NIS2: Ist mein Unternehmen betroffen?

Rund 29.500 Unternehmen und Einrichtungen der Bundesverwaltung fallen nach Schätzung des BSI unter die neuen NIS2-Pflichten. Registriert hatten sich bis Ende September 2026 gut 20.000 Einrichtungen.

Die Zahl von 29.500 ist eine Schätzung, nicht jede Lücke ist also ein Versäumnis. Aber genau diese Frage klären wir heute.

Nach dieser Folge können Sie in drei Schritten selbst prüfen, ob Ihr Unternehmen unter das deutsche NIS2-Umsetzungsgesetz fällt. Und Sie wissen, was dann auf Sie zukommt.

Kurz vorweg: Alles, was wir heute sagen, hat die Redaktion von frag.hugo recherchiert und geprüft.

Mit drei Fragen. Steht Ihre Tätigkeit in den Anlagen des Gesetzes, wie groß ist Ihr Unternehmen, und gibt es einen Sonderfall?

Daraus ergibt sich, ob Sie gar nicht betroffen sind, eine wichtige oder eine besonders wichtige Einrichtung. Davon hängen Pflichten, Aufsicht und Bußgeldrahmen ab.

Das Gesetz über das BSI hat zwei Listen mit Sektoren. Anlage 1 enthält unter anderem Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser und digitale Infrastruktur.

Anlage 2 enthält unter anderem Post- und Kurierdienste, Abfall, Chemie, Lebensmittel, Forschung und das verarbeitende Gewerbe. Dort steht der Maschinenbau ausdrücklich drin.

Am Wirtschaftszweig nach der europäischen Statistik, dem sogenannten NACE-Code. Maschinenbau ist dort Abteilung 28.

Fragen Sie Ihre Buchhaltung, unter welchem Wirtschaftszweig Sie geführt werden. Entscheidend ist aber, welche Tätigkeiten Sie tatsächlich ausüben, auch neben dem Hauptgeschäft.

Dann kommt die Größe. Wichtige Einrichtung sind Sie ab 50 Beschäftigten, oder wenn Umsatz und Bilanzsumme jeweils über 10 Millionen Euro liegen.

Besonders wichtig wird es in den Sektoren der Anlage 1 ab 250 Beschäftigten. Oder bei über 50 Millionen Euro Umsatz und zugleich über 43 Millionen Euro Bilanzsumme.

Nein. Gezählt wird nach der EU-Empfehlung für kleine und mittlere Unternehmen, in Jahresarbeitseinheiten, Teilzeit zählt also nur anteilig.

Maßgeblich ist der letzte Jahresabschluss. Laut BSI ändert sich die Einstufung erst, wenn eine Schwelle zwei Geschäftsjahre hintereinander über- oder unterschritten wird.

Grundsätzlich ja, verbundene Unternehmen und Partnerunternehmen werden nach der EU-Empfehlung ganz oder anteilig hinzugerechnet. Paragraf 28 macht davon eine Ausnahme.

Nicht hinzugerechnet wird, wenn Ihre IT-Systeme und Prozesse rechtlich, wirtschaftlich und tatsächlich unabhängig von der Gruppe sind. Das sollten Sie belegen können.

Über die Größe allein nicht. Die Größenregel für besonders wichtige Einrichtungen gilt nur für Sektoren aus Anlage 1, der Maschinenbau steht in Anlage 2.

Anders ist es, wenn Sie zusätzlich etwas aus Anlage 1 betreiben oder ein Sonderfall vorliegt.

Manche Einrichtungen sind unabhängig von ihrer Größe erfasst. Betreiber kritischer Anlagen gelten immer als besonders wichtig, ebenso qualifizierte Vertrauensdiensteanbieter.

Vertrauensdiensteanbieter sind Stellen, die etwa elektronische Signaturen oder Siegel ausstellen. Dazu kommen DNS-Diensteanbieter, die Namen im Internet in Adressen übersetzen, und die Verwalter von Domain-Endungen.

Auch Anbieter öffentlicher Telekommunikationsdienste sind ohne Mindestgröße erfasst. Für einen Maschinenbauer ist das selten, aber prüfen Sie es kurz.

Vier Dinge. Erstens registrieren Sie sich beim BSI, zweistufig: erst über Mein Unternehmenskonto mit dem ELSTER-Organisationszertifikat, dann im BSI-Portal.

Spätestens drei Monate, nachdem Sie erstmals als Einrichtung gelten. Das Gesetz gilt seit dem sechsten Dezember 2025, laut BSI ohne allgemeine Übergangsfrist.

Wer schon bei Inkrafttreten alle Merkmale erfüllte, musste sich also bis Anfang März 2026 registrieren. Wer das verpasst hat, holt die Registrierung jetzt sofort nach.

Unter anderem Name, Rechtsform, Handelsregisternummer, Kontaktdaten, Sektor, zuständige Aufsichtsbehörden und Ihre öffentlichen IP-Adressbereiche. Für die IP-Adressen brauchen Sie meist Ihren IT-Dienstleister.

Ändern sich diese Angaben später, melden Sie das dem BSI unverzüglich, spätestens innerhalb von zwei Wochen.

Zweitens Risikomanagement nach Paragraf 30, mit mindestens zehn Bausteinen. Darunter Risikoanalyse, Notfallplanung mit Backups, Zugriffskontrolle, Mehr-Faktor-Anmeldung, Schulungen und die Sicherheit der Lieferkette.

Die Umsetzung müssen Sie dokumentieren. Drittens gelten Meldepflichten bei erheblichen Sicherheitsvorfällen, dazu mehr im dritten Fall.

Viertens betrifft es Sie persönlich. Die Geschäftsleitung muss die Maßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen.

Das Gesetz selbst nennt keine Zahl. Laut Gesetzesbegründung heißt regelmäßig mindestens alle drei Jahre, und sie rechnet mit einer halbtägigen Schulung.

Das BSI sagt aber, dass vier Stunden in den allermeisten Fällen nicht reichen. Planen Sie für jedes Mitglied der Geschäftsführung also großzügiger.

Dann drohen Bußgelder. Für fehlende Maßnahmen oder Meldungen bis 7 Millionen Euro bei wichtigen, bis 10 Millionen Euro bei besonders wichtigen Einrichtungen.

Bei mehr als 500 Millionen Euro weltweitem Umsatz kann es mehr werden. Dann sind bis 1,4 beziehungsweise 2 Prozent dieses Umsatzes möglich.

Eine versäumte Registrierung kann bis 500.000 Euro kosten, und das BSI kann Sie auch selbst registrieren. Was das für Sie persönlich heißt, klären wir in Folge 2.

Ja. Bei besonders wichtigen Einrichtungen kann das BSI Audits und Prüfungen anordnen, auch ohne konkreten Verdacht.

Bei wichtigen Einrichtungen prüft es, wenn Tatsachen auf Mängel hindeuten. Die Pflichten selbst sind aber im Kern für beide gleich.

Ein typischer Fall. Lohnfertigung wie Drehen und Fräsen von Metallteilen läuft in der Statistik unter Abteilung 25, Herstellung von Metallerzeugnissen.

Diese Abteilung steht nicht in den Anlagen. Ohne weitere gelistete Tätigkeit und ohne Sonderfall ist Ihr Dreher also nicht selbst betroffen.

Vorsicht aber: Wer eigene Wellen, Lager oder Zahnräder als Antriebselemente herstellt, gehört zu Abteilung 28, also zum Maschinenbau. Dann wäre er mit 60 Leuten wichtige Einrichtung.

Nein. Sie als wichtige Einrichtung müssen die Sicherheit Ihrer Lieferkette berücksichtigen, so steht es in Paragraf 30, Absatz 2, Nummer 4.

Das BSI schreibt, dass sich das Gesetz so mittelbar auch auf nicht betroffene Unternehmen auswirken kann. Etwa über Verträge mit betroffenen Kunden.

Das Gesetz schreibt kein bestimmtes Zertifikat vor. Laut BSI gibt es auch kein einzelnes Zertifikat, das die Anforderungen pauschal belegt.

Eine Zertifizierung nach ISO 27001 kann aber in Ihre Bewertung einfließen. Ob sie reicht, beurteilen Sie im eigenen Risikomanagement.

Praktisch heißt das: Sie legen fest, welche Lieferanten für Ihren Betrieb kritisch sind. Mit diesen vereinbaren Sie konkrete Sicherheitsanforderungen im Vertrag.

Zum Beispiel, dass der Lieferant Sicherheitsvorfälle, die Sie betreffen, schnell meldet. Oder dass Zugänge zu Ihren Systemen nur mit Mehr-Faktor-Anmeldung möglich sind.

Für den Dreher heißt das: Er sollte die Sicherheitsfragen seiner Kunden gebündelt beantworten können. Das BSI begrüßt einheitliche Fragenkataloge für Lieferanten, die genau das erleichtern.

Ja, genau dieser Zugang gehört in Ihre Risikoanalyse. Wer greift zu, mit welcher Anmeldung, und wie sperren Sie den Zugang im Notfall?

Dann kommen die Anforderungen von zwei Seiten. Einmal aus Ihren eigenen Pflichten, einmal aus den Verträgen Ihres Kunden.

Bei Herstellern von Kraftwagen und Kraftwagenteilen hilft wieder der Blick in Anlage 2. Dort steht auch diese Branche, als Abteilung 29.

Lebensmittelunternehmen im Großhandel oder in der industriellen Produktion und Verarbeitung stehen in Anlage 2. Produziert der Betrieb industriell, ist er mit 120 Leuten wichtige Einrichtung.

Der reine Ladenverkauf an Endkunden steht dort nicht. Eine Bäckerei mit Filialen sollte deshalb genau prüfen, ob sie industriell produziert oder Großhandel betreibt.

Da kommt es auf die Tätigkeit an. Eine Spedition, die nur Lkw-Ladungen fährt, steht als solche nicht in den Anlagen, sofern sie keine kritische Anlage betreibt.

Post- und Kurierdienste stehen dagegen in Anlage 2. Dazu zählt nach dem Postgesetz, wer gewerbsmäßig Briefe oder Pakete bis 31,5 Kilogramm befördert.

Dann hilft Paragraf 28, Absatz 3. Tätigkeiten, die gemessen am gesamten Geschäft vernachlässigbar sind, dürfen bei der Zuordnung unberücksichtigt bleiben.

Als Anhaltspunkte nennt das BSI Mitarbeiter, Umsatz oder Bilanzsumme dieses Bereichs. Steht die Tätigkeit im Gesellschaftsvertrag, spricht das eher gegen vernachlässigbar.

Ist das ein erheblicher Sicherheitsvorfall, läuft die Uhr ab dem Moment, in dem Sie davon wissen. Erheblich ist er schon, wenn er schwere Betriebsstörungen, finanzielle Verluste oder erhebliche Schäden bei anderen verursachen kann.

Unverzüglich, spätestens nach 24 Stunden, geht eine frühe Erstmeldung an die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe.

Vor allem, ob Sie einen Angriff vermuten und ob es Auswirkungen in anderen Ländern geben könnte. Spätestens nach 72 Stunden folgt die Meldung mit einer ersten Bewertung von Schwere und Auswirkungen.

Spätestens einen Monat nach der 72-Stunden-Meldung kommt die Abschlussmeldung mit Ursache und Abhilfemaßnahmen. Läuft der Vorfall dann noch, schicken Sie stattdessen eine Fortschrittsmeldung.

Das legen Sie vorher fest. Benennen Sie eine verantwortliche Person mit Vertretung, und üben Sie den Ablauf einmal mit Ihrem IT-Dienstleister.

Wer gar nicht, falsch oder zu spät meldet, riskiert denselben Bußgeldrahmen wie bei fehlenden Maßnahmen.

Die EU-Kommission hat im Januar 2026 Änderungen an der NIS2-Richtlinie vorgeschlagen. Stand Oktober 2026 liegt der Vorschlag noch im Ausschuss des Europäischen Parlaments.

Beschlossen ist nichts. Für Sie gilt das deutsche Gesetz über das BSI in seiner heutigen Fassung.

Erstens: Prüfen Sie Sektor, Größe und Sonderfälle. Ab 50 Beschäftigten oder je über 10 Millionen Euro Umsatz und Bilanzsumme sind Sie in den gelisteten Sektoren wichtige Einrichtung.

Zweitens: Wenn Sie betroffen sind, registrieren Sie sich sofort beim BSI. Starten Sie dann Risikomanagement, einen Meldeweg für 24 Stunden und Ihre eigene Schulung.

Drittens: Auch wenn Sie nicht selbst betroffen sind, schauen Sie auf Ihre Kunden. Als Zulieferer können deren Anforderungen über Verträge bei Ihnen ankommen.

Für die erste Orientierung gibt es die anonyme NIS2-Betroffenheitsprüfung des BSI. Sie ist unverbindlich, die Einstufung bleibt Ihre eigene Aufgabe.

Diese Folge ersetzt keine Rechtsberatung im Einzelfall. In Folge 2 geht es um die Haftung der Geschäftsleitung.

Einen kostenlosen NIS2-Schnellcheck mit zehn Fragen finden Sie bei frag.hugo.