DAT-07 | Datenschutz, KI & Informationssicherheit | Aktiv bei NIS2-Sektor ab 50 Beschäftigten oder 10 Mio. Euro Umsatz
NIS2 ist die einzige Baseline in diesem Katalog, bei der Du bereits eine gesetzliche Frist versäumt haben könntest. Das Gesetz gilt seit Dezember 2025, die Registrierungspflicht lief im März 2026 aus, die Nachfrist des BSI Ende Juli 2026. Und die Geschäftsleitung haftet hier persönlich.
Wenn Du betroffen bist und Dich noch nicht beim BSI registriert hast: Hole das umgehend nach. Die unterlassene Registrierung ist ein eigenständiger Bußgeldtatbestand; der Rahmen reicht bis 500.000 Euro. Eine verspätete Registrierung ist deutlich besser als gar keine.
GILT DAS FÜR DICH?
Du fällst unter NIS2, wenn beide Bedingungen zutreffen: Dein Unternehmen ist in einem der gelisteten Sektoren tätig und hat mindestens 50 Beschäftigte oder mehr als 10 Mio. Euro Jahresumsatz und Bilanzsumme. Betreiber kritischer Anlagen (KRITIS) sind unabhängig von der Größe erfasst.
Die Sektoren sind breiter, als der Name vermuten lässt. Neben Energie, Verkehr, Gesundheit, Wasser und digitaler Infrastruktur zählen dazu unter anderem: verarbeitendes Gewerbe (Medizinprodukte, Elektronik, Maschinenbau, Fahrzeugbau), Chemie, Lebensmittelproduktion und -großhandel, Post- und Kurierdienste, Abfallwirtschaft, Managed-Service- und Managed-Security-Provider, Anbieter digitaler Dienste und Forschungseinrichtungen.
Viele klassische Mittelständler im Maschinen- und Anlagenbau sind betroffen und wissen es nicht. Der Satz "wir sind doch keine kritische Infrastruktur" ist der häufigste Irrtum bei diesem Thema.
DAS MUSST DU TUN
- Prüfe Deine Betroffenheit und dokumentiere das Ergebnis. Das BSI stellt dafür eine Betroffenheitsprüfung bereit. Der Prüfvermerk ist auch bei negativem Ergebnis wichtig.
- Registriere Dich beim BSI, falls betroffen - sofort, wenn Du die Frist versäumt hast. Die Registrierung ist eine eigenständige Pflicht, unabhängig von allen anderen Maßnahmen.
- Setze die Risikomanagementmaßnahmen um: Risikoanalyse und Sicherheitskonzept, Bewältigung von Sicherheitsvorfällen, Business Continuity und Backup-Management, Sicherheit der Lieferkette, Sicherheit bei Beschaffung und Entwicklung, Konzepte zur Bewertung der Wirksamkeit, Kryptografie, Personalsicherheit und Zugriffskontrolle, Multi-Faktor-Authentifizierung und gesicherte Kommunikation.
- Richte den Meldeprozess für erhebliche Sicherheitsvorfälle ein. Der Ablauf ist dreistufig: Erstmeldung binnen 24 Stunden, Folgemeldung binnen 72 Stunden, Abschlussbericht binnen eines Monats. Übe diesen Ablauf, bevor Du ihn brauchst.
- Die Geschäftsleitung muss die Maßnahmen billigen und überwachen - und sich selbst regelmäßig schulen lassen. Das ist ausdrücklich vorgeschrieben und nicht delegierbar.
- Nimm die Lieferkettensicherheit auf: Anforderungen an IT-Dienstleister gehören in die Verträge.
- Dokumentiere alles nachweisfähig. Das BSI kann die Umsetzung überprüfen.
GRÜN IST ES, WENN ...
Die Betroffenheitsprüfung ist dokumentiert. Falls betroffen: Die Registrierung beim BSI ist erfolgt, die Risikomanagementmaßnahmen sind umgesetzt und von der Geschäftsleitung freigegeben, und der 24-Stunden-Meldeweg ist eingerichtet und getestet.
DIESE NACHWEISE BRAUCHST DU
Prüfvermerk zur Betroffenheit, Registrierungsbestätigung des BSI, Sicherheitskonzept und Risikoanalyse, Incident-Response-Plan mit Meldewegen, Freigabevermerk und Schulungsnachweis der Geschäftsleitung.
DIE RECHTSGRUNDLAGE
- BSI-Gesetz (BSIG) in der Fassung des NIS2-Umsetzungsgesetzes: Seit dem 6. Dezember 2025 in Kraft. Enthält die Registrierungspflicht, die Risikomanagementmaßnahmen, die Meldefristen und die Bußgeldvorschriften.
- Richtlinie (EU) 2022/2555 - NIS2-Richtlinie: Die europäische Grundlage mit den Sektorenanhängen.
- BSI - Informationen für NIS2-regulierte Unternehmen: Betroffenheitsprüfung, Registrierungsportal, FAQ und Hinweise zur Meldung von Sicherheitsvorfällen.
TYPISCHE STOLPERFALLEN
- Betroffenheit unterschätzt. Das verarbeitende Gewerbe ist erfasst - viele Maschinenbauer, Elektronikhersteller und Medizinproduktehersteller fallen darunter.
- Registrierung versäumt. Eigener Bußgeldtatbestand, unabhängig davon, wie gut Deine IT-Sicherheit ist.
- 24 Stunden nicht eingeübt. Wer erst im Vorfall herausfindet, wer melden darf, verpasst die Frist.
- Geschäftsleitung nicht eingebunden. Billigung und Überwachung durch die Leitung sind ausdrücklich vorgeschrieben - ein IT-Projekt allein reicht nicht.
- Lieferkette vergessen. Anforderungen an Deine IT-Dienstleister sind Teil der Pflichten, nicht Kür.
WIE KANN DIR COMPLIANCE.ONE DABEI HELFEN?
Wenn Du betroffen bist und die Registrierung noch aussteht, ist das der dringendste Punkt in diesem ganzen Dokument. Wir helfen, die Lücke zu schließen.
Information Security Officer / CISO: Betroffenheitsprüfung, Aufbau der Risikomanagementmaßnahmen, Incident-Response mit 24-Stunden-Meldeweg und die Vorlage zur Freigabe durch die Geschäftsleitung.
Information Security / ISO 27001 Readiness: Gap-Analyse und Maßnahmenplan - die NIS2-Anforderungen decken sich in weiten Teilen mit ISO 27001.
Compliance.Learning: Die vorgeschriebene Schulung der Geschäftsleitung nachweisbar durchführen.
Mehr zum Thema: NIS2-Richtlinie auf compliance.one
Unsicher, was für Dich das Richtige ist? Wir schauen gemeinsam drauf:
