NIS2 betrifft Unternehmen ab 50 Mitarbeitenden oder mit mehr als 10 Mio. € Jahresumsatz UND mehr als 10 Mio. € Bilanzsumme, sofern sie in einem der BSIG-Sektoren tätig sind – das BSI schätzt rund 29.500 betroffene Unternehmen in Deutschland. Das Gesetz gilt seit 06.12.2025 ohne Übergangsfrist; die Registrierungsfrist nach § 33 BSIG lief am 06.03.2026 ab, das BSI gewährt aber eine Nachfrist bis 31.07.2026. Ein Verstoß gegen die Registrierungspflicht kann mit bis zu 500.000 € Bußgeld geahndet werden.
Erfasst ist ein Unternehmen, wenn es in einem der BSIG-Sektoren (u. a. Energie, Verkehr, Gesundheit, digitale Infrastruktur, verarbeitendes Gewerbe, Abfallwirtschaft) tätig ist und eine der beiden Schwellen erreicht:
Die Berechnung erfolgt nach der EU-Empfehlung 2003/361 (KMU-Definition). Als „besonders wichtige Einrichtung" gilt ein Unternehmen ab 250 Mitarbeitenden oder über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme, sofern es in einem Anlage-1-Sektor tätig ist.
Die reguläre Registrierungsfrist nach § 33 BSIG lief am 06.03.2026 ab. Das BSI hat eine Nachfrist bis 31.07.2026 eingeräumt. Wer bis dahin nicht registriert ist, riskiert ein Bußgeld nach § 65 Abs. 2 Nr. 6 BSIG von bis zu 500.000 € – unabhängig von den weiteren, deutlich höheren Bußgeldern für materielle Verstöße gegen die Sicherheitspflichten.
Nach § 38 BSIG muss die Geschäftsleitung Risikomanagementmaßnahmen billigen, deren Umsetzung überwachen und sich selbst schulen lassen.
Stand: Juli 2026.
| Funktion | CERTISCAN | Excel | Manuell |
|---|---|---|---|
| Betroffenheits-Check nach Sektor/Größe | |||
| Meldefristen-Überwachung (24h/72h) | |||
| Registrierungsstatus im Blick | |||
| Nachweisdokumentation für Geschäftsleitung | |||
| Kosten | Auf Anfrage | 0 € | 0 € |
Die europäische NIS2-Richtlinie wurde mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in das BSI-Gesetz (BSIG) überführt. Es ist seit 06.12.2025 in Kraft – ohne gesonderte Übergangsfrist für die materiellen Pflichten.
| Kategorie | Schwelle | Beispiel-Sektoren |
|---|---|---|
| Wichtige Einrichtung | ≥ 50 MA ODER (> 10 Mio. € Umsatz UND > 10 Mio. € Bilanz) | Alle BSIG-Sektoren (Anlage 1+2) |
| Besonders wichtige Einrichtung | ≥ 250 MA ODER (> 50 Mio. € Umsatz UND > 43 Mio. € Bilanz) | Energie, Verkehr, Finanzwesen, digitale Infrastruktur u. a. (Anlage 1) |
Die Schwellenwerte werden nach der EU-Empfehlung 2003/361 (KMU-Definition) berechnet – Umsatz und Bilanzsumme müssen kumulativ überschritten sein, die Mitarbeiterzahl allein reicht als Kriterium bereits aus.
Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, öffentliche Verwaltung, Raumfahrt (Anlage 1) sowie Post-/Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Anbieter, Forschung (Anlage 2).
Betroffene Unternehmen mussten sich nach § 33 BSIG bis 06.03.2026 beim BSI registrieren. Das BSI hat dafür eine Nachfrist bis 31.07.2026 eingeräumt – aktuell also die letzte Gelegenheit, ohne Bußgeldrisiko nachzuregistrieren. Ein Verstoß gegen die Registrierungspflicht ist nach § 65 Abs. 2 Nr. 6 BSIG bußgeldbewehrt, mit bis zu 500.000 €.
Betroffene Einrichtungen müssen u. a.:
Auch Unternehmen, die selbst keinen BSIG-Sektor bedienen, geraten indirekt in den Fokus: Registrierte Kunden verlangen zunehmend Nachweise zur Lieferkettensicherheit von ihren Zulieferern.
Bis zur Nachfrist am 31.07.2026 sollte die Registrierung nachgeholt werden. Auch danach empfiehlt sich in jedem Fall die zeitnahe Nachregistrierung, um das Bußgeldrisiko zu begrenzen.
Stand: Juli 2026. Quelle: NIS2UmsuCG, BSIG (§§ 28, 33, 38, 65).