Viele wissen nicht, dass sie gemeint sind
Das deutsche Umsetzungsgesetz gilt seit Dezember 2025. Das Meldeportal des BSI ist seit Januar 2026 offen. Betroffen sind rund 29.500 Unternehmen. Registriert hatten sich zum 30. Juni 2026 aber erst 17.729.
Es fehlen also gut 40 Prozent. Manche haben es aufgeschoben. Viele wissen nicht, dass sie gemeint sind.
Zwei Fragen, in dieser Reihenfolge
Die meisten Texte zu NIS2 beantworten nur die erste. Die zweite betrifft mehr Unternehmen.
Frage 1: Sind Sie selbst eine betroffene Einrichtung? Dafür müssen zwei Dinge zusammenkommen: ein erfasster Sektor und eine Größe über der Schwelle.
Frage 2: Liefern Sie an ein betroffenes Unternehmen? Dann werden Sie gefragt, auch wenn Sie selbst nicht unter das Gesetz fallen. Betroffene Einrichtungen müssen ihre Lieferkette absichern und geben diese Anforderung weiter.
Frage 1: die eigene Betroffenheit
### Der Sektor entscheidet zuerst
Erfasst sind Unternehmen aus bestimmten Sektoren, aufgeführt in den Anlagen 1 und 2 des BSI-Gesetzes: Energie, Wasser und Abwasser, Verkehr, Banken und Finanzwesen, Gesundheitswesen, digitale Infrastruktur, Telekommunikation, Verwaltung von IKT-Diensten, Post- und Kurierdienste, Abfallwirtschaft, Herstellung und Handel mit Chemikalien, Lebensmittel, Teile des verarbeitenden Gewerbes sowie Forschung.
Wer nicht in einem dieser Sektoren tätig ist, ist nicht betroffen, unabhängig von der Größe. Ein Malerbetrieb mit 200 Beschäftigten fällt nicht darunter.
### Dann die Größe
Liegt Ihr Sektor in den Anlagen, entscheidet die Größe über die Kategorie (§ 28 Abs. 1 und 2 BSIG):
Der Punkt, der am häufigsten übersehen wird: Es genügt ein Merkmal, nicht alle. Ein Betrieb mit 30 Beschäftigten und 12 Millionen Euro Umsatz ist eine wichtige Einrichtung, obwohl die Mitarbeiterzahl deutlich unter der Schwelle liegt. Bei handelsnahen Geschäften mit hohem Materialdurchlauf ist das schnell erreicht.
Beschäftigte werden in Jahresarbeitseinheiten gerechnet; Teilzeitkräfte zählen anteilig.
| Kategorie | Es genügt eines dieser Merkmale |
|---|---|
| Besonders wichtige Einrichtung | ab 250 Beschäftigten · ab 50 Mio. EUR Jahresumsatz · ab 25 Mio. EUR Bilanzsumme |
| Wichtige Einrichtung | ab 50 Beschäftigten · ab 10 Mio. EUR Jahresumsatz · ab 5 Mio. EUR Bilanzsumme |
Was dann zu tun ist
Der Bußgeldrahmen reicht je nach Kategorie und Verstoß bis zu 7 beziehungsweise 10 Millionen Euro oder 1,4 bis 2 Prozent des Gesamtumsatzes.
Die Registrierung ist der einfachste Teil und der, der am häufigsten fehlt. Sie ist eine Formalie mit Frist, und die Frist läuft ab Betroffenheit, nicht ab Aufforderung. Niemand schreibt Sie an.
| Pflicht | Frist |
|---|---|
| Registrierung beim BSI über das Portal | spätestens drei Monate nach erstmaliger Betroffenheit (§§ 33, 34 BSIG) |
| Meldung erheblicher Sicherheitsvorfälle | gestaffelt: Erstmeldung binnen 24 Stunden, ausführliche Meldung binnen 72 Stunden, Abschlussmeldung nach einem Monat (§ 32 BSIG) |
| Risikomanagement einrichten und dokumentieren | laufend |
Frage 2: die Lieferkette, hier wird es für die meisten relevant
Betroffene Einrichtungen müssen die Sicherheit ihrer Lieferkette berücksichtigen. In der Praxis heißt das: Sie fragen ihre Dienstleister und Lieferanten ab.
Wenn Sie an einen Energieversorger, ein Krankenhaus, ein Wasserwerk oder einen Logistikdienstleister liefern, kommt diese Abfrage: als Fragebogen, als Vertragsanhang oder als Anforderung im nächsten Vergabeverfahren. Sie sind dann nicht Adressat des Gesetzes, aber Adressat der Anforderung.
Was dabei üblicherweise verlangt wird: ein Ansprechpartner für Sicherheitsfragen, eine Aussage zur Datensicherung und zum Wiederanlauf, ein Meldeweg bei Vorfällen, dokumentierte Zugriffsregelungen, ein Nachweis über Aktualisierungsstände.
Das sind keine exotischen Anforderungen. Es sind die Unterlagen, die man ohnehin haben sollte, nur eben aufgeschrieben.
Wie Sie Ihre Lage in einer halben Stunde einschätzen
Zur Einordnung im Einzelfall: Ob Ihr Geschäft in einen Sektor fällt, ist eine Rechtsfrage. Die Schwellen sind klar, die Sektorzuordnung ist es nicht immer. Wir helfen bei der technischen Bestandsaufnahme; die rechtliche Einordnung gehört zu einem Anwalt.
- Sektor prüfen. Steht Ihr Geschäft in den Anlagen 1 oder 2 des BSI-Gesetzes? Die
- Größe prüfen. Beschäftigte, Umsatz, Bilanzsumme: Eines über der Schwelle genügt.
- Kunden prüfen. Liefern Sie an jemanden aus diesen Sektoren? Dann rechnen Sie mit der
- Bei Betroffenheit registrieren. Über das BSI-Portal, Frist drei Monate.
- Bestand aufnehmen. Was ist dokumentiert, was nicht? Meist ist mehr vorhanden als
Was wir dabei tun und was nicht
Was wir tun: Bestandsaufnahme der Infrastruktur, Dokumentation von Systemen und Zugriffen, Notfall- und Wiederanlaufplanung, Backupkonzepte mit nachweisbaren Wiederanlaufzeiten, Netzsegmentierung, also die Unterlagen, die eine Lieferkettenabfrage verlangt.
Wir haben solche Unterlagen für ein Mandat im Umfeld kritischer Infrastruktur erstellt: Notfallhandbuch mit Wiederanlaufpriorisierung, Prüfchecklisten, Betriebshandbuch mit Systemakten, OT-/IT-Segmentierung nach dem Purdue-Modell.
Was wir nicht tun: die rechtliche Einordnung, die Registrierung an Ihrer Stelle, oder eine Zusage, dass Sie damit „NIS2-konform" seien. Konformität stellt keine Beratung her, sondern der Betrieb, und beurteilt wird sie von der Aufsicht, nicht von einem Dienstleister.
Wir arbeiten mit Prozessen in Anlehnung an ISO 27001.
Häufige Fragen
Wir sind ein Handwerksbetrieb mit 60 Beschäftigten. Betrifft uns das? Als Einrichtung wahrscheinlich nicht, denn Handwerk steht nicht in den Anlagen. Als Lieferant möglicherweise doch, wenn Sie für Betreiber aus den erfassten Sektoren arbeiten.
Wir haben nur 20 Beschäftigte, aber 15 Millionen Euro Umsatz. Dann prüfen Sie sorgfältig. Ein Merkmal über der Schwelle genügt, und der Umsatz liegt über zehn Millionen. Entscheidend bleibt der Sektor.
Reicht eine Zertifizierung? Nein. Verlangt werden Risikomanagement, Meldewege und Nachweise, kein bestimmtes Zertifikat. Eine Zertifizierung kann die Arbeit strukturieren, ersetzt die Pflichten aber nicht.
Was passiert, wenn wir die Registrierung versäumt haben? Nachholen. Die Frist ist abgelaufen, die Pflicht nicht. Ein Verfahren wird durch späte Erfüllung nicht ausgeschlossen, aber eine fortdauernde Unterlassung ist der schlechtere Zustand.
Wenn Sie Ihre Lage einschätzen lassen möchten
Wir nehmen auf, was vorhanden ist, und benennen die Lücken, die eine Abfrage oder eine Aufsicht zuerst finden würde. Unsere Infrastrukturanalyse ist kostenlos und unverbindlich.
Quellen
Stand 07.09.2026. Der Rechtsstand kann sich ändern. Dieser Beitrag ist eine Orientierung und keine Rechtsberatung.
- Gesetz zur Umsetzung der NIS-2-Richtlinie, Bundesgesetzblatt 2025 I Nr. 301
- BSI: NIS-2-Umsetzungsgesetz ab morgen in Kraft
- BSI: Fragen und Antworten zu NIS-2
- BSI: NIS-2 in Zahlen
- BSI: NIS-2-regulierte Unternehmen