Bin ich betroffen?
| Kategorie | Schwellenwert |
|---|---|
| Besonders wichtige Einrichtung | ≥ 250 Mitarbeitende ODER > 50 Mio. € Jahresumsatz UND > 43 Mio. € Bilanzsumme – KRITIS-Betreiber gelten automatisch als besonders wichtige Einrichtung |
| Wichtige Einrichtung | ≥ 50 Mitarbeitende ODER > 10 Mio. € Jahresumsatz UND Bilanzsumme |
| Betroffen unabhängig von der Größe | Qualifizierte Vertrauensdiensteanbieter (eIDAS), Anbieter von DNS-Diensten, TLD-Namenregistries, Anbieter öffentlicher Telekommunikationsnetze/-dienste |
Die 18 Sektoren gliedern sich in zwei Gruppen: 11 Sektoren hoher Kritikalität (Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienstemanagement (B2B), öffentliche Verwaltung, Weltraum) und 7 sonstige kritische Sektoren (Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittelproduktion, verarbeitendes Gewerbe, digitale Dienste, Forschung).
Eine pauschale Ausnahme für Kleinst- und Kleinunternehmen gibt es nicht – wer unter den Schwellenwerten liegt und nicht in einer der größenunabhängigen Kategorien tätig ist, ist schlicht nicht direkt erfasst.
Auch ohne Pflicht: die Lieferketten-Falle
Ein Punkt, der regelmäßig übersehen wird: NIS2-regulierte Unternehmen müssen laut § 30 BSIG auch die Sicherheit ihrer Lieferkette sicherstellen. Sind Sie Zulieferer, Dienstleister oder Software-Anbieter für ein NIS2-pflichtiges Unternehmen, landen dessen Sicherheitsanforderungen früher oder später vertraglich bei Ihnen – auch wenn Sie selbst unter den Schwellenwerten liegen. Indirekt betroffen sind damit spürbar mehr Betriebe, als die rund 29.500 direkt regulierten Einrichtungen.
Was müssen betroffene Unternehmen tun
§ 30 BSIG verlangt unter anderem: Risikoanalyse und Sicherheitskonzepte für Informationssysteme, Bewältigung von Sicherheitsvorfällen inklusive Backup-Management, Sicherheit der Lieferkette, Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen, regelmäßige Bewertung der Wirksamkeit der Maßnahmen, Konzepte für Kryptografie und Verschlüsselung, Cyberhygiene und Schulungen, Personalsicherheit, Zugriffskontrolle und Anlagenmanagement sowie Multi-Faktor-Authentifizierung.
Zusätzlich: Mitglieder der Geschäftsleitung müssen die Umsetzung dieser Maßnahmen billigen und ihre Umsetzung überwachen – und regelmäßig an Cybersicherheitsschulungen teilnehmen. Bei schuldhafter Pflichtverletzung haften sie persönlich gegenüber dem eigenen Unternehmen.
Meldepflichten bei Sicherheitsvorfällen
Dreistufig: eine Frühwarnung binnen 24 Stunden nach Bekanntwerden eines erheblichen Sicherheitsvorfalls, eine Meldung mit erster Bewertung und Schweregrad binnen 72 Stunden, und ein Abschlussbericht spätestens einen Monat später.
Bußgelder
Besonders wichtige Einrichtungen: bis zu 10 Mio. € – bei Konzernen mit mehr als 500 Mio. € Jahresumsatz bis zu 2 % des weltweiten Jahresumsatzes, je nachdem, was höher ist. Wichtige Einrichtungen: bis zu 7 Mio. € bzw. bis zu 1,4 % des weltweiten Jahresumsatzes.
Registrierung beim BSI – und was, wenn ich die Frist verpasst habe
Der Ablauf ist zweistufig: zuerst die Anmeldung bei „Mein Unternehmenskonto" (MUK), danach die eigentliche Registrierung im BSI-Portal, das seit dem 6. Januar 2026 zur Verfügung steht. Die gesetzliche Frist beträgt drei Monate ab Erfüllen der Kriterien; für zum 6. Dezember 2025 bereits betroffene Unternehmen lief diese Frist am 6. März 2026 ab. Das BSI gewährte anschließend eine Nachfrist bis zum 31. Juli 2026.
Dieser Termin liegt zum jetzigen Stand bereits einige Wochen zurück. Das ist kein Weltuntergang, aber Nichtstun wird mit der Zeit riskanter. Praktisch sinnvoll: Betroffenheit jetzt über die BSI-eigene Online-Selbstauskunft prüfen, nachträglich registrieren, und den Rückstand bei den technisch-organisatorischen Maßnahmen aus § 30 BSIG aufholen. Bei Unsicherheit über die eigene Betroffenheit oder das weitere Vorgehen empfehlen wir Rücksprache mit einer auf IT-Sicherheitsrecht spezialisierten Kanzlei.
Was N9sec für Sie tun kann
NIS2 selbst ist ein organisatorisch-rechtliches Thema, das wir nicht ersetzen. Aber ein guter erster Schritt in Richtung „Risikoanalyse und Sicherheitskonzepte für Informationssysteme" (§ 30 BSIG) ist zu wissen, wie Ihre Infrastruktur von außen überhaupt aussieht. Unser Server Check liefert dafür in wenigen Minuten einen ersten, kostenlosen Überblick. Sind Sie Hersteller eines Produkts mit digitalen Komponenten und zusätzlich vom Cyber Resilience Act betroffen, lohnt sich außerdem ein Blick auf unseren CRA Autopilot.
FAQ
Eine pauschale Bagatellgrenze gibt es nicht, aber faktisch schon: Unter den Schwellenwerten (in der Regel 50 Mitarbeitende) sind Sie nicht direkt NIS2-pflichtig, außer Sie fallen in eine der größenunabhängigen Kategorien. Indirekt – als Zulieferer eines betroffenen Unternehmens – kann NIS2 Sie trotzdem erreichen.
Die Registrierungspflicht selbst ist Teil der bußgeldbewehrten Pflichten nach BSIG. Eine verspätete Registrierung ist in der Praxis besser als gar keine – klären Sie im Zweifel den konkreten Einzelfall mit einer Kanzlei.
Nein. NIS2 betrifft die Betriebssicherheit von Organisationen (wie Sie Ihre eigene IT absichern), der CRA betrifft die Produktsicherheit von Herstellern digitaler Produkte (wie sicher die Produkte sind, die Sie verkaufen). Beide können für dasselbe Unternehmen gleichzeitig gelten.
Das hängt vom Einzelfall ab und liegt außerhalb dessen, was wir seriös pauschal beantworten können – hier empfehlen wir ebenfalls Rücksprache mit einer spezialisierten Kanzlei oder einem Auditor.
