NIS2: Bin ich betroffen? Checkliste für Zulieferer und Mittelstand

Seit dem 6. Dezember 2025 ist in Deutschland das NIS-2-Umsetzungsgesetz in Kraft. Damit gelten für deutlich mehr Unternehmen gesetzliche Pflichten zur IT-Sicherheit als bisher: Nach Angaben des BSI wächst der Kreis der beaufsichtigten Einrichtungen von bislang etwa 4.500 auf rund 29.500. Für Geschäftsführungen im Mittelstand stellen sich damit zwei Fragen: Sind wir selbst betroffen? Und was kommt auf uns zu, wenn nicht wir, aber unsere Kunden betroffen sind?

Wer ist betroffen? Sektor und Größe

Ob ein Unternehmen unter das Gesetz fällt, entscheidet sich an zwei Fragen: Gehört es zu einer der Einrichtungsarten, die in den Anlagen 1 und 2 des BSI-Gesetzes (BSIG) aufgeführt sind? Und erreicht es die Größenschwelle? Beides muss zutreffen – abgesehen von einigen Sonderfällen.

Unternehmen aus Anlage 2 – dazu gehört das verarbeitende Gewerbe – gelten auch als Großunternehmen „nur“ als wichtige Einrichtungen. Für einige Einrichtungsarten gelten Sonderregeln unabhängig von der Unternehmensgröße, etwa für Betreiber kritischer Anlagen, Vertrauensdiensteanbieter, Top Level Domain Name Registries und DNS-Diensteanbieter.

So wird gezählt

• Grundlage ist die KMU-Empfehlung der EU-Kommission (2003/361/EG).
• Mitarbeitende werden in Jahresarbeitseinheiten gezählt: Teilzeitkräfte anteilig, Auszubildende nicht.
• Bei Konzern- oder Beteiligungsstrukturen kann es auf die Daten von Partner- oder verbundenen Unternehmen ankommen. Das BSIG rechnet sie nicht hinzu, wenn Ihr Unternehmen mit Blick auf seine IT-Systeme und -Prozesse unabhängig von diesen Unternehmen ist (§ 28 Abs. 4 BSIG).
• Geschäftstätigkeiten, die im Verhältnis zur gesamten Geschäftstätigkeit vernachlässigbar sind, können bei der Zuordnung unberücksichtigt bleiben (§ 28 Abs. 3 BSIG). Das BSI legt das eng aus: Bei einem Unternehmen ohne verbundene Unternehmen gelten nur Tätigkeiten als vernachlässigbar, die ausschließlich für interne Zwecke erbracht werden. Was am Markt angeboten wird, ist nicht vernachlässigbar.

Welche Sektoren erfasst sind

Anlage 1 (entspricht Anhang I der NIS-2-Richtlinie, „Sektoren mit hoher Kritikalität“): Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur und Weltraum.

Anlage 2 (entspricht Anhang II, „sonstige kritische Sektoren“): Post- und Kurierdienste, Abfallbewirtschaftung, Produktion, Herstellung und Handel mit chemischen Stoffen, Produktion, Verarbeitung und Vertrieb von Lebensmitteln, verarbeitendes Gewerbe, Anbieter digitaler Dienste sowie Forschung.

Verarbeitendes Gewerbe: Was genau erfasst ist

Für Industriebetriebe ist Anlage 2 entscheidend. Im verarbeitenden Gewerbe sind nur diese Bereiche erfasst:

• Herstellung von Medizinprodukten und In-vitro-Diagnostika
• Herstellung von Datenverarbeitungsgeräten, elektronischen und optischen Erzeugnissen (NACE-Abteilung 26)
• Herstellung von elektrischen Ausrüstungen (Abteilung 27)
• Maschinenbau (Abteilung 28)
• Herstellung von Kraftwagen und Kraftwagenteilen (Abteilung 29)
• Sonstiger Fahrzeugbau (Abteilung 30)

Nicht aufgeführt ist die Abteilung 25, die Herstellung von Metallerzeugnissen. Dorthin gehören zum Beispiel das Drehen, Fräsen und andere Zerspanen von Metallteilen sowie die Herstellung von Schrauben und Drehteilen. Ein klassischer Lohnfertiger für Drehteile fällt damit in vielen Fällen nicht direkt unter NIS2.

Entscheidend ist aber, welche Tätigkeiten ein Betrieb tatsächlich ausübt. Stellt er etwa Teile her, die der Abteilung 29 zuzuordnen sind, baut er Maschinen oder fertigt er Medizinprodukte, kann er erfasst sein – auch wenn das nicht sein Hauptgeschäft ist. Eine Orientierungshilfe bietet die NIS-2-Betroffenheitsprüfung des BSI; ihr Ergebnis ist laut BSI rechtlich nicht bindend.

Welche Pflichten gelten für betroffene Unternehmen?

1. Registrierung beim BSI

Besonders wichtige und wichtige Einrichtungen müssen sich spätestens drei Monate, nachdem sie erstmals oder erneut als solche gelten, beim BSI registrieren (§ 33 BSIG). Das Verfahren ist zweistufig: zuerst ein Konto bei „Mein Unternehmenskonto“ (MUK), danach die Registrierung im BSI-Portal. Für Unternehmen, die schon seit dem Inkrafttreten betroffen sind, ist die Frist abgelaufen – das BSI rät, die Registrierung dann umgehend nachzuholen.

2. Risikomanagement

Betroffene Unternehmen müssen „geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen“ ergreifen und deren Einhaltung dokumentieren (§ 30 BSIG). Das Gesetz nennt einen Mindestkatalog:

• Konzepte zur Risikoanalyse und zur Sicherheit in der Informationstechnik
• Bewältigung von Sicherheitsvorfällen
• Aufrechterhaltung des Betriebs, etwa Backup-Management und Wiederherstellung nach einem Notfall, sowie Krisenmanagement
• Sicherheit der Lieferkette
• Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen, einschließlich Umgang mit Schwachstellen
• Bewertung der Wirksamkeit der Maßnahmen
• grundlegende Schulungen und Sensibilisierung
• Konzepte für den Einsatz von Kryptografie
• Personalsicherheit, Zugriffskontrolle und Verwaltung der IT-Systeme
• Multi-Faktor-Authentifizierung und gesicherte Kommunikation

Nachweisen müssen Unternehmen die Umsetzung laut BSI grundsätzlich auf Anordnung des BSI – etwa durch Dokumentationen, Prüfberichte, Audits oder Zertifizierungen. Für Betreiber kritischer Anlagen gelten eigene Nachweispflichten.

3. Meldepflichten bei erheblichen Sicherheitsvorfällen

• Unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung: frühe Erstmeldung – mit der Angabe, ob der Verdacht besteht, dass der Vorfall auf rechtswidrige oder böswillige Handlungen zurückgeht oder grenzüberschreitende Auswirkungen haben könnte
• Unverzüglich, spätestens innerhalb von 72 Stunden nach Kenntniserlangung: Meldung, die die Angaben der Erstmeldung bestätigt oder aktualisiert und eine erste Bewertung enthält, etwa zu Schweregrad und Auswirkungen
• Auf Ersuchen des BSI: Zwischenmeldung über relevante Statusaktualisierungen
• Spätestens einen Monat nach der Meldung (der 72-Stunden-Meldung): Abschlussmeldung
• Dauert der Vorfall zu diesem Zeitpunkt noch an: statt der Abschlussmeldung zunächst eine Fortschrittsmeldung; die Abschlussmeldung folgt nach abschließender Bearbeitung des Vorfalls

Gemeldet wird an eine gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe; registrierte Unternehmen nutzen dafür das BSI-Portal (§ 32 BSIG).

4. Verantwortung der Geschäftsleitung

Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Verletzt sie diese Pflichten, haftet sie ihrer Einrichtung für schuldhaft verursachte Schäden nach den Regeln des Gesellschaftsrechts. Außerdem muss sie regelmäßig an Schulungen teilnehmen (§ 38 BSIG).

Bußgelder

Wer Maßnahmen nicht ergreift, sie nicht dokumentiert oder Meldungen versäumt, riskiert Bußgelder bis zu 10 Mio. € (besonders wichtige Einrichtungen) bzw. 7 Mio. € (wichtige Einrichtungen); bei mehr als 500 Mio. € Gesamtumsatz bis zu 2 % bzw. 1,4 % des weltweiten Umsatzes. Eine versäumte Registrierung kann mit bis zu 500.000 € geahndet werden (§ 65 BSIG).

Nicht betroffen? Warum NIS2 Sie trotzdem erreicht

Viele Zulieferer fallen nicht direkt unter das Gesetz – ihre Kunden aber schon, etwa Unternehmen aus Maschinenbau, Fahrzeugbau oder Medizintechnik. Diese müssen die „Sicherheit der Lieferkette“ gewährleisten (§ 30 Abs. 2 Nr. 4 BSIG). Das BSI weist darauf hin, dass sich das BSIG so mittelbar auch auf nicht betroffene Unternehmen auswirken kann. Laut Gesetzesbegründung zählen zu den Maßnahmen etwa vertragliche Vereinbarungen mit Zulieferern zu Risikomanagement, zur Bewältigung von Sicherheitsvorfällen und zum Patchmanagement.

Wer vorbereitet ist, kann solche Anfragen schneller und belastbarer beantworten. Wie das konkret aussieht – inklusive TISAX –, lesen Sie in IT-Sicherheit für Zulieferer: Was Ihre Kunden jetzt verlangen.

Checkliste: Bin ich betroffen?

Zum Abhaken auf dem Bildschirm oder ausgedruckt – die Häkchen werden nicht gespeichert.

Teil A – Direkte Betroffenheit prüfen

• Wir wissen, welchen Wirtschaftstätigkeiten (NACE/WZ) unsere Tätigkeiten zuzuordnen sind – auch Nebentätigkeiten.
• Wir haben abgeglichen, ob eine dieser Tätigkeiten in Anlage 1 oder 2 des BSIG genannt ist (im verarbeitenden Gewerbe: Medizinprodukte und In-vitro-Diagnostika sowie NACE-Abteilungen 26 bis 30).
• Wir kennen unsere Mitarbeiterzahl in Jahresarbeitseinheiten (Teilzeit anteilig, ohne Auszubildende).
• Wir kennen Jahresumsatz und Jahresbilanzsumme des letzten Geschäftsjahres.
• Wir haben geklärt, ob Daten von Partner- oder verbundenen Unternehmen einzurechnen sind.
• Wir haben die NIS-2-Betroffenheitsprüfung des BSI durchlaufen und das Ergebnis dokumentiert.
• Wir haben festgelegt, wann wir erneut prüfen – etwa bei Wachstum oder neuen Geschäftsfeldern.

Teil B – Wenn Sie betroffen sind

• Konto bei „Mein Unternehmenskonto“ angelegt und Registrierung im BSI-Portal abgeschlossen.
• Verantwortliche Person und Meldeweg für erhebliche Sicherheitsvorfälle festgelegt (unverzüglich, spätestens nach 24 bzw. 72 Stunden; Abschlussmeldung einen Monat nach der Meldung).
• Risikoanalyse durchgeführt, Maßnahmen nach § 30 BSIG umgesetzt und dokumentiert.
• Geschäftsleitung eingebunden: Sie setzt die Maßnahmen um, überwacht sie und nimmt regelmäßig an Schulungen teil.
• Lieferkette betrachtet: Anforderungen an wichtige Lieferanten und Dienstleister festgelegt.

Teil C – Wenn Sie nicht betroffen sind, aber zuliefern

• Kunden ermittelt, die selbst unter NIS2 fallen könnten – etwa aus Maschinenbau, Fahrzeugbau oder Medizintechnik.
• Anforderungen aus Verträgen, Fragebögen und Lieferantenvereinbarungen zusammengetragen.
• Grundlagen geprüft: Updates, Datensicherung, Multi-Faktor-Authentifizierung, Zugriffsrechte, Virenschutz.
• Ansprechperson für Sicherheitsvorfälle benannt und geklärt, wie und wann Kunden informiert werden.
• Geklärt, welche Nachweise Kunden erwarten – etwa ein TISAX-Label oder ein Zertifikat nach ISO/IEC 27001.

Unterstützung aus Bubsheim

Unser Angebot für Betriebe am Heuberg und in der Umgebung: Sicherheitschecks und Pentests – und Unterstützung bei den Anforderungen aus NIS2. Mehr über uns als IT-Dienstleister am Heuberg.

Quellen

1. BSI-Gesetz (BSIG), insbesondere §§ 28, 30, 32, 33, 38, 65 und Anlagen 1 und 2: gesetze-im-internet.de
2. BSI: NIS-2-Pflichten und Fragen und Antworten zu NIS-2
3. BSI: Pressemitteilung vom 5. Dezember 2025 zum Inkrafttreten
4. BSI: NIS-2-Betroffenheitsprüfung
5. Richtlinie (EU) 2022/2555 (NIS-2), Anhänge I und II: EUR-Lex