Betroffen von NIS-2 sind Unternehmen, die in einem der im BSIG gelisteten Sektoren (Anlagen 1 und 2) tätig sind und die Größenschwellen nach § 28 BSIG erreichen – sie gelten dann als wichtige oder besonders wichtige Einrichtung. Maßgeblich ist das NIS-2-Umsetzungsgesetz (NIS2UmsuCG, BGBl. 2025 I Nr. 301), das das BSI-Gesetz novelliert hat und seit dem 6. Dezember 2025 ohne Übergangsfrist in Kraft ist. Das BSI beaufsichtigt damit rund 29.500 Einrichtungen statt zuvor etwa 4.500.
Anders als bei der früheren KRITIS-Regulierung kommt es nicht mehr auf das Überschreiten von Anlagen-Schwellenwerten an, sondern primär auf Sektor und Unternehmensgröße. Grenze: Die Einordnung erfolgt durch gesetzliche Selbst-Identifizierung – die kostenlose BSI-Betroffenheitsprüfung liefert nur eine unverbindliche Ersteinschätzung und ist rechtlich nicht bindend. Eine vertiefte Einordnung des Themenfelds bietet die Kategorie Datenschutz & Informationssicherheit.
Der Anwendungsbereich knüpft an zwei Sektorlisten des BSIG an. Anlage 1 umfasst die Sektoren mit hoher Kritikalität, aus denen Einrichtungen bei entsprechender Größe in der Regel als besonders wichtige Einrichtung eingestuft werden. Anlage 2 nennt weitere kritische Sektoren, die überwiegend zu wichtigen Einrichtungen führen. Die Zuordnung eines Unternehmens richtet sich nach seiner tatsächlichen Tätigkeit, nicht nach der Selbstbezeichnung oder dem Handelsregistereintrag.
Zu den Sektoren der Anlage 1 gehören insbesondere Energie, Verkehr, Bankwesen und Finanzmarktinfrastrukturen, das Gesundheitswesen, Trinkwasser und Abwasser, digitale Infrastruktur, die Verwaltung von IKT-Diensten (Business-to-Business) sowie Teile der öffentlichen Verwaltung und der Raumfahrt. Die Anlage 2 ergänzt Sektoren wie Post- und Kurierdienste, Abfallbewirtschaftung, die Produktion, Herstellung und den Handel mit chemischen Stoffen, die Produktion und den Vertrieb von Lebensmitteln, das verarbeitende Gewerbe (etwa Medizinprodukte, Datenverarbeitungsgeräte, Maschinenbau, Kraftfahrzeuge), Anbieter digitaler Dienste sowie Forschungseinrichtungen.
Annahme: Diese Sektorlisten sind hier beispielhaft zusammengefasst; die vollständige und rechtsverbindliche Aufzählung – einschließlich der jeweils präzise definierten Untergruppen und Einrichtungsarten – ergibt sich ausschließlich aus den Anlagen 1 und 2 des BSIG. Wer einem gelisteten Sektor zuzuordnen ist, sollte im nächsten Schritt die Größenschwelle prüfen.
Die folgenden fünf Schritte bilden die Prüflogik des § 28 BSIG nach. Erst die Kombination aus Sektorzugehörigkeit und Größenschwelle (sogenannter Size-Cap) begründet in der Regel die Betroffenheit.
Grenze/Ausnahme: Die Schwellenwerte nach § 28 BSIG sind hier vereinfacht dargestellt; im Einzelfall gelten branchenspezifische Besonderheiten. Maßgeblich ist stets der Gesetzeswortlaut, nicht diese Checkliste.
Das BSIG unterscheidet zwei Kategorien betroffener Unternehmen: besonders wichtige Einrichtungen und wichtige Einrichtungen. Beide treffen dieselben Grundpflichten – der Unterschied liegt in Aufsicht und Sanktionsrahmen.
| Merkmal | Wichtige Einrichtung | Besonders wichtige Einrichtung |
|---|---|---|
| Größenschwelle (§ 28 BSIG) | ab 50 Beschäftigte oder >10 Mio. € Umsatz und Bilanzsumme | ab 250 Beschäftigte oder >50 Mio. € Umsatz und >43 Mio. € Bilanzsumme |
| Aufsicht | anlassbezogen | proaktiv, auch ohne Anlass |
| Bußgeldrahmen | niedrigerer Rahmen | bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes |
| KRITIS-Betreiber | – | stets besonders wichtig |
Besonders wichtige Einrichtungen unterliegen einer proaktiven Aufsicht (das BSI kann auch ohne Anlass prüfen) und dem höheren Bußgeldrahmen. Wichtige Einrichtungen werden grundsätzlich anlassbezogen beaufsichtigt, also insbesondere nach Hinweisen oder Vorfällen. KRITIS-Betreiber sind stets besonders wichtige Einrichtungen.
Grenze/Ausnahme: Die Kategorie ändert nichts an der Pflicht selbst – auch wichtige Einrichtungen müssen sich registrieren, Vorfälle melden und Risikomanagement umsetzen. Unterschiede betreffen primär Aufsichtstiefe und Höchstbußgeld.
Praktisch relevant ist die Einordnung vor allem für den Umgang mit der Aufsicht: Besonders wichtige Einrichtungen müssen damit rechnen, dass das BSI auch ohne konkreten Anlass prüft, etwa durch Vor-Ort-Kontrollen oder Nachweisanforderungen. Wichtige Einrichtungen werden zwar in der Regel erst nach einem Hinweis oder Vorfall geprüft, sind aber deshalb nicht von den inhaltlichen Pflichten entlastet. Für beide Kategorien empfiehlt es sich, die Umsetzung der Maßnahmen so zu dokumentieren, dass sie im Prüfungsfall belegbar ist.
Betroffene Unternehmen treffen drei Kernpflichten: Registrierung beim BSI, Meldung erheblicher Sicherheitsvorfälle und Umsetzung von Risikomanagementmaßnahmen. Diese gelten seit Inkrafttreten – ohne Schon- oder Übergangsfrist.
Die Registrierung erfolgt zweistufig: zunächst über die Verwaltungsplattform „Mein Unternehmenskonto“ (MUK), anschließend im dafür freigeschalteten BSI-Portal. Einrichtungen müssen dabei die für die Kontaktaufnahme erforderlichen Angaben hinterlegen. Für die Registrierung gilt eine Frist von drei Monaten ab dem Zeitpunkt, zu dem eine Einrichtung erstmals betroffen ist. Die Registrierung ist keine Formalie, sondern Voraussetzung dafür, dass das BSI Warnungen und Informationen zielgerichtet an die Einrichtung ausspielen kann. Weil die Frist an die erstmalige Betroffenheit anknüpft und nicht an eine behördliche Aufforderung, sollten Unternehmen die Selbst-Identifizierung frühzeitig dokumentieren und nachvollziehbar festhalten, auf welcher Grundlage sie sich einer Kategorie zugeordnet haben.
Erhebliche Sicherheitsvorfälle sind nach § 32 BSIG gestaffelt zu melden. Die Staffelung folgt drei Stufen:
Ein Vorfall ist unter anderem dann erheblich, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursachen kann oder andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigen kann. Die Meldung ersetzt nicht andere Anzeige- oder Informationspflichten, etwa aus dem Datenschutzrecht: Ist von einem Vorfall auch die Sicherheit personenbezogener Daten betroffen, können daneben Meldepflichten nach der Datenschutz-Grundverordnung greifen. Beide Regime sind getrennt zu prüfen und schließen einander nicht aus. Für die fristgerechte Meldung ist es in der Praxis entscheidend, den Zeitpunkt der Kenntniserlangung sauber zu dokumentieren, da die 24-Stunden-Frist an diesen Moment anknüpft.
Kern der Pflichten ist ein Katalog von mindestens zehn technischen und organisatorischen Maßnahmenbereichen nach § 30 BSIG. Betroffene Einrichtungen müssen diese Bereiche nach dem Stand der Technik und einem gefahrenübergreifenden („all-hazards“) Ansatz abdecken:
Grenze/Ausnahme: Der Umfang der Maßnahmen ist verhältnismäßig zu bemessen – nach Risikoexposition, Größe der Einrichtung, Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere möglicher Vorfälle. „Verhältnismäßig“ bedeutet jedoch nicht „optional“: Die zehn Maßnahmenbereiche des § 30 BSIG sind dem Grunde nach verpflichtend.
Die Geschäftsleitung trägt die persönliche Verantwortung für Umsetzung und Überwachung der Risikomanagementmaßnahmen (§ 38 BSIG). Sie muss die Maßnahmen billigen, ihre Umsetzung überwachen und an entsprechenden Schulungen teilnehmen – und haftet bei schuldhaften Pflichtverletzungen nach den für die jeweilige Rechtsform geltenden Regeln. Die Verantwortung lässt sich organisatorisch delegieren, die Aufsichts- und Überwachungspflicht der Leitungsebene bleibt jedoch bestehen.
Bei Verstößen drohen erhebliche Bußgelder. Für besonders wichtige Einrichtungen sieht die NIS-2-Richtlinie Höchstbeträge von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes vor (der höhere Wert gilt), national umgesetzt in § 65 BSIG; für wichtige Einrichtungen liegt der Rahmen darunter. Neben dem Bußgeld kann das BSI im Rahmen seiner Aufsicht weitere Anordnungen treffen und die Umsetzung der Pflichten durchsetzen. Für die Praxis bedeutet das: Die Einbindung der Leitungsebene ist nicht nur eine Frage der Haftung, sondern auch der internen Steuerung – Budget, Zuständigkeiten und Nachweise sollten auf Leitungsebene verankert und regelmäßig überprüft werden.
Grenze/Ausnahme: Die genaue Höhe und Durchsetzung der Sanktionen hängt vom Einzelfall und der Schwere des Verstoßes ab; die Konkretisierung erheblicher Vorfälle wird vom BSI fortlaufend präzisiert.
Da keine Übergangsfrist gilt, ist eine strukturierte Herangehensweise sinnvoll. Die folgenden Schritte sind als organisatorische Orientierung zu verstehen und ersetzen keine Prüfung des Einzelfalls:
Grenze/Ausnahme: Diese Liste ist eine allgemeine Orientierung, keine abschließende Umsetzungsanleitung. Reihenfolge, Tiefe und Priorisierung hängen von Sektor, Größe und Risikoexposition der jeweiligen Einrichtung ab.
Dieser Beitrag wertet ausschließlich Primärquellen aus: das NIS-2-Umsetzungsgesetz (NIS2UmsuCG) wie in BGBl. 2025 I Nr. 301 verkündet, die novellierten Vorschriften des BSIG (insbesondere §§ 28, 29, 30, 32, 38, 65) sowie die offiziellen Informationen des BSI. Die Zahl von rund 29.500 beaufsichtigten Einrichtungen und das Inkrafttreten am 6. Dezember 2025 ohne Übergangsfrist stammen aus der BSI-Pressemitteilung vom 5. Dezember 2025. Annahme: Die Sektorlisten (Anlagen 1 und 2) sind hier beispielhaft zusammengefasst – die vollständige Aufzählung ergibt sich aus den Anlagen des BSIG. Stand: 2. Juni 2026.
NIS-2 gilt in Deutschland seit dem 6. Dezember 2025. An diesem Tag trat das NIS-2-Umsetzungsgesetz (NIS2UmsuCG) in Kraft, verkündet am 5. Dezember 2025 in BGBl. 2025 I Nr. 301. Es novelliert das BSI-Gesetz. Eine Übergangsfrist gibt es nicht – die Pflichten gelten unmittelbar für alle betroffenen Einrichtungen.
Nach Einschätzung des BSI sind rund 29.500 Einrichtungen betroffen. Zuvor regulierte das BSI-Gesetz nur etwa 4.500 Organisationen, vor allem KRITIS-Betreiber und Anbieter digitaler Dienste. Der Anwendungsbereich wurde durch NIS-2 deutlich erweitert: Maßgeblich sind nun Sektorzugehörigkeit nach den Anlagen 1 und 2 BSIG sowie die Größenschwellen nach § 28 BSIG. Betroffene Einrichtungen müssen sich beim BSI registrieren.
Als wichtige Einrichtung gelten Unternehmen aus gelisteten Sektoren ab 50 Beschäftigten oder mehr als 10 Mio. € Umsatz und Bilanzsumme. Als besonders wichtige Einrichtung gelten sie ab 250 Beschäftigten oder mehr als 50 Mio. € Umsatz und mehr als 43 Mio. € Bilanzsumme (§ 28 BSIG). Maßgeblich ist stets der Gesetzeswortlaut.
Nicht zwingend. Anbieter qualifizierter Vertrauensdienste, Top-Level-Domain-Name-Registries und DNS-Diensteanbieter fallen unabhängig von ihrer Größe unter das BSIG. Auch Betreiber kritischer Anlagen (KRITIS) sind unabhängig vom Size-Cap betroffen und gelten automatisch als besonders wichtige Einrichtungen. Wer betroffen ist, muss sich registrieren, Vorfälle melden und Risikomanagement umsetzen. Maßgeblich ist stets der Gesetzeswortlaut, nicht eine vereinfachte Checkliste.
Betroffene Unternehmen müssen sich beim BSI registrieren (binnen drei Monaten), erhebliche Sicherheitsvorfälle melden (24 Stunden Erstmeldung, 72 Stunden Meldung, Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung) und Risikomanagementmaßnahmen nach § 30 BSIG umsetzen. Dazu zählen unter anderem Schulungen, Incident Response und Multi-Faktor-Authentifizierung.
Ja. Nach § 38 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und an Schulungen teilnehmen. Bei schuldhaften Pflichtverletzungen haftet sie nach den für die Rechtsform geltenden Regeln. Zusätzlich drohen der Einrichtung Bußgelder, bei besonders wichtigen Einrichtungen bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes.
Einblicke in das digitale Lernen der Zukunft mit Fokus auf KI, Compliance und moderne Schulungslösungen. Entdecken Sie die neuesten Beiträge und aktuelle Artikel, um praxisnahe Insights zu rechtssicherer, effizienter und automatisierter Weiterbildung im Unternehmen zu erhalten.
Unterweisungen und Weiterbildungen auditsicher, einfach und passgenau.
Wir unterstützen die IHK-Initiative Pack ma's digital, um der Wirtschaft in Oberbayern bei der Digitalisierung weiter zu helfen und die Zukunft des Standorts zu sichern.Hinweis: Texte, Bilder und Videos auf dieser Website wurden teilweise mit Künstlicher Intelligenz generiert.
Alle Inhalte dienen der Information und wurden sorgfältig journalistisch geprüft, erheben jedoch keinen Anspruch auf Vollständigkeit oder rechtliche Verbindlichkeit.
.webp)