Anders m. Damgren
Head of Safety & Documentation
Das deutsche NIS-2-Umsetzungsgesetz (NIS2UmsuCG) ist am 6. Dezember 2025 in Kraft getreten, und betroffene Einrichtungen mussten sich bis zum 6. März 2026 beim BSI registrieren. Trotzdem wissen viele Unternehmen noch immer nicht, ob sie überhaupt betroffen sind. Die Unsicherheit ist verständlich, denn die Antwort hängt von zwei Kriterien ab, die zusammen gelesen werden müssen: Ihrem Sektor und Ihrer Größe.
Inhaltsverzeichnis
Zwei Kriterien entscheiden: Sektor und Größe
Das erste Kriterium ist der Sektor. Die zugrunde liegende NIS-2-Richtlinie umfasst 18 Sektoren: 11 Sektoren mit hoher Kritikalität in Anhang I, darunter Energie, Transport, Trinkwasser, Abwasser, Gesundheit und digitale Infrastruktur, sowie 7 weitere kritische Sektoren in Anhang II, darunter die Herstellung von Maschinen und Elektronik, Lebensmittelproduktion, Chemie, Abfallwirtschaft und digitale Anbieter. Das deutsche Gesetz setzt diese Sektoren in den Anlagen des geänderten BSI-Gesetzes um.
Das zweite Kriterium ist die Größe. In der Regel sind Sie betroffen, wenn Sie in einem der Sektoren tätig sind und mindestens ein mittleres Unternehmen sind: 50 oder mehr Beschäftigte, oder ein Jahresumsatz und eine Bilanzsumme über 10 Mio. Euro.
Beide Kriterien müssen erfüllt sein. Ein Maschinenbauer mit 20 Beschäftigten fällt in der Regel nicht unter das Gesetz, obwohl der Sektor erfasst ist. Ein Logistikunternehmen mit 300 Beschäftigten fällt heraus, wenn seine Tätigkeiten nicht in den Anlagen stehen. Entscheidend ist, was das Unternehmen tatsächlich tut, und nicht, unter welchem Branchencode es registriert ist. Genau dort entstehen die meisten Zweifelsfälle.
Das BSI stellt eine offizielle NIS-2-Betroffenheitsprüfung bereit, mit der Sie die Einordnung selbst vornehmen können. Speichern Sie das Ergebnis, denn es dokumentiert Ihre Prüfung.
Sektor
Sind Ihre tatsächlichen Tätigkeiten in Anhang I oder Anhang II der Richtlinie aufgeführt?
Größe
50 oder mehr Beschäftigte, oder ein Jahresumsatz und eine Bilanzsumme über 10 Mio. Euro?
Ja zu beiden
Sie sind von NIS2 betroffen und müssen sich beim BSI registrieren.
Nein zu einem davon
Sie sind nicht direkt betroffen, aber die Anforderungen können Sie über die Verträge Ihrer Kunden erreichen.
Ausnahmen gelten unabhängig von der Größe, darunter DNS-Diensteanbieter, Top-Level-Domain-Registrierungsstellen und alleinige Anbieter gesellschaftlich wesentlicher Dienste.
Besonders wichtig oder wichtig: der Unterschied
Das Gesetz unterscheidet zwei Kategorien betroffener Einrichtungen, und die Kategorie bestimmt unter anderem die Intensität der Aufsicht und den Bußgeldrahmen.
Wichtige Einrichtungen sind in der Regel Unternehmen in den erfassten Sektoren mit 50 bis 249 Beschäftigten oder mit einem Jahresumsatz über 10 Mio. Euro und einer Bilanzsumme über 10 Mio. Euro.
Besonders wichtige Einrichtungen sind in der Regel Unternehmen mit 250 oder mehr Beschäftigten oder mit einem Jahresumsatz über 50 Mio. Euro und einer Bilanzsumme über 43 Mio. Euro. Dazu kommen unter anderem Betreiber kritischer Anlagen, die unabhängig von den Größenschwellen als besonders wichtig gelten.
Die Anforderungen an die Cybersicherheitsmaßnahmen sind für beide Kategorien weitgehend gleich. Der Unterschied liegt in der Aufsicht, denn besonders wichtige Einrichtungen unterliegen einer proaktiven Aufsicht durch das BSI, und in den Sanktionen: Bußgelder können für besonders wichtige Einrichtungen bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes erreichen, für wichtige Einrichtungen bis zu 7 Mio. Euro oder 1,4 %.
Die Anforderungen an die Cybersicherheitsmaßnahmen sind für beide Kategorien weitgehend gleich. Der Unterschied liegt in der Aufsicht und in den Sanktionen. Bestimmte Einrichtungstypen gelten unabhängig von der Größe als besonders wichtig.
Betroffen unabhängig von der Größe: die Ausnahmen
Das Größenkriterium kennt Ausnahmen. Bestimmte Einrichtungen sind unabhängig von ihrer Größe erfasst, darunter DNS-Diensteanbieter, Top-Level-Domain-Registrierungsstellen und qualifizierte Vertrauensdiensteanbieter.
Erfasst werden können außerdem Einrichtungen unterhalb der Größenschwellen, wenn sie alleiniger Anbieter eines für die Gesellschaft wesentlichen Dienstes sind oder wenn eine Störung ihres Dienstes erhebliche Auswirkungen auf die öffentliche Sicherheit oder Gesundheit haben könnte. Liefern Sie einen Nischendienst in kritische Infrastrukturen, lohnt sich die Prüfung, ob eine der Ausnahmen auf Sie zutrifft, auch mit weniger als 50 Beschäftigten.
Nicht direkt betroffen? Die Anforderungen erreichen Sie trotzdem
Mit dem NIS2UmsuCG wächst der Kreis der regulierten Einrichtungen in Deutschland auf schätzungsweise knapp 30.000. Die Zahl der tatsächlich berührten Unternehmen ist größer, denn betroffene Einrichtungen müssen die Sicherheit ihrer Lieferkette in ihr Risikomanagement einbeziehen. Diese Pflicht setzen sie in der Praxis in Vertragsanforderungen um.
Sind Sie Ausrüstungslieferant oder Zulieferer für Energie, Transport, Versorgung oder andere erfasste Sektoren, werden Sie deshalb mit hoher Wahrscheinlichkeit Anforderungen an eine dokumentierte Sicherheitspraxis von Ihren Kunden erhalten, auch wenn Sie selbst in keinem Gesetz stehen. Wie diese Anforderungen typischerweise aussehen und wie Sie sich darauf vorbereiten, beschreiben wir im Artikel NIS2 für Lieferanten.
Die Registrierungsfrist ist abgelaufen: Was jetzt?
Die Frist für die Registrierung beim BSI ist am 6. März 2026 abgelaufen. Stellen Sie fest, dass Sie betroffen sind und sich noch nicht registriert haben, ist die Antwort einfach: Holen Sie es jetzt nach. Die Aufsicht läuft an, und eine fehlende Registrierung wird durch Warten nicht besser.
Die Registrierung ist zugleich der kleinste Teil der Aufgabe. Die eigentlichen Pflichten, vom Verantwortungsbereich der Geschäftsleitung über das Risikomanagement bis zur Meldung von Sicherheitsvorfällen, gelten seit Inkrafttreten des Gesetzes ohne Übergangsfrist. Was die Anforderungen in der Praxis bedeuten, behandeln wir im Artikel NIS2-Anforderungen in der Praxis.
Sind Sie unsicher, wo Sie stehen, ist eine Gap-Analyse der natürliche erste Schritt. In unserem kostenlosen NIS2-Gap-Workshop gehen wir 21 Kontrollbereiche in drei Stunden mit Ihrem Team durch, damit Sie wissen, was vorhanden ist und was fehlt.
Kontaktieren Sie uns
Sind Sie weiterhin unsicher, ob NIS2 für Sie gilt, oder möchten Sie wissen, wie weit Sie mit den Anforderungen sind? Buchen Sie einen kostenlosen NIS2-Gap-Workshop, oder kontaktieren Sie uns über PS Engineering für ein konkretes Gespräch über Ihre Situation.
FAQ
NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Cybersicherheit. Sie stellt Anforderungen an Risikomanagement, Vorfallsbehandlung und die Verantwortung der Geschäftsleitung in Unternehmen kritischer Sektoren. In Deutschland ist sie durch das NIS2UmsuCG umgesetzt, das am 6. Dezember 2025 in Kraft getreten ist.
Die Richtlinie nennt 18 Sektoren: 11 Sektoren mit hoher Kritikalität in Anhang I, darunter Energie, Transport, Wasser, Gesundheit und digitale Infrastruktur, sowie 7 weitere kritische Sektoren in Anhang II, darunter Fertigung, Lebensmittel, Chemie, Abfall und digitale Anbieter.
Die Kategorien folgen im Wesentlichen der Unternehmensgröße und dem Sektor. Besonders wichtige Einrichtungen unterliegen einer proaktiven Aufsicht durch das BSI und einem höheren Bußgeldrahmen von bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes. Für wichtige Einrichtungen liegt der Rahmen bei bis zu 7 Mio. Euro oder 1,4 %.
In der Regel nein, es sei denn, eine der Ausnahmen greift, etwa als DNS-Diensteanbieter oder als alleiniger Anbieter eines gesellschaftlich wesentlichen Dienstes. Liefern Sie jedoch an betroffene Unternehmen, können Sie vergleichbare Anforderungen über Ihre Verträge erhalten.
Nicht direkt. Ihre Kunden müssen jedoch die Sicherheit ihrer Lieferkette bewerten, und deshalb stellen viele von ihnen Vertragsanforderungen an die dokumentierte Sicherheitspraxis ihrer Lieferanten.
Die Registrierungspflicht gilt weiterhin, auch nach dem 6. März 2026. Registrieren Sie sich so schnell wie möglich beim BSI, und beginnen Sie anschließend damit zu dokumentieren, wie Sie die Anforderungen erfüllen.
Ja, die öffentliche Verwaltung gehört zu den erfassten Sektoren. Der genaue Zuschnitt ergibt sich aus dem NIS2UmsuCG und den Informationen des BSI.
