NIS2-Umsetzungsgesetz: Was seit Dezember 2025 für Sicherheitsdienste gilt

Während das Sicherheitsgewerbegesetz seit Jahren in der Warteschleife hängt, ist das NIS2-Umsetzungsgesetz längst Realität: seit dem 6. Dezember 2025 in Kraft, ohne Übergangsfrist, mit rund 29.500 betroffenen Unternehmen. Wer das Gesetz für ein reines IT-Thema hält, übersieht einen Absatz, der Wachdienste direkt betrifft.

Kurz zusammengefasst: Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) gilt seit 6. Dezember 2025 für rund 29.500 Unternehmen in 18 Sektoren. Es verlangt unter anderem Konzepte für Personal- und Zugangssicherheit sowie eine dreistufige Meldepflicht (24 Stunden, 72 Stunden, ein Monat). Wer Objekte mit IT- oder Netzinfrastruktur bewacht, liefert die Nachweise dazu.

Was ist das NIS2-Umsetzungsgesetz, und wo steht es 2026?

Das NIS2-Umsetzungsgesetz ist, anders als das Sicherheitsgewerbegesetz, kein Entwurf mehr, sondern geltendes Recht. Der Bundestag verabschiedete das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) am 13. November 2025, der Bundesrat billigte es am 20. November 2025. Verkündet im Bundesgesetzblatt trat es am 6. Dezember 2025 in Kraft, ohne Übergangsfrist. Betroffene Unternehmen mussten die Pflichten ab dem Tag der Verkündung erfüllen.

Damit setzt Deutschland die EU-Richtlinie 2022/2555 um, deren Umsetzungsfrist eigentlich am 17. Oktober 2024 endete. Die Verspätung von über einem Jahr ist der Grund, warum die EU-Kommission zwischenzeitlich ein Vertragsverletzungsverfahren gegen Deutschland eingeleitet hatte. Das Gesetz novelliert das BSI-Gesetz (BSIG) grundlegend und erweitert den Kreis der regulierten Unternehmen von rund 4.500 auf etwa 29.500.

Für die Praxis heißt das: Wer prüfen will, ob ein Auftraggeber betroffen ist, muss nicht auf ein Inkrafttreten warten wie beim SiGG. Die Pflicht gilt bereits. Die Registrierungsfrist beim BSI über das Melde- und Unterrichtungskanal-Portal (muk.bsi.bund.de) lief am 6. März 2026 ab. Wer sie verpasst hat, sollte die Registrierung trotzdem nachholen, denn eine verspätete Meldung wiegt im Zweifel weniger schwer als gar keine.

Wer fällt unter das Gesetz: „wichtige" und „besonders wichtige Einrichtungen"

Das NIS2UmsuCG unterscheidet zwei Kategorien nach Unternehmensgröße und Sektor. Maßgeblich ist § 28 BSIG. Besonders wichtige Einrichtungen sind Großunternehmen ab 250 Mitarbeitern oder 50 Millionen Euro Jahresumsatz in Sektoren hoher Kritikalität wie Energie, Transport, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur und Raumfahrt, dazu KRITIS-Betreiber sowie bestimmte Vertrauensdiensteanbieter und DNS-Diensteanbieter unabhängig von ihrer Größe.

Wichtige Einrichtungen sind mittlere und große Unternehmen ab 50 Mitarbeitern oder 10 Millionen Euro Umsatz in denselben sowie in weiteren Sektoren, etwa Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittelproduktion und verarbeitendes Gewerbe. Insgesamt zählt das Gesetz 18 Sektoren.

Sicherheitsdienstleister selbst tauchen in keiner der beiden Kategorien auf. Sie sind keine NIS2-regulierten Einrichtungen. Das ändert nichts an ihrer Betroffenheit, denn der Hebel liegt nicht in der eigenen Einstufung, sondern in den Pflichten der Kunden, die man bewacht.

Ob ein konkreter Kunde tatsächlich unter das Gesetz fällt, lässt sich nicht immer auf den ersten Blick beurteilen, gerade bei mittelgroßen Betrieben nahe den Schwellenwerten. Das BSI stellt dafür eine kostenlose NIS-2-Betroffenheitsprüfung bereit: ein anonymer Fragenkatalog, der eine erste, rechtlich nicht bindende Einschätzung liefert, ob und als welche Kategorie ein Unternehmen betroffen ist. Für Wachdienste ist das ein einfacher erster Schritt, um bei einem bestehenden Objektkunden die eigene Vermutung zu prüfen, bevor man das Thema von sich aus anspricht.

Warum ein Cybersicherheitsgesetz auch physische Zugangskontrolle verlangt

NIS2 klingt nach IT-Recht, verlangt aber ausdrücklich physische Sicherheitsnachweise. Grundlage ist der Zehn-Punkte-Katalog der Risikomanagementmaßnahmen nach § 30 BSIG. Maßnahme 9 fordert „Konzepte für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen". Die EU-Richtlinie begründet das mit einem All-Hazards-Ansatz: Netz- und Informationssysteme sollen auch vor Diebstahl, Feuer, Überflutung und unbefugtem physischem Zutritt geschützt werden, nicht nur vor Cyberangriffen.

Konkret wird es bei Maßnahme 4, der Lieferkettensicherheit nach § 30 Abs. 2 Nr. 4 BSIG. Regulierte Unternehmen müssen die Sicherheit ihrer unmittelbaren Dienstleister aktiv steuern, mit Audit-Recht und Nachweispflichten in den Verträgen. Fachpublikationen zur Lieferkettensicherheit nennen dabei explizit ein Beispiel, das direkt in die Bewachungsbranche zielt: den Facility-Manager mit Zutritt zum Serverraum. Wer die Tür zu einem Rechenzentrum, einer Netzleitwarte oder einer Produktionsanlage mit IT-Anbindung kontrolliert, ist genau der kritische Dienstleister, dessen Sicherheit der Auftraggeber im NIS2-Audit belegen muss.

Für Wachdienste heißt das: Ein Kunde, der als besonders wichtige oder wichtige Einrichtung eingestuft ist, wird nach dem Nachweis fragen, wer wann Zutritt zu welchem technischen Bereich hatte. Nicht als Nebenfrage, sondern als Bestandteil seiner eigenen Prüfungspflicht. Fachpublikationen zur Vertragsgestaltung nennen dafür konkrete Mindestanforderungen: ein Audit-Recht mit regelmäßigen Nachweispflichten und eine Incident-Notification-Klausel mit einer Meldefrist von maximal 24 Stunden gehören danach in Lieferantenverträge NIS2-regulierter Unternehmen. Wer als Wachdienst einen entsprechenden Vertrag ohne belastbare Dokumentation unterschreibt, verspricht etwas, das er im Ernstfall nicht einhalten kann.

Die neue Meldepflicht: 24 Stunden, 72 Stunden, ein Monat

§ 32 BSIG schreibt ein dreistufiges Meldeverfahren für erhebliche Sicherheitsvorfälle vor. Innerhalb von 24 Stunden nach Kenntnisnahme ist eine Frühwarnung fällig, spätestens nach 72 Stunden eine Bewertung des Vorfalls, und nach einem Monat ein Abschlussbericht mit Ursache, Schweregrad und Gegenmaßnahmen. Die Frist beginnt mit der Kenntnisnahme, nicht mit dem Abschluss der internen Analyse.

Ein „erheblicher Sicherheitsvorfall" ist nach § 2 Abs. 1 BSIG definiert als Ereignis, das erhebliche Betriebsstörungen oder finanzielle Verluste verursacht oder erheblichen materiellen oder immateriellen Schaden bei Dritten anrichten kann. Ein unautorisierter physischer Zugriff auf einen Serverraum oder eine sabotierte Netzleitwarte fällt darunter, sobald er die betroffenen Systeme beeinträchtigt oder beeinträchtigen könnte.

Für den Wachdienst vor Ort bedeutet das: Die 24-Stunden-Uhr des Kunden beginnt mit dem Moment, in dem sein eigenes Personal oder sein Sicherheitsdienstleister den Vorfall bemerkt. Eine Ereignismeldung, die erst am nächsten Morgen in eine Excel-Liste übertragen wird, frisst wertvolle Stunden von einer ohnehin knappen Frist.

NIS2-Umsetzungsgesetz und KRITIS-Dachgesetz: zwei Gesetze, ein Kunde

Beide Gesetze verfolgen unterschiedliche Ziele, treffen aber häufig dieselben Objekte. Das NIS2UmsuCG setzt die Cybersicherheits-Richtlinie um und regelt über das BSIG vor allem Risikomanagement für Informationssysteme. Das KRITIS-Dachgesetz, das wir bereits ausführlich behandelt haben, setzt die separate CER-Richtlinie um und reguliert erstmals bundeseinheitlich den physischen Schutz kritischer Infrastrukturen, überwacht vom BBK statt vom BSI.

Der Überschneidungspunkt: KRITIS-Betreiber gelten im NIS2UmsuCG automatisch als besonders wichtige Einrichtungen. Ein Energieversorger oder Wasserwerk, das bereits die BBK-Registrierungsfrist zum 17. Juli 2026 im Blick hat, unterliegt parallel den NIS2-Pflichten aus § 30 BSIG. Für den bewachenden Sicherheitsdienst bedeutet das doppelte, aber inhaltlich verwandte Nachweispflichten: Rundgangsdokumentation und Vorfallsmeldung für den physischen Schutz nach KRITIS-DG, Zugangskontroll- und Personalsicherheitsnachweise für die Lieferkettensicherheit nach NIS2.

Bußgelder und Haftung: was bei Verstößen droht

§ 65 BSIG staffelt die Bußgelder nach Einrichtungstyp. Besonders wichtige Einrichtungen riskieren bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent. Betroffen sind unter anderem nicht umgesetzte Risikomanagementmaßnahmen und versäumte oder unvollständige Meldungen nach § 32.

§ 38 BSIG verpflichtet zusätzlich die Geschäftsleitung persönlich: Sie muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und an einschlägigen Schulungen teilnehmen. Wie weit die persönliche Haftung im Einzelfall reicht, ist rechtlich noch nicht abschließend durch Gerichte geklärt; belastbare Zahlen zu individuellen Haftungssummen kursieren zwar in Marktpublikationen, sind aber nicht einheitlich und sollten im Zweifel mit der eigenen Rechtsberatung geprüft werden.

Zur Vollzugslage Mitte 2026: Nach der abgelaufenen Registrierungsfrist ist das BSI laut Branchenberichten in eine operative Prüfphase übergegangen, die Registrierungsstatus, umgesetzte Risikomanagementmaßnahmen und Meldewege kontrolliert. Eine im April 2026 veröffentlichte Erhebung des IT-Sicherheitsanbieters CyberSmart kam zu dem Ergebnis, dass ein Großteil der betroffenen Organisationen noch nicht compliance-bereit sei. Belastbare, von offizieller Seite bestätigte Vollzugszahlen für Deutschland liegen bislang nicht vor, ein Blick in den eigenen Kundenkreis lohnt sich trotzdem schon jetzt.

Der Branchenverband Bitkom hat in seiner Stellungnahme zur Umsetzung mehrfach vor „Goldplating" gewarnt, also vor zusätzlichen deutschen Anforderungen, die über die EU-Richtlinie hinausgehen und die Umsetzung unnötig verkomplizieren. Diese Kritik betrifft in erster Linie IT-Unternehmen, zeigt aber ein Muster, das auch für den physischen Teil gilt: Je unschärfer eine Anforderung formuliert ist, desto mehr Auslegungsspielraum haben einzelne Auftraggeber bei dem, was sie von ihrem Sicherheitsdienstleister an Nachweisen verlangen. Wer früh eine saubere, nachvollziehbare Dokumentation aufbaut, ist unabhängig davon abgesichert, wie streng ein einzelner Kunde die Vorgaben am Ende auslegt.

Was Wachdienste und Werkschutz-Anbieter jetzt konkret prüfen sollten

Drei Schritte lassen sich ohne Vorabinvestition angehen und schaffen Klarheit, bevor der erste Kunde danach fragt.

1. Kundenliste nach NIS2-Betroffenheit sortieren. Welche bewachten Objekte gehören zu Unternehmen aus den 18 NIS2-Sektoren, insbesondere mit Rechenzentren, Netzleitwarten oder Produktionsanlagen mit IT-Anbindung? Die BSI-Betroffenheitsprüfung liefert dafür eine erste Orientierung. Diese Kunden werden zuerst nach Nachweisen fragen.
2. Zugangskontroll-Dokumentation systematisieren. Wer hatte wann Zutritt zu technischen Bereichen, mit welcher Berechtigung, begleitet oder unbegleitet? Eine lückenlose, zeitgestempelte Antwort auf diese Frage ist die Basis für Maßnahme 9 und Maßnahme 4 aus § 30 BSIG.
3. Meldewege auf die 24-Stunden-Frist abstimmen. Klären Sie mit NIS2-relevanten Kunden, wie ein physischer Vorfall an Ihrem Objekt innerhalb welcher internen Frist an die Kunden-IT-Sicherheit gemeldet werden muss, damit dessen 24-Stunden-Uhr eingehalten werden kann.

Wie eine Software Zugangskontrolle NIS2-auditfähig macht

Die drei Schritte oben scheitern in der Praxis oft an verteilten Systemen: Zutrittsprotokoll auf Papier, Vorfälle in E-Mails, Schichtübergaben mündlich. Für einen NIS2-Kunden, der Maßnahme 9 und die Lieferkettensicherheit nach Maßnahme 4 belegen muss, ist das keine belastbare Grundlage. Genau hier setzt ein Wächterkontrollsystem mit integrierter Dokumentation an.

In COREDINATE protokolliert das digitale Wachbuch jeden Kontrollpunktscan automatisch mit Zeitstempel, sodass Sie im Auditfall exakt belegen können, wer wann an welchem Zugangspunkt war, statt nachträglich rekonstruieren zu müssen. Die Ereigniserfassung erlaubt es, einen physischen Vorfall in Echtzeit mit Foto und Standort zu dokumentieren und sofort an die zuständige Stelle weiterzuleiten, damit die 24-Stunden-Frist des Kunden praktisch einhaltbar bleibt, statt am nächsten Morgen erst in eine Liste übertragen zu werden. Über den optionalen Kundenzugriff geben Sie NIS2-relevanten Auftraggebern direkten Einblick in genau die Nachweise, die sie für ihr eigenes Audit brauchen, ohne zusätzlichen E-Mail-Verkehr.

Häufige Fragen zum NIS2-Umsetzungsgesetz

---

Können Sie Ihren NIS2-relevanten Kunden schon heute lückenlos belegen, wer wann Zutritt zu welchem technischen Bereich hatte? Sprechen Sie mit unserem Vertrieb oder bestellen Sie das 14-Tage-Testset mit echten Geräten.