NIS2

Wer fällt unter NIS2?

Die EU-Richtlinie 2022/2555 setzt den europäischen Rahmen. Das deutsche Umsetzungsgesetz trat am 6. Dezember 2025 in Kraft. Ob ein Unternehmen „besonders wichtige“ oder „wichtige Einrichtung“ ist, hängt nach § 28 BSIG von Einrichtungsart, Sektor, Beschäftigtenzahl, Umsatz und Bilanzsumme sowie Sondertatbeständen ab. Die verbreitete Kurzform „50 Beschäftigte oder 10 Millionen Euro Umsatz“ ist deshalb unvollständig. Kleinere Zulieferer können vertragliche Sicherheitsanforderungen regulierter Kunden erhalten, ohne dadurch automatisch selbst nach § 28 BSIG eingestuft zu sein.

Welche Pflichten bringt NIS2 mit sich?

Für betroffene Einrichtungen regeln § 30 BSIG Risikomanagementmaßnahmen, § 32 BSIG das gestufte Meldeverfahren für erhebliche Sicherheitsvorfälle und § 33 BSIG die Registrierung. § 38 BSIG weist Leitungsorganen Billigungs-, Überwachungs- und Schulungspflichten zu.

Was passiert bei Verstößen?

Die deutsche Staffelung steht in § 65 BSIG; sie darf nicht mit den Bußgeldrahmen der EU-Richtlinie gleichgesetzt werden. Eine mögliche Ersatzpflicht nach § 38 BSIG besteht gegenüber der Einrichtung und ist keine automatische persönliche Haftung für jeden Vorfall. Der Leitfaden NIS2 für KMU erklärt die technische Vorbereitung. Die rechtliche Betroffenheit muss im Einzelfall geprüft werden.