NIS2 und das BSI-Gesetz (NIS-2-Umsetzungsgesetz)

Modul 9: Regeln und Organisation · Lesezeit: 11 Minuten

Lernziel: Nach dieser Lektion können Sie erklären, was das BSI-Gesetz (NIS-2-Umsetzungsgesetz) regelt, für wen es gilt und was es über die Lieferkette für kleine Unternehmen bedeutet.
Kernbegriffe: NIS2, BSI-Gesetz (BSIG), wesentliche und wichtige Einrichtung, Sektor, Größe, Sorgfaltspflicht, Meldepflicht (24 Stunden, 72 Stunden, 1 Monat), Registrierungspflicht, Lieferkette, Betroffenheitsprüfung des BSI

Von der europäischen Richtlinie zum deutschen Gesetz

NIS2 ist eine europäische Richtlinie aus dem Jahr 2022 (Richtlinie (EU) 2022/2555), die die digitale Widerstandsfähigkeit wichtiger Organisationen in der gesamten EU erhöhen soll. Eine Richtlinie gilt nicht unmittelbar: Jedes Land setzt sie in ein eigenes Gesetz um. In Deutschland ist das das BSI-Gesetz (BSIG) in der Fassung des NIS-2-Umsetzungsgesetzes. Es ist seit dem 6. Dezember 2025 in Kraft, ohne allgemeine Übergangsfrist: Wer darunterfällt, muss die Vorgaben bereits jetzt erfüllen.

Nach Angaben des BSI fallen mehrere Tausend Organisationen unter das Gesetz. Das ist ein kleiner Teil aller Unternehmen in Deutschland. Für die meisten kleinen Unternehmen lautet die wichtigste Frage deshalb nicht "Was muss ich für das Gesetz tun?", sondern "Was verlangen meine Kunden von mir, weil sie selbst darunterfallen?". Darauf kommen wir gleich zurück.

Das BSI (Bundesamt für Sicherheit in der Informationstechnik) ist die zentrale Anlaufstelle für das BSI-Gesetz und bietet auch gezielt Unterstützung für kleine und mittlere Unternehmen an, unter anderem über die Allianz für Cyber-Sicherheit.

Fallen Sie darunter? Sektor und Größe

Ob eine Organisation unter das BSI-Gesetz fällt, hängt von zwei Fragen ab.

1. Arbeiten Sie in einem Sektor aus dem Gesetz? Das Gesetz unterscheidet zwei Gruppen von Sektoren.

Für manche Sektoren gelten zusätzliche Bedingungen, die das zuständige Ministerium festlegt. Nicht jede Organisation, die etwas mit "Lebensmitteln" zu tun hat, fällt also automatisch darunter.

2. Sind Sie groß genug? Ihre Organisation zählt mit, wenn Sie:

• 50 oder mehr Mitarbeitende (Vollzeitäquivalente) haben, oder
• weniger als 50 Mitarbeitende haben, aber Ihr Jahresumsatz und Ihre Jahresbilanzsumme beide über 10 Millionen Euro liegen.

Partner- und verbundene Unternehmen zählen mit. Ein Unternehmen mit 20 Mitarbeitenden, das zu einer Gruppe von 200 gehört, kann also trotzdem darunterfallen.

Ausnahmen: unabhängig von der Größe. Einige Arten von Organisationen fallen immer darunter, egal wie klein: DNS-Diensteanbieter, Top-Level-Domain-Namenregister, Anbieter öffentlicher elektronischer Kommunikationsnetze und -dienste, Vertrauensdiensteanbieter und Einrichtungen der öffentlichen Verwaltung. Auch Anbieter von Domainnamen-Registrierungsdiensten müssen sich registrieren.

Besonders wichtig oder wichtig

Organisationen, die unter das Gesetz fallen, sind besonders wichtige oder wichtige Einrichtungen. Grob gesagt: große Organisationen in den Sektoren der ersten Gruppe sowie einige Arten, die unabhängig von ihrer Größe benannt sind, sind besonders wichtig; der Rest ist wichtig. Der Unterschied liegt vor allem in der Aufsicht: Bei besonders wichtigen Einrichtungen darf die Aufsichtsbehörde auch aus eigenem Antrieb kontrollieren, zum Beispiel durch Inspektionen und Audits; bei wichtigen Einrichtungen greift sie vor allem im Nachhinein ein, wenn Hinweise darauf bestehen, dass etwas nicht stimmt. Die Pflichten selbst sind weitgehend gleich. Ob Sie besonders wichtig oder wichtig sind, bestimmen Sie mit der Selbstprüfung weiter unten.

Selbst prüfen

Das BSI bietet eine kostenlose NIS-2-Betroffenheitsprüfung an unter https://www.bsi.bund.de/dok/nis-2-betroffenheitspruefung. Sie beantworten eine Reihe von Fragen zu Sektor, Größe und Diensten und erhalten ein Ergebnis. Haben Sie Zweifel, zum Beispiel weil Ihr Unternehmen zu einer Gruppe gehört oder in mehreren Ländern tätig ist, bietet das BSI zusätzliche Hinweise für komplexe Unternehmensmodelle.

Was das Gesetz verlangt

Fällt Ihre Organisation darunter, gelten drei Pflichten.

Registrierungspflicht

Sie melden Ihre Organisation im Einrichtungsregister über das Registrierungsportal des BSI an (Zugang in der Regel über ein ELSTER-Organisationszertifikat). So weiß der Staat, wer darunterfällt, und kann Sie bei einer Bedrohung erreichen.

Sorgfaltspflicht

Sie erstellen eine Risikoanalyse und ergreifen auf dieser Grundlage geeignete und verhältnismäßige Maßnahmen zur Absicherung Ihrer Netz- und Informationssysteme. Das BSI nennt mindestens zehn Themen, denen Sie in diesem Kurs bereits begegnet sind:

1. Risikoanalyse (Lektion 1.1 und 9.3);
2. Vorfallsbehandlung mit einem Notfallplan (Lektion 8.1);
3. Vorbereitung auf Ausfälle: Backups, Wiederherstellungspläne, Krisenmanagement (Modul 6);
4. Sicherheit der Lieferkette, einschließlich Lieferantenrisiken (Lektion 7.2);
5. Cyberhygiene und Schulung (Lektion 9.2);
6. sichere Beschaffung, Entwicklung und Wartung von Systemen, einschließlich Updates (Lektion 5.1);
7. Personal, Zugriffsrichtlinien und Verwaltung von Geräten und Software (Lektion 7.1);
8. Passkeys oder Multi-Faktor-Authentifizierung und gesicherte Kommunikation (Modul 2);
9. eine Richtlinie für Kryptografie (Verschlüsselung);
10. Beurteilung, ob die Maßnahmen wirken, zum Beispiel durch regelmäßige Tests (Lektion 6.3 und 9.3).

Die Geschäftsleitung ist verantwortlich: Sie genehmigt die Maßnahmen und überwacht deren Umsetzung. Gemäß der europäischen Richtlinie müssen Geschäftsleiter auch eine Schulung zu Cyberrisiken absolvieren. Cybersicherheit ist also keine Aufgabe mehr, die man einfach dem IT-Mitarbeiter überlässt.

Meldepflicht

Einen erheblichen Sicherheitsvorfall melden Sie beim BSI, über das Meldeportal. Das ist ein Vorfall, der Ihre Dienstleistung erheblich stört, finanziellen Schaden verursacht oder bei anderen großen Schaden verursachen kann; die genauen Schwellenwerte unterscheiden sich je nach Sektor. Die Fristen laufen ab dem Zeitpunkt, zu dem Sie von dem Vorfall erfahren:

Eine einzige Meldung über das Meldeportal des BSI erreicht sowohl das CSIRT (das Team, das bei dem Vorfall hilft) als auch die Aufsichtsbehörde. Darüber hinaus müssen Sie gemäß der Richtlinie die Empfänger Ihrer Dienste bei Bedarf über erhebliche Sicherheitsvorfälle informieren, die sie betreffen können.

Meldung nach dem BSI-Gesetz und Meldung nach der DSGVO: zwei verschiedene Dinge

Das ähnelt der Meldepflicht für Datenpannen aus der DSGVO (Lektion 8.2), und die "72 Stunden" kommen in beiden vor. Dennoch handelt es sich um zwei getrennte Pflichten.

Ein Ransomware-Angriff bei einer unter das BSI-Gesetz fallenden Organisation, bei dem auch Kundendaten gestohlen wurden, muss also bei beiden gemeldet werden. Und ein kleines Unternehmen, das nicht unter das BSI-Gesetz fällt, hat sehr wohl die Meldepflicht nach der DSGVO, wenn personenbezogene Daten durchsickern.

Fallen Sie nicht darunter: die Lieferkette

Für die meisten Leserinnen und Leser dieses Kurses lautet die Antwort auf die erste Frage: Nein, mein Unternehmen fällt nicht unter das BSI-Gesetz. Die Bäckerei mit zwölf Mitarbeitenden, das Buchhaltungsbüro mit fünf, der Webentwickler im Alleingang. Dann haben Sie keine gesetzlichen Pflichten aus dem BSI-Gesetz: keine Registrierung, keine Meldepflicht beim BSI, keine Aufsicht.

Aber das Gesetz kann Sie dennoch über Ihre Kunden erreichen. Organisationen, die unter das BSI-Gesetz fallen, müssen ihre Lieferkette absichern: Sie müssen die Schwachstellen ihrer unmittelbaren Lieferanten und Dienstleister berücksichtigen. Das BSI schreibt, dass das Gesetz Lieferanten selbst keine Pflichten auferlegt, dass unter das Gesetz fallende Organisationen aber durchaus Anforderungen an die digitale Sicherheit ihrer Lieferanten stellen können. Diese Anforderungen landen dann in Ihrem Vertrag oder in einem Fragebogen.

Ein Beispiel. Ein kleines IT-Unternehmen mit sechs Mitarbeitenden verwaltet die Laptops und das Netzwerk eines mittelgroßen Transportunternehmens mit 140 Mitarbeitenden. Das Transportunternehmen fällt unter das BSI-Gesetz (Verkehr, groß genug). Das IT-Unternehmen selbst nicht: "Verwaltung von IKT-Diensten" steht zwar bei den besonders wichtigen Einrichtungen, aber das Unternehmen ist zu klein. Dennoch erhält es einen Fragebogen: Haben Sie Zwei-Faktor-Authentifizierung auf den Verwaltungstools, wer hat Zugriff auf unsere Systeme, wie schnell melden Sie einen Vorfall bei uns, wo liegen die Backups?

Was das BSI dazu sagt und was das für Sie bedeutet:

• Anforderungen müssen angemessen sein. Ein Kunde sollte das Risiko betrachten, das Ihre Dienstleistung für ihn darstellt. Ein Lieferant mit Zugriff auf die Systeme erhält strengere Anforderungen als der Bäcker, der das Mittagessen liefert.
• Es geht um unmittelbare Lieferanten. Die Lieferanten Ihrer Lieferanten fallen nicht unter das Gesetz.
• Ein Zertifikat ist nicht verpflichtend. Das BSI-Gesetz schreibt kein Gütesiegel vor. Ein Zertifikat kann das Gespräch erleichtern, ist aber keine Garantie und keine gesetzliche Anforderung.
• Beginnen Sie das Gespräch frühzeitig. Erfassen Sie, welche Maßnahmen Sie bereits an den Stellen haben, an denen Sie mit dem Kunden zu tun haben, und halten Sie Vereinbarungen schriftlich fest.

Übertreiben Sie es also nicht. Das BSI-Gesetz macht aus einem kleinen Unternehmen keine "NIS2-pflichtige" Organisation, und ein Berater, der Ihnen das erzählt, um eine teure Zertifizierung zu verkaufen, erzählt nur einen Teil der Geschichte. Aber unterschätzen Sie es auch nicht: Wer an größere Organisationen liefert, muss immer häufiger nachweisen können, dass die Grundlagen stimmen. Die Basismaßnahmen aus diesem Kurs sind genau das, was ein solcher Fragebogen meist abfragt.

Diese Lektion bietet eine allgemeine Erklärung und stellt keine Rechtsberatung dar. Die aktuellen Regelungen finden Sie beim BSI unter https://www.bsi.bund.de/ und im Gesetzestext unter https://www.gesetze-im-internet.de/bsig_2025/.

Zusammenfassung

• Das BSI-Gesetz (BSIG) in der Fassung des NIS-2-Umsetzungsgesetzes ist die deutsche Umsetzung von NIS2 und gilt seit dem 6. Dezember 2025, ohne allgemeine Übergangsfrist.
• Sie fallen darunter bei einem Sektor der besonders wichtigen oder wichtigen Einrichtungen und 50 oder mehr Vollzeitäquivalenten, oder wenn Jahresumsatz und Jahresbilanzsumme beide über 10 Millionen Euro liegen; manche Arten (wie DNS-Diensteanbieter und öffentliche Verwaltung) unabhängig von der Größe.
• Pflichten: Registrierung über das Registrierungsportal des BSI, Sorgfaltspflicht mit Risikoanalyse und geeigneten Maßnahmen unter Verantwortung der Geschäftsleitung, sowie Meldung erheblicher Sicherheitsvorfälle innerhalb von 24 Stunden, 72 Stunden und 1 Monat.
• Die Meldung beim BSI steht unabhängig von der Meldung von Datenpannen nach der DSGVO bei der zuständigen Datenschutzaufsichtsbehörde; manchmal müssen beide erfolgen.
• Ein kleines Unternehmen fällt meist nicht selbst darunter, kann aber über Kunden, die darunterfallen, angemessene Sicherheitsanforderungen erhalten.

Quiz

Aufgabe

Aufgabe A9.1: Fällt es unter das BSI-Gesetz (NIS-2-Umsetzung)? Sie erhalten sechs kurze Beschreibungen von Organisationen (Sektor, Anzahl der Mitarbeitenden, Umsatz, Bilanzsumme, gegebenenfalls eine Unternehmensgruppe oder ein großer Kunde). Bestimmen Sie für jede Organisation: fällt darunter, fällt nicht darunter, erhält aber wahrscheinlich Anforderungen über einen Kunden, oder fällt nicht darunter. Das Programm prüft Ihre Antworten und zeigt für jede Organisation die Schritte des Entscheidungsbaums.

Weiterführende Informationen

Zum BSI-Gesetz (NIS-2-Umsetzung) gibt es noch keinen Artikel in der Wissensdatenbank von WebOké; nutzen Sie bitte die offiziellen Quellen.

• BSI, Gesetzliche Grundlagen: https://www.bsi.bund.de/
• BSI, NIS-2-Betroffenheitsprüfung: https://www.bsi.bund.de/dok/nis-2-betroffenheitspruefung
• BSI, Allianz für Cyber-Sicherheit: https://www.allianz-fuer-cybersicherheit.de/
• BSI, IT-Sicherheitsvorfall melden: https://www.bsi.bund.de/DE/IT-Sicherheitsvorfall/it-sicherheitsvorfall_node.html
• Europäische Kommission, NIS2-Richtlinie: https://digital-strategy.ec.europa.eu/en/policies/nis2-directive
• Gesetzestext BSI-Gesetz (BSIG): https://www.gesetze-im-internet.de/bsig_2025/
• ENISA, EU-Agentur für Cybersicherheit: https://www.enisa.europa.eu/