NIS2: Wer ist betroffen und was jetzt zu tun ist
Ein praktischer Leitfaden zur Betroffenheitsanalyse und den zentralen Pflichten nach dem BSIG.
Wer fällt unter NIS2?
Die NIS2-Richtlinie erweitert den Kreis der regulierten Unternehmen erheblich. Betroffen sind mittlere und große Einrichtungen in kritischen Sektoren — von Energie und Gesundheit über Trinkwasser bis zur digitalen Infrastruktur. Auch Anbieter von Cloud-Diensten, Rechenzentrumsdiensten und sozialen Netzwerken fallen in den Anwendungsbereich.
Als Faustregel gilt: Unternehmen ab 50 Beschäftigten oder 10 Mio. € Jahresumsatz in einem der 18 definierten Sektoren sollten von einer Betroffenheit ausgehen und diese sauber dokumentieren. Lieferkettenpflichten können dazu führen, dass auch kleinere Zulieferer indirekt verpflichtet werden.
Wesentliche und wichtige Einrichtungen
Das BSIG unterscheidet zwei Kategorien. Wesentliche Einrichtungen (ab 250 Mitarbeitern oder 50 Mio. € Umsatz in besonders kritischen Sektoren wie Energie, Verkehr oder Gesundheit) unterliegen strengeren Anforderungen und proaktiver Aufsicht. Wichtige Einrichtungen (50–249 Mitarbeiter) werden reaktiv überwacht, müssen aber dieselben technischen Maßnahmen erfüllen.
Die zentralen Pflichten im Überblick
- Risikomanagement: Identifikation und Bewertung von Cyberrisiken, dokumentiertes Konzept
- Sicherheitsmaßnahmen: Zugangskontrollen, Verschlüsselung, Sicherung von Lieferketten
- Vorfallsmeldung: Erste Meldung an das BSI innerhalb von 24 Stunden, Folgebericht nach 72 Stunden
- Geschäftsleitungspflichten: Persönliche Verantwortung und aktive Überwachung der Maßnahmen
- Schulungen: Regelmäßige Trainings für Geschäftsleitung und Mitarbeitende
Persönliche Haftung der Geschäftsleitung
Ein zentraler Unterschied zu früheren Regelungen: Das NIS2-Umsetzungsgesetz (BSIG) begründet eine persönliche Haftung der Geschäftsführung. Wer die Umsetzung der Cybersicherheitsmaßnahmen nicht aktiv überwacht, haftet persönlich — unabhängig von einer Unternehmensversicherung. Bußgelder von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes können verhängt werden.
Der BSI-Check als erster Schritt
Ob Ihr Unternehmen betroffen ist, lässt sich mit dem offiziellen Betroffenheitsprüfer des BSI schnell klären. Er fragt Sektor, Mitarbeiterzahl und Umsatz ab und gibt eine erste Einschätzung. Die formale Registrierungspflicht beim BSI besteht ab Inkrafttreten der nationalen Umsetzung des BSIG.
Häufige Fragen
Ist mein Unternehmen von NIS2 betroffen, wenn wir weniger als 50 Mitarbeiter haben?
Unternehmen unter 50 Beschäftigten sind grundsätzlich nicht direkt von NIS2 betroffen. Ausnahme: Einrichtungen kritischer Infrastruktur (KRITIS) und Anbieter bestimmter digitaler Dienste können auch unabhängig von der Größe betroffen sein. Als Zulieferer können Sie zudem vertraglich in die NIS2-Pflichten einbezogen werden.
Was sind die Meldepflichten bei einem Sicherheitsvorfall nach NIS2?
Betroffene Einrichtungen müssen erhebliche Sicherheitsvorfälle unverzüglich, möglichst innerhalb von 24 Stunden, als Frühwarnung an das BSI melden. Innerhalb von 72 Stunden folgt eine vollständige Meldung mit Ersteinschätzung. Ein Abschlussbericht ist spätestens nach einem Monat einzureichen.
Wann tritt das NIS2-Umsetzungsgesetz (BSIG) in Deutschland vollständig in Kraft?
Deutschland hat die NIS2-Richtlinie mit dem BSIG-Neugesetz in nationales Recht umgesetzt. Betroffene Unternehmen müssen die Anforderungen unmittelbar nach Inkrafttreten erfüllen und sich beim BSI registrieren lassen.
Was unterscheidet NIS2 von der ursprünglichen NIS-Richtlinie?
NIS2 erweitert den Kreis betroffener Sektoren von 7 auf 18, senkt die Schwellenwerte, führt eine persönliche Geschäftsleiterhaftung ein und verschärft die Sanktionen erheblich. Bußgelder steigen von bisher max. 100.000 € auf bis zu 10 Mio. € oder 2 % des Jahresumsatzes.