NIS2 / BSIG

NIS2-Anforderungen nach BSIG: Was betroffene Einrichtungen seit Dezember 2025 erfüllen müssen

Welche NIS2-Pflichten gelten für mein Unternehmen?

Seit dem 6. Dezember 2025 gilt das neu gefasste BSIG. Ob Ihr Unternehmen betroffen ist, hängt zuerst von der Zuordnung zu einem Sektor nach Anlage 1 oder 2 BSIG ab, dann von Größenkriterien und Sonderregeln. Betroffene Einrichtungen müssen sich beim BSI registrieren (§ 33), Risikomanagementmaßnahmen umsetzen, die auch relevante OT erfassen (§ 30), erhebliche Sicherheitsvorfälle gestuft melden (§ 32) und die Geschäftsleitung einbinden (§ 38).

OT-Security-Erstgespräch vereinbaren Betroffenheit prüfen

Fachlicher Stand: 21. Oktober 2026

NIS2-Betroffenheit prüfen: fünf Schritte

Rechtsgrundlage sind § 28 BSIG sowie die Anlagen 1 und 2 BSIG. Für die Größenermittlung verweist das BSIG auf die KMU-Empfehlung 2003/361/EG.

Tätigkeit und Sektor bestimmen
Ist eine Tätigkeit des Unternehmens einer Einrichtungsart in Anlage 1 oder Anlage 2 BSIG zuzuordnen? Ohne diese Zuordnung entsteht keine Betroffenheit als wichtige oder besonders wichtige Einrichtung – unabhängig von der Unternehmensgröße.
Größenkriterien prüfen – einschließlich Unternehmensverflechtungen
Beschäftigtenzahl, Jahresumsatz und Jahresbilanzsumme sind nach den maßgeblichen KMU-Regeln zu ermitteln. Daten von Partner- und verbundenen Unternehmen können einzurechnen sein. Die oft genannte Schwelle „ab 50 Beschäftigten oder mehr als 10 Mio. € Umsatz und Bilanzsumme“ ist nur eine vereinfachte Orientierung.
Besondere Regelungen und Ausnahmen prüfen
Für bestimmte Einrichtungsarten gelten größenunabhängige oder abweichende Regeln, etwa für Betreiber kritischer Anlagen und einzelne digitale Dienste. Umgekehrt gibt es sektorbezogene Sonderregelungen und Ausnahmen. Kleinere Unternehmen sind daher nicht pauschal ausgenommen.
Einstufung und Begründung dokumentieren
Halten Sie fest, welche Tätigkeit welcher Anlage zugeordnet wurde, welche Größenwerte zugrunde lagen und welche Sonderregeln geprüft wurden. Die Einstufung verantwortet die Einrichtung selbst.
Bei Unsicherheit Einzelfall prüfen lassen
Bleiben Zuordnung, Verflechtung oder Ausnahmen unklar, ist eine fachliche und gegebenenfalls rechtliche Einzelfallprüfung vorzusehen. Ein vereinfachter Website-Check – auch die BSI-Betroffenheitsprüfung – ersetzt diese Entscheidung nicht.

Registrierung beim BSI nach § 33 BSIG

Betroffene Einrichtungen müssen sich grundsätzlich binnen drei Monaten ab dem Zeitpunkt registrieren, zu dem sie erstmals oder erneut als wichtige oder besonders wichtige Einrichtung gelten (§ 33 BSIG).

Bereits mit Inkrafttreten am 6. Dezember 2025 betroffen: Die reguläre Frist ist grundsätzlich am 6. März 2026 abgelaufen.
Später erstmals betroffen (z. B. durch Wachstum, Zukauf oder neue Tätigkeit): Die Frist beginnt mit dem jeweiligen Eintritt der Betroffenheit.
Änderungen der übermittelten Angaben sind dem BSI unverzüglich mitzuteilen.

Wer betroffen ist und die Frist bereits überschritten hat, sollte die Registrierung unverzüglich prüfen und nachholen. Den Registrierungsweg beschreibt das BSI auf seinen offiziellen NIS-2-Informationsseiten; nach dem dort veröffentlichten Stand erfolgt die Registrierung über „Mein Unternehmenskonto“ und das BSI-Portal. Prüfen Sie den aktuellen Ablauf vor der Registrierung direkt beim BSI.

Meldepflichten nach § 32 BSIG

Erfasste Einrichtungen melden erhebliche Sicherheitsvorfälle gestuft an das BSI (§ 32 BSIG). Die Fristen laufen ab Kenntniserlangung.

Meldestufen nach § 32 BSIG
Meldestufe	Frist	Inhalt
Frühe Erstmeldung	Unverzüglich, spätestens 24 Stunden nach Kenntniserlangung	Erste Einschätzung, u. a. ob ein rechtswidriges oder böswilliges Handeln vermutet wird und ob grenzüberschreitende Auswirkungen möglich sind.
Meldung mit erster Bewertung	Unverzüglich, spätestens 72 Stunden nach Kenntniserlangung	Aktualisierung der Erstmeldung mit Bewertung von Schweregrad, Auswirkungen und – soweit bekannt – Kompromittierungsindikatoren.
Zwischenmeldung	Auf Ersuchen des BSI	Relevante Statusaktualisierungen während der Bearbeitung.
Abschlussmeldung	Grundsätzlich spätestens einen Monat nach der 72-Stunden-Meldung	Ist der Vorfall dann noch nicht abgeschlossen, ist nach den gesetzlichen Vorgaben zunächst eine Fortschrittsmeldung und nach Abschluss der Bearbeitung die Abschlussmeldung abzugeben.

Wichtig für die Praxis

Nicht jeder technische Alarm, jede Schwachstelle und jeder Sicherheitsvorfall ist meldepflichtig.
Ob ein Vorfall erheblich ist, wird anhand der gesetzlichen Kriterien bewertet.
Legen Sie Bewertungskriterien, Verantwortlichkeiten, Eskalationswege und die benötigten Angaben vorab fest – einschließlich Rufbereitschaft für OT-Vorfälle außerhalb der Bürozeiten.

Risikomanagement nach § 30 BSIG und OT

§ 30 BSIG verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen. Die OT ist einzubeziehen, soweit sie für die Erbringung der erfassten Dienste und Prozesse relevant ist. Nicht jede Anlage eines Unternehmens fällt automatisch vollständig in den Anwendungsbereich – die Abgrenzung sollte begründet dokumentiert werden.

ISO 27001, IEC 62443 und BSI IT-Grundschutz können eine wichtige Grundlage sein. Sie erfüllen die gesetzlichen Pflichten jedoch nicht automatisch: Registrierung, Meldeprozess und Leitungspflichten sind gesondert zu regeln.

Business Continuity in der OT: Recovery Readiness

Maßnahmenbereiche – soweit im Anwendungsfall einschlägig

Risikoanalyse und Sicherheitskonzept
Bewältigung von Sicherheitsvorfällen, Incident Handling und Eskalationsprozesse
Aufrechterhaltung des Betriebs: Business Continuity, Backups, Wiederherstellung und Krisenmanagement
Sicherheit der Lieferkette, einschließlich Anlagenhersteller, Integratoren und Dienstleister
Sicherheit bei Erwerb, Entwicklung und Wartung, einschließlich Schwachstellenmanagement
Zugriffskontrolle, Identitätsmanagement und – wo angemessen – Multi-Faktor-Authentisierung
Kryptografie und Verschlüsselung, soweit sachlich erforderlich
Schulungen und grundlegende Cyberhygiene
Bewertung der Wirksamkeit der Risikomanagementmaßnahmen

Geschäftsleitung nach § 38 BSIG

Billigung der Risikomanagementmaßnahmen
Überwachung ihrer Umsetzung
Teilnahme an den erforderlichen Schulungen
Mögliche Haftung gegenüber der Einrichtung nach Maßgabe der gesetzlichen Voraussetzungen und der gesellschaftsrechtlichen Regeln

Eine automatische persönliche Haftung bei jedem Verstoß folgt daraus nicht. Rechtsgrundlage: § 38 BSIG.

Bußgeldrahmen nach § 65 BSIG

Höchstbeträge nach § 65 BSIG für bestimmte Verstöße
Einrichtung	Höchstbetrag	Umsatzbezogen
Besonders wichtig	bis 10 Mio. €	bis 2 % (§ 65 Abs. 6)
Wichtig	bis 7 Mio. €	bis 1,4 % (§ 65 Abs. 7)

Die umsatzbezogenen Alternativen setzen einen weltweiten Gesamtumsatz von mehr als 500 Mio. € voraus.
Es handelt sich um gesetzliche Höchstbeträge für bestimmte Verstöße, nicht um feste Beträge.
Die konkrete Sanktion hängt vom jeweiligen Tatbestand und den gesetzlichen Voraussetzungen ab.

Rechtsgrundlage: § 65 BSIG

EU-Rechtsentwicklung: Vorschlag zur Änderung der NIS2-Richtlinie

Geltendes Recht in Deutschland ist das BSIG in der Fassung des NIS2UmsuCG. Daran ändert sich durch europäische Vorschläge zunächst nichts.

Europäische Weiterentwicklung: Die EU-Kommission hat am 20. Januar 2026 gezielte Änderungen der NIS2-Richtlinie vorgeschlagen, u. a. zur Klarstellung des Anwendungsbereichs und zur Entlastung bestimmter Unternehmen. Es handelt sich um einen Vorschlag, der das Gesetzgebungsverfahren durchlaufen und anschließend in deutsches Recht umgesetzt werden muss. Den aktuellen Verfahrensstand veröffentlicht die EU-Kommission.

NIS2-Kurzcheck für OT-Betreiber

Jede Frage, die Sie nicht mit Ja beantworten können, ist ein Ansatzpunkt für Ihre OT-Security-Gap-Analyse. Die ausführliche Prüfcheckliste enthält zusätzlich Nachweise, Zuständigkeiten und CRA-Schnittstellen.

Prüfcheckliste OT Security & NIS2 (druckbar / PDF)Fachbeitrag: NIS2 in Deutschland für OT-Betreiber Abgrenzung: Cyber Resilience Act für Hersteller

1.Ist dokumentiert, welche Produktionsanlagen und OT-Netze für die erfassten Dienste und Prozesse relevant sind?
2.Gibt es ein aktuelles Inventar von Steuerungen, Netzübergängen und Fernwartungswegen?
3.Sind IT und OT durch kontrollierte Übergänge getrennt?
4.Sind Fernzugriffe von Herstellern und Dienstleistern zentral geregelt, freigegeben und protokolliert?
5.Gibt es Kriterien, Rollen und Eskalationswege, um einen OT-Vorfall auf Meldepflicht zu prüfen?
6.Sind kritische Steuerungen nach einem Vorfall nachweislich wiederherstellbar?
7.Sind Sicherheitsanforderungen an Anlagenlieferanten vertraglich festgelegt?

Häufige Fragen zu NIS2 und BSIG

Seit wann gilt NIS2 in Deutschland?

Seit dem 6. Dezember 2025. An diesem Tag ist das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in Kraft getreten und hat das BSI-Gesetz neu gefasst. Maßgebliche Rechtsgrundlage ist das BSIG.

Ist jedes Unternehmen ab 50 Beschäftigten NIS2-pflichtig?

Nein. Zuerst muss eine Tätigkeit einem Sektor nach Anlage 1 oder 2 BSIG zuzuordnen sein. Erst dann sind die Größenkriterien zu prüfen – unter Einbeziehung von Partner- und verbundenen Unternehmen. Für bestimmte Einrichtungen gelten zudem größenunabhängige Regeln, sodass auch kleinere Unternehmen betroffen sein können.

Bis wann musste die Registrierung beim BSI erfolgen?

Die Registrierung ist grundsätzlich binnen drei Monaten ab dem Zeitpunkt erforderlich, zu dem eine Einrichtung erstmals oder erneut die Kriterien erfüllt. Für Einrichtungen, die bereits am 6. Dezember 2025 betroffen waren, endete diese Frist grundsätzlich am 6. März 2026. Wer betroffen und noch nicht registriert ist, sollte die Registrierung unverzüglich prüfen und nachholen.

Muss jeder Cybervorfall innerhalb von 24 Stunden gemeldet werden?

Nein. Die gestuften Fristen nach § 32 BSIG gelten für erfasste Einrichtungen und nur für erhebliche Sicherheitsvorfälle. Nicht jeder Alarm, jede Schwachstelle und jeder Sicherheitsvorfall ist erheblich. Die Einstufung erfolgt anhand der gesetzlichen Kriterien, die Fristen laufen ab Kenntniserlangung.

Haften Geschäftsführer persönlich unter NIS2?

§ 38 BSIG verpflichtet die Geschäftsleitung, die Risikomanagementmaßnahmen zu billigen, ihre Umsetzung zu überwachen und an Schulungen teilzunehmen. Eine Haftung gegenüber der Einrichtung kommt nach Maßgabe der gesetzlichen Voraussetzungen und der gesellschaftsrechtlichen Regeln in Betracht. Eine automatische Haftung für jeden Verstoß oder Vorfall besteht nicht.

Wie hoch sind die Bußgelder nach § 65 BSIG?

Für bestimmte Verstöße sieht § 65 BSIG Höchstbeträge von bis zu 10 Mio. € (besonders wichtige Einrichtungen) bzw. bis zu 7 Mio. € (wichtige Einrichtungen) vor. Die umsatzbezogenen Alternativen von bis zu 2 % bzw. 1,4 % des weltweiten Gesamtumsatzes greifen nach § 65 Abs. 6 und 7 BSIG nur bei einem Gesamtumsatz von mehr als 500 Mio. €. Es handelt sich um Höchstgrenzen, nicht um automatisch anfallende Beträge.

Reichen ISO 27001, IEC 62443 oder IT-Grundschutz für NIS2?

Sie sind eine gute Grundlage, erfüllen die gesetzlichen Pflichten aber nicht automatisch. Registrierung, Meldeprozesse und Leitungspflichten müssen gesondert geregelt werden, und der Geltungsbereich muss die relevante OT einschließen.

Quellen

Zusammenfassung zur fachlichen Orientierung, keine Rechtsberatung. Maßgeblich ist der Gesetzestext in der jeweils geltenden Fassung.