NIS2 in Deutschland: Bin ich betroffen — und was muss ich jetzt tun?

Wer betroffen ist

Der Anwendungsbereich gliedert sich in wesentliche Einrichtungen mit strengeren Anforderungen und aktiverer BSI-Aufsicht sowie wichtige Einrichtungen mit etwas mehr Spielraum, aber denselben Grundpflichten. Zu den wesentlichen Einrichtungen zählen unter anderem Energie, Transport, Bankwesen, Gesundheitswesen, Trinkwasser, Abwasser und digitale Infrastruktur. Zu den wichtigen Einrichtungen zählen Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, Fertigung sowie Anbieter digitaler Dienste. Für wichtige Einrichtungen gilt in der Regel die Schwelle von etwa 50 Mitarbeitenden oder 10 Millionen Euro Umsatz, für wesentliche Einrichtungen liegt sie höher — pauschale Aussagen sind wegen zahlreicher sektorspezifischer Ausnahmen aber nicht möglich, entscheidend ist die Einzelfallprüfung.

Die acht wichtigsten Prüfschritte

• Sektor prüfen: Fällt das Kerngeschäft in einen der 18 NIS2-Sektoren?
• Schwellenwert prüfen: Mitarbeiterzahl und Jahresumsatz gegen die sektorspezifischen Grenzen abgleichen.
• BSI-Selbstcheck nutzen: Das BSI stellt ein Online-Tool zur Betroffenheitsprüfung bereit.
• Registrierung beim BSI: Betroffene Unternehmen müssen sich innerhalb von drei Monaten nach Feststellung registrieren.
• Risikomanagement einrichten: technische und organisatorische Maßnahmen nach dem Gesetz dokumentieren.
• Meldeverfahren aufsetzen: erhebliche Sicherheitsvorfälle innerhalb von 24 Stunden als Erstmeldung und 72 Stunden vollständig an das BSI melden.
• Geschäftsleitung schulen: Das Gesetz schreibt Schulungspflicht und persönliche Haftung der Leitungsorgane vor.
• Lieferkette prüfen: NIS2 erfasst auch Sicherheitsanforderungen an Lieferanten und Dienstleister.

Umsetzung Schritt für Schritt

• Betroffenheit feststellen über den BSI-Selbstcheck oder mit einem spezialisierten Berater — das Ergebnis sollte dokumentiert werden, auch wenn es negativ ausfällt.
• Interne Zuständigkeiten klären: eine verantwortliche Person benennen, Eskalationswege festlegen, Cybersicherheitsentscheidungen auf Leitungsebene verankern.
• BSI-Registrierung vornehmen, spätestens drei Monate nach Feststellung der Betroffenheit, über das BSI-Online-Portal.
• Risikomanagement aufbauen: Risikoanalyse, Sicherheitskonzepte, Incident-Response-Pläne, Business-Continuity-Management, Verschlüsselung und Zugangskontrolle — als strukturierter, dokumentierter Prozess, nicht auf einmal.
• Meldeprozesse einrichten: intern festlegen, was als „erheblicher Vorfall" gilt, wer meldet und über welchen Kanal.
• Lieferkettensicherheit adressieren: Verträge mit IT-Dienstleistern und Hosting-Anbietern auf NIS2-taugliche Sicherheitsanforderungen prüfen.

Ein verbreiteter Irrtum

Viele Unternehmen gehen davon aus, NIS2 betreffe sie nicht, weil sie sich nicht als „kritische Infrastruktur" verstehen. Das ist ein Trugschluss — die 18 Sektoren reichen weit über das klassische Verständnis kritischer Infrastruktur hinaus und schließen etwa Fertigung und Lebensmittel ein. Wer die Prüfung aufschiebt, riskiert Bußgelder und im Ernstfall persönliche Haftung der Geschäftsführung.

Ein zentrales Missverständnis ist zudem, NIS2-Compliance sei ein einmaliges Projekt. Tatsächlich verlangt das Gesetz kontinuierliches Risikomanagement — einen dauerhaften Prozess, der gepflegt, dokumentiert und bei Änderungen angepasst wird. Für kleine und mittlere Unternehmen bedeutet das nicht, eine eigene IT-Sicherheitsabteilung aufzubauen, sondern klare Verantwortlichkeiten zu haben und im Ernstfall handlungsfähig zu sein.

Bußgeldrahmen

Der Bußgeldrahmen ist gestaffelt: Für besonders wichtige Einrichtungen sind bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes möglich, für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent — jeweils der höhere Betrag gilt.