NIS2: Was die Richtlinie bedeutet und wer betroffen ist

NIS2 steht für die zweite Fassung der europäischen Richtlinie über Netz- und Informationssicherheit. Sie löst die erste NIS-Richtlinie von 2016 ab, die im Wesentlichen nur Betreiber kritischer Infrastrukturen betraf. Mit NIS2 hat die EU den Kreis der Unternehmen deutlich erweitert: Jetzt fallen auch viele mittelständische Industriebetriebe unter die Regeln, die bisher keine Berührung mit Cybersicherheitsaufsicht hatten. Deutschland hat die Richtlinie nicht als eigenes Gesetz umgesetzt, sondern das bestehende BSI-Gesetz (BSIG) umfassend geändert. Die Regeln gelten seit dem 6. Dezember 2025, ohne Übergangsfrist.

Wer von NIS2 betroffen ist

Ob ein Unternehmen unter NIS2 fällt, hängt von zwei Dingen ab: von der Branche und von der Größe. Das BSI-Gesetz unterscheidet zwei Gruppen. Besonders wichtige Einrichtungen stammen aus den Sektoren in Anlage 1 (etwa Energie, Transport, Gesundheit, digitale Infrastruktur) und sind Großunternehmen. Wichtige Einrichtungen sind mittlere Unternehmen aus Anlage 1 oder Unternehmen ab mittlerer Größe aus den Sektoren in Anlage 2. Zu Anlage 2 gehört das verarbeitende Gewerbe und damit ein großer Teil der Industrie.

Für Industrieunternehmen besonders relevant sind diese Einrichtungsarten aus Anlage 2 BSIG. Die Zuordnung erfolgt über die europäische Wirtschaftszweigklassifikation NACE Rev. 2:

Fazit der Tabelle: Nicht die gesamte Industrie ist erfasst, aber gerade Maschinenbau, Elektro, Elektronik und Fahrzeugzulieferer fallen ab 50 Beschäftigten oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme in der Regel unter NIS2. Metallverarbeiter oder Kunststoffhersteller ohne diese Zuordnung sind meist nicht direkt betroffen.

Zwei Feinheiten sind wichtig. Erstens zählen für die Größe in der Regel auch Partner- und verbundene Unternehmen nach der KMU-Definition der EU mit; davon kann abgesehen werden, wenn die IT eines Unternehmens unabhängig von der Gruppe betrieben wird. Zweitens können Tätigkeiten außer Acht bleiben, die im Verhältnis zur gesamten Geschäftstätigkeit vernachlässigbar sind. Wer etwa als Handelsunternehmen nur am Rand Baugruppen montiert, ist nicht automatisch ein Maschinenbauer im Sinne des Gesetzes. Eine erste Orientierung gibt die unverbindliche Betroffenheitsprüfung des BSI. In Grenzfällen ist eine rechtliche Einschätzung sinnvoll.

Welche Pflichten NIS2 mit sich bringt

Betroffene Unternehmen müssen vier Dinge leisten: sich registrieren, Risiken systematisch steuern, Vorfälle melden und die Geschäftsleitung in die Verantwortung nehmen.

Registrierung: Innerhalb von drei Monaten, nachdem ein Unternehmen unter NIS2 fällt, muss es sich beim BSI registrieren (§ 33 BSIG). Anzugeben sind unter anderem Rechtsform, Kontaktdaten, öffentliche IP-Adressbereiche, Sektor und zuständige Aufsichtsbehörden. Für Unternehmen, die schon bei Inkrafttreten betroffen waren, lief diese Frist am 6. März 2026 ab. Wer die Registrierung versäumt hat, sollte sie unverzüglich nachholen, denn die übrigen Pflichten gelten unabhängig davon.

Risikomanagement: § 30 BSIG verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die dokumentiert werden müssen. Das Gesetz nennt zehn Mindestbereiche:

Fazit der Tabelle: Die Anforderungen entsprechen weitgehend einem ordentlich geführten Informationssicherheits-Managementsystem. Neu für viele Mittelständler ist vor allem die Pflicht, Maßnahmen nachweisbar zu dokumentieren und auch Lieferanten einzubeziehen.

Meldepflichten: Bei einem erheblichen Sicherheitsvorfall gilt ein gestuftes Verfahren mit festen Fristen (§ 32 BSIG). Die Meldungen gehen an eine gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe.

Verantwortung der Geschäftsleitung: Geschäftsführer müssen die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen (§ 38 BSIG). Verletzen sie diese Pflicht schuldhaft, haften sie ihrem Unternehmen für den Schaden nach den gesellschaftsrechtlichen Regeln. Außerdem müssen sie regelmäßig an Schulungen teilnehmen, um Cyberrisiken selbst beurteilen zu können. Cybersicherheit lässt sich damit nicht mehr vollständig an die IT-Abteilung oder einen Dienstleister delegieren.

Bußgelder und Aufsicht

Das BSI kann Nachweise anfordern, Prüfungen anordnen und Anweisungen erteilen; bei besonders wichtigen Einrichtungen auch ohne konkreten Anlass. Die Bußgeldrahmen in § 65 BSIG sind gestaffelt:

Fazit der Tabelle: Die Höchstbeträge zeigen die Größenordnung, sind aber keine Regelstrafe. Entscheidend für mittelständische Betriebe ist, Maßnahmen und Entscheidungen nachvollziehbar dokumentieren zu können.

NIS2 in der Lieferkette

Auch Unternehmen, die selbst nicht unter NIS2 fallen, spüren die Richtlinie. Betroffene Kunden müssen die Sicherheit ihrer Lieferkette berücksichtigen und fragen deshalb verstärkt nach: per Fragebogen, in Verträgen oder durch Nachweise wie TISAX oder eine ISO-27001-Zertifizierung. Für Zulieferer, Lohnfertiger und IT-Dienstleister heißt das: Wer grundlegende Maßnahmen wie Mehr-Faktor-Authentifizierung, Backups und ein Notfallkonzept vorweisen kann, ist bei Kundenanfragen im Vorteil. Besonders kritisch sind Fernwartungszugänge zu Maschinen und vernetzte Anlagen im Industrial Internet of Things, weil sie Angreifern einen Weg in das Kundennetz öffnen können.

Erste Schritte für Industriebetriebe

1. Betroffenheit klären: NACE-Zuordnung, Beschäftigtenzahl, Umsatz und Bilanzsumme prüfen, die BSI-Betroffenheitsprüfung durchlaufen und das Ergebnis dokumentieren, auch wenn es „nicht betroffen“ lautet.
2. Registrierung nachholen, falls betroffen und noch nicht erfolgt.
3. Verantwortung festlegen: Wer in der Geschäftsleitung ist zuständig, wer koordiniert operativ, welche externen Partner sind eingebunden?
4. Bestandsaufnahme: Welche Systeme sind für Produktion, Konstruktion und Auftragsabwicklung kritisch? Wo gibt es Fernzugänge? Wie alt sind Backups, und wurden sie schon einmal zurückgespielt?
5. Meldeprozess vorbereiten: Wer erkennt einen Vorfall, wer entscheidet über die Meldung, wer kennt den Zugang zur Meldestelle? Die 24-Stunden-Frist ist ohne vorbereiteten Ablauf kaum einzuhalten.
6. Schnelle Verbesserungen umsetzen: Mehr-Faktor-Authentifizierung für Fernzugänge, Administratoren und E-Mail, getrennte Netze für Büro und Produktion, regelmäßige Updates, Schulung der Geschäftsleitung.
7. Dokumentieren und regelmäßig überprüfen: Maßnahmen, Entscheidungen und Restrisiken schriftlich festhalten.

Hinweis: Dieser Beitrag gibt einen Überblick über die Rechtslage nach dem BSI-Gesetz in der seit 6. Dezember 2025 geltenden Fassung und ersetzt keine Rechtsberatung im Einzelfall. Stand: 26.10.2026.