NIS2 in Deutschland: was das NIS2UmsuCG und das neue BSIG verlangen, wer betroffen ist und welche Fristen beim BSI gelten

NIS2 gilt in Deutschland über das NIS2UmsuCG, in Kraft seit dem 6. Dezember 2025, und ein neues BSI-Gesetz (BSIG). Erfasst sind Einrichtungen eines Sektors aus Anlage 1 oder 2 mit mindestens 50 Mitarbeitern oder mit jeweils über 10 Mio. EUR Jahresumsatz und Jahresbilanzsumme. Sie müssen sich beim BSI registrieren, erhebliche Sicherheitsvorfälle innerhalb von 24 Stunden melden und die Risikomanagementmaßnahmen nach § 30 ergreifen.

Dieser Leitfaden behandelt das Gesetz und seine Daten, den Anwendungsbereich, die Registrierung, die Meldepflichten, die Maßnahmen nach § 30, Betreiber kritischer Anlagen, die Pflichten der Geschäftsleitungen, Aufsicht und Bußgelder, die offenen Fragen des Gesetzes und eine Checkliste.

Pflicht	BSIG	NIS2	Die Regel in einem Satz
Anwendungsbereich und Einrichtungsklassen	§ 28 Abs. 1, 2	Art. 2, 3	Einrichtungsart aus Anlage 1 oder 2 plus Größe; einige Arten unabhängig von der Größe
Vernachlässigbare Geschäftstätigkeiten	§ 28 Abs. 3	Kein entsprechender Artikel	Vernachlässigbare Nebentätigkeiten können unberücksichtigt bleiben
Zählung von Mitarbeitern und Umsatz	§ 28 Abs. 4	Art. 2 Abs. 1	EU-KMU-Empfehlung, mit einer Ausnahme bei IT-Unabhängigkeit
Bundesverwaltung	§ 29, § 44	Art. 2 Abs. 2 Buchst. f	Einrichtungen der Bundesverwaltung müssen die Mindeststandards des BSI erfüllen
Risikomanagementmaßnahmen	§ 30	Art. 21	Geeignete, verhältnismäßige und wirksame Maßnahmen, dokumentiert
Zusätzliche Maßnahmen für kritische Anlagen	§ 31	Art. 5	Höheres Schutzniveau und Angriffserkennung für die kritische Anlage
Meldepflichten	§ 32	Art. 23	24 Stunden, 72 Stunden, ein Monat
Registrierungspflicht	§ 33, § 34	Art. 3 Abs. 4, Art. 27	Innerhalb von drei Monaten, nachdem die Einrichtung erfasst ist
Pflichten der Geschäftsleitungen	§ 38	Art. 20	Umsetzen, überwachen, an Schulungen teilnehmen; Haftung gegenüber der Einrichtung
Nachweispflichten für KRITIS	§ 39	Art. 5	Audits, Prüfungen oder Zertifizierungen alle drei Jahre
Aufsicht	§ 61, § 62	Art. 32, 33	Weitergehende Befugnisse gegenüber besonders wichtigen als gegenüber wichtigen Einrichtungen
Bußgeldvorschriften	§ 65	Art. 34, 35	Bis 10 Mio. EUR (besonders wichtige) oder 7 Mio. EUR (wichtige); 2 % oder 1,4 % bei über 500 Mio. EUR Umsatz

Was ist das NIS2UmsuCG?

Das NIS2UmsuCG ist das deutsche Gesetz zur Umsetzung von NIS2. Sein amtlicher Titel lautet Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung (NIS2UmsuCG). Die Kurzform steht für NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz.

Es ist ein Artikelgesetz. Ein Artikel erlässt ein neues BSI-Gesetz (BSIG), das Gesetz über das BSI und über die Sicherheit in der Informationstechnik von Einrichtungen. Weitere Artikel ändern Fachgesetze, darunter das Telekommunikations- und das Energierecht. Die Pflichten der Unternehmen stehen im neuen BSIG.

Schritt	Datum
EU-Umsetzungsfrist für NIS2	17. Oktober 2024
Bundeskabinett beschließt den Regierungsentwurf	30. Juli 2025
Bundestag beschließt das Gesetz	13. November 2025
Bundesrat billigt das Gesetz	21. November 2025
Ausfertigung des Gesetzes	2. Dezember 2025
Verkündung, BGBl. 2025 I Nr. 301	5. Dezember 2025
Inkrafttreten	6. Dezember 2025

Deutschland hat mehr als ein Jahr nach Ablauf der EU-Frist umgesetzt. Die folgenden Pflichten gelten seit dem 6. Dezember 2025.

Wer ist in Deutschland von NIS2 betroffen?

Sie sind betroffen, wenn Sie einer Einrichtungsart aus Anlage 1 oder Anlage 2 des BSIG zuzuordnen sind und die Schwellenwerte erreichen. Einige Einrichtungsarten sind unabhängig von ihrer Größe erfasst. Das BSIG teilt regulierte Unternehmen in zwei Klassen ein:

• besonders wichtige Einrichtungen
• wichtige Einrichtungen

Die deutsche Fassung der Richtlinie nennt die erste Klasse „wesentliche Einrichtungen“.

Klasse	Wer	Größenkriterium
besonders wichtige, § 28 Abs. 1	Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries und DNS-Diensteanbieter, unabhängig von ihrer Größe; Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze mit mindestens 50 Mitarbeitern oder mit einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Mio. EUR; große Einrichtungen aus Anlage 1	Einrichtungen aus Anlage 1: mindestens 250 Mitarbeiter oder ein Jahresumsatz von über 50 Mio. EUR und zudem eine Jahresbilanzsumme von über 43 Mio. EUR
wichtige, § 28 Abs. 2	Übrige Vertrauensdiensteanbieter, unabhängig von ihrer Größe; kleinere Anbieter öffentlicher Telekommunikationsnetze und -dienste; Einrichtungen aus Anlage 1 und 2, die das Größenkriterium erfüllen und nicht besonders wichtig sind	Einrichtungen aus Anlage 1 und 2: mindestens 50 Mitarbeiter oder ein Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. EUR

Betreiber öffentlicher Telekommunikationsnetze und Anbieter öffentlich zugänglicher Telekommunikationsdienste, Vertrauensdiensteanbieter, TLD-Registries und DNS-Diensteanbieter sind unabhängig von ihrer Größe erfasst. Bei den Telekommunikationsanbietern hängt die Klasse von der Größe ab. Vertrauensdiensteanbieter, die nicht qualifiziert sind, sind unabhängig von ihrer Größe wichtige Einrichtungen.

Anlage 1 umfasst sieben Sektoren: Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, Digitale Infrastruktur und Weltraum. Im BSIG gehören zur Digitalen Infrastruktur auch Anbieter verwalteter Dienste (MSP) und Anbieter verwalteter Sicherheitsdienste (MSSP). Anlage 2 umfasst einen weiteren Teil von Transport und Verkehr sowie Abfallbewirtschaftung, Chemie, Lebensmittel, Verarbeitendes Gewerbe, Anbieter digitaler Dienste und Forschung.

Die schnellste erste Einschätzung liefert unser NIS2-Betroffenheitscheck. Die Logik der beiden Klassen auf EU-Ebene erklärt der Beitrag wesentliche und wichtige Einrichtungen im Vergleich.

Wie werden Mitarbeiter und Umsatz gezählt?

• Es gilt die Empfehlung 2003/361/EG der Kommission, mit Ausnahme von Artikel 3 Absatz 4 ihres Anhangs.
• Mitarbeiter werden in Jahresarbeitseinheiten gezählt, nicht nach Köpfen.
• Die Zahlen umfassen das gesamte Unternehmen einschließlich verbundener Unternehmen, auch solcher außerhalb Deutschlands und der EU.
• Deutsche Ausnahme, § 28 Abs. 4: Die Daten von Partner- oder verbundenen Unternehmen sind nicht hinzuzurechnen, wenn das Unternehmen „unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände mit Blick auf die Beschaffenheit und den Betrieb der informationstechnischen Systeme, Komponenten und Prozesse unabhängig von seinen Partner- oder verbundenen Unternehmen ist“.

Diese Ausnahme ist für Tochtergesellschaften wichtig. In der Praxis kann eine Tochter, die ihre IT eigenständig betreibt, ihre eigenen Zahlen verwenden. Eine Tochter, die auf der IT des Konzerns läuft, rechnet in der Regel den Konzern mit.

Was regelt § 28 Abs. 3 zu vernachlässigbaren Geschäftstätigkeiten?

Bei der Zuordnung zu einer der Einrichtungsarten nach den Anlagen 1 und 2 können „solche Geschäftstätigkeiten unberücksichtigt bleiben, die im Hinblick auf die gesamte Geschäftstätigkeit der Einrichtung vernachlässigbar sind“. Als mögliche Indikatoren nennt das BSI die in der Tätigkeit beschäftigten Mitarbeiter, den damit erzielten Umsatz und die darauf entfallende Bilanzsumme. Nennen die Satzung, der Gesellschaftsvertrag oder ein vergleichbares Gründungsdokument die Tätigkeit, kann das nach Angaben des BSI ein Hinweis darauf sein, dass sie nicht vernachlässigbar ist.

In der Praxis hilft das einem Unternehmen, dessen einzige Verbindung zu einem Sektor der Anlagen ein kleines Nebengeschäft ist, nicht aber einem, dessen Satzung dieses Geschäft als Unternehmensgegenstand nennt.

KRITIS, DORA, öffentliche Stellen und ausländische Unternehmen

• Kritische Anlagen: Betreiber kritischer Anlagen sind unabhängig von Mitarbeiterzahl, Umsatz oder Bilanzsumme besonders wichtige Einrichtungen (§ 28 Abs. 1 Nr. 1). Ob eine Anlage als kritische Anlage gilt, wird nach Angaben des BSI wie bisher anhand der BSI-Kritisverordnung (BSI-KritisV) geprüft.
• Finanzunternehmen unter DORA: Nach § 28 Abs. 6 Nr. 1 gelten die §§ 30, 31, 32, 35, 36, 38 und 39 nicht für Finanzunternehmen nach der Verordnung (EU) 2022/2554; für sie gelten die eigenen Regeln von DORA. Die Registrierung nach § 33 steht nicht auf dieser Liste. Diese Unternehmen registrieren sich also trotzdem beim BSI.
• Telekommunikation und Energie: Nach § 28 Abs. 5 gelten die §§ 30, 31, 32, 35, 36, 38, 39, 61 und 62 nicht für Einrichtungen, die ein öffentliches Telekommunikationsnetz betreiben oder öffentlich zugängliche Telekommunikationsdienste erbringen, und nicht für Einrichtungen, die Energieversorgungsnetze, Energieanlagen oder digitale Energiedienste nach dem Energiewirtschaftsgesetz (EnWG) betreiben und den §§ 5c bis 5e EnWG unterliegen. Für sie gelten stattdessen ihre Fachregeln im EnWG und im Telekommunikationsgesetz (TKG), außer soweit sie weitere kritische Anlagen betreiben oder unter eine andere Einrichtungsart der Anlagen fallen.
• Bundesverwaltung: Einrichtungen der Bundesverwaltung sind nach § 29 Abs. 1 erfasst. Die nach § 44 Abs. 1 festgelegten Mindeststandards des BSI sind für sie verbindlich.
• Kommunalverwaltung ist als solche nicht erfasst. Kommunale Unternehmen können erfasst sein, wenn sie eine kritische Anlage betreiben oder in einem aufgeführten Sektor die Schwellenwerte erreichen.
• Niederlassung: Das BSI prüft, ob ein Unternehmen in Deutschland niedergelassen ist oder hier einen Vertreter benannt hat.

Das BSI teilt Unternehmen nicht mit, ob sie betroffen sind; jedes Unternehmen prüft das selbst. Eine allgemeine Befreiungsmöglichkeit gibt es ebenfalls nicht. Nach § 37 kann das Bundesministerium des Innern einen Ausnahmebescheid erlassen, als einfachen (teilweisen) oder erweiterten (vollständigen) Ausnahmebescheid. Das gilt nur für Einrichtungen, die in den Bereichen nationale Sicherheit, öffentliche Sicherheit, Verteidigung oder Strafverfolgung tätig sind oder Dienste für Behörden in diesen Bereichen erbringen, und nur, wenn sie gleichwertige Anforderungen einhalten. Das Ministerium handelt auf Vorschlag anderer Ministerien oder von sich aus; das BSI bestätigt, dass Einrichtungen keinen Ausnahmebescheid beantragen können.

Wann lief die Frist für die NIS2-Registrierung beim BSI ab, und wie registrieren Sie sich?

Die Registrierungspflicht steht in § 33 BSIG. Besonders wichtige Einrichtungen, wichtige Einrichtungen und Domain-Name-Registry-Dienstleister müssen sich spätestens drei Monate, nachdem sie erstmals oder erneut als solche gelten, beim BSI registrieren. Die Registrierungsmöglichkeit haben das BSI und das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) gemeinsam eingerichtet. Für Unternehmen, die mit dem Inkrafttreten des Gesetzes am 6. Dezember 2025 betroffen waren, endete diese Frist Anfang März 2026. Die NIS-2-Seite des BSI weist inzwischen darauf hin, dass die gesetzliche Frist abgelaufen ist und betroffene Einrichtungen sich umgehend im BSI-Portal registrieren sollen.

§ 33 Abs. 1 nennt die Angaben: Name der Einrichtung, einschließlich der Rechtsform und falls einschlägig der Handelsregisternummer; Anschrift und aktuelle Kontaktdaten, einschließlich E-Mail-Adresse, öffentlicher IP-Adressbereiche und Telefonnummern; der relevante Sektor aus Anlage 1 oder 2; die Mitgliedstaaten der EU, in denen Sie diese Dienste erbringen; und die zuständigen Aufsichtsbehörden des Bundes und der Länder. Änderungen sind dem BSI „unverzüglich, spätestens jedoch binnen zwei Wochen“ ab Kenntnis zu übermitteln (§ 33 Abs. 5).

Digitale Anbieter, für die die Regel der Hauptniederlassung gilt, etwa Anbieter von Cloud-Computing-Diensten, Rechenzentrumsdiensten und verwalteten Diensten, registrieren sich nach § 34. Sie melden öffentliche IP-Adressbereiche für die Hauptniederlassung und für weitere Standorte in der EU.

Die Registrierung erfolgt in zwei Schritten:

1. Beantragen Sie über Mein Unternehmenskonto (MUK), das Unternehmenskonto des Bundes, ein ELSTER-Zertifikat für Ihre Organisation (ELSTER-Organisationszertifikat). Dafür ist eine deutsche Steuernummer erforderlich. Der Aktivierungsbrief kommt per Post; die Zustellung dauert in der Regel mindestens fünf Werktage.
2. Registrieren Sie die Einrichtung mit diesem Zertifikat im BSI-Portal (portal.bsi.bund.de).

Bei den IP-Daten verlangt das BSI die öffentlichen IP-Adressbereiche, über die Sie exklusiv verfügen, etwa von RIPE oder einem Provider zugewiesene Bereiche und statische Adressen von Anschlüssen. Ob ein Bereich aktiv genutzt wird, spielt keine Rolle; dynamische Adressen und Adressen im Shared Hosting sind ausgenommen.

Bis zum 30. Juni 2026 hatten sich 17.729 Unternehmen registriert, darunter 6.215 besonders wichtige und 11.501 wichtige Einrichtungen. Nach Sektoren lag das Verarbeitende Gewerbe mit 4.095 Registrierungen vorn, vor Gesundheit (3.354), Digitaler Infrastruktur (2.373) und Energie (2.365). Ein Unternehmen kann sich in mehr als einem Sektor registrieren.

Was müssen Sie nach § 32 BSIG melden, und bis wann?

Ein erheblicher Sicherheitsvorfall (§ 2 Nr. 11 BSIG) hat schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht oder kann sie verursachen. Er liegt auch vor, wenn er Dritte durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Nach § 32 Abs. 1 gehen die Meldungen an die gemeinsame Meldestelle von BSI und BBK.

Stufe	Frist	Inhalt
Frühe Erstmeldung	Unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung	Frühwarnung: Verdacht auf rechtswidrige oder böswillige Handlungen, mögliche grenzüberschreitende Auswirkungen
Meldung über den Sicherheitsvorfall	Unverzüglich, spätestens innerhalb von 72 Stunden nach Kenntniserlangung	Bestätigt oder aktualisiert die Erstmeldung, mit einer ersten Bewertung von Schweregrad und Auswirkungen sowie gegebenenfalls den Kompromittierungsindikatoren
Zwischenmeldung	Auf Ersuchen des BSI	Relevante Statusaktualisierungen
Abschlussmeldung	Spätestens einen Monat nach Übermittlung der Meldung	Ausführliche Beschreibung, Schweregrad, Ursache, Maßnahmen, grenzüberschreitende Auswirkungen

Dauert der Vorfall nach einem Monat noch an, ist stattdessen eine Fortschrittsmeldung fällig, und die Abschlussmeldung folgt, sobald der Vorfall bewältigt ist. Die Faustregel des BSI lautet „Schnelligkeit vor Vollständigkeit“. Melden Sie früh, auch mit unvollständigen Informationen.

Registrierte Einrichtungen melden über das BSI-Portal. Eine Einrichtung, die vor ihrer Registrierung einen erheblichen Sicherheitsvorfall erleidet, nutzt das Onlineformular im Melde- und Informationsportal (MIP) des BSI. Betreiber kritischer Anlagen und Bundesbehörden nutzen vorerst ihre bisherigen Meldewege. Bis zum 30. Juni 2026 hatte das BSI über das Portal 692 frühe Erstmeldungen und insgesamt 1.659 NIS-2-Meldungen erhalten.

Wie Sie diese Fristen in der Praxis einhalten, erklärt der Beitrag zu den NIS2-Meldefristen für Sicherheitsvorfälle.

Was verlangt § 30 BSIG?

Nach § 30 Abs. 1 sind besonders wichtige Einrichtungen und wichtige Einrichtungen verpflichtet, „geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen“ zu ergreifen, und sie müssen die Einhaltung dieser Pflicht dokumentieren. Nach § 30 Abs. 2 sollen die Maßnahmen „den Stand der Technik einhalten, die einschlägigen europäischen und internationalen Normen berücksichtigen und müssen auf einem gefahrenübergreifenden Ansatz beruhen“. Die Vorschrift nennt zehn Mindestmaßnahmen, die Artikel 21 Absatz 2 der Richtlinie folgen:

§ 30 Abs. 2	Maßnahme	NIS2 Art. 21 Abs. 2
Nr. 1	Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik	Buchst. a
Nr. 2	Bewältigung von Sicherheitsvorfällen	Buchst. b
Nr. 3	Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement	Buchst. c
Nr. 4	Sicherheit der Lieferkette	Buchst. d
Nr. 5	Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung	Buchst. e
Nr. 6	Bewertung der Wirksamkeit der Risikomanagementmaßnahmen	Buchst. f
Nr. 7	Grundlegende Schulungen und Sensibilisierungsmaßnahmen	Buchst. g
Nr. 8	Einsatz von kryptographischen Verfahren	Buchst. h
Nr. 9	Sicherheit des Personals, Zugriffskontrolle, Verwaltung von IKT-Systemen, -Produkten und -Prozessen	Buchst. i
Nr. 10	Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung, gesicherte Kommunikation, gegebenenfalls gesicherte Notfallkommunikationssysteme	Buchst. j

Drei deutsche Besonderheiten:

• Die Dokumentation gehört zur Pflicht. Nach § 30 Abs. 1 müssen Einrichtungen die Einhaltung dokumentieren, nicht nur die Maßnahmen ergreifen. Fehlende Dokumentation ist selbst eine bußgeldbewehrte Ordnungswidrigkeit (§ 65 Abs. 2 Nr. 3).
• Der Stand der Technik ist nicht definiert. Das BSIG verweist in den §§ 3, 30, 31 und 44 auf den „Stand der Technik“, ohne ihn zu definieren. Das BSI verweist auf die Definition im Handbuch der Rechtsförmlichkeit des Bundes und veröffentlicht Hinweise dazu.
• ISO 27001 ist kein Nachweis. Nach Aussage des BSI bedeutet eine Zertifizierung nach ISO/IEC 27001 nicht automatisch, dass eine Einrichtung alle Anforderungen des § 30 erfüllt, und sie kann nicht als Nachweis der NIS-2-Konformität gelten. Das BSI nennt sie eine gute Grundlage.

Für Anbieter von Cloud-Computing-Diensten, Rechenzentrumsdiensten und Content Delivery Networks, Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste, DNS-Diensteanbieter und TLD-Registries, Online-Marktplätze, Online-Suchmaschinen, soziale Netzwerke und Vertrauensdiensteanbieter legt die Durchführungsverordnung (EU) 2024/2690 die detaillierten technischen Anforderungen fest und hat Vorrang (§ 30 Abs. 3). Auch Zulieferer außerhalb des Anwendungsbereichs spüren § 30: Das BSI weist darauf hin, dass regulierte Kunden nach § 30 Abs. 2 Nr. 4 ihre Lieferkette absichern müssen und Anforderungen weitergeben werden.

Jede Maßnahme erklärt der Beitrag NIS2 Artikel 21: die 10 Maßnahmen.

Welche zusätzlichen Pflichten gelten für KRITIS-Betreiber?

Betreiber kritischer Anlagen sind eine Teilmenge der besonders wichtigen Einrichtungen und tragen zusätzliche Pflichten:

• § 31 Abs. 1: Für die IT-Systeme, von denen ihre kritischen Anlagen abhängen, gelten höhere Schutzmaßnahmen als verhältnismäßig, sofern der Aufwand nicht außer Verhältnis zu den Folgen eines Ausfalls steht.
• § 31 Abs. 2: Sie müssen für die informationstechnischen Systeme, Komponenten und Prozesse, die für die Funktionsfähigkeit der Anlage maßgeblich sind, Systeme zur Angriffserkennung einsetzen. Diese müssen „geeignete Parameter und Merkmale aus dem laufenden Betrieb kontinuierlich und automatisch erfassen und auswerten“. Die Pflicht stammt aus dem alten Recht.
• § 39, Nachweispflichten: Sie müssen dem BSI alle drei Jahre durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nachweisen, dass die Maßnahmen nach den §§ 30 und 31 umgesetzt sind, und die Ergebnisse einschließlich der aufgedeckten Sicherheitsmängel übermitteln. Den ersten Zeitpunkt legt das BSI fest, frühestens drei Jahre, nachdem ein Betreiber erstmals als Betreiber einer kritischen Anlage gilt. Nach altem Recht galt ein Zweijahresrhythmus.
• Registrierung und Meldung: Sie registrieren sich im BSI-Portal als besonders wichtige Einrichtungen. Nach § 33 Abs. 2 erfolgt die Registrierung der kritischen Anlagen selbst gemäß § 8 des KRITIS-Dachgesetzes. Die KRITIS-Seite des BSI, abgerufen am 24. September 2026, verweist für die Registrierung von Anlagen und für KRITIS-Meldungen weiterhin auf das MIP und geht davon aus, dass es dafür bis zum 31. Dezember 2026 verfügbar bleibt. Ihre Meldungen müssen außerdem die Art der Anlage, die kritische Dienstleistung und die Auswirkungen auf diese Dienstleistung angeben (§ 32 Abs. 3).
• Energie: Wegen § 28 Abs. 5 ist die Zuständigkeit für Anlagen digitaler Energiedienste nach Angaben des BSI vom BSI auf die Bundesnetzagentur übergegangen. Betreiber, die dem BSI bisher nur Nachweise zur Angriffserkennung übermitteln mussten, übermitteln diese nicht mehr an das BSI.

Von den 6.215 bis zum 30. Juni 2026 registrierten besonders wichtigen Einrichtungen waren 1.342 KRITIS-Betreiber.

Was verlangt § 38 von der Geschäftsleitung?

Geschäftsleitung sind die natürlichen Personen, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung der Einrichtung berufen sind. In einer GmbH ist das die Geschäftsführung, in einer AG der Vorstand. § 38 regelt für die Geschäftsleitungen drei Punkte:

1. Umsetzen und überwachen. Sie müssen die nach § 30 zu ergreifenden Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1). Die Richtlinie sagt „billigen“; das BSIG sagt „umsetzen“.
2. Haftung. Geschäftsleitungen, die diese Pflichten verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung anwendbaren Regeln des Gesellschaftsrechts (§ 38 Abs. 2). Nach dem BSIG selbst haften sie nur, wenn die maßgeblichen gesellschaftsrechtlichen Bestimmungen keine solche Haftungsregelung enthalten.
3. Schulung. Sie müssen regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik erkennen und bewerten sowie deren Auswirkungen auf die Dienste der Einrichtung beurteilen zu können (§ 38 Abs. 3). Das BSI hat im April 2026 eine Handreichung zu Geschäftsleitungsschulungen veröffentlicht.

In der Praxis kann die Geschäftsleitung die Arbeit delegieren, nicht aber die Verantwortung. Als Nachweis sucht eine Behörde Aufzeichnungen darüber, was die Geschäftsleitung gesehen, entschieden und nachverfolgt hat, sowie Schulungsnachweise. Mehr dazu im Beitrag zur Verantwortung der Leitungsorgane nach NIS2.

Wie beaufsichtigt das BSI, und welche Bußgelder drohen?

Das BSI ist die Aufsichtsbehörde nach dem BSIG. § 61 regelt seine Aufsichts- und Durchsetzungsmaßnahmen gegenüber besonders wichtigen Einrichtungen, § 62 gegenüber wichtigen Einrichtungen, entsprechend der Aufteilung in den Artikeln 32 und 33 der Richtlinie. Nach § 61 Abs. 3 kann das BSI Nachweise verlangen, dass die Maßnahmen nach § 30 umgesetzt sind.

Wer die Maßnahmen nach § 30 nicht ergreift oder nicht dokumentiert oder die Meldungen nach § 32 einschließlich der Abschlussmeldung nicht abgibt, riskiert nach den Bußgeldvorschriften in § 65 diese Höchstbeträge:

Klasse	Höchstbetrag der Geldbuße
besonders wichtige Einrichtungen	10 Mio. EUR; 2 % des weltweiten Gesamtumsatzes, wenn der Umsatz des Unternehmens 500 Mio. EUR übersteigt (§ 65 Abs. 6)
wichtige Einrichtungen	7 Mio. EUR; 1,4 % des weltweiten Gesamtumsatzes, wenn der Umsatz des Unternehmens 500 Mio. EUR übersteigt (§ 65 Abs. 7)

Diese Beträge entsprechen den Mindesthöchstbeträgen, die Artikel 34 der Richtlinie vorschreibt: Der Prozentsatz übersteigt den Festbetrag erst bei einem Umsatz von über 500 Mio. EUR. Maßgeblich ist der Umsatz des gesamten Unternehmens, dem die Einrichtung angehört, im Geschäftsjahr vor der Behördenentscheidung (§ 65 Abs. 8). Die übliche Halbierung des Höchstbetrags bei Fahrlässigkeit nach § 17 Abs. 2 des Gesetzes über Ordnungswidrigkeiten (OWiG) gilt für diese Bußgelder nicht (§ 65 Abs. 9). KRITIS-Betreiber sind besonders wichtige Einrichtungen und fallen unter die höhere Stufe.

Für andere Verstöße gelten niedrigere Höchstbeträge: bis zu 500.000 EUR, wenn die Registrierung oder die Registrierungsangaben fehlen, und bis zu 1 Mio. EUR, wenn die KRITIS-Nachweise nach § 39 fehlen. Hat eine Datenschutzaufsichtsbehörde dasselbe Verhalten bereits nach Artikel 58 Absatz 2 Buchstabe i DSGVO mit einer Geldbuße belegt, folgt nach dem BSIG keine zweite Geldbuße (§ 65 Abs. 11). Wie der EU-Rahmen funktioniert, erklärt der Beitrag zu NIS2-Geldbußen.

Was lässt das BSIG in der Praxis offen?

Das BSIG sagt, was vorhanden sein muss, nicht, was ausreichend ist. § 30 verlangt Maßnahmen, die „wirksam“ und dokumentiert sind, gemessen an einem Stand der Technik, den das Gesetz nicht definiert. Ein Zertifikat klärt das nicht, wie das BSI zu ISO/IEC 27001 festgestellt hat. Und nach § 61 Abs. 3 kann das BSI von einer besonders wichtigen Einrichtung Nachweise verlangen.

Die Frage lautet also nicht „Haben wir eine Richtlinie zu Maßnahme Nr. 10?“, sondern „Können wir heute zeigen, dass MFA für jedes administrative Konto aktiv ist?“. Dasselbe gilt für Patchzeiten, Wiederherstellungstests, das Lieferantenregister und die Aufzeichnungen darüber, was die Geschäftsleitung geprüft hat. Die 24-Stunden-Frist in § 32 wirft dieselbe Frage auf: Sie können nur einen Vorfall melden, den Sie erkannt haben.

Diese Nachweise liegen im Identitätsanbieter, in den Endpoint-Tools, in den Cloud-Konten und im Ticketsystem. Von Hand vor einem Audit gesammelt, sind sie bei Ankunft veraltet. Laufend aus diesen Systemen erhoben, den Nummern des § 30 Abs. 2 zugeordnet und von einer Person auf Ausnahmen geprüft, beantworten sie die Frage, die das BSI stellt. So arbeitet die CloudSoul-Plattform, und das gesamte Programm finden Sie auf der Seite zur NIS2-Compliance.

Ein sinnvolles erstes Dokument ist die Entscheidung über die Betroffenheit selbst. Das BSI trifft sie nicht für Sie, und sie ist das Erste, was zu prüfen ist, wenn das BSI Ihre Registrierung hinterfragt.

BSIG-BETROFFENHEITSENTSCHEIDUNG (§ 28)

Einrichtung und Rechtsform:
In Deutschland niedergelassen oder Vertreter benannt:  ja / nein

Möglicherweise einschlägige Einrichtungsarten (Anlage 1 / Anlage 2):
  - Einrichtungsart | Sektor | Beschreibung der Tätigkeit

Ausgenommene vernachlässigbare Tätigkeiten (§ 28 Abs. 3):
  - Tätigkeit | Mitarbeiter | Umsatz | Anteil an der Bilanzsumme
  - in der Satzung genannt?                             ja / nein

Größe (Empfehlung 2003/361/EG, Jahresarbeitseinheiten):
  - eigene Zahlen: Mitarbeiter | Umsatz | Bilanzsumme
  - Partner- und verbundene Unternehmen hinzugerechnet?  ja / nein
  - IT-Unabhängigkeit nach § 28 Abs. 4 geltend gemacht?  ja / nein
    Nachweis:

Betreiber einer kritischen Anlage (BSI-KritisV)?        ja / nein
DORA-Finanzunternehmen (§ 28 Abs. 6)?                   ja / nein
Telekommunikation oder Energie nach § 28 Abs. 5?        ja / nein

Ergebnis: besonders wichtig / wichtig / nicht betroffen
Im BSI-Portal registriert am:              Referenz:
Von der Geschäftsleitung freigegeben am:   nächste Überprüfung:

Checkliste NIS2 Deutschland

• Halten Sie Ihre Entscheidung über die Betroffenheit nach § 28 schriftlich fest, einschließlich der Konzernzahlen und etwaiger vernachlässigbarer Tätigkeiten.
• Wenn Sie betroffen und nicht registriert sind, registrieren Sie sich jetzt im BSI-Portal: Die Frist ist abgelaufen. Melden Sie Änderungen innerhalb von zwei Wochen.
• Beantragen Sie das ELSTER-Zertifikat für Ihre Organisation frühzeitig; der Aktivierungsbrief braucht mindestens fünf Werktage.
• Testen Sie, ob Sie innerhalb von 24 Stunden nach Kenntnis eines Vorfalls eine frühe Erstmeldung abgeben können.
• Ordnen Sie Ihre Controls den zehn Maßnahmen des § 30 Abs. 2 zu und dokumentieren Sie sie.
• Dokumentieren Sie die Überwachung der Maßnahmen durch die Geschäftsleitung und planen Sie ihre Schulung nach § 38.
• KRITIS-Betreiber: Planen Sie den nächsten Nachweis nach § 39 im Dreijahresrhythmus.
• Halten Sie Nachweise für eine Anforderung des BSI nach § 61 Abs. 3 bereit.

Quellen

• Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung (NIS2UmsuCG) vom 2. Dezember 2025, BGBl. 2025 I Nr. 301, verkündet am 5. Dezember 2025, recht.bund.de.
• BSI-Gesetz (BSIG) vom 2. Dezember 2025, konsolidierte Fassung, zuletzt geändert durch das Gesetz vom 23. Juli 2026, gesetze-im-internet.de: § 28, § 30, § 31, § 32, § 33, § 37, § 38, § 39, § 65.
• BMI, Gesetzgebungsverfahren zum NIS2UmsuCG, bmi.bund.de.
• BSI, NIS-2-regulierte Unternehmen, bsi.bund.de.
• BSI, allgemeine NIS-2-FAQ, bsi.bund.de, und sektorspezifische FAQ, bsi.bund.de.
• BSI, Registrierungspflicht, bsi.bund.de, und Mein Unternehmenskonto, bsi.bund.de.
• BSI, NIS-2-Meldepflicht, bsi.bund.de.
• BSI, NIS-2 in Zahlen (Zahlen bis 30. Juni 2026), bsi.bund.de.
• BSI, Risikomanagementmaßnahmen, bsi.bund.de, und ISO/IEC 27001 im Kontext NIS-2/BSIG, bsi.bund.de.
• BSI, Kritische Infrastrukturen, bsi.bund.de.
• BSI, Geschäftsleitungsschulungen gemäß BSIG (NIS-2), 17. April 2026, bsi.bund.de.
• BSI, Mindeststandards des Bundes, bsi.bund.de.
• Richtlinie (EU) 2022/2555 (NIS2), Artikel 2, 3, 5, 20, 21, 23, 27, 32, 33, 34 und 35, EUR-Lex.
• Empfehlung 2003/361/EG der Kommission betreffend die Definition der Kleinstunternehmen sowie der kleinen und mittleren Unternehmen, EUR-Lex.
• Durchführungsverordnung (EU) 2024/2690 der Kommission, EUR-Lex.

Häufige Fragen