NIS-2:Wie sie in 20 minuten feststellen, ob es sie betrifft

NIS-2 ist ein EU-Gesetz, das dafür sorgen soll, dass wichtige Dienste weiterlaufen, wenn jemand sie angreift. Es hat ein engeres Gesetz von 2016 abgelöst und deutlich mehr Unternehmen einbezogen.

Es ist eine Richtlinie und bindet damit niemanden direkt. Jeder Mitgliedstaat schreibt seine eigene Fassung. Die deutsche ist das NIS2UmsuCG, dessen Hauptaufgabe darin bestand, ein bestehendes Gesetz neu zu fassen: das BSI-Gesetz (BSIG). Wenn ein deutsches Unternehmen sagt, NIS-2 gelte für es, dann stehen die Regeln, die es befolgen muss, im BSIG.

Niemand teilt Ihnen mit, dass Sie betroffen sind. Das BSI verschickt keine Briefe. Sie stellen es selbst fest, registrieren sich selbst und bewahren Ihre Begründung auf, denn das BSI kann Sie später in das Register aufnehmen und fragen, wie Sie zu Ihrem Ergebnis gekommen sind.

Das BSIG enthält zwei Sektorenlisten, Anlage 1 und Anlage 2. Diese gelten für Ihre Tätigkeit in Deutschland. Die Anhänge der EU-Richtlinie sind anders gegliedert, und jeder Mitgliedstaat hat eine eigene Liste geschrieben. Eine Gruppe mit Einheiten in mehreren Ländern führt diesen Test also pro Land einmal durch.

Anlage 1, wo ein Ausfall den größten Schaden anrichtet: Energie, Verkehr, Finanz- und Versicherungswesen, Gesundheit, Wasser und Abwasser, Informationstechnik und Telekommunikation, Weltraum.

Anlage 2, der Rest: Post- und Kurierdienste, Abfallwirtschaft, Chemie, Ernährung, verarbeitendes Gewerbe, digitale Dienste, Forschung.

Was viele suchen und nicht finden, ist ein Sektor öffentliche Verwaltung. Bundeseinrichtungen stehen in einer eigenen Vorschrift, und die Länder regeln ihre Behörden selbst.

Alles andere, was hier schiefgeht, geht auf dieselbe Weise schief. Ein Sektorname bedeutet im Gesetz etwas Engeres als in der Alltagssprache, jemand liest ihn im Alltagssinn und schließt sich selbst aus. Zwei Fälle kommen ständig vor.

„Digitale Dienste" in Anlage 2 klingt nach jedem, der etwas Digitales verkauft. Im Gesetz sind damit Online-Marktplätze, Online-Suchmaschinen und soziale Netzwerke gemeint, sonst nichts. Ein Managed Service Provider, der diesen Eintrag prüft und sich nicht wiedererkennt, liest an der falschen Stelle. Einen eigenen Sektor für die Verwaltung von IKT-Diensten gibt es in den deutschen Listen nicht. Managed Services und Managed Security Services stehen in Anlage 1 unter Informationstechnik und Telekommunikation, neben Rechenzentren, Cloud, Content Delivery Networks, DNS und Vertrauensdiensten.

„Verarbeitendes Gewerbe" klingt nach Produktionshalle. Im Gesetz ist es eine feste Liste: Medizinprodukte und In-vitro-Diagnostika, Datenverarbeitungsgeräte sowie elektronische und optische Erzeugnisse, elektrische Ausrüstungen, Maschinenbau, Kraftwagen und Kraftwagenteile sowie sonstiger Fahrzeugbau, worunter neben Luftfahrzeugen auch Schiffe und Fahrräder fallen. Ein Unternehmen, das Steuerungselektronik entwickelt und baut, steht auf dieser Liste, ganz gleich, ob es sich selbst als Hersteller bezeichnet.

Lesen Sie also die Einträge, nicht die Überschriften. Finden Sie sich wieder, geht es zu Schritt zwei. Finden Sie nichts, sind Sie über den Sektor draußen. Die Arbeit, die dann trotzdem bleibt, steht unten unter „Wenn Sie nicht betroffen sind".

Der Sektor allein genügt nicht. Die Größe entscheidet, ob Sie betroffen sind und in welche Kategorie Sie fallen.

Größerer Schwellenwert: mindestens 250 Beschäftigte. Oder mehr als 50 Millionen Euro Umsatz zusammen mit einer Bilanzsumme von mehr als 43 Millionen Euro.

Kleinerer Schwellenwert: mindestens 50 Beschäftigte. Oder Umsatz und Bilanzsumme jeweils über 10 Millionen Euro. Lesen Sie das zweimal. „Jeweils" heißt beide Werte, nicht einer von beiden. 12 Millionen Umsatz bei 6 Millionen Bilanzsumme reißt die Schwelle nicht.

Anlage 1 über dem größeren Schwellenwert macht Sie zur besonders wichtigen Einrichtung. Anlage 1 über dem kleineren, oder Anlage 2 über einem der beiden, macht Sie zur wichtigen Einrichtung. Unter dem kleineren Schwellenwert sind Sie draußen, sofern Schritt drei Sie nicht doch erfasst. Der volle Wortlaut steht in § 28 BSIG.

Zwei Regeln verbiegen diese Rechnung, und beide werden regelmäßig übersehen.

Sie zählen nicht nur sich selbst. Der Test verwendet die EU-Definition der Unternehmensgröße aus der Empfehlung 2003/361/EG, die Partnerunternehmen und verbundene Unternehmen hinzurechnet. Eine Tochter mit 30 Beschäftigten in einem Konzern mit 4.000 Beschäftigten ist hier kein Unternehmen mit 30 Beschäftigten. Der Ausweg ist eng: echte Unabhängigkeit bei Auslegung und Betrieb Ihrer IT-Systeme und Prozesse.

Ein gutes Jahr genügt nicht. Der Status ändert sich erst, wenn ein Schwellenwert in zwei aufeinanderfolgenden Geschäftsjahren überschritten wird, und dasselbe gilt beim Weg nach unten.

Einige Einrichtungsarten sind unabhängig von ihrer Größe betroffen, und das Gesetz legt zugleich fest, in welche Kategorie sie fallen.

Besonders wichtige Einrichtungen unabhängig von der Größe: Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries und DNS-Diensteanbieter.

Wichtige Einrichtungen unabhängig von der Größe: nicht qualifizierte Vertrauensdiensteanbieter.

Anbieter öffentlicher Telekommunikationsnetze und -dienste sind immer betroffen, hier bestimmt die Größe aber weiterhin die Kategorie: ein kleiner Anbieter ist eine wichtige Einrichtung, ein großer eine besonders wichtige.

„Kritische Anlage" ist ein definierter Begriff und keine Beschreibung. Eine Anlage fällt erst darunter, wenn sie einen Schwellenwert der KRITIS-Regelungen überschreitet, in der Regel die Versorgung von 500.000 Personen. Ein regionaler Energieversorger kann also über den Größentest betroffen sein und trotzdem keine kritische Anlage betreiben. Das ist relevant, weil an diesem Status die schwereren Pflichten und eine eigene Registrierung hängen.

Beim BSI registrieren. Zwei Schritte: ein Konto bei Mein Unternehmenskonto, danach die Registrierung im BSI-Portal. Anzugeben sind Name, Anschrift und Rechtsform, Sektor und Einrichtungsart, die Mitgliedstaaten, in denen Sie Dienste erbringen, Ihre Größenangaben, Ihre öffentlichen IP-Bereiche und eine benannte Kontaktstelle. Änderungen sind binnen zwei Wochen zu melden (§ 33 BSIG, Anleitung des BSI).

Die Maßnahmen umsetzen. § 30 BSIG nennt zehn: Risikoanalyse und Sicherheitskonzepte, Bewältigung von Sicherheitsvorfällen, Betriebskontinuität, Sicherheit der Lieferkette, Sicherheit bei Beschaffung und Entwicklung, Verfahren zur Bewertung der Wirksamkeit, Schulung und Sensibilisierung, Kryptografie, Personalsicherheit und Zugriffskontrolle sowie Multi-Faktor-Authentisierung und gesicherte Kommunikation. Sie müssen dokumentiert und verhältnismäßig sein. Ihre Geschäftsleitung muss sie billigen, ihre Umsetzung überwachen und an Schulungen teilnehmen, und kann diese Pflicht nicht delegieren (§ 38).

Erhebliche Sicherheitsvorfälle im Dreistufentakt melden. 24 Stunden für eine kurze Erstmeldung, die einen Verdacht auf eine Straftat kennzeichnen kann. 72 Stunden für eine Bewertung mit Schweregrad, Auswirkungen und Kompromittierungsindikatoren. Ein Monat für die Abschlussmeldung mit Ursache, ergriffenen Maßnahmen und grenzüberschreitenden Auswirkungen. Das BSI kann Zwischenmeldungen anfordern, und wenn der Vorfall nach einem Monat noch andauert, ist die Abschlussmeldung einen Monat nach seinem Ende fällig. In bestimmten Fällen müssen Sie auch betroffene Kunden unterrichten (§ 32, § 35).

Registrieren Sie zuerst, und rechnen Sie damit, spät dran zu sein. Das Gesetz trat am 6. Dezember 2025 in Kraft, die Registrierung war binnen drei Monaten fällig, also am 6. März 2026. Das BSI hat Registrierungen bis zum 31. Juli entgegengenommen, ohne die Verspätung zu verfolgen, weshalb dieses Datum oft als Fristverlängerung bezeichnet wird. Eine war es nie. Bis Ende Juni hatten sich 17.729 Einrichtungen registriert, bei einer BSI-Schätzung von rund 29.500 betroffenen Einrichtungen. Die Pflicht läuft weiter, und wer in die Betroffenheit hineinwächst, hat ab diesem Zeitpunkt drei Monate.

Zwei Dinge sollten Sie prüfen, bevor Sie irgendetwas aufbauen. Betreiber kritischer Anlagen haben eine zusätzliche Registrierung beim BBK nach dem KRITIS-Dachgesetz. Und § 28 Absatz 5 und 6 BSIG nimmt bestimmte Einrichtungen von den Hauptpflichten aus, weil sektorspezifisches Recht dasselbe bereits regelt: Betreiber öffentlicher Telekommunikationsnetze und Energieanlagen nach §§ 5c bis 5e EnWG, Finanzunternehmen nach DORA und Betreiber der Telematikinfrastruktur nach § 311 SGB V.

Die Sicherheit der Lieferkette ist eine der zehn Pflichten, und sie wandert weiter. Sie erreicht Lieferanten als Fragebogen, Nachweisanforderung und Vertragsklausel. Kein Zertifikat bringt das zum Stillstand.

Einen offiziellen Lieferantenfragebogen gibt es nicht. Einkäufer bauen ihren aus § 30 BSIG, weil sie selbst daran gemessen werden. Nehmen Sie diese Liste also als Ihre eigene. Sie sollten Folgendes zeigen können:

• Zugriff. Welche Systeme und Daten existieren, wer auf welche zugreifen kann, wie Zugriff erteilt und wieder entzogen wird, wo MFA erzwungen wird.
• Schwachstellen. Woher Sie Informationen beziehen, wie schnell Sie nach Schweregrad patchen, was Sie tun, wenn Sie nicht patchen können.
• Vorfälle. Ein schriftlicher Prozess, benannte Rollen, Erreichbarkeit außerhalb der Geschäftszeiten und wie schnell Sie einen Kunden informieren können. NIS-2-Klauseln geben die 24-Stunden-Meldung meist an Lieferanten weiter, deshalb wird dieser Punkt genau gelesen.
• Wiederanlauf. Backups, wann Sie zuletzt eine Rücksicherung getestet haben, und Ihre tatsächliche Wiederanlaufzeit statt der Zahl aus der Richtlinie.
• Verantwortliche und Ihre eigenen Lieferanten. Ein Name je Punkt, und dieselben Fragen eine Ebene tiefer für alle mit Zugriff auf Ihre Systeme.

Dieser Teil gilt für alle, die den Test durchlaufen haben, ob betroffen oder nicht. Das Ergebnis nützt Ihnen nur, wenn Sie später zeigen können, wie Sie darauf gekommen sind.

Tun Sie es, bevor Sie den Tab schließen. Wegen der Zwei-Jahres-Regel führen Sie diesen Test nächstes Jahr erneut durch und wollen dann wissen, wovon Sie ausgegangen sind. Eine Seite genügt: ob Sie betroffen sind oder nicht, der Eintrag in Anlage 1 oder 2, den Sie getroffen oder ausgeschlossen haben, die Größenangaben mit den beiden Geschäftsjahren und der Angabe, ob Partnerunternehmen und verbundene Unternehmen einbezogen sind, Datum und ausführende Person, die verwendeten Quellen sowie alles Unklare mit Ihrer Begründung.

Setzen Sie eine Erinnerung auf den Zeitpunkt, an dem Ihr nächster Jahresabschluss festgestellt wird. Es schickt Ihnen ohnehin niemand einen Brief, so oder so. Diese Seite ist damit der einzige Nachweis, wie Sie entschieden haben.

Wenn Sie selbst nicht betroffen sind, Ihre Kunden aber schon, landet der Fragebogen trotzdem bei Ihnen, und Ihr Incident-Prozess ist die Maßnahme, nach der zuerst gefragt wird. Und weil die Meldung an einer 24-Stunden-Uhr hängt, ist ein belastbares Asset-Register das, was Ihnen sagt, was tatsächlich betroffen war, wenn Sie einen Tag Zeit haben, das zu beantworten.