NIS2UmsuCG und Hosting: Welche Pflichten gelten seit Dezember 2025?

Das NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025. Hier steht, was das BSIG von betroffenen Unternehmen verlangt, welche Rolle Ihr Hoster dabei spielt und welche Pflichten immer bei Ihnen bleiben.

Kurze Antwort

  1. 1Das NIS2-Umsetzungsgesetz hat das BSI-Gesetz (BSIG) neu gefasst und ist seit dem 6. Dezember 2025 in Kraft; Übergangsfristen für die Grundpflichten gibt es nicht.
  2. 2Betroffen sind „besonders wichtige“ und „wichtige“ Einrichtungen aus den Sektoren der Anlagen 1 und 2 des BSIG, sobald sie die Größenschwellen aus § 28 BSIG erreichen. Ob Ihr Unternehmen dazugehört, entscheidet nicht Ihr Hoster, sondern Ihre eigene Betroffenheitsprüfung.
  3. 3Wer betroffen ist, muss sich nach § 33 BSIG beim BSI registrieren (drei Monate nach Eintritt der Betroffenheit) und Risikomanagementmaßnahmen nach § 30 BSIG umsetzen und dokumentieren. Das BSI weist darauf hin, dass die gesetzliche Registrierungsfrist abgelaufen ist: nicht Registrierte sollten sofort nachholen.
  4. 4Erhebliche Sicherheitsvorfälle sind nach § 32 BSIG in Stufen zu melden: Erstmeldung unverzüglich, spätestens binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung spätestens einen Monat danach.
  5. 5Die Geschäftsleitung muss die Maßnahmen umsetzen, überwachen und regelmäßig geschult werden (§ 38 BSIG). Die Pflichten bleiben bei Ihnen, auch wenn Server, Backups oder Betrieb bei einem Dienstleister liegen.

Wen das Gesetz erfasst, und wo Hosting ins Spiel kommt

Das BSIG unterscheidet besonders wichtige Einrichtungen (etwa ab 250 Beschäftigten oder mehr als 50 Mio. € Umsatz und mehr als 43 Mio. € Bilanzsumme, § 28 Abs. 1) und wichtige Einrichtungen (etwa ab 50 Beschäftigten oder mehr als 10 Mio. € Umsatz und Bilanzsumme, § 28 Abs. 2). Entscheidend ist zusätzlich, dass Ihre Tätigkeit einer Einrichtungsart in Anlage 1 oder 2 zuzuordnen ist.

Hosting-Anbieter selbst können unter die Anlage 1 fallen: Sie nennt unter anderem Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentrumsdiensten, Managed Services Provider und Managed Security Services Provider. Für Sie als Kunden ist das aus zwei Gründen wichtig: Ihr Anbieter unterliegt eigenen Pflichten, und er zählt bei Ihnen zur Lieferkette.

Risikomanagement und Lieferkette nach § 30 BSIG

§ 30 Abs. 2 BSIG verlangt Maßnahmen, die mindestens Konzepte zur Risikoanalyse, die Bewältigung von Sicherheitsvorfällen, die Aufrechterhaltung des Betriebs (ausdrücklich genannt: Backup-Management und Wiederherstellung nach einem Notfall) sowie die Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Dienstleistern umfassen. Die Einhaltung ist zu dokumentieren.

Für Server heißt das praktisch: Sie brauchen ein dokumentiertes Backup- und Wiederherstellungskonzept, geklärte Zuständigkeiten mit Ihrem Hoster und einen Ablauf, wer bei einem Vorfall wen in welcher Zeit informiert.

Registrierung, Meldung und Geschäftsleitung

Die Registrierung erfolgt über die gemeinsame Registrierungsmöglichkeit von BSI und BBK; das BSI beschreibt zwei Schritte: ein ELSTER-Organisationszertifikat beantragen und sich damit im BSI-Portal registrieren. Änderungen der Angaben sind nach § 33 Abs. 5 BSIG unverzüglich, spätestens binnen zwei Wochen, zu melden.

Die Meldepflicht nach § 32 BSIG gilt laut Gesetz frühestens ab Einrichtung des Meldewegs. Planen Sie die Erkennung und Eskalation trotzdem jetzt: 24 Stunden sind knapp, wenn Logs, Ansprechpartner und Zuständigkeiten erst im Ernstfall gesucht werden.

Nach § 38 BSIG haften Geschäftsleitungen, die ihre Umsetzungs- und Überwachungspflicht verletzen, ihrer Einrichtung für schuldhaft verursachte Schäden nach den gesellschaftsrechtlichen Regeln. Schulungen sind regelmäßig zu besuchen.

Zwei Beispiele aus der Praxis

Maschinenbauer mit 120 Beschäftigten

Er prüft, ob seine Tätigkeit einer Einrichtungsart der Anlagen 1 oder 2 entspricht. Falls ja, ist er wegen der Größe voraussichtlich eine wichtige Einrichtung: Registrierung, Maßnahmen nach § 30 und Meldeprozess sind fällig. Der Webserver bei einem Hoster ändert daran nichts.

IT-Dienstleister, der Kundensysteme betreibt

Er betreibt Server für Kunden und könnte selbst als Managed Services Provider unter die Anlage 1 fallen. Für seine Kunden ist er zugleich Teil der Lieferkette und muss deren Fragen zu Sicherheit und Vorfallmeldung beantworten können.

Häufige Fehler

  • Zu glauben, der Hoster übernehme die Registrierung oder die Meldungen der eigenen Einrichtung. Beides ist Ihre Pflicht.
  • Die Betroffenheitsprüfung nur anhand der Beschäftigtenzahl zu machen, ohne die Zuordnung zu einer Einrichtungsart in Anlage 1 oder 2 zu prüfen.
  • Backups zu haben, aber nie eine Wiederherstellung getestet und dokumentiert zu haben.

Wie 4hosting Sie unterstützt

Unsere Rechenzentren stehen in der EU, in Frankfurt. Wir schließen einen Auftragsverarbeitungsvertrag (Art. 28 DSGVO) und arbeiten in Anlehnung an ISO 27001 (keine Zertifizierung).

Jeder VPS-, Dedicated- und GPU-Tarif sowie cPanel ab Advanced enthält monatliche Stunden für DevOps, CyberSecurity und Programmierung. Sie können sie für Hardening, Backup-Konzepte, WAF und Incident-Response-Abläufe nutzen. Die Migration ist kostenlos.

4hosting ist kein Zertifizierer und bestätigt keine Konformität mit dem BSIG. Die Bewertung Ihrer Pflichten treffen Sie mit Ihrer Rechtsberatung.

Fragen zu Ihrem Fall →

Häufige Fragen

Ist 4hosting NIS2-zertifiziert oder bestätigt es meine Konformität?

Nein. 4hosting ist kein Zertifizierer und bestätigt keine rechtliche Konformität. Wir stellen Infrastruktur in der EU, einen Auftragsverarbeitungsvertrag (Art. 28 DSGVO) und Dienstleistungsstunden bereit. Die Pflichten aus dem BSIG bleiben bei Ihnen.

Stehen die Server in Deutschland?

Unsere Rechenzentren liegen in der EU, in Frankfurt. Den konkreten Standort Ihrer Workloads klären wir vor der Bestellung mit Ihnen.

Wie finde ich heraus, ob ich betroffen bin?

Das BSI bietet eine NIS-2-Betroffenheitsprüfung auf bsi.bund.de an. Lassen Sie das Ergebnis bei Zweifeln rechtlich prüfen.

Siehe auch