Kompakt im Überblick
NIS‑2 in Deutschland: Fragen und Antworten zum BSI-Gesetz (Stand: Juli 2026)
Seit dem 6. Dezember 2025 gilt in Deutschland das NIS-2-Umsetzungsgesetz (BGBl. 2025 I Nr. 301). Es hat das BSI-Gesetz (BSIG) neu gefasst, und dort stehen heute die Pflichten für besonders wichtige und wichtige Einrichtungen. Auf dieser Seite beantworten wir die Fragen, die uns in der Beratung am häufigsten begegnen. Berücksichtigt sind die Änderungen des BSIG bis Juli 2026, unter anderem durch das KRITIS-Dachgesetz.
Die Antworten geben einen Überblick und ersetzen keine Rechtsberatung im Einzelfall. Verbindlich ist der Gesetzestext.
Das BSIG knüpft die Betroffenheit im Kern an zwei Merkmale:
1. Die Tätigkeit: Die Einrichtung muss einer der Einrichtungsarten zuzuordnen sein, die in Anlage 1 oder Anlage 2 des BSIG aufgeführt sind.
2. Die Größe: Maßgeblich sind Mitarbeiterzahl, Jahresumsatz und Jahresbilanzsumme, berechnet nach der KMU-Empfehlung der EU-Kommission 2003/361/EG (§ 28 Abs. 4 BSIG).
Einige Einrichtungsarten fallen unabhängig von ihrer Größe unter das Gesetz, etwa qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries, DNS-Diensteanbieter und Betreiber kritischer Anlagen.
Am Ende steht eine von zwei Kategorien: besonders wichtige Einrichtung oder wichtige Einrichtung (§ 28 Abs. 1 und 2 BSIG). Für Einrichtungen der Bundesverwaltung gelten eigene Regeln (§ 29 BSIG).
Bei Konzernen gibt es eine Besonderheit: Die Zahlen von Partner- oder verbundenen Unternehmen müssen nicht hinzugerechnet werden, wenn das Unternehmen bei seinen IT-Systemen, Komponenten und Prozessen unabhängig von diesen ist (§ 28 Abs. 4 Satz 2 BSIG).
Besonders wichtige Einrichtungen sind nach § 28 Abs. 1 BSIG:
- Betreiber kritischer Anlagen, unabhängig von der Größe,
- qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries und DNS-Diensteanbieter, unabhängig von der Größe,
- Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze mit mindestens 50 Mitarbeitern oder jeweils über 10 Mio. Euro Jahresumsatz und Jahresbilanzsumme,
- sonstige Einrichtungen einer Einrichtungsart aus Anlage 1 mit mindestens 250 Mitarbeitern oder über 50 Mio. Euro Jahresumsatz und zugleich über 43 Mio. Euro Jahresbilanzsumme.
Wichtige Einrichtungen sind nach § 28 Abs. 2 BSIG:
- Vertrauensdiensteanbieter, soweit sie nicht schon besonders wichtige Einrichtungen sind, unabhängig von der Größe,
- Telekommunikationsanbieter unterhalb der oben genannten Schwellen,
- sonstige Einrichtungen einer Einrichtungsart aus Anlage 1 oder 2 mit mindestens 50 Mitarbeitern oder jeweils über 10 Mio. Euro Jahresumsatz und Jahresbilanzsumme, soweit sie nicht bereits besonders wichtige Einrichtungen sind.
Vernachlässigbare Tätigkeiten: Geschäftstätigkeiten, die im Verhältnis zur gesamten Geschäftstätigkeit vernachlässigbar sind, können bei der Zuordnung zu einer Einrichtungsart unberücksichtigt bleiben (§ 28 Abs. 3 BSIG). Wo die Grenze liegt, sagt das Gesetz nicht. Die eigene Einordnung sollte deshalb nachvollziehbar dokumentiert werden.
Ausnahmen: Für Finanzunternehmen, die unter die DORA-Verordnung (EU) 2022/2554 fallen, gelten die §§ 30, 31, 32, 35, 36, 38 und 39 BSIG nicht (§ 28 Abs. 6 BSIG). Sonderregeln bestehen außerdem für Telekommunikationsanbieter und bestimmte Energieunternehmen, für die eigene Sicherheitsvorgaben im TKG bzw. EnWG gelten (§ 28 Abs. 5 BSIG).
- Besonders wichtige und wichtige Einrichtungen
Hier geht es um das Unternehmen als Ganzes. Entscheidend sind Einrichtungsart und Unternehmensgröße (§ 28 BSIG). - Kritische Anlagen
Hier geht es um einzelne Anlagen, deren Ausfall die Versorgung der Bevölkerung erheblich beeinträchtigen würde, etwa ein Wasserwerk oder ein Stromnetz. Ob eine Anlage kritisch ist, ergibt sich aus Anlagenart und Schwellenwerten, nicht aus der Größe des Unternehmens.
Wer eine kritische Anlage betreibt, gilt immer als besonders wichtige Einrichtung (§ 28 Abs. 1 Nr. 1 BSIG). Zusätzlich gelten besondere Anforderungen an die Risikomanagementmaßnahmen (§ 31 BSIG) und Nachweispflichten gegenüber dem BSI (§ 39 BSIG). Welche Anlagen kritisch sind, erläutern wir in der Frage „Was ist eine kritische Anlage?“ weiter unten.
Das BSIG unterscheidet zwei Anlagen. Maßgeblich ist jeweils die konkrete Einrichtungsart, die dort genannt ist, nicht allein die Überschrift des Sektors.
Anlage 1: Sektoren besonders wichtiger und wichtiger Einrichtungen
- Energie (u. a. Strom, Fernwärme und Fernkälte, Kraftstoff und Heizöl, Gas, Wasserstoff)
- Transport und Verkehr (Luftverkehr, Schienenverkehr, Schifffahrt, Straßenverkehr)
- Finanzwesen (Bankwesen, Finanzmarktinfrastrukturen)
- Gesundheit
- Wasser (Trinkwasserversorgung, Abwasserbeseitigung)
- Digitale Infrastruktur (u. a. Cloud-Computing, Rechenzentren, Telekommunikation, Managed Service Provider und Managed Security Service Provider)
- Weltraum
Anlage 2: Sektoren wichtiger Einrichtungen
- Transport und Verkehr (Post- und Kurierdienste)
- Abfallbewirtschaftung
- Produktion, Herstellung und Handel mit chemischen Stoffen
- Produktion, Verarbeitung und Vertrieb von Lebensmitteln
- Verarbeitendes Gewerbe/Herstellung von Waren (Medizinprodukte und In-vitro-Diagnostika, Datenverarbeitungsgeräte und elektronische Erzeugnisse, elektrische Ausrüstungen, Maschinenbau, Kraftwagen und Kraftwagenteile, sonstiger Fahrzeugbau)
- Anbieter digitaler Dienste (Online-Marktplätze, Online-Suchmaschinen, Plattformen für soziale Netzwerke)
- Forschung
Ob ein Unternehmen aus Anlage 1 als besonders wichtige oder als wichtige Einrichtung gilt, hängt von seiner Größe ab. Unternehmen, die nur einer Einrichtungsart aus Anlage 2 zuzuordnen sind, können höchstens wichtige Einrichtungen sein, sofern sie nicht zugleich eine kritische Anlage betreiben.
Ja, und die Schwellen liegen niedriger, als viele erwarten. Das BSIG verwendet den Begriff „KMU“ zwar nicht, übernimmt aber die Berechnungsregeln der KMU-Empfehlung der EU-Kommission. Ein Unternehmen mit mindestens 50 Mitarbeitern oder jeweils mehr als 10 Mio. Euro Jahresumsatz und Jahresbilanzsumme ist bereits eine wichtige Einrichtung, wenn es einer Einrichtungsart aus Anlage 1 oder 2 zuzuordnen ist.
Gerade Anlage 2 trifft viele Mittelständler, zum Beispiel aus diesen Branchen:
- Maschinenbau
- Herstellung von Datenverarbeitungsgeräten, elektronischen und optischen Erzeugnissen
- Herstellung von elektrischen Ausrüstungen
- Herstellung von Kraftwagen und Kraftwagenteilen
- Lebensmittelunternehmen im Großhandel und in der industriellen Produktion
- Abfallbewirtschaftung
Aus Anlage 1 sind für mittelständische IT-Dienstleister vor allem Managed Service Provider, Managed Security Service Provider, Anbieter von Cloud-Computing-Diensten und Anbieter von Rechenzentrumsdiensten relevant.
Nach gängigen Schätzungen fallen in Deutschland rund 29.500 Einrichtungen unter das Gesetz.
Auch kleinere Unternehmen sind oft indirekt betroffen: Wer als Zulieferer oder Dienstleister für eine NIS-2-pflichtige Einrichtung arbeitet, bekommt deren Anforderungen an die Sicherheit der Lieferkette (§ 30 Abs. 2 Nr. 4 BSIG) in der Regel vertraglich weitergereicht.
In eigener Sache: Für genau diese Unternehmen haben wir unser NIS-2-Vorlagenpaket entwickelt.
Das NIS-2-Umsetzungsgesetz wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet (BGBl. 2025 I Nr. 301) und ist am 6. Dezember 2025 in Kraft getreten. Eine allgemeine Übergangsfrist gibt es nicht: Die Risikomanagementmaßnahmen nach § 30 BSIG und die Meldepflichten nach § 32 BSIG gelten seitdem.
Fristgebunden ist die Registrierung beim BSI. Sie muss spätestens drei Monate nach dem Zeitpunkt erfolgen, zu dem eine Einrichtung erstmals oder erneut unter das Gesetz fällt (§ 33 Abs. 1 BSIG). Für Unternehmen, die bereits bei Inkrafttreten betroffen waren, endete diese Frist am 6. März 2026. Wer sie versäumt hat, sollte die Registrierung umgehend nachholen, denn die Pflicht besteht weiter und ein Verstoß ist bußgeldbewehrt.
Das BSIG in der jeweils geltenden Fassung ist kostenlos auf gesetze-im-internet.de abrufbar. Die Ursprungsfassung des NIS-2-Umsetzungsgesetzes vom 2. Dezember 2025 ist im Bundesgesetzblatt veröffentlicht (BGBl. 2025 I Nr. 301).
Die Pflichten stehen in Teil 3, Kapitel 2 des BSIG (§§ 30 bis 42). Für die meisten Unternehmen sind diese Vorschriften entscheidend:
- § 30: Risikomanagementmaßnahmen besonders wichtiger und wichtiger Einrichtungen
- § 31: Besondere Anforderungen an die Risikomanagementmaßnahmen von Betreibern kritischer Anlagen
- § 32: Meldepflichten
- § 33: Registrierungspflicht
- § 34: Besondere Registrierungspflicht für bestimmte Einrichtungsarten
- § 35: Unterrichtungspflichten
- § 38: Umsetzungs‑, Überwachungs- und Schulungspflicht für Geschäftsleitungen
- § 39: Nachweispflichten für Betreiber kritischer Anlagen
Für den Mittelstand ist § 30 BSIG der Kern. Die Maßnahmen müssen geeignet, verhältnismäßig und wirksam sein, sollen den Stand der Technik einhalten und müssen dokumentiert werden (§ 30 Abs. 1 und 2 BSIG). Grundlage ist immer eine Risikoanalyse. Das Gesetz nennt zehn Bereiche, die mindestens abgedeckt sein müssen:
- Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik,
- Bewältigung von Sicherheitsvorfällen,
- Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement,
- Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern,
- Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen,
- Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik,
- grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik,
- Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren,
- Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, ‑Produkten und ‑Prozessen,
- Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach‑, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung.
Für bestimmte digitale Anbieter, darunter Cloud-Computing-Dienste, Rechenzentren, Managed Service Provider und Online-Marktplätze, haben die technischen und methodischen Anforderungen der Durchführungsverordnung (EU) 2024/2690 Vorrang (§ 30 Abs. 3 BSIG).
In eigener Sache: Unser NIS-2-Vorlagenpaket enthält Konzepte und Richtlinien, mit denen du diese Mindestmaßnahmen dokumentieren kannst.
Der Begriff hat sich 2026 verschoben. Nach § 2 Nr. 22 BSIG ist eine kritische Anlage jetzt eine Anlage im Sinne des KRITIS-Dachgesetzes, das am 17. März 2026 in Kraft getreten ist. Welche Anlagen konkret darunter fallen, soll eine Rechtsverordnung zum KRITIS-Dachgesetz mit Anlagenarten und Schwellenwerten festlegen.
Solange diese Rechtsverordnung nicht in Kraft ist, gilt nach der Übergangsregelung in § 66 BSIG die bisherige Begriffsbestimmung weiter. Bis dahin bleiben also die Anlagenarten und Schwellenwerte der BSI-Kritisverordnung maßgeblich.
Betreiber kritischer Anlagen sind immer besonders wichtige Einrichtungen. Neben den Pflichten aus dem BSIG treffen sie die Resilienzpflichten des KRITIS-Dachgesetzes, etwa Risikoanalysen und Resilienzpläne für den physischen Schutz ihrer Anlagen.
Die NIS-2-Richtlinie (EU) 2022/2555 soll in der gesamten EU ein hohes gemeinsames Cybersicherheitsniveau schaffen. Ihre Kernanforderungen stehen in den Artikeln 20 bis 25 der Richtlinie, in Deutschland umgesetzt durch das BSIG. Aus unserer Sicht sind das die wichtigsten Punkte:
- Verantwortung der Geschäftsleitung
Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Verletzt sie diese Pflicht schuldhaft, haftet sie der eigenen Einrichtung nach den gesellschaftsrechtlichen Regeln, etwa nach GmbHG oder AktG (§ 38 Abs. 1 und 2 BSIG). - Schulungspflicht für die Geschäftsleitung
Die Mitglieder der Geschäftsleitung müssen regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagementpraktiken erkennen und bewerten zu können (§ 38 Abs. 3 BSIG). - Risikobasierter Ansatz
Die Maßnahmen richten sich nach Risikoexposition, Größe der Einrichtung, Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere möglicher Vorfälle. Die Einhaltung ist zu dokumentieren (§ 30 Abs. 1 BSIG). - Sicherheit in der Lieferkette
Die Beziehungen zu unmittelbaren Anbietern und Dienstleistern gehören ausdrücklich zum Risikomanagement (§ 30 Abs. 2 Nr. 4 BSIG). - Meldung erheblicher Sicherheitsvorfälle
Erhebliche Sicherheitsvorfälle sind in mehreren Stufen an die gemeinsame Meldestelle von BSI und BBK zu melden (§ 32 BSIG). - Registrierung
Betroffene Einrichtungen müssen sich selbst beim BSI registrieren (§ 33 BSIG). Ob sie betroffen ist, muss jede Einrichtung selbst prüfen. - Zertifizierte IKT-Produkte
Per Rechtsverordnung kann festgelegt werden, dass bestimmte IKT-Produkte, ‑Dienste und ‑Prozesse nur mit einer Cybersicherheitszertifizierung nach europäischen Schemata eingesetzt werden dürfen (§ 30 Abs. 6 in Verbindung mit § 56 Abs. 3 BSIG).
Das BSIG unterscheidet zwei Ebenen:
- Geschäftsleitung: Sie muss regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse zur Erkennung und Bewertung von Risiken und Risikomanagementpraktiken zu erlangen und deren Auswirkungen auf die eigenen Dienste beurteilen zu können (§ 38 Abs. 3 BSIG).
- Beschäftigte: Grundlegende Schulungen und Sensibilisierungsmaßnahmen gehören zu den Mindestmaßnahmen nach § 30 Abs. 2 Nr. 7 BSIG.
Wie oft und wie lange geschult werden muss, legt das Gesetz nicht fest. Als Geschäftsleitung gelten die natürlichen Personen, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung berufen sind (§ 2 Nr. 13 BSIG), bei einer GmbH also die Geschäftsführer. Wir empfehlen, mindestens einmal jährlich zu schulen und Inhalte, Teilnehmer und Dauer so zu dokumentieren, dass sie sich bei einer Prüfung nachweisen lassen.
In eigener Sache: Gemeinsam mit unserem Partnerunternehmen, dem Datenschutzkontor, bieten wir ein Schulungspaket an, mit dem Beschäftigte von KMU sensibilisiert werden können.
§ 30 Abs. 2 Nr. 4 BSIG verlangt, die sicherheitsbezogenen Aspekte der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern in das Risikomanagement einzubeziehen. Wie das umzusetzen ist, lässt das Gesetz offen. In der Praxis gehören dazu:
- eine Übersicht der kritischen Lieferanten und Dienstleister mit Risikobewertung,
- vertragliche Vereinbarungen zu Sicherheitsmaßnahmen, Patchmanagement und der Meldung von Sicherheitsvorfällen,
- Anforderungen an sichere Entwicklungsprozesse, etwa „Security by Design“ und „Security by Default“,
- regelmäßige Überprüfungen, zum Beispiel über Fragebögen, Nachweise wie ISO/IEC-27001-Zertifikate oder Audits.
Die NIS-2-Richtlinie nennt als Maßstab die spezifischen Schwachstellen der einzelnen Anbieter, die Gesamtqualität ihrer Produkte und ihre Cybersicherheitspraktiken einschließlich sicherer Entwicklungsprozesse (Art. 21 Abs. 3 NIS-2-Richtlinie). Ergänzend kann ein Scan der von außen erreichbaren Angriffsfläche (External Attack Surface Scan) helfen, Schwachstellen bei Dienstleistern zu erkennen.
Die Bußgeldvorschriften stehen in § 65 BSIG. Für die zentralen Pflichten, also Risikomanagementmaßnahmen, deren Dokumentation und die Meldepflichten, gelten diese Obergrenzen:
- Besonders wichtige Einrichtungen: bis zu 10 Mio. Euro, bei einem weltweiten Gesamtumsatz von mehr als 500 Mio. Euro bis zu 2 % des Gesamtumsatzes.
- Wichtige Einrichtungen: bis zu 7 Mio. Euro, bei einem weltweiten Gesamtumsatz von mehr als 500 Mio. Euro bis zu 1,4 % des Gesamtumsatzes.
Bußgeldbewehrt ist es unter anderem, wenn eine Einrichtung
- eine Maßnahme nach § 30 Abs. 1 BSIG nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig ergreift,
- die Einhaltung dieser Verpflichtung nicht, nicht richtig oder nicht vollständig dokumentiert,
- eine Meldung nach § 32 Abs. 1 BSIG nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig macht,
- die Registrierungsangaben nach § 33 BSIG nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermittelt.
Für andere Verstöße gelten niedrigere Rahmen. Eine versäumte oder fehlerhafte Registrierung kann zum Beispiel mit bis zu 500.000 Euro geahndet werden. Hinzu kommt das Haftungsrisiko der Geschäftsleitung gegenüber der eigenen Gesellschaft (§ 38 Abs. 2 BSIG).
Nach § 2 Nr. 11 BSIG ist ein „erheblicher Sicherheitsvorfall“ ein Sicherheitsvorfall, der
a) schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die betreffende Einrichtung verursacht hat oder verursachen kann oder
b) andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann.
Diese Definition kann durch eine Rechtsverordnung nach § 56 Abs. 5 BSIG konkretisiert werden. Für bestimmte digitale Anbieter ist das auf EU-Ebene bereits geschehen: Die Durchführungsverordnung (EU) 2024/2690 legt unter anderem für DNS-Diensteanbieter, TLD-Registries, Cloud-Computing-Dienste, Rechenzentren, Content Delivery Networks, Managed Service Provider, Managed Security Service Provider, Online-Marktplätze, Online-Suchmaschinen, soziale Netzwerke und Vertrauensdiensteanbieter fest, wann ein Vorfall als erheblich gilt.
Alle anderen Einrichtungen müssen im Einzelfall bewerten. Anhaltspunkte liefert Erwägungsgrund 101 der NIS-2-Richtlinie: das Ausmaß der Beeinträchtigung des Dienstes, die Dauer des Vorfalls und die Zahl der betroffenen Nutzer. Es lohnt sich, die eigenen Kriterien vorab im Prozess zur Vorfallbewältigung festzulegen, damit im Ernstfall niemand erst über die Meldepflicht diskutieren muss.
Die Meldepflichten ergeben sich aus § 32 BSIG. Besonders wichtige und wichtige Einrichtungen melden erhebliche Sicherheitsvorfälle an die gemeinsame Meldestelle des BSI und des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe (BBK), und zwar in Stufen:
- Frühe Erstmeldung unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, mit der Angabe, ob der Verdacht auf rechtswidrige oder böswillige Handlungen oder auf grenzüberschreitende Auswirkungen besteht;
- Meldung unverzüglich, spätestens innerhalb von 72 Stunden nach Kenntniserlangung, mit Bestätigung oder Aktualisierung der Erstmeldung, einer ersten Bewertung einschließlich Schweregrad und Auswirkungen sowie gegebenenfalls den Kompromittierungsindikatoren;
- Zwischenmeldung über relevante Statusaktualisierungen, wenn das BSI darum ersucht;
- Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung mit
- einer ausführlichen Beschreibung des Vorfalls einschließlich Schweregrad und Auswirkungen,
- Angaben zur Art der Bedrohung oder zur wahrscheinlichen Ursache,
- den getroffenen und laufenden Abhilfemaßnahmen,
- gegebenenfalls den grenzüberschreitenden Auswirkungen.
Dauert der Vorfall nach einem Monat noch an, ist zunächst eine Fortschrittsmeldung abzugeben. Die Abschlussmeldung folgt, sobald der Vorfall abschließend bearbeitet ist (§ 32 Abs. 2 BSIG). Betreiber kritischer Anlagen müssen zusätzlich Angaben zur betroffenen Anlage und zur kritischen Dienstleistung machen (§ 32 Abs. 3 BSIG).
Sind personenbezogene Daten betroffen, kann daneben eine Meldepflicht gegenüber der Datenschutzaufsichtsbehörde nach Art. 33 DSGVO bestehen, in der Regel binnen 72 Stunden.
Leinen los und volle Fahrt in den sicheren Hafen der Cybersecurity.
Die Pflichten aus dem NIS-2-Umsetzungsgesetz gelten seit dem 6. Dezember 2025. Mit unserem Vorlagenpaket fängst du bei deiner Dokumentation nicht bei null an.