NIS2 in Deutschland: BSI, Meldepflicht und Ihre Verantwortung.

Das BSIG unterscheidet besonders wichtige und wichtige Einrichtungen. Entscheidend sind die Tätigkeiten der Anlagen 1 und 2, Größenmerkmale sowie gesetzliche Sondertatbestände. Eine pauschale Einordnung allein nach Mitarbeiterzahl ist unzureich.

Nein. Nicht jedes kleine oder mittlere Unternehmen ist erfasst. Grundsätzlich spielen die erfassten Sektoren und die Größenkriterien eine Rolle; für bestimmte Dienste und Betreiber können Sonderregeln unabhängig von der üblichen Größenklasse gelten.

Bei der Bewertung der Größenmerkmale können Partner- und verbundene Unternehmen relevant sein. Entscheidend ist der konkrete rechtliche Einzelfall und die Auslegung des § 28 BSIG.

Die Auslagerung beseitigt eine gesetzliche Betroffenheit nicht. Die Einrichtung muss die eigenen Risikomanagement- und Organisationspflichten weiterhin erfüllen und Dienstleister angemessen berücksichtigen.

Die NIS2-Registrierung erfolgt ausschließlich über das neue BSI-Portal unter portal.bsi.bund.de, nicht über das frühere MIP. Der BSI-Hinweis nennt ausdrücklich das BSI-Portal als regulären Zugang.

§ 33 BSIG sieht grundsätzlich eine Frist von drei Monaten vor, nachdem eine Einrichtung erstmals oder erneut unter die Registrierungspflicht fällt. Maßgeblich ist der tatsächliche Beginn der Betroffenheit; Sonderregelungen bleiben möglich.

Änderungen der registrierten Angaben sind nach § 33 Absatz 5 BSIG unverzüglich, spätestens jedoch binnen zwei Wochen nach Kenntnis, zu übermitteln.

Dazu gehören insbesondere Identität und Rechtsform, Anschrift, Kontaktdaten, öffentliche IP-Adressbereiche, relevanter Sektor sowie gegebenenfalls weitere EU-Staaten und Aufsichtsbehörden.

Reguläre NIS2-Meldungen erfolgen über das BSI-Portal unter portal.bsi.bund.de. Betreiber kritischer Anlagen und Bundesbehörden können laut BSI während des Übergangs ihre bisherigen MIP-Meldewege vorrangig weiter nutzen; dieselbe Meldung muss nicht doppelt erfolgen.

§ 32 BSIG verlangt eine frühe Erstmeldung unverzüglich und spätestens 24 Stunden nach Kenntniserlangung eines erheblichen Sicherheitsvorfalls. Sie soll unter anderem auf mögliche böswillige Handlungen und grenzüberschreitende Folgen eingehen.

Die Folgemeldung ist unverzüglich, spätestens innerhalb von 72 Stunden nach Kenntniserlangung abzugeben. Sie enthält eine erste Einschätzung von Schwere, Auswirkungen und gegebenenfalls Kompromittierungsindikatoren.

Grundsätzlich spätestens einen Monat nach Übermittlung der 72-Stunden-Meldung. Ist der Vorfall noch nicht abgeschlossen, ist stattdessen eine Fortschrittsmeldung nötig und der Abschlussbericht nach endgültiger Bearbeitung einzureichen.

Ja. Das BSI-Portal ermöglicht auch freiwillige Vorfallmeldungen nicht betroffener Unternehmen und eine anonyme Meldung von Schwachstellen. Solche freiwilligen Meldungen ersetzen keine eventuell anderweitig vorgeschriebene Meldung.

Nicht automatisch. Die meldepflichtige Einrichtung bleibt verantwortlich; bei eigenständiger Betroffenheit können auch Dienstleister Meldepflichten haben. Meldeketten und Vertretungsbefugnisse sollten vorab vertraglich geregelt sein.

Ja. § 38 BSIG verlangt von Geschäftsleitungen betroffener Einrichtungen, die erforderlichen Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen. Die einschlägigen Schulungspflichten sind ebenfalls zu beachten.

Gefordert ist ein angemessenes, verhältnismäßiges und wirksames Risikomanagement. Dazu gehören unter anderem Risikoanalyse, Vorfallbehandlung, Business Continuity, Backup und Krisenmanagement, Lieferkettensicherheit, Zugriffskontrollen sowie Schulungen.

Nein. Eine Cyberversicherung kann je nach Vertrag bei bestimmten Schäden und Krisenkosten unterstützen, ersetzt aber keine gesetzlichen Sicherheits-, Melde- oder Leitungspflichten. Persönliche Haftungsfragen und D&O-Deckung müssen separat geprüft werden.

Geschäftsfortführungs- und Wiederherstellungsmaßnahmen zählen zu den gesetzlich genannten Risikomanagementanforderungen. Der konkrete Umfang muss sich an den Risiken und der Bedeutung der erbrachten Dienste orientieren.

Nein, nicht pauschal aufgrund ihrer Eigenschaft als Kommune. Der Bundesgesetzgeber adressiert ausdrücklich Einrichtungen der Bundesverwaltung; wie Landes- und Kommunalverwaltungen einbezogen werden, hängt von landesrechtlichen Regelungen ab. Kommunale Einrichtungen können zusätzlich aufgrund einer regulierten Sektortätigkeit erfasst sein.

Das BSI erläutert die Umsetzung für die Landes- und Kommunalverwaltung gesondert. Maßgeblich sind die jeweiligen Landesregelungen und die konkret betroffene Organisation. Daher ist die lokale Rechtslage zusätzlich zum BSIG zu prüfen.

Ja. Energie-, Wasser-, Abwasser-, Verkehrs- und vergleichbare Unternehmen können aufgrund ihrer Sektorzugehörigkeit unabhängig von der kommunalen Eigentümerschaft betroffen sein. Rechtsträger und Aufgaben sind jeweils separat zu bewerten.

Nicht zwingend. NIS2/BSIG, Datenschutzrecht, kommunales Landesrecht und sektorspezifische Anforderungen können unterschiedliche Meldewege begründen. Ein Incident-Response-Plan sollte diese parallel berücksichtigen.

Am 6. Dezember 2025. Für die konkret betroffenen Einrichtungen gelten die im BSIG vorgesehenen Melde-, Registrierungs- und Risikomanagementpflichten nach ihren jeweiligen gesetzlichen Voraussetzungen.

Insbesondere § 28 BSIG (Anwendungsbereich), § 30 (Risikomanagement), § 32 (Meldungen), § 33 (Registrierung) und § 38 (Geschäftsleitung). Besondere Regeln, beispielsweise für Betreiber kritischer Anlagen und einzelne digitale Dienste, sind zusätzlich zu beachten.

Spezialregelungen für regulierte Finanzunternehmen und eigenständige Meldepflichten nach DSGVO können greifen. Eine pauschale Gleichsetzung von NIS2-Meldungen mit DORA- oder Datenschutzmeldungen wäre rechtlich falsch; die konkret einschlägige Norm muss überprüft werden.