NIS2-Schnellcheck — begrenzte Orientierung

NIS2 ist die Richtlinie (EU) 2022/2555. In Deutschland gelten seit dem 6. Dezember 2025 die nationalen Umsetzungsvorschriften. Das BSIG erfasst bestimmte Einrichtungsarten und regelt unter anderem Risikomanagement, Meldung und Registrierung. Der konkrete Anwendungsbereich und sektorale Ausnahmen müssen gesondert geprüft werden.

§28 BSIG verbindet Einrichtungsarten aus den Anlagen 1 und 2 mit Größenkriterien und Sonderfällen. In der allgemeinen Größenregel genügen mindestens 50 Mitarbeitende oder Jahresumsatz und Jahresbilanzsumme jeweils über 10 Mio. EUR. Für besonders wichtige Einrichtungen gelten andere Schwellen oder größenunabhängige Tatbestände. Unternehmensverbindungen und sektorale Ausnahmen sind mitzuberücksichtigen; der Schnellcheck bildet bestätigte Voraussetzungen ab und hält ungeklärte Fälle ausdrücklich offen.

§65 BSIG nennt für bestimmte Maßnahmen-, Dokumentations- und Meldeverstöße Höchstrahmen bis 10 Mio. EUR (bwE) beziehungsweise 7 Mio. EUR (wE). Bei mehr als 500 Mio. EUR weltweitem Gesamtumsatz des zugehörigen Unternehmens können die Umsatzvarianten von 2 % beziehungsweise 1,4 % gelten. Maßgeblich sind Tatbestand, Zurechnung und Bemessung; persönliche Verantwortlichkeit ist nicht pauschal ausgeschlossen. §38 Abs. 2 regelt daneben die Haftung für durch Verletzung der Pflichten aus Absatz 1 schuldhaft verursachte Schäden der eigenen Einrichtung. Das optionale Rechenbeispiel illustriert ausschließlich einen passenden gesetzlichen Höchstrahmen aus gesondert bestätigten Angaben, keine Sanktion oder persönliche Haftung.

Das NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft. Nach §33 Abs. 1 BSIG läuft die Registrierung grundsätzlich drei Monate ab erstmaliger oder erneuter Betroffenheit. Der 6. März 2026 betraf bereits am 6. Dezember 2025 erfasste Einrichtungen. Die Registrierungsfrist ist keine allgemeine Aufschubfrist für Risikomanagement oder Vorfallmeldungen; besondere Nachweis- und Sektorregeln sind gesondert zu beachten.

Artikel 21 der NIS2-Richtlinie definiert 10 Maßnahmen-Bereiche, in Deutschland umgesetzt in § 30 BSIG: Risikoanalyse, Incident Response, Business Continuity, Lieferkettensicherheit, sichere Entwicklung, Wirksamkeitsbewertung, Cyberhygiene-Schulungen, Kryptografie, Zugriffskontrolle sowie Authentifizierung und gesicherte Kommunikation. Die Geschäftsleitung muss diese Risikomanagement-Maßnahmen umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1 BSIG). Für durch eine Verletzung dieser Pflichten schuldhaft verursachte Schäden der eigenen Einrichtung gilt §38 Abs. 2 BSIG. Die Voraussetzungen und Ausnahmen des BSIG sind gesondert zu prüfen. Zusätzlich muss die Geschäftsleitung regelmäßig an Schulungen teilnehmen (§ 38 Abs. 3 BSIG).

Nein. Der deutsche Regelweg prüft ausgewählte, ausdrücklich bestätigte Voraussetzungen aus Selbstauskünften, einschließlich Bilanzsumme. Er stellt weder Unternehmensverbindungen noch eine rechtliche Eigenschaft oder Ausnahme individuell fest. Unbekannte Angaben bleiben offen; AT, CH und andere EU-Staaten erhalten Quellenhinweise ohne deutsche Klasse oder Geldsumme. Die Seite ersetzt keine rechtliche Betroffenheits-, Registrierungs-, Haftungs- oder Meldeentscheidung.