Wer ist betroffen und welche Arbeit bleibt, wenn die Registrierung erledigt ist.

Betroffen sind Einrichtungen, die zu einem der in den Anlagen 1 und 2 des BSIG genannten Sektoren gehören und die Größenschwellen des § 28 BSIG überschreiten. Als wichtige Einrichtung gilt in der Regel, wer ab 50 Beschäftigte hat oder Jahresumsatz und Bilanzsumme von jeweils über 10 Millionen Euro; als besonders wichtige Einrichtung, wer aus Anlage 1 kommt und ab 250 Beschäftigte hat oder über 50 Millionen Euro Umsatz und über 43 Millionen Euro Bilanzsumme. Unabhängig von der Größe erfasst sind unter anderem Betreiber kritischer Anlagen sowie qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Diensteanbieter.

In 2 Minuten prüfen: Betroffenheits-Check

In drei Schritten: Tätigkeit gegen die Einrichtungsarten der Anlagen 1 und 2 BSIG halten, Beschäftigtenzahl sowie Umsatz und Bilanzsumme gegen § 28 BSIG prüfen, Ergebnis dokumentieren. Das BSI stellt dafür eine kostenlose und anonyme Online-Betroffenheitsprüfung sowie einen Entscheidungsbaum als PDF bereit. Das Ergebnis ist eine Ersteinschätzung und ersetzt keine rechtliche Prüfung. Die Einordnung ist eine Selbsteinschätzung und muss nachgeführt werden, wenn sich Größe oder Geschäftstätigkeit ändern. Wer sich die manuelle Vorarbeit sparen will, durchläuft zuerst unseren Betroffenheits-Check: fünf Fragen, anonym, Ergebnis sofort und auf Wunsch als dokumentiertes PDF per E-Mail.

Betroffenheits-Check starten

Ja. Das NIS2-Umsetzungsgesetz wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet (BGBl. 2025 I Nr. 301) und ist am 6. Dezember 2025 in Kraft getreten. Es fasst das BSI-Gesetz neu. Übergangsfristen für die materiellen Pflichten sieht das Gesetz nicht vor.

Die gesetzliche Frist beträgt drei Monate ab dem Zeitpunkt, zu dem eine Einrichtung erstmals oder erneut als betroffen gilt (§ 33 BSIG); für die zum Inkrafttreten bereits betroffenen Einrichtungen lief sie bis zum 6. März 2026. Nach Presseberichten hat das BSI verspätete Registrierungen bis zum 31. Juli 2026 geduldet. Diese Nachfrist ist abgelaufen. Wer die Registrierung versäumt hat, holt sie nach. Die Pflicht besteht fort. Für Verstöße gegen die Registrierungspflicht sieht § 65 BSIG Geldbußen vor.

Automatisch nicht. Ein ISO-27001-Managementsystem deckt große Teile des Maßnahmenkatalogs des § 30 Absatz 2 BSIG ab und ist eine gute Ausgangslage. NIS2-spezifisch bleiben unter anderem die Registrierung beim BSI (§ 33 BSIG), die Meldeketten mit 24- und 72-Stunden-Fristen (§ 32 BSIG) und die persönlichen Pflichten der Geschäftsleitung einschließlich Schulungspflicht (§ 38 BSIG). Eine ISO-27001-Zertifizierung ist zudem kein gesetzlicher Nachweis der NIS2-Konformität.

Ein gesetzlich vorgeschriebenes NIS2-Zertifikat gibt es nicht. Turnusmäßige Nachweise gegenüber dem BSI treffen im Regelfall Betreiber kritischer Anlagen, erstmals frühestens drei Jahre nach der Bestimmung und danach alle drei Jahre, erbracht durch Sicherheitsaudits, Prüfungen oder Zertifizierungen (§ 39 BSIG). Bei besonders wichtigen und wichtigen Einrichtungen kann das BSI Audits, Prüfungen oder Zertifizierungen sowie die Vorlage von Nachweisen anordnen (§ 61 BSIG).

Bei einem erheblichen Sicherheitsvorfall: Erstmeldung unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung; eine weitere Meldung innerhalb von 72 Stunden mit Bewertung des Vorfalls; eine Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung, ersatzweise eine Fortschrittsmeldung, wenn der Vorfall noch andauert. Zwischenmeldungen kann das Bundesamt anfordern (§ 32 BSIG).

Geschäftsleitungen müssen die Risikomanagementmaßnahmen nach § 30 BSIG umsetzen und ihre Umsetzung überwachen. Verletzen sie diese Pflichten, haften sie ihrer Einrichtung gegenüber nach den gesellschaftsrechtlichen Bestimmungen (§ 38 BSIG). Zusätzlich besteht eine persönliche Pflicht zur regelmäßigen Teilnahme an Schulungen. Ein Intervall nennt das Gesetz nicht.

Weil § 30 Absatz 2 Nummer 4 BSIG betroffene Einrichtungen verpflichtet, die Sicherheit ihrer Lieferkette und die Beziehungen zu ihren unmittelbaren Anbietern zu adressieren. Betroffene Kunden geben Anforderungen daher an ihre Lieferanten weiter. Für den Lieferanten entsteht daraus keine gesetzliche Pflicht, wohl aber eine vertragliche, und dazu eine dauerhafte Nachweisaufgabe.

Der wesentliche Aufwand liegt nicht in der Einführung, sondern im Betrieb. Er verteilt sich auf wiederkehrende Kontrollen, Wirksamkeitsbewertungen, Lieferantenbewertungen, Schulungen und Schulungsnachweise, Notfallübungen, Dokumentenpflege, Nachführung der Registrierungsdaten und die Aufrechterhaltung der Meldefähigkeit. Wie hoch dieser Aufwand ausfällt, hängt vor allem davon ab, ob dieselben Nachweise über NIS2, ISO 27001, TISAX und Datenschutz hinweg mehrfach oder einmal erhoben werden.