NIS2 für Softwareunternehmen: Wer betroffen ist, welche Pflichten gelten und ab wann

Kurz beantwortet: Ob ein Softwareunternehmen oder SaaS-Anbieter direkt von der NIS2-Richtlinie (EU) 2022/2555 erfasst wird, hängt von Sektor, Größe und Rolle ab, etwa als Anbieter digitaler Dienste oder als Cloud-Computing-Dienst. In Deutschland ist die Richtlinie inzwischen umgesetzt, denn das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) ist am 6. Dezember 2025 in Kraft getreten und ändert das BSI-Gesetz (BSIG), sodass betroffene Unternehmen bereits jetzt handeln müssen. Selbst wer die Schwellenwerte nicht erreicht, gerät über die Lieferkette in die Pflicht, weil regulierte Kunden ihre Anbieter vertraglich zur Einhaltung vergleichbarer Sicherheitsstandards verpflichten.

Sind Softwareunternehmen und SaaS-Anbieter überhaupt von NIS2 betroffen?

Die NIS2-Richtlinie (EU) 2022/2555 unterscheidet auf europäischer Ebene zwischen wesentlichen und wichtigen Einrichtungen, wobei die Einordnung über Sektor und Größe erfolgt (Art. 3 NIS2-Richtlinie (EU) 2022/2555). Der deutsche Gesetzgeber hat diese Systematik im BSI-Gesetz (BSIG) übernommen und dort die beiden Kategorien besonders wichtige Einrichtungen und wichtige Einrichtungen ausgeformt. Für Softwareunternehmen und SaaS-Anbieter ist zunächst die Sektorzuordnung entscheidend, denn das Gesetz erfasst nicht jedes Softwarehaus pauschal, sondern knüpft an bestimmte Tätigkeiten an, etwa Cloud-Computing-Dienste, Rechenzentrumsdienste, Anbieter verwalteter Dienste (Managed Service Provider) oder Anbieter digitaler Dienste im engeren Sinn.

Hinzu kommt die Größenschwelle, die sich an der europäischen Definition mittlerer Unternehmen orientiert: Erfasst werden regelmäßig Unternehmen ab 50 Beschäftigten oder ab 10 Millionen Euro Jahresumsatz, wobei die genaue Einstufung als besonders wichtige oder wichtige Einrichtung von Sektor und Größenklasse abhängt. Wer eine der genannten Rollen ausfüllt und zugleich die Größenschwelle überschreitet, fällt unter das Gesetz und muss die dort vorgesehenen Pflichten erfüllen. Insgesamt sind nach Einschätzung zum Redaktionsstand rund 29.500 Unternehmen in 18 Sektoren betroffen.

Kleinere Softwareunternehmen unterhalb der Schwellenwerte sind formal häufig nicht unmittelbar erfasst. Das bedeutet aber nicht, dass NIS2 für sie irrelevant wäre, denn die Vorgaben wirken über zwei weitere Kanäle: über die Lieferketten-Pflichten der direkt betroffenen Einrichtungen und über die vertragliche Weitergabe von Sicherheitsanforderungen. Beides betrifft gerade Softwareanbieter, die an größere, regulierte Kunden liefern.

Was bedeutet der Lieferketten-Durchgriff für Zulieferer und Dienstleister?

Die Richtlinie verpflichtet wesentliche und wichtige Einrichtungen ausdrücklich, die Sicherheit ihrer Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern zu berücksichtigen (Art. 21 Abs. 2 lit. d NIS2-Richtlinie (EU) 2022/2555). In der Praxis bedeutet das für einen Softwareanbieter, dass ein regulierter Kunde, etwa ein Energieversorger, ein Krankenhausbetreiber oder eine Bank, seine Sicherheitsanforderungen an die eigenen Zulieferer weiterreicht. Wer als SaaS-Anbieter oder Softwarehaus einen solchen Kunden beliefert, sieht sich dann mit Anforderungen an Risikomanagement, Meldewege und Nachweispflichten konfrontiert, die inhaltlich der NIS2-Richtlinie entsprechen, auch wenn das eigene Unternehmen selbst nicht unter die gesetzliche Definition fällt.

Dieser Durchgriff verläuft nicht über eine Behörde, sondern über den Vertrag. Regulierte Kunden nehmen entsprechende Klauseln in Rahmenverträge, Service-Level-Agreements und Einkaufsbedingungen auf, etwa Auditrechte, Nachweispflichten zu technischen und organisatorischen Maßnahmen oder eigene Meldefristen bei Sicherheitsvorfällen, die kürzer ausfallen können als die gesetzliche Frist. Wer diese Klauseln erst bei Vertragsunterzeichnung zur Kenntnis nimmt, verhandelt aus einer schwächeren Position, als wer die eigene Sicherheitsorganisation bereits vorher an einem NIS2-Maßstab ausgerichtet hat.

Welche Pflichten treffen unmittelbar betroffene Unternehmen?

Die Meldepflicht verdient besondere Aufmerksamkeit, weil sie deutlich strenger ausfällt als vergleichbare Fristen im Datenschutzrecht. Die Parallele zur 72-Stunden-Meldefrist bei Datenpannen kennen viele Softwareunternehmen bereits aus der DSGVO-Praxis, doch § 32 BSIG verlangt zusätzlich eine erste Frühwarnung binnen 24 Stunden, bevor überhaupt eine vollständige Bewertung des Vorfalls möglich ist, sowie einen Abschlussbericht binnen eines Monats. Wer für diesen sehr engen Zeitrahmen keinen eingeübten internen Meldeweg hat, verpasst die Frist faktisch schon durch interne Abstimmung.

Wie ist der Umsetzungsstand in Deutschland?

Die europäische Umsetzungsfrist für die Mitgliedstaaten war der 17. Oktober 2024 (Art. 41 NIS2-Richtlinie (EU) 2022/2555), die Bundesrepublik hat diese Frist zunächst überschritten, die Umsetzung inzwischen aber vollzogen. Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) ist am 6. Dezember 2025 in Kraft getreten, nachdem der Bundestag es am 13. November 2025 und der Bundesrat es am 20. November 2025 gebilligt hatten. Es ändert das BSI-Gesetz (BSIG), das damit die zentrale nationale Rechtsgrundlage für die NIS2-Pflichten bildet. Für die Praxis heißt das eindeutig: Es gibt jetzt ein geltendes deutsches Gesetz, aus dem sich unmittelbar bußgeldbewehrte Pflichten für betroffene Unternehmen ergeben.

Besonders zu beachten ist, dass das Gesetz keine allgemeine Übergangsfrist vorsieht, die Pflichten gelten seit Verkündung unmittelbar. Die Registrierungsfrist beim BSI endete bereits am 6. März 2026, sodass sie zum jetzigen Redaktionsstand abgelaufen ist; Unternehmen, die sich noch nicht registriert haben, sollten dies unverzüglich nachholen. Für den Nachweis der Risikomanagementmaßnahmen sieht das Gesetz einen längeren Vorlauf vor, denn besonders wichtige Einrichtungen müssen die Umsetzung ihrer Sicherheitsmaßnahmen erst bis Dezember 2028 nachweisen. Das entbindet allerdings nicht von der laufenden Pflicht zum Risikomanagement, das bereits jetzt betrieben werden muss.

Was heißt das für Ihre Kundenverträge?

Für Softwareunternehmen und SaaS-Anbieter, die an mittelbar oder unmittelbar regulierte Kunden liefern, liegt der praktisch wichtigste Hebel in der Vertragsgestaltung. Wer schon bei Vertragsverhandlungen weiß, welche Nachweise ein Kunde später verlangen könnte, etwa zu Zertifizierungen, zur eigenen Meldeorganisation oder zu Auditrechten, kann Umfang und Kosten dieser Pflichten mitgestalten, statt sie im laufenden Vertrag nachträglich zu akzeptieren. Das betrifft insbesondere Klauseln zu Unterauftragsverarbeitern und weiteren Zulieferern in der eigenen Kette, zu Reaktionszeiten bei Sicherheitsvorfällen und zur Abgrenzung, welche Partei welche Meldepflicht gegenüber welcher Behörde trägt.

Auch die Haftungsfrage verdient frühzeitige Klärung: Wird ein Sicherheitsvorfall beim Softwareanbieter zum Anlass für Schadensersatzforderungen des Kunden, wenn dieser dadurch seine eigene, unter Umständen bußgeldbewehrte Meldepflicht verletzt? Eine saubere vertragliche Abgrenzung zwischen den Pflichten des Anbieters und den Pflichten des Kunden verhindert, dass diese Frage erst im Streitfall geklärt wird.

Vertiefende Beiträge zu angrenzenden Themen

Für KI-Anbieter mit ähnlicher Lieferketten-Logik ordnet der Beitrag zum Cyber Resilience Act für KI-Anbieter die parallelen Cybersecurity-Pflichten ein. Die Mechanik gestufter Meldefristen, wie sie NIS2 verschärft, kennen viele Unternehmen bereits aus der Datenschutzpraxis, vertieft im Beitrag zur 72-Stunden-Meldepflicht bei Datenpannen. Welche technischen und organisatorischen Maßnahmen ein Risikomanagement nach NIS2-Maßstab in der Praxis trägt, zeigt der Beitrag zu technischen und organisatorischen Maßnahmen. Den datenschutzrechtlichen Gesamtrahmen für Software- und SaaS-Geschäfte liefert der Leitfaden zur DSGVO für Software- und SaaS-Unternehmen. Den Einstieg in die laufende rechtliche Begleitung bietet die Seite für Software-, SaaS- und KI-Unternehmen, den Überblick über das gesamte Leistungsspektrum die Rechtsberatung im IT-Recht.

Häufige Fragen

Ist mein SaaS-Unternehmen automatisch von NIS2 betroffen, weil ich Software anbiete?

Nein. Entscheidend sind Sektorzuordnung, konkrete Rolle, etwa als Cloud-Computing-Dienst oder Anbieter verwalteter Dienste, und die Größenschwellen der NIS2-Richtlinie (EU) 2022/2555. Viele kleinere Softwareunternehmen sind formal nicht unmittelbar erfasst, geraten aber über Kundenverträge in vergleichbare Pflichten.

Was passiert, wenn ich unterhalb der Schwellenwerte bleibe, aber an einen regulierten Kunden liefere?

Der regulierte Kunde muss die Sicherheit seiner Lieferkette berücksichtigen und reicht entsprechende Anforderungen häufig vertraglich weiter. Sie sind dann faktisch zur Einhaltung vergleichbarer Standards verpflichtet, ohne selbst unter die gesetzliche Definition zu fallen.

Gilt NIS2 in Deutschland schon?

Ja. Das NIS2UmsuCG ist am 6. Dezember 2025 in Kraft getreten und ändert das BSI-Gesetz (BSIG). Es gilt ohne allgemeine Übergangsfrist, die Pflichten sind seit Verkündung zu erfüllen, und die Registrierungsfrist beim BSI endete bereits am 6. März 2026.

Welche Frist gilt für die Meldung eines Sicherheitsvorfalls?

Die Meldung ist gestuft, mit einer Frühwarnung binnen 24 Stunden, einer vertiefenden Meldung binnen 72 Stunden und einem Abschlussbericht binnen eines Monats nach Kenntnis eines erheblichen Sicherheitsvorfalls (§ 32 BSIG, der Art. 23 NIS2-Richtlinie (EU) 2022/2555 umsetzt).

Haftet die Geschäftsleitung persönlich bei Verstößen gegen NIS2?

Ja, die Geschäftsleitung steht in der persönlichen Verantwortung: Sie muss die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen (Art. 20 NIS2-Richtlinie (EU) 2022/2555). Das über das NIS2UmsuCG geänderte BSI-Gesetz (BSIG) setzt diese Leitungsverantwortung in deutsches Recht um, sodass Pflichtverletzungen bußgeldbewehrt sind.

Sie wollen klären, ob Ihr Softwareunternehmen oder Ihr SaaS-Angebot unter NIS2 fällt, direkt oder über die Lieferkette Ihrer Kunden? In einem Erstgespräch ordnen wir Ihre konkrete Situation ein. Für die laufende rechtliche Begleitung Ihrer IT-Sicherheits- und Vertragsfragen unterstützt Sie die Rechtsberatung im IT-Recht.

→ Erstgespräch anfragen