Cybersicherheit
BSI-Registrierung: Was Unternehmen zur NIS2-Pflicht jetzt klären müssen
Für viele Unternehmen gelten in Deutschland neue Pflichten im Bereich der IT-Sicherheit, die weit über den bisherigen Datenschutz hinausgehen. Wer nicht rechtzeitig prüft, ob der eigene Betrieb betroffen ist, riskiert empfindliche Bußgelder und persönliche Haftung.
Was sich für Unternehmen ändert
Die Bundesregierung hat mit dem NIS2-Umsetzungsgesetz eine neue rechtliche Grundlage geschaffen, die Cybersicherheit für viele Betriebe zur Pflichtaufgabe macht. Das Gesetz setzt eine EU-Richtlinie mit der Kurzbezeichnung NIS2 in deutsches Recht um und richtet sich an Unternehmen aus bestimmten Branchen, die als besonders wichtig für Versorgung oder Wirtschaft gelten. Anders als bei früheren Regelungen müssen Unternehmen ihre Betroffenheit selbst prüfen, eine automatische Benachrichtigung durch Behörden gibt es nicht. Wer zu den betroffenen Sektoren gehört, muss aktiv werden und sich beim Bundesamt für Sicherheit in der Informationstechnik, kurz BSI, registrieren.
Welche Branchen betroffen sind
Ob ein Betrieb unter das Gesetz fällt, hängt zunächst von der Branche ab. Erfasst sind Unternehmen aus Sektoren wie Energie, Gesundheit, Abfallwirtschaft, Lebensmittel und Teilen des verarbeitenden Gewerbes, dazu kommen weitere regulierte Bereiche. Nicht jeder Betrieb in diesen Branchen ist automatisch betroffen, entscheidend ist zusätzlich die Unternehmensgröße. Diese Kombination aus Sektorzugehörigkeit und Größe wird als Size-Cap-Prinzip bezeichnet. Wer unsicher ist, sollte die eigene Branche mit den gesetzlichen Anlagen abgleichen.
Größenschwellen für wichtige Einrichtungen
Für die meisten betroffenen Betriebe gilt die Kategorie der wichtigen Einrichtung. Hierunter fallen typischerweise Unternehmen ab 50 Mitarbeitenden oder mit einem Jahresumsatz beziehungsweise einer Jahresbilanzsumme von über 10 Millionen Euro, sofern sie in einem erfassten Sektor tätig sind. Ein mittelständischer Betrieb in der Lebensmittelbranche kann damit bereits in den Anwendungsbereich fallen, auch wenn er sich selbst nicht als kritische Infrastruktur wahrnimmt. Für die Praxis heißt das, dass Personalzahlen und Umsatzgrößen regelmäßig geprüft werden sollten, denn Wachstum kann ein Unternehmen erst mit der Zeit in die Pflicht nehmen.
Besonders wichtige Einrichtungen
Größere Unternehmen können in eine strengere Kategorie fallen, die besonders wichtige Einrichtung genannt wird. Hier liegen die Schwellen deutlich höher: typischerweise ab 250 Mitarbeitenden oder bei einem Jahresumsatz über 50 Millionen Euro und einer Bilanzsumme von über 43 Millionen Euro, sofern das Unternehmen in einem erfassten Sektor aktiv ist. Für diese Gruppe gelten strengere Kontrollen und höhere Bußgeldrahmen. In der Praxis betrifft diese Kategorie eher größere Mittelständler und Konzerntöchter, während klassische kleine und mittlere Unternehmen häufiger unter die einfache Kategorie der wichtigen Einrichtung fallen.
Wichtige Fristen im Überblick
Das Gesetz ist am 6. Dezember 2025 in Deutschland in Kraft getreten, der Bundestag hatte es zuvor am 13. November 2025 beschlossen. Ab dem Inkrafttreten gelten die Pflichten grundsätzlich sofort, das BSI stellt ausdrücklich klar, dass es keine allgemeine Übergangsfrist gibt. Betroffene Unternehmen mussten sich ursprünglich bis zum 6. März 2026 beim BSI registrieren, das BSI hat diese Frist inzwischen bis zum 31. Juli 2026 verlängert. Auch diese verlängerte Frist ist mittlerweile abgelaufen: Wer sich noch nicht registriert hat, sollte das umgehend nachholen. Die Pflicht besteht unabhängig vom Fristablauf fort, ein Verstreichenlassen riskiert ein Bußgeld sowie erschwerte spätere Nachfragen und Prüfungen der Aufsicht.
Meldepflichten bei Sicherheitsvorfällen
Kommt es zu einem erheblichen Sicherheitsvorfall, etwa einem erfolgreichen Cyberangriff, greift ein dreistufiges Meldeverfahren. Innerhalb von 24 Stunden muss eine Erstmeldung erfolgen, innerhalb von 72 Stunden folgt eine Update-Meldung mit weiteren Details, und innerhalb eines Monats ist eine Abschlussmeldung fällig. Diese Fristen sind eng bemessen und setzen voraus, dass ein Betrieb bereits vorher weiß, an wen er sich wenden muss und welche internen Prozesse einen Vorfall überhaupt erkennen. Ohne festgelegte Zuständigkeiten und Meldewege im Unternehmen lassen sich die Fristen in der Praxis kaum einhalten.
Bußgelder und persönliche Haftung
Verstöße gegen die neuen Pflichten können teuer werden. Für besonders wichtige Einrichtungen sieht das Gesetz Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vor, für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes. Zusätzlich weisen Fachquellen auf ein persönliches Haftungsrisiko für Geschäftsleiter hin, wenn Pflichten aus dem Gesetz missachtet werden. Für einen Geschäftsführer bedeutet das, dass Cybersicherheit nicht länger allein Aufgabe der IT-Abteilung ist, sondern eine Frage der eigenen Sorgfaltspflicht wird.
Rolle des BSI und der Behörden
Zentrale Anlaufstelle für Unternehmen ist das Bundesamt für Sicherheit in der Informationstechnik. Das BSI ist zuständig für die Registrierung, unterstützt bei der Einordnung, ob ein Betrieb betroffen ist, und übernimmt Aufsichtsaufgaben. Die Registrierung erfolgt über ein eigenes Portal des BSI. Daneben gibt es weitere zuständige Behörden je nach Sektor, sodass sich Unternehmen im Zweifel sowohl an das BSI als auch an branchenspezifische Stellen wenden sollten.
Checkliste für den eigenen Betrieb
Für die Praxis empfiehlt sich ein schrittweises Vorgehen. Zunächst sollte geprüft werden, ob der Betrieb in einen erfassten Sektor fällt und ob die Größenschwellen erreicht werden. Danach folgt die Einordnung als wichtige oder besonders wichtige Einrichtung. Ist eine Betroffenheit erkennbar, sollte die Registrierung beim BSI unverzüglich nachgeholt werden, die ursprüngliche Frist (6. März 2026) und die verlängerte Nachfrist (31. Juli 2026) sind bereits verstrichen. Parallel dazu sollten interne Meldewege für Sicherheitsvorfälle sowie Risikomanagementmaßnahmen aufgebaut und dokumentiert werden.
Was Geschäftsführer jetzt tun sollten
Auch Betriebe, die sich bislang nicht mit IT-Sicherheit auf gesetzlicher Ebene beschäftigt haben, sollten die eigene Einordnung zeitnah klären, statt auf eine Aufforderung von außen zu warten. Da es keine allgemeine Übergangsfrist gibt und sowohl die ursprüngliche als auch die verlängerte Registrierungsfrist bereits verstrichen sind, verschafft schnelles Handeln zumindest noch Zeit für interne Abstimmung, etwa mit der IT, der Geschäftsführung und gegebenenfalls externen Beratern. Wer die Prüfung dokumentiert, unabhängig vom Ergebnis, schafft zugleich einen Nachweis für spätere Rückfragen der Aufsicht und reduziert das eigene Haftungsrisiko.
Dieser Beitrag dient der allgemeinen Orientierung und ersetzt keine individuelle Beratung. Die individuelle Beratung erfolgt durch zugelassene Kooperationspartner.
Ersttermin
Ihre Fragen im persönlichen Gespräch klären
Lassen Sie Ihre betrieblichen Risikothemen in einem kostenlosen Ersttermin durch einen zugelassenen Kooperationspartner einordnen. Unverbindlich und persönlich.
Kostenlosen Ersttermin anfragenDie Inhalte dienen der Orientierung. Die individuelle Beratung erfolgt durch zugelassene Kooperationspartner.