NIS-2 im Mittelstand umsetzen: Betroffenheit, Registrierung, Pflichten und Meldewege

Seit dem 6. Dezember 2025 gilt in Deutschland das neue BSI-Gesetz (BSIG) in der Fassung des NIS-2-Umsetzungsgesetzes (BGBl. 2025 I Nr. 301). Wer als „besonders wichtige“ oder „wichtige Einrichtung“ gilt, muss sich beim BSI registrieren, Risikomanagementmaßnahmen dokumentieren und erhebliche Sicherheitsvorfälle fristgerecht melden. Diese Anleitung führt in sechs Schritten durch diese Pflichten, jeweils mit Paragraf und Link. Stand der Rechtslage: 14. Oktober 2026.

Voraussetzungen

Dieser Beitrag ist keine Rechtsberatung. Bei Grenzfällen und Konzernstrukturen ziehen Sie anwaltliche Beratung im IT-Recht hinzu. Sie brauchen:

• Unternehmenskennzahlen des letzten abgeschlossenen Geschäftsjahres: Mitarbeiterzahl, Jahresumsatz, Jahresbilanzsumme, dazu Partner- und verbundene Unternehmen.
• Tätigkeitsbeschreibung mit Wirtschaftszweig nach NACE Rev. 2, über den Anlage 2 BSIG mehrere Einrichtungsarten abgrenzt.
• Deutsche Steuernummer des Unternehmens und Zugriff auf die Firmenpost für den ELSTER-Aktivierungsbrief.
• Verantwortliche Personen: eine Kontaktperson für NIS-2, ein Funktionspostfach, ein oder zwei Telefonnummern im internationalen Format und die Liste Ihrer öffentlichen statischen IP-Adressbereiche in CIDR-Notation.
• Zeit: mindestens fünf Werktage Vorlauf für das ELSTER-Organisationszertifikat, danach die Registrierung im Portal.
• Hardware: ein Arbeitsplatzrechner mit aktuellem Browser, keine zusätzliche Software.

Schritt 1: Betroffenheit nach § 28 BSIG prüfen

Die Einstufung hat zwei Bedingungen, die beide erfüllt sein müssen: Ihr Unternehmen bietet entgeltlich Waren oder Dienstleistungen an und lässt sich einer Einrichtungsart aus Anlage 1 (Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, Digitale Infrastruktur, Weltraum) oder Anlage 2 (Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe, Anbieter digitaler Dienste, Forschung) zuordnen. Zusätzlich muss es die Größenschwelle erreichen. Wichtig für IT-Dienstleister: Managed Services Provider und Managed Security Services Provider stehen in Anlage 1 unter Digitale Infrastruktur (Nr. 6.1.10 und 6.1.11).

Kategorie	Einrichtungsart	Größenschwelle	Rechtsgrundlage
Besonders wichtige Einrichtung	Anlage 1	mindestens 250 Mitarbeitende oder Jahresumsatz über 50 Mio. Euro und zugleich Jahresbilanzsumme über 43 Mio. Euro	§ 28 Abs. 1 Nr. 4
Besonders wichtige Einrichtung	Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, TLD-Registries, DNS-Diensteanbieter	keine	§ 28 Abs. 1 Nr. 1 und 2
Wichtige Einrichtung	Anlage 1 oder 2	mindestens 50 Mitarbeitende oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. Euro	§ 28 Abs. 2 Nr. 3
Wichtige Einrichtung	Vertrauensdiensteanbieter (nicht qualifiziert)	keine	§ 28 Abs. 2 Nr. 1

Beachten Sie die Verknüpfung bei den Finanzkennzahlen: Umsatz und Bilanzsumme müssen jeweils über der Schwelle liegen. Ein Betrieb mit 40 Mitarbeitenden, 12 Mio. Euro Umsatz und 8 Mio. Euro Bilanzsumme fällt nicht unter § 28 Abs. 2 Nr. 3. Gezählt wird nach der KMU-Empfehlung 2003/361/EG; Partner- und verbundene Unternehmen bleiben nach § 28 Abs. 4 außen vor, wenn Ihre IT unabhängig von ihnen betrieben wird. Vernachlässigbare Nebentätigkeiten dürfen nach § 28 Abs. 3 unberücksichtigt bleiben. Sonderregeln gelten für Telekommunikation und Energie (Abs. 5) sowie Finanzunternehmen unter DORA (Abs. 6).

Halten Sie das Ergebnis in einem kurzen Vermerk fest, den Sie jährlich nach dem Jahresabschluss aktualisieren:

Betroffenheitsvermerk NIS-2 (BSIG)
Stand Kennzahlen: Geschäftsjahr ____
Tätigkeit / NACE-Code: ____
Einrichtungsart: Anlage __ Nr. ____   oder: keine
Mitarbeitende: ____  Umsatz: ____ EUR  Bilanzsumme: ____ EUR
Verbundene Unternehmen hinzugerechnet: ja / nein, Begründung: ____
Ergebnis: besonders wichtig / wichtig / nicht betroffen
Geprüft von: ____  am: ____   Nächste Prüfung: ____

Das BSI bietet zusätzlich die NIS-2-Betroffenheitsprüfung an. Nutzen Sie sie als Abgleich.

Verifizieren: Der Vermerk nennt eine konkrete Nummer aus Anlage 1 oder 2 (oder begründet, warum keine passt), die drei Kennzahlen mit Quelle und ein Ergebnis. Das Ergebnis der BSI-Betroffenheitsprüfung stimmt mit Ihrer Einstufung überein, Abweichungen sind begründet.

Schritt 2: ELSTER-Organisationszertifikat über „Mein Unternehmenskonto“ beantragen

Das BSI-Portal nutzt „Mein Unternehmenskonto“ (MUK) zur Anmeldung. Sie brauchen dafür ein ELSTER-Organisationszertifikat, kein persönliches ELSTER-Zertifikat. Voraussetzung ist eine deutsche Steuernummer. Der Ablauf:

1. Rufen Sie mein-unternehmenskonto.de auf und beantragen Sie ein Organisationszertifikat.
2. Die Aktivierungsdaten kommen per E-Mail, der Aktivierungsbrief per Post an die zur Steuernummer gespeicherte Anschrift. Das dauert laut BSI mindestens fünf Werktage.
3. Laden Sie die Zertifikatsdatei innerhalb der in der E-Mail genannten Frist herunter und legen Sie sie mit dem Passwort in Ihrem Passwortmanager ab.

Jedem Zertifikat ist genau ein Benutzerkonto zugeordnet. Das BSI empfiehlt ein Zertifikat pro Person und eine „Zentrale Stelle“ für deren Verwaltung. Planen Sie mindestens zwei Personen ein, damit eine Meldung nicht an Urlaub oder Krankheit scheitert.

Verifizieren: Mindestens zwei Personen besitzen je eine eigene Zertifikatsdatei samt Passwort, und die Anmeldung über „Mit MUK anmelden“ auf portal.bsi.bund.de führt nach dem ELSTER-Login zurück ins BSI-Portal.

Schritt 3: Einrichtung im BSI-Portal registrieren

Nach § 33 Abs. 1 BSIG registrieren Sie sich spätestens drei Monate, nachdem Sie erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gelten. Wer seit dem 6. Dezember 2025 betroffen ist, hat diese Frist überschritten und sollte sich laut BSI umgehend registrieren. Wer etwa durch Wachstum neu betroffen ist, hat ab diesem Zeitpunkt drei Monate.

Im Portal wählen Sie „Zur NIS-2“ und dann „Zur NIS-2-Registrierung“. Stammdaten kommen aus dem Zertifikat, Sie ergänzen:

• NIS-2-Einstufung, Sektor, Branche und Einrichtungsart, bei mehreren Tätigkeiten über „Weitere Einrichtungsart hinzufügen“
• alle EU-Mitgliedstaaten, in denen Sie Dienste dieser Einrichtungsarten erbringen
• alle zuständigen Aufsichtsbehörden des Bundes und der Länder für diese Tätigkeiten
• NIS-2-Kontaktstelle mit Funktionspostfach und Telefonnummern, dazu eine oder mehrere Kontaktpersonen
• alle öffentlichen statischen IP-Adressbereiche in CIDR-Notation oder die Angabe, dass es keine gibt

Ändern sich diese Angaben, müssen Sie das nach § 33 Abs. 5 unverzüglich, spätestens binnen zwei Wochen im Reiter „Ihre Registrierung“ nachtragen.

Verifizieren: Im NIS-2-Bereich des Portals erscheint der Reiter „Ihre Registrierung“ mit Ihren Daten. Im Änderungsprozess (Providerwechsel, neue Ansprechpartner) steht die Zweiwochenfrist.

Schritt 4: Die zehn Mindestmaßnahmen nach § 30 Abs. 2 bewerten und dokumentieren

§ 30 BSIG verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen. In die Verhältnismäßigkeit fließen Risikoexposition, Größe, Umsetzungskosten sowie Wahrscheinlichkeit und Schwere von Vorfällen ein. Die Einhaltung ist nach Abs. 1 Satz 3 zu dokumentieren. Eine fehlende Dokumentation ist nach § 65 Abs. 2 Nr. 3 eine eigene Ordnungswidrigkeit.

Nr.	Mindestinhalt nach § 30 Abs. 2	Typischer Nachweis im KMU
1	Konzepte zur Risikoanalyse und IT-Sicherheit	Risikoanalyse, Sicherheitsleitlinie
2	Bewältigung von Sicherheitsvorfällen	Vorfallprozess mit Meldeweg
3	Aufrechterhaltung des Betriebs, Backup-Management, Wiederherstellung, Krisenmanagement	Notfallhandbuch, Protokolle von Restore-Tests
4	Sicherheit der Lieferkette	Dienstleisterliste, Sicherheitsanforderungen in Verträgen
5	Sicherheit bei Erwerb, Entwicklung und Wartung, Schwachstellenmanagement	Patchprozess, Beschaffungskriterien
6	Bewertung der Wirksamkeit	interne Audits, Kennzahlen, Prüfberichte
7	Schulungen und Sensibilisierung	Schulungsplan, Teilnahmenachweise
8	Einsatz kryptographischer Verfahren	Kryptokonzept (TLS, Datenträger, Schlüssel)
9	Personalsicherheit, Zugriffskontrolle, Verwaltung von IKT-Systemen	Berechtigungskonzept, Ein- und Austrittsprozess, Inventar
10	Multi-Faktor-Authentifizierung, gesicherte Kommunikation, ggf. Notfallkommunikation	MFA-Richtlinie, Notfallkontakte außerhalb der Firmen-IT

Gehen Sie jede Zeile durch und halten Sie Ist-Zustand, Lücke, Verantwortlichen und Termin fest. Für Managed Service Provider, Cloud- und Rechenzentrumsanbieter hat nach § 30 Abs. 3 die Durchführungsverordnung (EU) 2024/2690 Vorrang. Als Vorgehensmodell bietet das BSI die #nis2know-Roadmap mit sechs Phasen und einer Checkliste an. Für einzelne Zeilen helfen die Anleitungen zu MFA einführen und zum IT-Notfallhandbuch nach BSI 200-4.

Verifizieren: Für alle zehn Nummern existiert ein Eintrag mit Ist-Zustand, Verantwortlichem und Nachweisdokument oder Maßnahmentermin. Die Geschäftsleitung hat den Maßnahmenplan mit Datum zur Kenntnis genommen.

Schritt 5: Meldeprozess nach § 32 BSIG einrichten

Meldepflichtig ist ein erheblicher Sicherheitsvorfall. § 2 Nr. 11 BSIG definiert ihn als Vorfall, der schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann oder Dritte erheblich materiell oder immateriell schädigen kann. Das BSI verweist ergänzend auf Art. 3 Abs. 1 der Durchführungsverordnung (EU) 2024/2690. Die Fristen aus § 32 BSIG:

Meldung	Frist	Inhalt
Frühe Erstmeldung	unverzüglich, spätestens 24 Stunden nach Kenntniserlangung	Verdacht auf rechtswidrige oder böswillige Handlung, mögliche grenzüberschreitende Auswirkungen
Meldung	unverzüglich, spätestens 72 Stunden nach Kenntniserlangung	Bestätigung oder Aktualisierung, erste Bewertung mit Schweregrad und Auswirkungen, ggf. Kompromittierungsindikatoren
Zwischenmeldung	auf Ersuchen des BSI	relevante Statusaktualisierungen
Abschlussmeldung	spätestens einen Monat nach der 72-Stunden-Meldung	ausführliche Beschreibung, Ursache, Abhilfemaßnahmen, grenzüberschreitende Auswirkungen

Dauert der Vorfall nach diesem Monat noch an, reichen Sie nach § 32 Abs. 2 eine Fortschrittsmeldung ein und die Abschlussmeldung erst nach abschließender Bearbeitung. Laut BSI gilt Schnelligkeit vor Vollständigkeit; Meldungen lassen sich nicht stornieren, aber per Folgemeldung korrigieren. Wer vor der Registrierung einen erheblichen Vorfall hat, meldet über das Online-Formular im Melde- und Informationsportal des BSI. Ein berechtigter Dienstleister darf für Sie melden, die Verantwortung bleibt bei Ihnen.

Halten Sie im Vorfallprozess Kenntniserlangung und Fristen fest:

Kenntnis erlangt:      2026-10-05 09:40  (wer, wodurch)
Erstmeldung bis:       2026-10-06 09:40
Meldung bis:           2026-10-08 09:40
Meldung abgegeben am:  ____  (Portal-Vorgangsnummer ____)
Abschlussmeldung bis:  einen Monat nach Abgabe der Meldung

Wie Sie im Vorfall technisch vorgehen, beschreiben die Anleitungen Ransomware-Notfallplan: die ersten 60 Minuten und Cybervorfall: Spuren forensisch sichern.

Verifizieren: Eine Übung mit einem ausgedachten Vorfall ergibt einen ausgefüllten Fristenzettel, und die meldeberechtigten Personen können sich im Übungsdurchlauf im BSI-Portal anmelden. Eine echte Testmeldung schicken Sie dabei nicht ab.

Schritt 6: Geschäftsleitung einbinden und Bußgeldrahmen kennen

§ 38 BSIG verpflichtet die Geschäftsleitung, die Maßnahmen nach § 30 umzusetzen und ihre Umsetzung zu überwachen. Verletzt sie diese Pflicht, haftet sie der Einrichtung für schuldhaft verursachte Schäden nach dem jeweiligen Gesellschaftsrecht, bei der GmbH also nach § 43 GmbHG. Eine eigene Haftung nach dem BSIG greift nur, wenn das Gesellschaftsrecht keine solche Regelung enthält. Außerdem müssen Geschäftsleitungen regelmäßig an Schulungen teilnehmen; einen festen Turnus nennt das Gesetz nicht.

Die Bußgelder regelt § 65 BSIG. Für fehlende Maßnahmen, fehlende Dokumentation und Meldeverstöße (Abs. 2 Nr. 2 bis 5) gilt:

• besonders wichtige Einrichtungen: bis 10 Mio. Euro, bei einem weltweiten Gesamtumsatz über 500 Mio. Euro bis 2 Prozent davon (Abs. 5 Nr. 1 Buchstabe a, Abs. 6)
• wichtige Einrichtungen: bis 7 Mio. Euro, bei einem Gesamtumsatz über 500 Mio. Euro bis 1,4 Prozent davon (Abs. 5 Nr. 1 Buchstabe b, Abs. 7)
• fehlende oder falsche Registrierungsangaben (Abs. 2 Nr. 6): bis 500.000 Euro (Abs. 5 Nr. 5)

Verifizieren: Ein Protokoll belegt, dass die Geschäftsleitung den Maßnahmenplan beschlossen hat und seinen Fortschritt in festen Abständen prüft. Für jedes Mitglied der Geschäftsleitung liegt ein Teilnahmenachweis einer Schulung mit Datum vor.

Typische Fehler

• Schwellen falsch verknüpft: Wer nur den Umsatz prüft, stuft sich womöglich zu Unrecht als betroffen ein. Umsatz und Bilanzsumme müssen jeweils über 10 Mio. Euro liegen, sonst entscheidet allein die Mitarbeiterzahl.
• Anlage 1 mit „besonders wichtig“ gleichgesetzt: Ein Anlage-1-Unternehmen mit 60 Mitarbeitenden ist eine wichtige Einrichtung. Besonders wichtig wird es erst ab 250 Mitarbeitenden oder den höheren Finanzschwellen.
• Persönliches statt Organisationszertifikat: Mit dem privaten ELSTER-Zertifikat gelingt keine Registrierung. Beantragen Sie das Organisationszertifikat über MUK.
• Abschlussfrist falsch berechnet: Der Monat läuft ab Abgabe der 72-Stunden-Meldung, nicht ab Kenntnis.
• Registrierung nicht gepflegt: Neue IP-Bereiche oder Kontaktpersonen müssen binnen zwei Wochen ins Portal.

Häufige Fragen

Sind wir als Zulieferer eines betroffenen Unternehmens selbst betroffen?

Nicht allein deshalb. Maßgeblich sind Ihre eigene Einrichtungsart und Größe. Ihr Kunde muss aber nach § 30 Abs. 2 Nr. 4 die Sicherheit seiner Lieferkette berücksichtigen und wird deshalb vertragliche Sicherheitsanforderungen an Sie stellen.

Die Registrierungsfrist ist verstrichen. Was nun?

Registrieren Sie sich sofort. Das BSI kann nach § 33 Abs. 3 die Registrierung auch selbst vornehmen, und eine nicht rechtzeitige Registrierung ist nach § 65 Abs. 2 Nr. 6 bußgeldbewehrt.

Müssen wir jetzt ein Audit oder eine Zertifizierung nachweisen?

Eine regelmäßige Nachweispflicht nach § 39 gilt nur für Betreiber kritischer Anlagen. Bei besonders wichtigen Einrichtungen kann das BSI nach § 61 Audits anordnen und frühestens drei Jahre nach Inkrafttreten Nachweise verlangen. Eine ISO-27001-Zertifizierung schreibt das BSIG nicht vor.

Kann die Geschäftsleitung die Verantwortung an die IT delegieren?

Die Umsetzung kann sie delegieren, die Pflicht zur Überwachung nach § 38 Abs. 1 bleibt bei ihr.

Fazit

NIS-2 ist für betroffene KMU vor allem Organisationsarbeit: sauber eingestuft, einmal registriert, zehn Maßnahmenbereiche nachvollziehbar dokumentiert und ein geübter Meldeprozess mit mehreren Zugängen. Beginnen Sie mit dem Betroffenheitsvermerk und dem ELSTER-Organisationszertifikat, weil beide Vorlauf brauchen.

Weiterführende Anleitungen und Quellen

• IT-Notfallhandbuch und BCM nach BSI 200-4 erstellen
• Zwei-Faktor-Authentifizierung richtig einführen
• Ransomware-Notfallplan: die ersten 60 Minuten
• Cybervorfall: Spuren forensisch sichern
• BSI-Gesetz (BSIG) im Volltext
• BSI: NIS-2-regulierte Unternehmen
• BSI: Mein Unternehmenskonto (MUK)
• BSI: #nis2know NIS-2-Meldepflicht
• Richtlinie (EU) 2022/2555 (NIS-2) auf EUR-Lex