NIS2: Häufige Fragen und Antworten
Kurze Antworten auf die Fragen, die Geschäftsführer und IT-Verantwortliche zum BSI-Gesetz am häufigsten stellen. Alle Angaben stützen sich auf den Gesetzestext, die Paragrafen sind verlinkt.
Gilt NIS2 auch für kleine Unternehmen?
Grundsätzlich nicht. Erfasst sind Einrichtungen aus den Sektoren der Anlagen 1 und 2, die mindestens 50 Beschäftigte haben oder deren Jahresumsatz und Bilanzsumme jeweils über 10 Mio. € liegen (§ 28 BSIG). Einige Einrichtungen sind unabhängig von der Größe erfasst, zum Beispiel Betreiber kritischer Anlagen, DNS-Diensteanbieter und Top-Level-Domain-Registries. Kleine Unternehmen können trotzdem Anforderungen von betroffenen Kunden bekommen, weil diese ihre Lieferkette berücksichtigen müssen.
Ist das Gesetz schon in Kraft?
Ja. Das neu gefasste BSI-Gesetz gilt seit dem 6. Dezember 2025. Es setzt die europäische NIS2-Richtlinie in Deutschland um.
Wie werden Beschäftigte, Umsatz und Bilanzsumme gezählt?
Maßgeblich ist die EU-Empfehlung 2003/361/EG (§ 28 Abs. 4). Zahlen von Partner- oder verbundenen Unternehmen werden nicht hinzugerechnet, wenn Ihr Unternehmen bei seinen IT-Systemen unabhängig ist. Geschäftstätigkeiten, die im Verhältnis zur gesamten Tätigkeit vernachlässigbar sind, bleiben bei der Zuordnung außer Betracht.
Ist ein IT-Dienstleister betroffen?
Managed Service Provider und Managed Security Service Provider stehen in Anlage 1 unter „Digitale Infrastruktur“. Ab 50 Beschäftigten oder 10 Mio. € Umsatz und Bilanzsumme sind sie wichtige Einrichtungen, ab 250 Beschäftigten oder mehr als 50 Mio. € Umsatz und mehr als 43 Mio. € Bilanzsumme besonders wichtige Einrichtungen.
Was ist der Unterschied zwischen besonders wichtigen und wichtigen Einrichtungen?
Besonders wichtige Einrichtungen stammen aus Anlage 1 und sind größer (mindestens 250 Beschäftigte oder mehr als 50 Mio. € Umsatz bei mehr als 43 Mio. € Bilanzsumme). Wichtige Einrichtungen stammen aus Anlage 1 oder 2 und liegen über der Schwelle von 50 Beschäftigten beziehungsweise 10 Mio. €. Die Höchstbeträge der Bußgelder unterscheiden sich: bis 10 Mio. € bei besonders wichtigen, bis 7 Mio. € bei wichtigen Einrichtungen (§ 65 BSIG).
Welche Sicherheitsmaßnahmen sind vorgeschrieben?
Das Gesetz verlangt geeignete, verhältnismäßige und wirksame Maßnahmen und nennt zehn Mindestbereiche, darunter Risikoanalyse, Umgang mit Sicherheitsvorfällen, Backup und Wiederherstellung, Sicherheit der Lieferkette, Schulungen, Verschlüsselung und Mehr-Faktor-Authentifizierung (§ 30 BSIG). Die Einhaltung ist zu dokumentieren. Die Liste steht auf der Seite Pflichten und Fristen.
Wann muss ich einen Sicherheitsvorfall melden?
Bei einem erheblichen Sicherheitsvorfall (§ 2 Nr. 11): Erstmeldung unverzüglich, spätestens 24 Stunden nach Kenntnis, Meldung nach spätestens 72 Stunden, Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung (§ 32 BSIG). Auf Verlangen des BSI kommt eine Zwischenmeldung hinzu.
Bis wann muss ich mich beim BSI registrieren?
Innerhalb von drei Monaten, nachdem Ihr Unternehmen erstmals als besonders wichtige oder wichtige Einrichtung gilt (§ 33 BSIG). Für Unternehmen, die schon bei Inkrafttreten am 6. Dezember 2025 erfasst waren, endete die Frist am 6. März 2026. Änderungen sind dem BSI unverzüglich mitzuteilen, spätestens binnen zwei Wochen.
Haftet die Geschäftsführung persönlich?
Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen und überwachen und regelmäßig an Schulungen teilnehmen. Verletzt sie diese Pflichten, haftet sie der Einrichtung für einen schuldhaft verursachten Schaden, und zwar nach den Regeln des Gesellschaftsrechts für die jeweilige Rechtsform (§ 38 BSIG).
Wie hoch sind die Bußgelder?
Bei Verstößen gegen die Risikomanagement- und Meldepflichten bis zu 10 Mio. € (besonders wichtige Einrichtungen) beziehungsweise 7 Mio. € (wichtige Einrichtungen). Bei einem weltweiten Gesamtumsatz über 500 Mio. € kann stattdessen eine Geldbuße von bis zu 2 % beziehungsweise 1,4 % des Gesamtumsatzes verhängt werden. Verstöße gegen die Registrierungspflicht können bis zu 500.000 € kosten (§ 65 BSIG).
Muss ich als nicht betroffenes Unternehmen etwas tun?
Eine gesetzliche Pflicht aus dem BSIG haben Sie dann nicht. Betroffene Einrichtungen müssen aber die Sicherheit ihrer Lieferkette berücksichtigen (§ 30 Abs. 2 Nr. 4). Als Zulieferer oder Dienstleister können Sie deshalb Fragebögen oder Vertragsklauseln von Kunden erhalten.
Was leistet der Selbsttest?
Drei Fragen klären, ob Ihr Unternehmen voraussichtlich unter das Gesetz fällt. Zwölf Kernfragen zeigen anschließend, wie weit Sie bei den wichtigsten Maßnahmen sind. Der Test dauert etwa fünf Minuten, braucht keine Anmeldung und ist kostenlos. Den ausführlichen Bericht schicken wir als PDF an Ihre E-Mail-Adresse. Der Test ist eine erste Orientierung, keine Rechtsberatung und keine Zertifizierung.
Wo stehen Sie?
Der kostenlose Kurztest klärt in drei Fragen, ob Ihr Unternehmen unter das Gesetz fällt, und zeigt danach mit zwölf Kernfragen, wie weit Sie bei den wichtigsten Maßnahmen sind. Dauer: etwa fünf Minuten, ohne Anmeldung.
Stand: Oktober 2026. Diese Seite fasst das BSI-Gesetz in der Fassung des NIS2-Umsetzungsgesetzes verständlich zusammen und ist eine Orientierung, keine Rechtsberatung. Maßgeblich ist der Gesetzestext unter gesetze-im-internet.de.