Fristen und Pflichten nach NIS2, DORA und EU-KI-Verordnung

Kurzfassung

NIS2 gilt in Deutschland seit dem 6. Dezember 2025 über das neue BSIG, ohne Übergangsfrist. DORA gilt seit dem 17. Januar 2025 unmittelbar für den Finanzsektor und geht als spezielleres Recht vor. Die EU-KI-Verordnung ist seit dem 2. August 2026 allgemein anwendbar; die Pflichten für Hochrisiko-Systeme wurden durch den Digital Omnibus auf Dezember 2027 und August 2028 verschoben.

Drei Regulierungen, die sich überschneiden, unterschiedlich schnell scharf werden und in Unternehmen meist von denselben drei Personen umgesetzt werden müssen. Diese Seite fasst zusammen, was gilt, ab wann es gilt und woraus es sich ergibt.

Die Fristen auf einen Blick

Regulierung	Was	Ab wann	Rechtsgrundlage
NIS2 / BSIG	Vollständige Pflichten, ohne Übergangsfrist	6. Dezember 2025	NIS2UmsuCG, BSIG n. F.
NIS2 / BSIG	Registrierung beim BSI	3 Monate ab Eintritt der Pflicht	§ 33 BSIG
DORA	Vollständige Anwendbarkeit	17. Januar 2025	VO (EU) 2022/2554
DORA	Informationsregister, Stichtag 31. Dezember	jährliche Einreichung im Frühjahr	Art. 28 Abs. 3, DVO (EU) 2024/2956
EU-KI-VO	Verbotene Praktiken, KI-Kompetenz	2. Februar 2025	Art. 5, Art. 4
EU-KI-VO	Modelle mit allgemeinem Verwendungszweck	2. August 2025	Art. 53
EU-KI-VO	Allgemeine Anwendbarkeit, Transparenz, Aufsicht	2. August 2026	Art. 50 ff.
EU-KI-VO	Hochrisiko-Systeme nach Anhang III	2. Dezember 2027	Art. 6 Abs. 2, Digital Omnibus
EU-KI-VO	Hochrisiko-KI in Produkten nach Anhang I	2. August 2028	Art. 6 Abs. 1, Digital Omnibus

NIS2 und das neue BSIG

Das NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten, veröffentlicht im Bundesgesetzblatt am 5. Dezember 2025. Eine Übergangsfrist gibt es nicht: Wer betroffen ist, war es ab dem ersten Tag.

Wer ist betroffen

Maßgeblich sind drei Prüfungen, die nacheinander laufen: Sektor, Größe, Sonderfall.

Sektor. Anlage 1 des BSIG listet die Sektoren mit hoher Kritikalität – Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, öffentliche Verwaltung und Weltraum. Anlage 2 ergänzt weitere kritische Sektoren, darunter Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste und Forschung.

Entscheidend ist die konkrete Tätigkeit, nicht die Hauptbranche. Ein Maschinenbauer, der Medizinprodukte fertigt, sitzt in zwei Sektoren. Ein Industriebetrieb mit Rechenzentrum, das Konzerngesellschaften bedient, kann als Anbieter verwalteter IKT-Dienste erfasst sein.

Größe.

Klasse	Schwellenwerte
Besonders wichtige Einrichtung	ab 250 Beschäftigte oder über 50 Mio. € Jahresumsatz und über 43 Mio. € Bilanzsumme
Wichtige Einrichtung	ab 50 Beschäftigte oder über 10 Mio. € Jahresumsatz und über 10 Mio. € Bilanzsumme

Berechnet wird nach der Logik der KMU-Empfehlung der EU-Kommission. Partnerunternehmen und verbundene Unternehmen werden anteilig oder vollständig hinzugerechnet. Eine 40-Personen-Tochter eines Konzerns liegt damit regelmäßig über der Schwelle, obwohl sie für sich genommen darunter läge. Wer die Schwellenwerte auf Basis der Einzelgesellschaft prüft, unterschätzt seine Betroffenheit fast immer.

Sonderfälle ohne Größenprüfung. Betreiber kritischer Anlagen sind unabhängig von ihrer Größe besonders wichtige Einrichtungen. Dasselbe gilt unter anderem für qualifizierte Vertrauensdiensteanbieter, TLD-Namenregistrierungen, DNS-Dienstanbieter und Anbieter öffentlicher Telekommunikationsnetze.

Die vier Pflichtenblöcke

Registrierung, § 33 BSIG. Innerhalb von drei Monaten ab Eintritt der Registrierungspflicht über das Portal des BSI. Für Einrichtungen, die seit Inkrafttreten betroffen sind, lief die Frist am 6. März 2026 ab.

Risikomanagement, § 30 BSIG. Zehn Maßnahmenbereiche: Risikoanalyse und Sicherheitspolitik, Bewältigung von Sicherheitsvorfällen, Business Continuity und Krisenmanagement, Sicherheit der Lieferkette, Sicherheit bei Erwerb, Entwicklung und Wartung, Bewertung der Wirksamkeit, Cyberhygiene und Schulungen, Kryptografie, Personalsicherheit und Zugriffskontrolle, Multi-Faktor-Authentifizierung und gesicherte Kommunikation. Verhältnismäßig zur Risikolage, aber nachweisbar.

Meldewesen, § 32 BSIG. Erhebliche Sicherheitsvorfälle sind mehrstufig zu melden:

Stufe	Frist
Erstmeldung	unverzüglich, spätestens 24 Stunden nach Kenntnis
Folgemeldung	spätestens 72 Stunden nach Kenntnis
Abschlussmeldung	spätestens einen Monat nach der Folgemeldung

Diese Fristen lassen sich nicht improvisieren. Sie müssen als Prozess hinterlegt sein, mit benannter Rolle, Entscheidungsweg und Vorlagen.

Pflichten der Geschäftsleitung, § 38 BSIG. Die Leitung muss die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen, sich regelmäßig schulen lassen und haftet bei Pflichtverletzung. Die Verantwortung ist nicht delegierbar.

Für Betreiber kritischer Anlagen kommen Nachweispflichten gegenüber dem BSI hinzu.

Über die Lieferkette hineingezogen

Betroffene Einrichtungen müssen nach § 30 BSIG die Sicherheit ihrer Lieferkette steuern und geben ihre Anforderungen vertraglich weiter: Sicherheitsklauseln, Auditrechte, Meldefristen, Nachweispflichten.

Formal wird ein Zulieferer dadurch nicht NIS2-pflichtig. Wirtschaftlich macht es keinen Unterschied. Wenn drei Großkunden einen ISMS-Nachweis verlangen, braucht er einen.

DORA

Die Verordnung (EU) 2022/2554 gilt seit dem 17. Januar 2025 unmittelbar, ohne nationales Umsetzungsrecht, für Finanzunternehmen und ihre IKT-Drittdienstleister.

Das Informationsregister

Die in der Praxis aufwendigste Einzelpflicht. Nach Art. 28 Abs. 3 DORA führen Finanzunternehmen ein Register aller vertraglichen Vereinbarungen über IKT-Dienstleistungen, im Format der Durchführungsverordnung (EU) 2024/2956, auf Einzel-, teilkonsolidierter und konsolidierter Ebene.

Punkt	Vorgabe
Stichtag	31. Dezember des Vorjahres
Einreichung	jährlich im Frühjahr, 2026 vom 9. bis 30. März
Kanal	Melde- und Veröffentlichungsplattform (MVP) der BaFin
Format	strukturierte xBRL-Datei nach ESA-Taxonomie oder Excel-Vorlage der BaFin
Prüfung	Validierung gegen die ESA-Regeln, Fehlerberichte müssen korrigiert und neu eingereicht werden

Drei Fehlerbilder tauchen regelmäßig auf: LEI, die auf Konzernebene statt auf die konkrete Vertragspartei gesetzt oder nicht verlängert wurden; abgeschnittene Auslagerungsketten, die Unterauftragnehmer nach Rang nicht abbilden und damit Konzentrationsrisiken unsichtbar lassen; und eine Funktionsliste, die nicht mit der Business-Impact-Analyse übereinstimmt.

Weitere Kernpflichten

IKT-Risikomanagementrahmen nach Art. 5 bis 15, von der Geschäftsleitung zu verantworten
Vertragliche Mindestinhalte nach Art. 30, verschärft für Verträge zur Unterstützung kritischer oder wichtiger Funktionen
Ausstiegsstrategien für jede kritische oder wichtige Funktion
Meldung schwerwiegender IKT-Vorfälle mehrstufig an die zuständige Behörde
Testprogramm für digitale operationale Resilienz, für bestimmte Institute einschließlich bedrohungsgeleiteter Penetrationstests
Informationsaustausch über Cyberbedrohungen, freiwillig

Verhältnis zu NIS2

Fällt ein Unternehmen unter beide Regelwerke, geht DORA als spezielleres Recht vor. Praktisch heißt das: Risikomanagement, Meldewesen und Lieferantensteuerung werden einmal gebaut und beide Anforderungen daraus bedient, statt zwei parallele Strukturen zu führen.

EU-KI-Verordnung

Die Verordnung (EU) 2024/1689 ist seit dem 1. August 2024 in Kraft und wird gestaffelt wirksam. Seit dem 2. August 2026 ist sie allgemein anwendbar, einschließlich der Transparenzpflichten nach Art. 50 und der Aufsichts- und Sanktionsstruktur.

Die Hochrisiko-Pflichten wurden verschoben. Der Digital Omnibus, dem der Rat am 29. Juni 2026 final zugestimmt hat, verlegt den Anwendungsbeginn für eigenständige Hochrisiko-Systeme nach Anhang III auf den 2. Dezember 2027 und für KI als Sicherheitsbauteil in Produkten nach Anhang I auf den 2. August 2028.

Rolle vor Risikoklasse

Der Pflichtenumfang hängt zuerst an der Rolle. Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und unter eigenem Namen in Verkehr bringt. Betreiber ist, wer ein KI-System unter eigener Verantwortung verwendet.

Nach Art. 25 kann ein Betreiber zum Anbieter werden: wenn er ein zugekauftes System unter eigenem Namen anbietet, seine Zweckbestimmung ändert oder es wesentlich verändert. Ein Sprachmodell, das mit eigenen Daten für einen nicht vorgesehenen Zweck feinjustiert wird, kann diesen Rollenwechsel auslösen – mit dem vollen Anbieterkatalog.

Einstufung

Hochrisiko sind KI-Systeme nach Art. 6 Abs. 1, wenn sie Sicherheitsbauteil eines Produkts nach Anhang I sind und einer Konformitätsbewertung durch Dritte bedürfen, sowie nach Art. 6 Abs. 2, wenn sie unter einen Anwendungsfall aus Anhang III fallen.

Für den Finanz- und Versicherungssektor sind zwei Einträge aus Anhang III besonders relevant: die Bewertung der Kreditwürdigkeit natürlicher Personen und die Risikobewertung und Preisbildung bei Lebens- und Krankenversicherungen.

Art. 6 Abs. 3 enthält eine Ausnahme für Systeme ohne erhebliches Risiko, etwa bei eng gefassten Verfahrensaufgaben. Sie ist keine Selbsteinschätzung nebenbei: Sie muss dokumentiert und das System vor dem Inverkehrbringen registriert werden. Profiling natürlicher Personen ist von der Ausnahme ausgenommen.

Anforderungen an Hochrisiko-Systeme

Abschnitt 2 des Kapitels III verlangt sieben Dinge, die zusammen ein Managementsystem ergeben: Risikomanagementsystem über den Lebenszyklus (Art. 9), Daten-Governance mit Untersuchung auf Verzerrungen (Art. 10), technische Dokumentation nach Anhang IV (Art. 11), automatische Protokollierung (Art. 12), Transparenz und Betriebsanleitung (Art. 13), wirksame menschliche Aufsicht (Art. 14) sowie Genauigkeit, Robustheit und Cybersicherheit einschließlich Widerstandsfähigkeit gegen Data Poisoning und adversariale Eingaben (Art. 15).

Anbieter betreiben zusätzlich ein Qualitätsmanagementsystem nach Art. 17, führen die Konformitätsbewertung nach Art. 43 durch, stellen eine EU-Konformitätserklärung aus, bringen die CE-Kennzeichnung an und registrieren das System in der EU-Datenbank.

Betreiber trifft Art. 26: Nutzung gemäß Betriebsanleitung, menschliche Aufsicht durch kompetente Personen mit ausreichender Befugnis, Eignung der Eingabedaten, Überwachung des Betriebs, Aufbewahrung der Protokolle für mindestens sechs Monate, Meldepflichten bei Risiken und schwerwiegenden Vorfällen sowie die Information betroffener Beschäftigter vor einem Einsatz am Arbeitsplatz. Für öffentliche Stellen, private Akteure mit öffentlichen Diensten und Betreiber in den Anwendungsfällen Kreditwürdigkeit und Versicherungsrisikobewertung kommt die Grundrechte-Folgenabschätzung nach Art. 27 hinzu.

Die Pflicht, die jeden trifft

Art. 4 gilt seit Februar 2025 unabhängig von jeder Risikoklasse: Anbieter und Betreiber müssen für ein ausreichendes Maß an KI-Kompetenz ihres Personals sorgen – rollenspezifisch, dokumentiert, wiederkehrend.

Was sich gemeinsam bauen lässt

Die drei Regelwerke verlangen in weiten Teilen dieselben Bausteine mit unterschiedlichen Etiketten. Wer sie getrennt aufbaut, zahlt doppelt.

Baustein	NIS2 / BSIG	DORA	EU-KI-VO
Risikomanagementprozess	§ 30	Art. 5–15	Art. 9
Lieferanten- und Drittparteisteuerung	§ 30 Nr. 4	Art. 28–30	Art. 25, Lieferkette
Meldewesen und Fristen	§ 32	Art. 17–23	Art. 26, Art. 73
Business Continuity und Tests	§ 30 Nr. 3	Art. 11–12, 24–27	–
Verantwortung der Leitung	§ 38	Art. 5 Abs. 2	Art. 26
Schulung und Kompetenz	§ 38	Art. 13 Abs. 6	Art. 4

Ein ISMS nach ISO/IEC 27001 liefert für alle drei die Grundstruktur. ISO/IEC 42001 beschreibt das Managementsystem für künstliche Intelligenz und lässt sich daran andocken, statt eine parallele Governance-Welt zu schaffen. Neu sind dort im Wesentlichen Daten-Governance, Freigabeprozess, Rollenmodell und die Kontrollen für menschliche Aufsicht.

Häufige Fragen

Wen betrifft NIS2 in Deutschland?

Wesentliche und wichtige Einrichtungen in den Sektoren der Anlagen 1 und 2 des BSIG, sofern sie die Schwellenwerte erreichen: ab 50 Beschäftigten oder über 10 Mio. € Umsatz und über 10 Mio. € Bilanzsumme für wichtige Einrichtungen, ab 250 Beschäftigten oder über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme für besonders wichtige Einrichtungen. Betreiber kritischer Anlagen sind unabhängig von ihrer Größe erfasst. Bei der Berechnung werden Partnerunternehmen und verbundene Unternehmen nach der KMU-Empfehlung der EU-Kommission hinzugerechnet.

Bis wann musste die Registrierung beim BSI erfolgen?

Nach § 33 BSIG innerhalb von drei Monaten ab Eintritt der Registrierungspflicht. Für Einrichtungen, die seit Inkrafttreten des neuen BSIG am 6. Dezember 2025 betroffen sind, endete die Frist am 6. März 2026. Das Portal des BSI ist seit dem 6. Januar 2026 geöffnet.

Welche Meldefristen gelten nach NIS2?

Drei Stufen nach § 32 BSIG: Erstmeldung unverzüglich, spätestens 24 Stunden nach Kenntnis des erheblichen Sicherheitsvorfalls. Folgemeldung spätestens 72 Stunden nach Kenntnis. Abschlussmeldung spätestens einen Monat nach der Folgemeldung.

Was ist der Unterschied zwischen DORA und NIS2?

DORA ist eine EU-Verordnung und gilt seit dem 17. Januar 2025 unmittelbar für den Finanzsektor und dessen IKT-Dienstleister. NIS2 ist eine Richtlinie, die über nationales Recht wirksam wird – in Deutschland über das BSIG – und deckt deutlich mehr Sektoren ab. Fällt ein Unternehmen unter beide, geht DORA als spezielleres Recht vor.

Wann muss das DORA-Informationsregister eingereicht werden?

Stichtag für den Datenbestand ist der 31. Dezember des Vorjahres. Die Einreichung erfolgt jährlich im Frühjahr über die Melde- und Veröffentlichungsplattform der BaFin; 2026 lief die Einreichungsperiode vom 9. bis 30. März. Zulässig sind eine strukturierte xBRL-Datei nach ESA-Taxonomie oder die Excel-Vorlage der BaFin. Die Meldung gilt erst als erfolgreich, wenn sie die ESA-Validierung besteht.

Ab wann gelten die Pflichten für Hochrisiko-KI?

Für eigenständige Hochrisiko-Systeme nach Anhang III ab dem 2. Dezember 2027, für KI als Sicherheitsbauteil in Produkten nach Anhang I ab dem 2. August 2028. Diese Termine ergeben sich aus dem Digital Omnibus, dem der Rat am 29. Juni 2026 final zugestimmt hat; ursprünglich war der 2. August 2026 beziehungsweise 2027 vorgesehen.

Was gilt bei der KI-Verordnung schon heute?

Seit dem 2. Februar 2025 die verbotenen Praktiken nach Art. 5 und die Pflicht zur KI-Kompetenz nach Art. 4. Seit dem 2. August 2025 die Pflichten für Modelle mit allgemeinem Verwendungszweck nach Art. 53. Seit dem 2. August 2026 die allgemeine Anwendbarkeit einschließlich der Transparenzpflichten nach Art. 50 sowie die Aufsichts- und Sanktionsstruktur.

Wann wird ein Betreiber zum Anbieter im Sinne der KI-Verordnung?

Nach Art. 25, wenn er ein Hochrisiko-System unter eigenem Namen oder eigener Marke anbietet, dessen Zweckbestimmung ändert oder es wesentlich verändert. Dann trifft ihn der volle Anbieterkatalog einschließlich Konformitätsbewertung und technischer Dokumentation.

Brauchen wir für KI-Governance ein eigenes Managementsystem?

Nicht zwingend ein zweites. ISO/IEC 42001 beschreibt ein Managementsystem für künstliche Intelligenz, das sich an ein bestehendes ISMS nach ISO/IEC 27001 andocken lässt. Risikoprozess, Lieferantensteuerung, Dokumentenlenkung und internes Audit sind dort bereits vorhanden. Neu aufzubauen sind vor allem Daten-Governance, Freigabeprozess, Rollenmodell und die Kontrollen für menschliche Aufsicht.

Sind Zulieferer von NIS2 betroffen, die selbst unter den Schwellenwerten liegen?

Formal nicht. Betroffene Einrichtungen müssen nach § 30 BSIG jedoch die Sicherheit ihrer Lieferkette steuern und geben ihre Anforderungen vertraglich weiter – über Sicherheitsklauseln, Auditrechte, Meldefristen und Nachweispflichten. Wirtschaftlich entsteht dadurch für viele Zulieferer derselbe Aufwand wie bei unmittelbarer Betroffenheit.

Stand und Quellen

Stand dieser Seite: 11. September 2026. Regulatorische Fristen ändern sich; die Angaben ersetzen keine Rechtsberatung im Einzelfall.

Richtlinie (EU) 2022/2555 (NIS2) sowie BSIG in der Fassung des NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes, in Kraft seit 6. Dezember 2025
Verordnung (EU) 2022/2554 (DORA) und Durchführungsverordnung (EU) 2024/2956 zum Informationsregister
Verordnung (EU) 2024/1689 (KI-Verordnung) in der durch den Digital Omnibus geänderten Fassung
Veröffentlichungen der BaFin zur Einreichung der Informationsregister
ISO/IEC 27001 und ISO/IEC 42001

Diese Übersicht wird von Marc Bennert gepflegt, CISSP, ISO 27001 Lead Auditor und TÜV-NORD-zertifizierter NIS2-Praktiker, tätig als externer Informationssicherheitsbeauftragter und vCISO für BaFin-beaufsichtigte Institute, gesetzliche Krankenkassen und KRITIS-Betreiber.