Ratgeber

NIS2 in Deutschland: Betrifft das Gesetz meinen Betrieb?

Seit Dezember 2025 gilt das neue BSI-Gesetz. Dieser Ratgeber zeigt, ab welcher Größe es greift und was Betriebe mit 5 bis 60 Mitarbeitern ohnehin tun sollten.

Stand: 22.10.2026 · ITS Informationstechnik Schneider, Teningen

Kurz gesagt: Das deutsche NIS-2-Umsetzungsgesetz steht im Bundesgesetzblatt 2025 I Nr. 301 und ist seit dem 6. Dezember 2025 in Kraft. Es verpflichtet einen Betrieb nur, wenn er zu einer der Branchen in Anlage 1 oder 2 des BSI-Gesetzes gehört und mindestens 50 Beschäftigte hat oder Jahresumsatz und Jahresbilanzsumme jeweils über 10 Millionen Euro liegen. Betriebe mit weniger als 50 Beschäftigten sind deshalb in aller Regel nicht direkt betroffen. Ohne Größenschwelle erfasst sind nur Sonderfälle, etwa Telekommunikations- und DNS-Diensteanbieter.

Seit wann gilt NIS-2 in Deutschland?

Die EU hat die NIS-2-Richtlinie im Dezember 2022 im Amtsblatt veröffentlicht. Deutschland setzt sie mit dem „Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung“ um. Der Bundestag hat es am 13. November 2025 beschlossen, der Bundesrat am 21. November 2025. Verkündet wurde es am 5. Dezember 2025 im Bundesgesetzblatt (BGBl. 2025 I Nr. 301), in Kraft ist es seit dem 6. Dezember 2025.

Der Kern steckt in Artikel 1: ein neues BSI-Gesetz (BSIG), das das BSI-Gesetz von 2009 ersetzt. Es wurde 2026 bereits mehrfach geändert, zuletzt am 23. Juli 2026. Nach Angaben des BSI gelten die Pflichten für rund 29.500 Einrichtungen in Deutschland, bis zum 30. September 2026 hatten sich 20.141 registriert. Auf EU-Ebene hat die Kommission im Januar 2026 eine Änderung der NIS-2-Richtlinie vorgeschlagen. Das Europäische Parlament hat darüber noch nicht entschieden.

Wer ist betroffen?

Ob ein Betrieb unter das Gesetz fällt, entscheidet § 28 BSIG an zwei Fragen. Gehört er zu einer der Einrichtungsarten, die in den Anlagen 1 und 2 aufgezählt sind? Und erreicht er die Größenschwelle? Erst wenn beides zutrifft, gilt er als „wichtige“ oder „besonders wichtige Einrichtung“.

Anlage 1 nennt die Sektoren Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur und Weltraum. Anlage 2 nennt Post- und Kurierdienste, Abfallbewirtschaftung, Hersteller und Importeure chemischer Stoffe, Lebensmittelunternehmen im Großhandel und in der industriellen Produktion, Forschungseinrichtungen und Anbieter digitaler Dienste wie Online-Marktplätze. Dazu kommen Teile des verarbeitenden Gewerbes: Hersteller von Medizinprodukten, von elektronischen Erzeugnissen, von elektrischen Ausrüstungen sowie Maschinen- und Fahrzeugbau. Gastronomie, Bauhandwerk und Kanzleien kommen in den Anlagen nicht vor.

Wie werden die Beschäftigten gezählt?

Die Größe bemisst sich nach der EU-Empfehlung 2003/361/EG (§ 28 Abs. 4 BSIG). Gezählt werden Jahresarbeitseinheiten: Teilzeitkräfte zählen anteilig, mitarbeitende Inhaber zählen mit, Auszubildende nicht. Ist Ihr Betrieb mit anderen Unternehmen verbunden oder an ihnen beteiligt, werden deren Zahlen grundsätzlich hinzugerechnet. Das entfällt, wenn Ihr Betrieb beim Aufbau und Betrieb seiner IT von diesen Unternehmen unabhängig ist. Geschäftstätigkeiten, die im Verhältnis zum Ganzen vernachlässigbar sind, dürfen bei der Zuordnung zu einer Branche außer Betracht bleiben (§ 28 Abs. 3 BSIG). Wer nach Köpfen knapp über 50 liegt, sollte deshalb genau nachrechnen.

Schwellenwerte nach § 28 BSIG (Stand 22.10.2026)
MerkmalWichtige EinrichtungBesonders wichtige Einrichtung
BrancheEinrichtungsart aus Anlage 1 oder Anlage 2Einrichtungsart aus Anlage 1
Beschäftigtemindestens 50mindestens 250
oder FinanzkennzahlenJahresumsatz und Jahresbilanzsumme jeweils über 10 Mio. EuroJahresumsatz über 50 Mio. Euro und Jahresbilanzsumme über 43 Mio. Euro
Ohne Größenschwelle erfasstVertrauensdiensteanbieter; Telekommunikationsanbieter unter 50 Beschäftigten und bis 10 Mio. EuroBetreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries, DNS-Diensteanbieter; Telekommunikationsanbieter ab 50 Beschäftigten oder über 10 Mio. Euro Umsatz und Bilanzsumme

Sonderfälle ohne Größenschwelle

Einige Einrichtungen fallen unabhängig von ihrer Größe unter das Gesetz. Welche das sind, zeigt die letzte Zeile der Tabelle. Ob jemand Betreiber einer kritischen Anlage ist, richtet sich nach den Schwellenwerten der BSI-Kritisverordnung. Für einen gewöhnlichen Handwerks- oder Dienstleistungsbetrieb spielen diese Sonderfälle kaum eine Rolle.

Ein Beispiel aus dem Gesundheitswesen

Medizinische Versorgungszentren, Praxisverbünde und Apotheken ordnet das BSI in der Regel der Einrichtungsart „Erbringer von Gesundheitsdienstleistungen“ zu. Pflichtig werden sie aber erst, wenn sie zusätzlich die Größenschwelle erreichen. Ambulante Pflegedienste, Pflegeheime und physiotherapeutische Einrichtungen fallen nach Einschätzung des BSI in der Regel nicht unter das Gesetz.

Welche Pflichten haben betroffene Betriebe?

Registrierung beim BSI

Betroffene Einrichtungen müssen sich spätestens drei Monate, nachdem sie erstmals betroffen sind, beim BSI registrieren (§ 33 BSIG). Für alle, die es schon bei Inkrafttreten waren, ist diese Frist abgelaufen. Das BSI fordert Nachzügler auf, die Registrierung umgehend nachzuholen. Wird ein Betrieb erst später zur betroffenen Einrichtung, etwa durch Wachstum, läuft die Dreimonatsfrist ab diesem Zeitpunkt. Die Registrierung hat zwei Schritte: zuerst ein Zugang bei „Mein Unternehmenskonto“ mit ELSTER-Organisationszertifikat, dann die Anmeldung im BSI-Portal. Ändern sich Angaben, sind sie unverzüglich, spätestens binnen zwei Wochen nachzumelden.

Risikomanagement

§ 30 BSIG verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, und die Einrichtung muss sie dokumentieren. Was verhältnismäßig ist, hängt unter anderem von der Risikoexposition, der Größe der Einrichtung und den Umsetzungskosten ab. Das Gesetz nennt zehn Mindestbereiche. Dazu gehören Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Backup-Management und Wiederherstellung nach einem Notfall, Sicherheit der Lieferkette, Schulungen, kryptografische Verfahren, Zugriffskontrolle und Multi-Faktor-Authentifizierung.

Meldepflichten

Einen erheblichen Sicherheitsvorfall melden betroffene Einrichtungen gestuft (§ 32 BSIG): eine frühe Erstmeldung spätestens 24 Stunden nach Kenntnis, eine Meldung mit erster Bewertung spätestens nach 72 Stunden und eine Abschlussmeldung spätestens einen Monat nach dieser Meldung. Dauert der Vorfall dann noch an, folgt zunächst eine Fortschrittsmeldung. Erheblich ist ein Vorfall, der schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht oder verursachen kann oder andere durch erhebliche materielle oder immaterielle Schäden beeinträchtigt oder beeinträchtigen kann (§ 2 Nr. 11 BSIG).

Verantwortung der Geschäftsleitung

Die Geschäftsleitung muss die Maßnahmen umsetzen und ihre Umsetzung überwachen. Verletzt sie diese Pflicht, haftet sie der eigenen Einrichtung für schuldhaft verursachte Schäden nach den Regeln des Gesellschaftsrechts. Außerdem muss sie regelmäßig an Schulungen teilnehmen (§ 38 BSIG). Feste Intervalle schreibt das Gesetz nicht vor. Das BSI empfiehlt eine ausführliche erste Schulung und danach regelmäßige Folgeschulungen.

Verstöße gegen die Maßnahmen- und Meldepflichten kann das BSI mit Bußgeld ahnden, bei wichtigen Einrichtungen bis 7 Millionen Euro, bei besonders wichtigen bis 10 Millionen Euro. Für eine versäumte Registrierung liegt der Rahmen bei bis zu 500.000 Euro (§ 65 BSIG).

Indirekt betroffen: Zulieferer und Dienstleister

Auch wer selbst nicht unter das Gesetz fällt, kann die Folgen spüren. Betroffene Einrichtungen müssen nach § 30 Abs. 2 Nr. 4 BSIG die Sicherheit ihrer Lieferkette berücksichtigen, einschließlich der Beziehungen zu ihren unmittelbaren Anbietern und Dienstleistern. Das BSI stellt klar, dass das Gesetz Zulieferer und Dienstleister nicht pauschal mitverpflichtet. Die betroffenen Einrichtungen müssen ihre Zulieferer aber zu passenden Sicherheitsanforderungen verpflichten. Das BSI empfiehlt dafür vertragliche Vereinbarungen zum Risikomanagement, zum Umgang mit Sicherheitsvorfällen und zum Patchmanagement.

Beliefert Ihr Betrieb zum Beispiel einen größeren Maschinenbauer oder arbeitet er für ein Klinikum, kann Ihnen also ein Fragebogen oder eine Vertragsklausel zur IT-Sicherheit vorgelegt werden. Ein allgemeines Zertifikat, das diese Anforderungen pauschal abdeckt, gibt es laut BSI nicht.

Wie prüfe ich, ob mein Betrieb betroffen ist?

Das BSI teilt Unternehmen nicht mit, ob sie betroffen sind. Jede Einrichtung muss das selbst prüfen. Als Hilfe bietet das BSI die NIS-2-Betroffenheitsprüfung an. Sie führt anonym durch einen Fragenkatalog, der sich am Gesetz orientiert, und liefert eine erste Einschätzung samt den Pflichten, die daraus folgen. Das Ergebnis ist rechtlich nicht bindend. Bleiben danach Zweifel, etwa bei gemischten Tätigkeiten oder verbundenen Unternehmen, klärt das im Einzelfall ein Anwalt. Eine Rechtsberatung leisten wir als IT-Dienstleister nicht.

Was ein kleiner Betrieb trotzdem tun sollte

Für Betriebe unter der Schwelle gibt es keine NIS-2-Pflichten. Angreifer machen diesen Unterschied nicht: Nach Beobachtung des BSI werden kleine und mittlere Unternehmen meist von großflächigen, automatisierten Angriffen getroffen und seltener gezielt ausgesucht. Als Grundlage nennt das BSI für KMU unter anderem Datensicherung, Firewall, Updates, Virenschutz, sichere Passwörter, Zwei-Faktor-Authentisierung und regelmäßige Schulung der Mitarbeitenden. Aus den Top 10 Maßnahmen des BSI gegen Ransomware kommen konkrete Punkte hinzu:

  • Updates unverzüglich einspielen, besonders exponierte Software wie Firewall oder Webserver zuerst.
  • Fernzugriff nur über VPN mit Zwei-Faktor-Authentisierung; auch Administratorkonten mit zweitem Faktor schützen.
  • Mindestens eine Datensicherung offline halten und die Rücksicherung vor dem Ernstfall üben.
  • Einen Notfallplan bereithalten, mit den wichtigsten Telefonnummern auch auf Papier.

Für die Datensicherung arbeiten wir nach der 3-2-1-Regel: drei Kopien der Daten, auf mindestens zwei verschiedenen Speichertechnologien, eine davon extern. Für den Ernstfall bietet das BSI die IT-Notfallkarte an, einen Aushang nach dem Muster des bekannten Schilds „Verhalten im Brandfall“. Wer im Betrieb keine eigenen IT-Fachleute hat, dem empfiehlt das BSI, dauerhaft einen IT-Dienstleister zu beauftragen.

Was ITS dabei übernimmt

Wir prüfen zuerst den Ist-Zustand Ihrer IT und orientieren uns dabei an den Empfehlungen des BSI. Am Netzwerkrand setzen wir Firewalls von Sophos ein, mit VPN-Client für Home-Office und unterwegs. Arbeitsplätze, Mobilgeräte und Server schützen wir mit ESET PROTECT Advanced. Die Datensicherung läuft als Managed Cloud-Backup mit Speicherort in Deutschland oder der EU. Ob Ihr Betrieb rechtlich unter das BSIG fällt, klären Sie im Zweifel mit Ihrem Anwalt. Um die technische Umsetzung kümmern wir uns. Mehr dazu auf der Seite IT-Sicherheit.

Häufige Fragen

Gilt NIS-2 auch für Betriebe mit weniger als 50 Mitarbeitern?

In der Regel nicht. Unter 50 Beschäftigten ist ein Betrieb aus den Branchen der Anlagen 1 und 2 des BSI-Gesetzes nur betroffen, wenn Jahresumsatz und Jahresbilanzsumme jeweils über 10 Millionen Euro liegen. Ohne Größenschwelle erfasst sind nur Sonderfälle wie Vertrauensdiensteanbieter, DNS-Diensteanbieter, Top-Level-Domain-Registries, Telekommunikationsanbieter und Betreiber kritischer Anlagen.

Muss ich mich beim BSI registrieren, wenn mein Betrieb nicht betroffen ist?

In aller Regel nein. Registrieren müssen sich nach § 33 BSIG die wichtigen und besonders wichtigen Einrichtungen, und zwar spätestens drei Monate nach Eintritt der Betroffenheit. Das BSI bestätigt die Betroffenheit nicht im Einzelfall, jeder Betrieb prüft sie selbst. Eine erste, unverbindliche Einschätzung liefert die NIS-2-Betroffenheitsprüfung des BSI.

Ein Kunde verlangt von mir NIS-2-Nachweise. Was steckt dahinter?

Ihr Kunde ist vermutlich selbst betroffen und muss nach § 30 BSIG die Sicherheit seiner Lieferkette berücksichtigen. Das BSI erwartet, dass betroffene Einrichtungen ihre Zulieferer zu passenden Sicherheitsanforderungen verpflichten, und empfiehlt Vereinbarungen zu Risikomanagement, Umgang mit Sicherheitsvorfällen und Patchmanagement. Ein allgemeines Zertifikat, das diese Anforderungen pauschal belegt, gibt es nach Auskunft des BSI nicht.

Wie schnell muss ein Sicherheitsvorfall gemeldet werden?

Betroffene Einrichtungen melden einen erheblichen Sicherheitsvorfall spätestens 24 Stunden nach Kenntnis mit einer frühen Erstmeldung beim BSI. Spätestens nach 72 Stunden folgt eine Meldung mit erster Bewertung, die Abschlussmeldung ist spätestens einen Monat danach fällig (§ 32 BSIG). Für nicht betroffene Betriebe gelten diese Fristen nicht. Eine freiwillige Meldung beim BSI ist aber möglich, auf Wunsch auch anonym (§ 5 BSIG).

Quellen

Ihr PLUS durch uns +

Basisschutz, der zur Größe Ihres Betriebs passt.

Wir prüfen Ihre IT nach den Empfehlungen des BSI und setzen die nötigen Schutzmaßnahmen so um, dass sie zu Ihrem Betrieb passen. Sprechen Sie uns an.

Kontakt aufnehmen07663 605900