KMU-Pflichtcheckein Service vonweb-crossing

NIS2 in Deutschland: BSIG 2025 für KMU

Aktualisiert am . Herausgegeben von der web-crossing GmbH, Innsbruck. Erstorientierung, keine Rechtsberatung.

In Deutschland gilt NIS2 über das BSI-Gesetz (BSIG), das seit 06.12.2025 in Kraft ist. Erfasst sind Unternehmen bestimmter Sektoren ab 50 Beschäftigten oder mehr als 10 Mio. Euro Umsatz und Bilanzsumme, einzelne Anbieter unabhängig von der Größe. Wer erfasst ist, registriert sich binnen drei Monaten beim BSI. Bußgelder reichen bis 10 Mio. Euro.

Wer ist betroffen?

§ 28 BSIG unterscheidet besonders wichtige und wichtige Einrichtungen. Entscheidend sind Sektor (Anlagen 1 und 2) und Größe.

Besonders wichtig (§ 28 Abs. 1) Wichtig (§ 28 Abs. 2)
Sektoren der Anlage 1 mindestens 250 Beschäftigte, oder Umsatz über 50 Mio. Euro und Bilanzsumme über 43 Mio. Euro mindestens 50 Beschäftigte, oder Umsatz und Bilanzsumme jeweils über 10 Mio. Euro
Sektoren der Anlage 2 nicht erfasst mindestens 50 Beschäftigte, oder Umsatz und Bilanzsumme jeweils über 10 Mio. Euro
Unabhängig von der Größe Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, TLD-Registries, DNS-Diensteanbieter nicht qualifizierte Vertrauensdiensteanbieter (als Großunternehmen besonders wichtig)
Telekommunikation ab 50 Beschäftigten oder über 10 Mio. Euro Umsatz und Bilanzsumme darunter

Anlage 1 umfasst unter anderem Energie, Verkehr, Bankwesen, Finanzmarkt, Gesundheit, Wasser, Abwasser, Weltraum und digitale Infrastruktur (Cloud-Computing, Rechenzentren, Content Delivery Networks, DNS, Managed Services und Managed Security Services). Anlage 2 umfasst Post und Kurier, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe, Online-Marktplätze, Suchmaschinen, soziale Netzwerke und Forschung.

Zwei Regeln helfen KMU: Geschäftstätigkeiten, die im Verhältnis zur gesamten Tätigkeit vernachlässigbar sind, bleiben bei der Zuordnung unberücksichtigt (§ 28 Abs. 3). Und Daten von Partner- oder verbundenen Unternehmen werden nicht hinzugerechnet, wenn dein Unternehmen mit Blick auf die IT-Systeme unabhängig von ihnen ist (§ 28 Abs. 4).

Offen: Webhosting und Agenturen. Ob reines Webhosting oder eine Webagentur unter die Einrichtungsarten der Anlage 1 fällt, ist eine Auslegungsfrage und nicht pauschal zu beantworten. Nutze dafür zusätzlich die BSI-Betroffenheitsprüfung.

Welche Fristen gelten?

Termin Was gilt Norm
06.12.2025 BSIG in Kraft Art. 30 des Gesetzes vom 02.12.2025
spätestens drei Monate nach Erfassung Registrierung beim BSI § 33 Abs. 1
zwei Wochen Änderungen der Registrierungsangaben melden § 33 Abs. 5
24 Stunden, 72 Stunden, ein Monat Meldungen bei erheblichen Sicherheitsvorfällen, frühestens ab Einrichtung des Meldewegs § 32 Abs. 1

Für Einrichtungen, die schon am 06.12.2025 erfasst waren, ergibt die Dreimonatsfrist rechnerisch den 06.03.2026. Ob eine Sonderregel abweicht, ist hier nicht geprüft. Das BSI legt das Registrierungsverfahren per öffentlicher Mitteilung fest (§ 33 Abs. 6). Ob der Meldeweg inzwischen eingerichtet ist, ist hier nicht geprüft.

Welche Pflichten gelten?

  • Risikomanagementmaßnahmen (§ 30): geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen nach dem Stand der Technik. Sie müssen mindestens umfassen: Risikoanalyse, Vorfallbewältigung, Backup und Krisenmanagement, Sicherheit der Lieferkette, Schwachstellenmanagement, Wirksamkeitsbewertung, Schulungen, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung (§ 30 Abs. 2).
  • Dokumentation: die Einhaltung der Maßnahmen ist zu dokumentieren (§ 30 Abs. 1 Satz 3).
  • Geschäftsleitung (§ 38): umsetzen, überwachen und regelmäßig an Schulungen teilnehmen.
  • Registrierung (§ 33): Name, Rechtsform, Anschrift, Kontaktdaten, Sektor, Mitgliedstaaten und zuständige Aufsichtsbehörden.
  • Meldung (§ 32): frühe Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung spätestens einen Monat nach der Meldung. Dauert der Vorfall an, folgt statt der Abschlussmeldung eine Fortschrittsmeldung.

Nachweispflichten durch Audits regelt § 39 nur für Betreiber kritischer Anlagen.

Welche Bußgelder drohen?

§ 65 BSIG unterscheidet nach Verstoß und Einrichtung:

Verstoß Höchstbetrag
fehlende Risikomanagementmaßnahmen, Dokumentation, Meldungen (§ 65 Abs. 2 Nr. 2 bis 5) bei besonders wichtigen Einrichtungen 10 Mio. Euro (Abs. 5 Nr. 1 lit. a)
dieselben Verstöße bei wichtigen Einrichtungen 7 Mio. Euro (Abs. 5 Nr. 1 lit. b)
nicht oder nicht rechtzeitig übermittelte Registrierungsangaben (§ 65 Abs. 2 Nr. 6) 500.000 Euro (Abs. 5 Nr. 5)

Bei einem Gesamtumsatz über 500 Mio. Euro können alternativ bis zu 2 % (besonders wichtige) bzw. 1,4 % (wichtige Einrichtungen) des weltweiten Gesamtumsatzes verhängt werden (§ 65 Abs. 6 und 7). Das Bundesamt kann Registrierungen außerdem selbst vornehmen, wenn die Pflicht nicht erfüllt wird (§ 33 Abs. 3).

Was bedeutet NIS2 für KMU als Zulieferer?

Das BSIG verpflichtet nur erfasste Einrichtungen. Sie müssen aber die Sicherheit der Lieferkette berücksichtigen, einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern (§ 30 Abs. 2 Nr. 4). Dass Kunden deshalb Nachweise oder Vertragsklauseln von dir verlangen, ist plausibel, aber eine praktische Einschätzung und keine gesetzliche Pflicht für dich.

Was ist hier noch offen?

Das BSIG wurde seit Inkrafttreten mehrfach geändert (11.03., 21.07. und 23.07.2026). Diese Änderungen sind hier inhaltlich nicht ausgewertet; die abgerufene Fassung vermerkt, dass die Änderung vom 21.07.2026 noch nicht abschließend eingearbeitet ist. Prüfe deshalb vor einer Entscheidung die aktuelle Fassung.

Rechtsgrundlagen

Erstorientierung, keine Rechtsberatung und keine Würdigung deines Einzelfalls. Stand der Rechtstexte: abgerufen am 06.10.2026.

Häufige Fragen

Wie finde ich heraus, ob mein Unternehmen unter das BSI-Gesetz fällt?

Das BSI bietet eine offizielle NIS-2-Betroffenheitsprüfung mit einer automatisierten Ersteinschätzung an. Sie ersetzt keine rechtliche Prüfung. Maßgeblich sind Sektor und Größe nach § 28 BSIG.

Bis wann muss ich mich beim BSI registrieren?

Spätestens drei Monate, nachdem du als besonders wichtige oder wichtige Einrichtung giltst (§ 33 Abs. 1 BSIG). Das Gesetz gilt seit 06.12.2025. Wer zu diesem Zeitpunkt schon erfasst war, hätte rechnerisch bis 06.03.2026 registrieren müssen.

Welche Meldefristen gelten bei Sicherheitsvorfällen?

Erhebliche Sicherheitsvorfälle sind binnen 24 Stunden vorläufig, binnen 72 Stunden ausführlicher und spätestens einen Monat nach dieser Meldung abschließend zu melden (§ 32 Abs. 1 BSIG). Die Pflicht gilt frühestens ab Einrichtung des Meldewegs.

Haftet die Geschäftsleitung persönlich?

Die Geschäftsleitung muss die Maßnahmen umsetzen, überwachen und sich schulen lassen (§ 38 Abs. 1 und 3 BSIG). Verletzt sie diese Pflichten, haftet sie ihrer Einrichtung für einen schuldhaft verursachten Schaden nach dem jeweiligen Gesellschaftsrecht (§ 38 Abs. 2).