Zwei Fragen entscheiden
Seit dem 6. Dezember 2025 gilt in Deutschland das neue BSI-Gesetz, mit dem die europäische NIS2-Richtlinie umgesetzt wurde. Ob ein Unternehmen darunter fällt, hängt im Kern von zwei Fragen ab (Stand: Oktober 2026):
- Tätigkeit: Ist das Unternehmen in einem der Sektoren tätig, die das BSI-Gesetz in seinen Anlagen 1 und 2 aufzählt?
- Größe: Erreicht es die Schwellenwerte bei Beschäftigten, Umsatz und Bilanzsumme?
Treffen beide zu, ist das Unternehmen in der Regel eine wichtige oder besonders wichtige Einrichtung. Für einige Spezialanbieter, etwa DNS-Dienste oder Betreiber kritischer Anlagen, gilt das unabhängig von der Größe.
Welche Sektoren sind erfasst?
- Anlage 1 (hohe Kritikalität): Energie, Transport und Verkehr, Finanzwesen, Gesundheitswesen, Trinkwasser und Abwasser, digitale Infrastruktur und IT-Dienste für Unternehmen, Weltraum
- Anlage 2 (sonstige kritische Sektoren): Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel (Großhandel, industrielle Herstellung), verarbeitendes Gewerbe wie Medizinprodukte, Elektronik, elektrische Ausrüstung, Maschinenbau und Fahrzeugbau, digitale Dienste, Forschung
Die Aufzählung ist vereinfacht. Entscheidend ist, was ein Unternehmen tatsächlich tut, nicht wie es sich nennt: Ein Maschinenbauer ist erfasst, ein Betrieb, der nur Metallteile fertigt, nicht.
Die Schwellenwerte
- Wichtige Einrichtung: Sektor nach Anlage 1 oder 2, dazu mindestens 50 Beschäftigte oder über 10 Mio. EUR Umsatz und über 10 Mio. EUR Bilanzsumme
- Besonders wichtige Einrichtung: Sektor nach Anlage 1, dazu mindestens 250 Beschäftigte oder über 50 Mio. EUR Umsatz und über 43 Mio. EUR Bilanzsumme
Gezählt wird nach der EU-Empfehlung für kleine und mittlere Unternehmen, Teilzeitkräfte anteilig. Gehört das Unternehmen zu einer Gruppe, zählen deren Zahlen grundsätzlich ganz oder anteilig mit. Ein Beispiel: Ein Getriebehersteller mit 70 Beschäftigten, 14 Mio. EUR Umsatz und 9 Mio. EUR Bilanzsumme erreicht die Finanzschwelle nicht, wohl aber die Schwelle bei den Beschäftigten. Nach dieser vereinfachten Rechnung ist er eine wichtige Einrichtung.
So gehen Sie vor
- Die Betroffenheitsprüfung des BSI online durchgehen: bsi.bund.de/nis2
- In Grenzfällen fachlichen oder rechtlichen Rat einholen, etwa wenn die Zuordnung zu einem Wirtschaftszweig unklar ist
- Das Ergebnis schriftlich festhalten: Tätigkeit, Zahlen, Begründung, Datum. Auch ein „nicht betroffen“ gehört dokumentiert.
- Die Prüfung wiederholen, wenn das Unternehmen wächst, zukauft oder neue Geschäftsfelder aufnimmt
Betroffene Unternehmen müssen sich spätestens drei Monate, nachdem sie unter NIS2 fallen, beim BSI registrieren. Erhebliche Sicherheitsvorfälle sind unverzüglich zu melden, spätestens nach 24 und 72 Stunden, mit einer Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung. Die Leitung muss die Maßnahmen umsetzen, die Umsetzung überwachen und sich selbst regelmäßig schulen (Stand: Oktober 2026).
Auch nicht Betroffene merken NIS2
Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette berücksichtigen. Sie stellen deshalb Anforderungen an Lieferanten und Dienstleister, etwa per Vertrag, Fragebogen oder Nachweis. Wer an NIS2-Unternehmen liefert, sollte sich darauf einstellen, auch wenn er selbst nicht unter das Gesetz fällt. Geschulte Mitarbeitende und nachvollziehbare Nachweise sind dann oft eine der Fragen.