Die NIS-2 Software Anforderungen sind seit dem 6. Dezember 2025 geltendes Recht in Deutschland, und die vom BSI eingeräumte Nachfrist zur Registrierung ist am 31. Juli 2026 abgelaufen. Wer sein Unternehmen noch nicht registriert hat oder unsicher ist, ob die eingesetzte Software den neuen Anforderungen genügt, sollte jetzt handeln. Dieser Ratgeber ordnet die wichtigsten Fristen und Pflichten ein, erklärt den Zusammenhang zwischen Support-Ende und Risikomanagement, und räumt mit einem verbreiteten Missverständnis auf: Gebrauchte Softwarelizenzen sind nicht automatisch unsicherer als neue.
NIS-2 in Deutschland: Fristen und Bußgelder
Das deutsche NIS2UmsuCG ist am 6. Dezember 2025 in Kraft getreten, ohne Übergangsfrist. Rund 29.500 Unternehmen in Deutschland fallen unter das Gesetz. Die gesetzliche Registrierungsfrist beim BSI war der 6. März 2026, danach gewährte das BSI eine Nachfrist bis zum 31. Juli 2026, keine neue gesetzliche Frist, sondern eine Vollzugs-Kulanz. Diese Nachfrist ist zum heutigen Stand abgelaufen. Wer sich noch nicht registriert hat, sollte dies umgehend nachholen: Verstöße gegen die materiellen Pflichten können mit Bußgeldern bis zu 10 Millionen Euro geahndet werden, eine verspätete Registrierung allein kann nach Paragraf 65 BSIG mit bis zu 500.000 Euro sanktioniert werden. Wie zögerlich viele Unternehmen die Registrierung zunächst angingen, zeigen die Zahlen: Bis zur gesetzlichen Frist am 6. März 2026 hatten sich nach Angaben aus dem Umfeld des BSI erst rund 11.500 Unternehmen registriert, bis Ende Mai 2026 waren es rund 18.500 von geschätzt 29.500 Betroffenen. Das zentrale BSI-Melde- und Informationsportal, kurz MIP, ist seit dem 6. Januar 2026 online und die vorgesehene Anlaufstelle für die Registrierung.
Die NIS-2 Software Anforderungen im Überblick: Kernpflichten
Im Kern verlangt NIS-2 von betroffenen Unternehmen vier Dinge: die Registrierung als NIS-2-Unternehmen beim BSI, die Meldung erheblicher Sicherheitsvorfälle, die Umsetzung und Dokumentation von Risikomanagementmaßnahmen, einschließlich der Prüfung der Lieferketten-Sicherheit bei Zulieferern und Dienstleistern, sowie die persönliche Verantwortung der Geschäftsleitung für Umsetzung und Überwachung, inklusive verpflichtender Schulungen. Für IT-Verantwortliche ist besonders die Risikomanagement-Pflicht relevant, denn sie betrifft direkt die Frage, welche Software im Unternehmen eingesetzt werden darf. Bei der Lieferketten-Sicherheit reicht der Blick auf die eigene IT-Landschaft dabei nicht aus: Unternehmen müssen auch die Resilienz ihrer Zulieferer und Dienstleister aktiv prüfen und die Ergebnisse vertraglich absichern, etwa durch Sicherheitsklauseln in Dienstleistungsverträgen.
Warum veraltete Softwareversionen ein Compliance-Risiko sind
Artikel 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau, unter anderem durch aktuell gehaltene Systeme. Genau hier überschneidet sich NIS-2 mit dem Datenschutzrecht am stärksten. Wird eine Software ohne Herstellerupdates weiterbetrieben, etwa Windows 10 ohne ESU, Office 2016 oder 2019, Exchange Server 2016 oder 2019, oder SQL Server 2016, entsteht eine offene Flanke, die sowohl mit der NIS-2-Risikomanagement-Pflicht als auch mit Artikel 32 DSGVO kollidiert. Auch Cyber-Versicherungen verweisen zunehmend über Obliegenheitsklauseln auf gesetzliche Vorgaben wie NIS-2: Erfüllt ein Unternehmen diese nicht, kann im Schadensfall der Versicherungsschutz sinken oder ganz entfallen. Wann welches Produkt sein End of Life erreicht, insbesondere für Exchange Server, ordnet unser Ratgeber Exchange Server 2019 End of Support im Detail ein, einen Gesamtüberblick liefert die Support-Ende-Übersicht 2026/2027.
Gebraucht ist nicht unsicher: Die entscheidende Klarstellung
Ein verbreitetes Missverständnis lautet, gebrauchte Softwarelizenzen seien grundsätzlich ein Sicherheitsrisiko. Das stimmt so nicht. Entscheidend für die NIS-2-Konformität ist ausschließlich, ob eine Produktversion noch vom Hersteller mit Sicherheitsupdates versorgt wird, nicht, ob die Lizenz neu oder gebraucht erworben wurde. Eine gebraucht gekaufte, aber aktuelle Version, etwa Microsoft Office 2021 oder 2024, Windows 11, oder Windows Server 2019 beziehungsweise 2022, erhält exakt dieselben Sicherheitsupdates wie eine neu gekaufte Lizenz derselben Version und lässt sich damit ebenso NIS-2-konform betreiben. Bei Lyzio erhalten Sie zu jeder Lizenz zudem die vollständige Dokumentation der Rechtekette, unabhängig von der Update-Frage ein eigener Compliance-Baustein für Ihr Lizenzmanagement. Für die Risikomanagement-Dokumentation nach NIS-2 zählt am Ende, dass Sie belegen können, welche Version im Einsatz ist, seit wann sie eingesetzt wird, und dass sie regelmäßig aktualisiert wird, die Herkunft der Lizenz spielt dabei keine Rolle.
Beispielrechnung: Compliance-Upgrade für 25 Arbeitsplätze
Ein Unternehmen mit 25 Arbeitsplätzen betreibt noch Microsoft Office 2016 Standard, dessen Support am 14. Oktober 2025 endete. Der Umstieg auf die aktuelle Version Office LTSC 2021 Standard kostet gebraucht bei Lyzio (netto, ca., Stand 10.08.2026) rund 120,00 Euro pro Arbeitsplatz, macht 3.000,00 Euro für 25 Lizenzen. Zum Microsoft-Neupreis von rund 439,00 Euro pro Lizenz wären es 10.975,00 Euro, eine Ersparnis von rund 7.975,00 Euro beziehungsweise 73 Prozent.
Läuft im selben Unternehmen zusätzlich noch ein SQL Server 2016 Standard, dessen erweiterter Support am 14. Juli 2026 endete, lohnt der Umstieg auf SQL Server 2019 Standard. Gebraucht bei Lyzio kostet die Lizenz rund 317,60 Euro netto, zum Neupreis von rund 999,00 Euro eine Ersparnis von rund 681,40 Euro beziehungsweise 68 Prozent. Beide Beispiele zeigen: Ein Compliance-Upgrade auf eine aktuelle, weiterhin unterstützte Version muss nicht teuer sein. Wer zusätzlich noch mit Windows 10 ohne ESU oder mit einem Exchange Server 2016/2019 arbeitet, kann dieselbe Rechnung dort ansetzen: Entscheidend ist in jedem Fall der Wechsel auf eine aktuelle Produktversion, nicht die Frage, ob die Ersatzlizenz neu oder gebraucht beschafft wird.
Fazit
Die NIS-2 Software Anforderungen verlangen kein Sonderwissen, sondern vor allem konsequentes Handeln: Registrierung nachholen, sofern noch nicht geschehen, Risikomanagement dokumentieren, und veraltete Softwareversionen gezielt ablösen. Gebrauchte Lizenzen sind dabei kein Kompromiss bei der Sicherheit, solange die Produktversion aktuell ist und weiterhin Updates erhält. Wer den Versionswechsel günstig umsetzen will, findet bei Lyzio geprüfte, aktuelle Microsoft-Lizenzen mit vollständiger Rechtekette-Dokumentation.