifft. Erfasst sind bestimmte Tätigkeiten wie Cloud-Computing-Dienste, und als wichtige Einrichtung gilt regelmäßig, wer mindestens 50 Mitarbeitende beschäftigt oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweist.

Danach trennen sich die Wege. Bleibt das Unternehmen unter den Schwellen, erreicht NIS2 es nur über den Vertrag; dann werden Meldefrist, Audits und Kosten der Nachweise verhandelt und die Meldepflichten abgegrenzt. Überschreitet es mit dem Wachstum die Schwelle und fällt seine Tätigkeit unter eine erfasste Kategorie, gelten die Pflichten unmittelbar: Registrierung beim BSI, Risikomanagement, gestufte Meldungen und die Verantwortung der Geschäftsleitung. Am Ende stehen eine Einordnung und eine Vertragsposition. Welche Verträge und Abläufe anzupassen sind, prüft das Rechtliche Audit.

Häufige Fragen

Ist mein SaaS-Unternehmen automatisch von NIS2 betroffen, weil ich Software anbiete?

Nein. Entscheidend sind Sektorzuordnung, konkrete Rolle, etwa als Cloud-Computing-Dienst oder Anbieter verwalteter Dienste, und die Größenschwellen der NIS2-Richtlinie (EU) 2022/2555. Viele kleinere Softwareunternehmen sind formal nicht unmittelbar erfasst, geraten aber über Kundenverträge in vergleichbare Pflichten.

Was passiert, wenn ich unterhalb der Schwellenwerte bleibe, aber an einen regulierten Kunden liefere?

Der regulierte Kunde muss die Sicherheit seiner Lieferkette berücksichtigen und reicht entsprechende Anforderungen häufig vertraglich weiter. Sie sind dann faktisch zur Einhaltung vergleichbarer Standards verpflichtet, ohne selbst unter die gesetzliche Definition zu fallen.

Gilt NIS2 in Deutschland schon?

Ja. Das NIS2UmsuCG ist am 6. Dezember 2025 in Kraft getreten und ändert das BSI-Gesetz (BSIG). Es gilt ohne allgemeine Übergangsfrist, die Pflichten sind seit dem Inkrafttreten zu erfüllen, und die Registrierungsfrist beim BSI endete bereits am 6. März 2026.

Welche Frist gilt für die Meldung eines Sicherheitsvorfalls?

Die Meldung an die gemeinsame Meldestelle von BSI und BBK ist gestuft: Nach Kenntnis eines erheblichen Sicherheitsvorfalls folgen eine Frühwarnung binnen 24 Stunden und eine Meldung binnen 72 Stunden, die Abschlussmeldung spätestens einen Monat nach dieser 72-Stunden-Meldung (§ 32 BSIG, der Art. 23 NIS2-Richtlinie (EU) 2022/2555 umsetzt).

Haftet die Geschäftsleitung persönlich bei Verstößen gegen NIS2?

Ja, die Geschäftsleitung steht in der persönlichen Verantwortung: Sie muss die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1 BSIG, der Art. 20 NIS2-Richtlinie (EU) 2022/2555 umsetzt). Verletzt sie diese Pflicht schuldhaft, haftet sie der Einrichtung nach den Regeln des Gesellschaftsrechts (§ 38 Abs. 2 BSIG). Bußgeldbewehrt sind dagegen Verstöße der Einrichtung gegen Risikomanagement-, Melde- und Registrierungspflichten (§ 65 BSIG).

Sie wollen klären, ob Ihr Softwareunternehmen oder Ihr SaaS-Angebot unter NIS2 fällt, direkt oder über die Lieferkette Ihrer Kunden? In einem Erstgespräch ordnen wir Ihre konkrete Situation ein. Für die laufende rechtliche Begleitung Ihrer IT-Sicherheits- und Vertragsfragen unterstützt Sie die Rechtsberatung im IT-Recht.