ChatGPT im Büro ohne Dokumentation? Das ist jetzt ein NIS-2-Verstoß
Seit Dezember 2025 gilt NIS-2 – ohne Übergangsfrist.
Stell dir vor, ein Gesetz gilt schon seit anderthalb Jahren – und du hast es kaum bewusst wahrgenommen. Genau das ist bei vielen mittelständischen Unternehmen in Deutschland gerade der Fall. Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, kurz NIS2UmsuCG, ist seit dem 6. Dezember 2025 geltendes Recht. Ohne Übergangsfrist, ohne Schonfrist, ohne „wird schon nicht so schlimm werden“. Wer betroffen ist, ist ab diesem Stichtag in der Pflicht – ob er es weiß oder nicht.
Und genau hier wird es für viele Inhaber und Geschäftsführer eng. Die ursprüngliche Registrierungsfrist beim BSI ist längst verstrichen, Kontrollen laufen seit dem zweiten Quartal 2026 auf Hochtouren. Das BSI hat zwar eine letzte Verlängerung bis zum 31. Juli 2026 gewährt – doch Stand heute bleiben gerade noch 22 Tage. Wer jetzt noch glaubt, das Thema könne warten, riskiert empfindliche Bußgelder. Zeit, Klarheit zu schaffen: Wer ist betroffen, was wird konkret verlangt, und welche Rolle spielt ausgerechnet der KI-Einsatz im Unternehmen dabei?
Was NIS-2 für dich bedeutet – und warum die Uhr tickt
Rund 29.500 Unternehmen in Deutschland fallen unter die NIS-2-Aufsicht des BSI. Betroffen sind Unternehmen in 18 regulierten Sektoren – darunter Energie, Gesundheit, Transport, Abwasser, Finanzmarkt, digitale Infrastruktur, Lebensmittel und verarbeitendes Gewerbe – sobald sie mindestens 50 Beschäftigte haben oder mehr als 10 Millionen Euro Jahresumsatz erzielen. Beide Werte sind wichtig, denn schon einer davon reicht für die Zugehörigkeit.
Die Zahlen zeigen, wie groß die Lücke aktuell noch ist: Bis zur ursprünglichen Frist am 6. März 2026 hatten sich gerade einmal rund 11.500 der 29.500 betroffenen Unternehmen registriert – nicht einmal 40 Prozent. Der Rest hat entweder gezögert, sich für nicht betroffen gehalten oder das Thema schlicht verdrängt. Das BSI reagierte mit einer finalen Fristverlängerung bis zum 31. Juli 2026. Danach ist endgültig Schluss mit Kulanz.
Was auf dem Spiel steht
Wer die Registrierung versäumt, riskiert allein dafür ein Bußgeld von bis zu 500.000 Euro. Doch das ist nur der Anfang. Wer als „besonders wichtige Einrichtung“ eingestuft wird, muss mit bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes rechnen – je nachdem, was höher ausfällt. „Wichtige Einrichtungen“ kommen mit bis zu 7 Millionen Euro oder 1,4 Prozent davon.
| Einrichtungstyp | Höchstbetrag | Umsatzbasiert |
|---|---|---|
| Besonders wichtige Einrichtungen | 10 Mio. € | 2 % des weltweiten Jahresumsatzes |
| Wichtige Einrichtungen | 7 Mio. € | 1,4 % des weltweiten Jahresumsatzes |
| Versäumte Registrierung | 500.000 € | – |
Die zehn Pflichtbereiche – und warum KI mittendrin steckt
Registrierung ist nur der erste, rein administrative Schritt. Die eigentliche Arbeit beginnt danach: Laut Paragraf 30 BSIG braucht jedes betroffene Unternehmen ein dokumentiertes Informationssicherheitskonzept, das zehn Pflichtbereiche abdeckt – von der Risikoanalyse über Business Continuity bis hin zu Cyberhygiene und Zugriffskontrolle.
Besonders spannend – und oft übersehen: KI-Systeme sind ausdrücklich Teil dieser Risikoanalyse. Das gilt nicht nur für selbst entwickelte KI-Lösungen, sondern auch für extern genutzte Dienste wie ChatGPT oder Copilot. Wenn in deinem Unternehmen Mitarbeitende solche Tools im Alltag nutzen – auch informell, ohne offizielle Richtlinie – zählt das bereits als KI-System im Sinne der NIS-2-Anforderungen. Genau diese Systeme müssen dokumentiert auf Risiken geprüft und in das Sicherheitskonzept eingebunden werden.
NIS-2 verlangt Risikomanagement in 10 Pflichtbereichen – auch für KI.
Fünf Missverständnisse, die dich teuer zu stehen kommen können
In der Praxis kursieren einige hartnäckige Irrtümer rund um NIS-2. Die Schwarz-Digits-Umfrage 2026 zeigt außerdem: 62 Prozent der betroffenen Unternehmen fühlen sich von Behörden bei der Umsetzung unzureichend unterstützt, nur 21 Prozent empfinden staatliche Maßnahmen als ausreichend entlastend. Kein Wunder, dass viele lieber abwarten – ein riskantes Verhalten, wenn man sich die folgenden Denkfehler ansieht:
- „Das gilt erst, wenn das BSI mich kontaktiert.“ Falsch – das Gesetz gilt bereits seit Dezember 2025, unabhängig davon, ob eine Behörde aktiv geworden ist.
- „Wir sind zu klein dafür.“ Die Schwelle liegt bei 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz. Auch kleinere Betriebe können über Lieferkettenanforderungen größerer Auftraggeber indirekt betroffen sein.
- „Wir nutzen keine KI, also betrifft uns der KI-Teil nicht.“ Stimmt nur, wenn wirklich keinerlei KI-Tool im Alltag verwendet wird – und das ist selten der Fall.
- „Registriert ist gleich compliant.“ Die Registrierung ist administrativ. Die zehn inhaltlichen Pflichtbereiche sind damit noch nicht erfüllt.
- „Das ist Sache der IT-Abteilung.“ Die Verantwortung liegt bei der Geschäftsleitung – persönlich.
Der pragmatische erste Schritt
Gerade der KI-Aspekt lässt sich mit überschaubarem Aufwand angehen, wenn man weiß, wo man anfangen soll. Genau hier setzen die AI Security Audits von KINAQ Solutions an: Bestehende KI-Systeme im Unternehmen werden live auf Schwachstellen geprüft – etwa Prompt Injection, ungewollte Datenpreisgabe oder unkontrolliertes Verhalten der Systeme. Identifizierte Lücken werden behoben, die Ergebnisse dokumentiert und zu einem belastbaren Sicherheitskonzept verdichtet, das im Ernstfall auch einer BSI-Prüfung standhält.
Wer noch unsicher ist, ob und wie stark das eigene Unternehmen betroffen ist, muss dafür nicht gleich ein großes Projekt aufsetzen. Ein unverbindliches Erstgespräch mit KINAQ reicht, um die individuelle Situation einzuordnen – ganz ohne Vertragsbindung.
Nach dem KI-Sicherheits-Audit: keine offenen Fragen mehr beim BSI.
Fazit: Handeln ist jetzt günstiger als Abwarten
NIS-2 ist kein Zukunftsthema mehr, sondern gelebte Realität – mit echten Bußgeldern, echten Kontrollen und einer echten letzten Frist am 31. Juli 2026. Wer noch nicht registriert ist oder die zehn Pflichtbereiche noch nicht dokumentiert hat, sollte das nicht auf die lange Bank schieben. Besonders der KI-Einsatz im Unternehmen verdient einen genauen Blick, denn er wird schnell zum blinden Fleck in der Risikoanalyse.
Nimm dir diese Woche Zeit, dein Unternehmen ehrlich einzuordnen: Fällt es unter die Schwellenwerte? Werden KI-Tools genutzt – offiziell oder inoffiziell? Und ist das alles dokumentiert? Falls du dir bei einer dieser Fragen unsicher bist, ist ein unverbindliches Gespräch der einfachste erste Schritt, um Klarheit zu bekommen, bevor die Frist verstreicht.
Ab wann gilt NIS-2 für mein Unternehmen?
Das Gesetz gilt bereits seit dem 6. Dezember 2025 ohne Übergangsfrist – betroffene Unternehmen sind seitdem verpflichtet, alle Anforderungen zu erfüllen, unabhängig davon, ob das BSI bereits Kontakt aufgenommen hat.
Woran erkenne ich, ob mein Unternehmen betroffen ist?
Maßgeblich sind die Zugehörigkeit zu einem der 18 regulierten Sektoren sowie mindestens 50 Beschäftigte oder mehr als 10 Millionen Euro Jahresumsatz – schon eines der beiden Kriterien reicht aus.
Reicht die Registrierung beim BSI schon aus?
Nein, die Registrierung ist nur ein administrativer erster Schritt. Danach müssen zehn inhaltliche Pflichtbereiche des Risikomanagements erfüllt und dokumentiert werden.
Zählt die private Nutzung von ChatGPT durch Mitarbeitende auch als KI-System?
Ja, auch informell genutzte KI-Dienste wie ChatGPT oder Copilot gelten als KI-Systeme im Sinne der NIS-2-Risikoanalyse und müssen entsprechend geprüft und dokumentiert werden.
Was passiert, wenn ich die Frist am 31. Juli 2026 verpasse?
Es drohen Bußgelder bis zu 500.000 Euro allein für die versäumte Registrierung, zusätzlich zu den regulären Bußgeldrahmen von bis zu 10 Millionen Euro beziehungsweise 2 Prozent des weltweiten Jahresumsatzes für inhaltliche Verstöße.