NIS2: Betroffenheit, Registrierung und Pflichten nach dem BSIG

NIS2-Betroffenheit: Einrichtungsart und Unternehmensgröße

Ob ein Unternehmen erfasst ist, regelt § 28 BSIG. Außerhalb der dort einzeln genannten Einrichtungsarten müssen zwei Merkmale zusammenkommen. Ein Unternehmen, das anderen entgeltlich Waren oder Dienstleistungen anbietet, muss einer der Einrichtungsarten zuzuordnen sein, die Anlage 1 und Anlage 2 des Gesetzes bestimmen, und eine Mindestgröße erreichen. Die Anlagen gliedern nach Sektor, Branche und Einrichtungsart und verweisen dabei teils auf Fachgesetze, teils auf die Statistische Systematik der Wirtschaftszweige (NACE Rev. 2).

Wichtige Einrichtung ist ein solches Unternehmen aus Anlage 1 oder 2, wenn es mindestens 50 Mitarbeiter beschäftigt oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweist (§ 28 Abs. 2 Satz 1 Nr. 3 BSIG). Besonders wichtige Einrichtung ist ein Unternehmen aus Anlage 1, das mindestens 250 Mitarbeiter beschäftigt oder einen Jahresumsatz von über 50 Millionen Euro und zudem eine Jahresbilanzsumme von über 43 Millionen Euro aufweist (§ 28 Abs. 1 Satz 1 Nr. 4). Unternehmen, die nur Einrichtungsarten der Anlage 2 zuzuordnen sind, können über die Größe allein nur wichtige Einrichtung werden. Ohne Größenschwelle erfasst sind einzelne Einrichtungsarten, etwa Betreiber kritischer Anlagen und qualifizierte Vertrauensdiensteanbieter als besonders wichtige Einrichtungen (§ 28 Abs. 1 Satz 1 Nr. 1 und 2).

Bei der Zuordnung zu einer Einrichtungsart dürfen Geschäftstätigkeiten unberücksichtigt bleiben, die im Hinblick auf die gesamte Geschäftstätigkeit vernachlässigbar sind (§ 28 Abs. 3). Mitarbeiterzahl, Umsatz und Bilanzsumme werden nach der Empfehlung der Kommission 2003/361/EG bestimmt. Daten von Partner- oder verbundenen Unternehmen werden nicht hinzugerechnet, wenn das Unternehmen mit Blick auf Beschaffenheit und Betrieb seiner informationstechnischen Systeme, Komponenten und Prozesse von ihnen unabhängig ist (§ 28 Abs. 4). Für Finanzunternehmen im Sinne der Verordnung (EU) 2022/2554 (Digital Operational Resilience Act, DORA) gelten unter anderem die Vorschriften über Risikomanagement, Meldungen und Geschäftsleitung nicht (§ 28 Abs. 6 Nr. 1 BSIG); § 33 (Registrierung) gehört nicht zu den dort ausgenommenen Vorschriften.

Die Prüfung muss das Unternehmen selbst vornehmen, denn das BSI teilt die Betroffenheit nicht mit. Seine NIS-2-Betroffenheitsprüfung ist nach eigener Angabe eine Orientierungshilfe, deren Ergebnis rechtlich nicht bindend ist und die die Prüfung zur Selbst-Identifizierung nicht ersetzt (dazu auch die FAQ des BSI zu NIS-2). Im Einzelfall zu klären sind etwa die Zuordnung einer Tätigkeit zu einer Einrichtungsart, die Frage, ob eine Tätigkeit vernachlässigbar ist, und in Unternehmensgruppen die Unabhängigkeit der IT.

NIS2-Registrierung beim BSI

Besonders wichtige und wichtige Einrichtungen müssen sich spätestens drei Monate, nachdem sie erstmals oder erneut als solche gelten, beim BSI registrieren (§ 33 Abs. 1 BSIG). Anzugeben sind unter anderem Name und Rechtsform, Anschrift und Kontaktdaten einschließlich der öffentlichen IP-Adressbereiche, der Sektor oder die Branche nach Anlage 1 oder 2, die Mitgliedstaaten, in denen die Einrichtung Dienste dieser Einrichtungsarten erbringt, und die zuständigen Aufsichtsbehörden. Die Frist kann deshalb auch später beginnen, etwa wenn ein Unternehmen wächst und die Schwellen erreicht. Nach den FAQ des BSI genügt dafür bei einem bestehenden Unternehmen ein einzelnes Geschäftsjahr über der Schwelle nicht, weil die Empfehlung 2003/361/EG auf zwei aufeinanderfolgende Geschäftsjahre abstellt.

Für Einrichtungen, die schon beim Inkrafttreten erfasst waren, ist die gesetzliche Frist abgelaufen. Das BSI fordert Betroffene, die noch nicht registriert sind, auf seiner Seite für NIS-2-regulierte Unternehmen auf, sich umgehend zu registrieren; eine allgemeine Übergangsfrist sieht das Gesetz nach den FAQ des BSI nicht vor. Nach den Angaben des BSI beantragt das Unternehmen zuerst über den Dienst „Mein Unternehmenskonto“ ein ELSTER-Organisationszertifikat und registriert sich damit im BSI-Portal.

Wer vorsätzlich oder fahrlässig die Angaben nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermittelt, handelt ordnungswidrig; die Geldbuße beträgt bis zu 500.000 Euro (§ 65 Abs. 2 Nr. 6, Abs. 5 Satz 1 Nr. 5 BSIG). Erfüllt eine Einrichtung ihre Pflicht nicht, kann das BSI die Registrierung im Einvernehmen mit den zuständigen Aufsichtsbehörden selbst vornehmen (§ 33 Abs. 3). Rechtfertigen Tatsachen die Annahme, dass eine Einrichtung ihre Registrierungspflicht nicht erfüllt hat, muss sie dem BSI auf Verlangen Unterlagen vorlegen und Auskunft erteilen (§ 33 Abs. 4). Mehr zur abgelaufenen Frist steht im Datenschutz-Blog im Beitrag zur versäumten NIS2-Registrierung.

NIS2-Pflichten: Risikomanagement und Meldungen

Besonders wichtige und wichtige Einrichtungen müssen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten und Prozesse zu vermeiden und Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten (§ 30 Abs. 1 BSIG). Was verhältnismäßig ist, richtet sich unter anderem nach der Risikoexposition, der Größe der Einrichtung, den Umsetzungskosten und der Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen. Die Einrichtung muss die Einhaltung dokumentieren.

Zumindest umfassen müssen die Maßnahmen Konzepte zur Risikoanalyse und zur Sicherheit in der Informationstechnik, die Bewältigung von Sicherheitsvorfällen, die Aufrechterhaltung des Betriebs mit Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement, die Sicherheit der Lieferkette, Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen einschließlich des Managements von Schwachstellen, die Bewertung der Wirksamkeit der Maßnahmen, Schulungen, kryptographische Verfahren, Personalsicherheit und Zugriffskontrolle sowie Multi-Faktor-Authentifizierung und gesicherte Kommunikation (§ 30 Abs. 2 Satz 2). Für einige digitale Dienste gehen die Anforderungen eines Durchführungsrechtsakts der Europäischen Kommission vor (§ 30 Abs. 3). Eine Zertifizierung allein reicht nach den FAQ des BSI nicht aus, um sämtliche Anforderungen des BSIG zu erfüllen, kann aber ein Baustein der Maßnahmen sein. Zur Lieferkette gehören auch die Verträge mit Lieferanten und Dienstleistern, in denen sich Sicherheitszusagen, Informationspflichten bei Vorfällen und Prüfrechte festlegen lassen; für Cloud-Leistungen dazu die Seite Vertrag über Software as a Service (SaaS) und Service Level Agreement.

Erhebliche Sicherheitsvorfälle melden die Einrichtungen an die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe. Unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, geht eine frühe Erstmeldung ein, unverzüglich, spätestens innerhalb von 72 Stunden nach Kenntniserlangung eine Meldung mit einer ersten Bewertung und spätestens einen Monat nach dieser Meldung eine Abschlussmeldung; dauert der Vorfall dann noch an, tritt eine Fortschrittsmeldung an ihre Stelle. Die Pflicht gilt frühestens ab Einrichtung des Meldewegs (§ 32 Abs. 1 und 2 BSIG). Erheblich ist ein Sicherheitsvorfall, der schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann oder andere durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann, sofern keine Rechtsverordnung den Begriff näher bestimmt (§ 2 Nr. 11 BSIG). Betrifft der Vorfall personenbezogene Daten, kann zusätzlich eine Meldepflicht gegenüber der Datenschutzaufsicht bestehen (dazu die Seite Datenpanne); erste Schritte nach einem Angriff beschreibt die Seite zum Cyberangriff.

Ergreift eine Einrichtung vorsätzlich oder fahrlässig die Maßnahmen nach § 30 Abs. 1 nicht, dokumentiert sie sie nicht oder meldet sie einen erheblichen Sicherheitsvorfall nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig, beträgt die Geldbuße bei besonders wichtigen Einrichtungen bis zu zehn Millionen Euro und bei wichtigen Einrichtungen bis zu sieben Millionen Euro (§ 65 Abs. 2 Nr. 2 bis 5, Abs. 5 Satz 1 Nr. 1 BSIG). Hat das Unternehmen, dem die Einrichtung angehört, weltweit einen Gesamtumsatz von mehr als 500 Millionen Euro, reicht der Rahmen bis zu 2 Prozent dieses Umsatzes bei besonders wichtigen und bis zu 1,4 Prozent bei wichtigen Einrichtungen (§ 65 Abs. 6 bis 8). Hat eine Datenschutzaufsichtsbehörde für dasselbe Verhalten bereits eine Geldbuße nach Art. 58 Abs. 2 Buchst. i der Datenschutz-Grundverordnung (DSGVO) verhängt, darf keine weitere nach dem BSIG folgen (§ 65 Abs. 11).

Pflichten der Geschäftsleitung

Die Geschäftsleitung muss die Risikomanagementmaßnahmen nach § 30 BSIG umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1 BSIG). Geschäftsleitung ist jede natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung der Einrichtung berufen ist (§ 2 Nr. 13). Verletzt sie diese Pflichten, haftet sie der Einrichtung für einen schuldhaft verursachten Schaden nach den Regeln des Gesellschaftsrechts, die für die Rechtsform der Einrichtung gelten; nach dem BSIG selbst haftet sie nur, wenn diese Regeln keine solche Haftung vorsehen (§ 38 Abs. 2).

Außerdem muss die Geschäftsleitung regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagementpraktiken in der Informationstechnik erkennen und bewerten und ihre Auswirkungen auf die Dienste der Einrichtung beurteilen zu können (§ 38 Abs. 3). Das BSI hat am 17.04.2026 Hinweise zu Geschäftsleitungsschulungen veröffentlicht. Wer an einer Schulung teilgenommen hat und welche Maßnahmen die Geschäftsleitung umgesetzt und wie sie deren Umsetzung überwacht hat, lässt sich mit Datum festhalten, damit die Erfüllung der Pflichten aus § 38 später belegbar ist.