NIS2 in Deutschland: Was OT-Betreiber jetzt prüfen müssen

1. Betroffenheit prüfen

Ausgangspunkt ist die Tätigkeit: Lässt sie sich einer Einrichtungsart in Anlage 1 oder 2 BSIG zuordnen – etwa Energie, Wasser, Chemie, Lebensmittel oder die Herstellung bestimmter Waren wie Maschinen, Fahrzeuge oder elektrische Ausrüstung? Erst danach werden die Größenkriterien geprüft.

Die vereinfachte Formel „ab 50 Beschäftigten oder mehr als 10 Mio. € Jahresumsatz und Bilanzsumme“ ist keine alleinige Entscheidungsregel. Bei der Größenermittlung können Partner- und verbundene Unternehmen nach den KMU-Regeln einzurechnen sein. Für bestimmte Einrichtungen – darunter Betreiber kritischer Anlagen – gelten abweichende oder größenunabhängige Kriterien, zudem bestehen sektorbezogene Sonderregelungen und Ausnahmen.

Die BSI-Betroffenheitsprüfung ist eine unverbindliche Orientierungshilfe. Die Einstufung verantwortet das Unternehmen: Dokumentieren Sie Zuordnung, Größenwerte und geprüfte Sonderregeln. Bleibt die Lage unklar, ist eine Einzelfallprüfung vorzusehen.

2. Registrierung nach § 33 BSIG

Die Registrierung ist grundsätzlich binnen drei Monaten ab dem Zeitpunkt erforderlich, zu dem die Einrichtung erstmals oder erneut die Kriterien erfüllt. Für Einrichtungen, die bereits mit Inkrafttreten am 6. Dezember 2025 betroffen waren, ist diese Frist grundsätzlich am 6. März 2026 abgelaufen. Für später erstmals betroffene Einrichtungen – etwa nach Wachstum, Zukauf oder Aufnahme einer neuen Tätigkeit – zählt der jeweilige Beginn der Betroffenheit.

Wer betroffen ist und die Frist überschritten hat, sollte die Registrierung unverzüglich prüfen und nachholen. Nach den offiziellen BSI-Informationen erfolgt die Registrierung über „Mein Unternehmenskonto“ und das BSI-Portal; prüfen Sie den aktuellen Ablauf direkt beim BSI.

3. Risikomanagement nach § 30 BSIG auf die relevante OT übertragen

§ 30 BSIG verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen. Die OT ist einzubeziehen, soweit sie für die erfassten Dienste und Prozesse relevant ist – nicht jede Anlage fällt automatisch vollständig in den Anwendungsbereich. Für relevante Produktionsumgebungen bedeutet das, soweit einschlägig:

• Risikoanalyse und Sicherheitskonzept, die Verfügbarkeit und Safety berücksichtigen
• Incident Handling und Eskalationsprozesse, die OT-Betrieb und Instandhaltung einbinden
• Business Continuity, Backups, Wiederherstellung und Krisenmanagement für Steuerungen und Engineering-Daten
• Sicherheit der Lieferkette: Anforderungen an Anlagenhersteller, Integratoren und Dienstleister
• Schwachstellenmanagement und sichere Wartung, inklusive kontrollierter Fernwartung
• Zugriffskontrolle und Identitätsmanagement, einschließlich personalisierter Konten
• Kryptografie, wo sachlich erforderlich und technisch vertretbar
• Schulungen und grundlegende Cyberhygiene für Betriebs- und Instandhaltungspersonal
• Überprüfung der Wirksamkeit der Sicherheitsmaßnahmen

4. Meldeprozess nach § 32 BSIG vorbereiten

Erhebliche Sicherheitsvorfälle sind gestuft an das BSI zu melden: frühe Erstmeldung unverzüglich, spätestens 24 Stunden nach Kenntniserlangung; Meldung mit erster Bewertung unverzüglich, spätestens 72 Stunden nach Kenntniserlangung; Zwischenmeldung auf Ersuchen; Abschlussmeldung grundsätzlich spätestens einen Monat nach der 72-Stunden-Meldung. Dauert die Bearbeitung dann noch an, gelten die gesetzlichen Vorgaben für Fortschritts- und Abschlussmeldungen.

Nicht jeder technische Alarm, jede Schwachstelle und jeder Sicherheitsvorfall ist ein meldepflichtiger erheblicher Sicherheitsvorfall. Die Einstufung erfolgt anhand der gesetzlichen Kriterien. Legen Sie Prozesse, Verantwortlichkeiten, Eskalationswege und die erforderlichen Informationen vorab fest.

5. Geschäftsleitung einbinden (§ 38 BSIG)

Die Geschäftsleitung muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und an den erforderlichen Schulungen teilnehmen. Eine Haftung gegenüber der Einrichtung kommt nach Maßgabe der gesetzlichen Voraussetzungen und der gesellschaftsrechtlichen Regeln in Betracht. Eine automatische Haftung bei jedem Verstoß folgt daraus nicht.

6. Bußgeldrahmen richtig einordnen (§ 65 BSIG)

Für bestimmte Verstöße sieht § 65 BSIG Höchstbeträge von bis zu 10 Mio. € für besonders wichtige und bis zu 7 Mio. € für wichtige Einrichtungen vor. Die umsatzbezogenen Alternativen von bis zu 2 % bzw. 1,4 % nach § 65 Abs. 6 und 7 BSIG setzen einen weltweiten Gesamtumsatz von mehr als 500 Mio. € voraus. Das sind gesetzliche Höchstgrenzen; die konkrete Sanktion hängt vom Tatbestand und den gesetzlichen Voraussetzungen ab.

7. NIS2 und Cyber Resilience Act nicht vermischen

NIS2/BSIG verpflichtet erfasste Einrichtungen als Betreiber. Der Cyber Resilience Act (Verordnung (EU) 2024/2847) verpflichtet Hersteller von Produkten mit digitalen Elementen. Ein Maschinenbauer kann beides sein – die Pflichten sind getrennt zu prüfen.