Blackout·Check Industrie
Kostenloser Betroffenheits-Check

NIS2 für Produktionsunternehmen:
Sind Sie betroffen – und was jetzt?

NIS2 gilt seit dem 6. Dezember 2025. Viele Produktionsbetriebe wissen noch nicht sicher, ob sie erfasst sind. Hier: interaktiver Betroffenheits-Check, alle Pflichten im Überblick, Bußgelder, Fristen und erste Schritte.

Kein Registrierung · Kein Download · Kein Tracking

Unternehmens-Angaben
Alle Vollzeit- und Teilzeitkräfte des Unternehmens (Vollzeitäquivalente)
Mio. €
Nettojahresumsatz in Millionen Euro (z. B. 25 für 25 Mio. €)
▾
Wählen Sie den Sektor, dem Ihr Kerngeschäft zuzuordnen ist
Vorläufige NIS2-Einstufung
⊙

Bitte füllen Sie alle drei Felder aus,
um Ihre erste NIS2-Einschätzung zu erhalten.

Vollständiger Resilienz-Check →

⚠ Unverbindliche Ersteinschätzung auf Basis allgemeiner Schwellenwerte. Konzernsachverhalte, Zurechnungsregeln und sektorspezifische Ausnahmen bleiben unberücksichtigt. Keine Rechtsberatung – im Zweifelsfall anwaltlichen Rat einholen.

Hinweis: Dieser Check liefert eine erste, rechtlich unverbindliche Orientierung auf Basis der allgemeinen Größenschwellen des NIS2UmsuCG. Er ersetzt keine rechtliche Einzelfallprüfung. Konzernsachverhalte, sektorspezifische Sonderregeln und die Bilanzsumme als drittes Kriterium bleiben unberücksichtigt. Wenden Sie sich im Zweifel an einen auf IT-Recht spezialisierten Rechtsanwalt oder das BSI.
Auf dieser Seite
  1. Was ist NIS2 und wen betrifft es?
  2. Pflichten, Fristen und Bußgelder
  3. NIS2 und Business Continuity für Produktionsbetriebe
  4. NIS2 vs. KRITIS-Dachgesetz: Was gilt für wen?
  5. Erste Schritte, wenn Sie betroffen sind
  6. Häufige Fragen (FAQ)

Was ist NIS2 – und wen betrifft es im Produktionsbereich?

NIS2 (Network and Information Security Directive 2) ist die überarbeitete EU-Richtlinie zur Cybersicherheit. In Deutschland ist sie seit dem 6. Dezember 2025 durch das NIS2-Umsetzungsgesetz (NIS2UmsuCG) verbindliches Recht. Sie löst die erste NIS-Richtlinie ab und erfasst mit rund 29.500–30.000 Unternehmen einen wesentlich größeren Kreis als ihr Vorgänger.

Warum ist NIS2 für Produktionsunternehmen relevant? Das Gesetz nennt 18 Sektoren – darunter explizit das Verarbeitende Gewerbe (Anlage 2), das Maschinen- und Anlagenbau, Elektronik, Kfz-Herstellung und sonstigen Fahrzeugbau umfasst. Hinzu kommen die Sektoren Chemie und Lebensmittel. Viele mittelständische Produktionsbetriebe sind damit erstmals direkt reguliert.

Wer ist konkret betroffen? Entscheidend sind zwei Kriterien: die Zugehörigkeit zu einem der 18 NIS2-Sektoren und die Unternehmensgröße. Das Gesetz unterscheidet zwei Einstufungen:

Größenschwellen im Überblick
  • Besonders wichtige Einrichtung (BEI): ≥ 250 Mitarbeitende oder ≥ 50 Mio. € Jahresumsatz (Großunternehmen). Proaktive BSI-Aufsicht, höchste Bußgelder.
  • Wichtige Einrichtung (WEI): 50–249 Mitarbeitende und 10–49 Mio. € Jahresumsatz (Mittlere Unternehmen). Anlassbezogene BSI-Aufsicht.
  • Darunter: Grundsätzlich nicht direkt betroffen – außer bei Sonderregelungen für bestimmte kritische Infrastrukturbetreiber in Anlage-1-Sektoren.

Wichtig für Konzerne: Zurechnungsregeln können dazu führen, dass auch Tochtergesellschaften unterhalb der Schwellen als betroffen gelten, wenn der Konzern sie überschreitet. Umgekehrt können auch kleine eigenständige Betriebe als Zulieferer über die Lieferkettensicherheitspflichten ihrer Auftraggeber indirekt in die Pflicht genommen werden.

Die 18 NIS2-Sektoren im Überblick

Anlage 1 – besonders wichtige Sektoren (→ BEI)
  1. Energie
  2. Transport und Verkehr
  3. Bankwesen
  4. Finanzmarktinfrastrukturen
  5. Gesundheit
  6. Trinkwasser
  7. Abwasser
  8. Digitale Infrastruktur
  9. IKT-Dienstleistungsmanagement (B2B)
  10. Öffentliche Verwaltung
  11. Weltraum
Anlage 2 – wichtige Sektoren (→ WEI)
  1. Post- und Kurierdienste
  2. Abfallbewirtschaftung
  3. Chemie
  4. Lebensmittel
  5. Verarbeitendes Gewerbe (inkl. Maschinenbau, Elektronik, Kfz)
  6. Digitale Dienste
  7. Forschung

Quellen: NIS2-Umsetzungsgesetz (NIS2UmsuCG), BGBl. 2024 I Nr. 307, in Kraft ab 6. Dezember 2025; BSI-Informationen zur NIS2-Umsetzung.

Pflichten, Fristen und Bußgelder im Überblick

Betroffene Einrichtungen müssen drei Kernpflichten erfüllen: Registrierung, Meldung von Sicherheitsvorfällen und Umsetzung von Risikomanagementmaßnahmen in zehn definierten Bereichen. Das Gesetz gilt seit dem 6. Dezember 2025 – die BSI-Registrierungsfrist war der 6. März 2026.

Fristen auf einen Blick

Pflicht Frist / Status
Gesetz in Kraft 6. Dezember 2025
BSI-Registrierung 6. März 2026 – Frist abgelaufen! Nachmeldung weiterhin nötig.
Risikomanagementmaßnahmen Sofort ab Inkrafttreten (Dez. 2025)
Meldepflicht bei Vorfällen Frühwarnung: 24 h nach Kenntnis · Folgebericht: 72 h
KRITIS-DachG Registrierung (separates Verfahren!) ab 17. Juli 2026 (frühestens; BBK/BSI-Plattform)

Die 10 Risikomanagement-Bereiche

1Risikoanalyse & Sicherheitskonzepte
2Bewältigung von Sicherheitsvorfällen
3Business Continuity, Backup & Krisenmanagement
4Sicherheit der Lieferkette
5Sicherheit bei Erwerb & Wartung von IT-Systemen
6Wirksamkeitsprüfung von Sicherheitsmaßnahmen
7Cyberhygiene & Schulungen
8Kryptografie & Verschlüsselung
9Personalsicherheit & Zugriffskontrolle
10Multi-Faktor-Authentifizierung & sichere Kommunikation

Bußgelder und persönliche Haftung

Besonders wichtige Einrichtungen (BEI): bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes – es gilt der jeweils höhere Betrag.

Wichtige Einrichtungen (WEI): bis zu 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes.

Tatbestand Betroffen Bußgeld (max.)
Fehlende BSI-Registrierung Alle WEI und BEI bis 500.000 €
Verletzung Sicherheitsanforderungen WEI bis 7 Mio. € oder 1,4 %
Verletzung Sicherheitsanforderungen BEI bis 10 Mio. € oder 2 %
Verletzung Meldepflichten WEI bis 7 Mio. € oder 1,4 %
Verletzung Meldepflichten BEI bis 10 Mio. € oder 2 %

Es gilt jeweils der höhere Betrag (Fixbetrag oder prozentualer Anteil am weltweiten Jahresumsatz). Bußgelder variieren nach Schwere, Dauer und Verschulden. Quelle: NIS2UmsuCG / BSIG. Keine Rechtsberatung.

Persönliche Haftung der Geschäftsleitung: Das NIS2UmsuCG macht die Umsetzung und Überwachung der Risikomanagementmaßnahmen ausdrücklich zur Pflicht der Geschäftsleitung. Geschäftsführer können damit persönlich haften – ergänzt durch das allgemeine Gesellschaftsrecht (z. B. § 43 GmbHG). Dies ist keine Rechtsberatung; wenden Sie sich im Zweifelsfall an einen Anwalt.

Fehlende Registrierung: Wer sich nicht beim BSI registriert hat, begeht einen eigenständigen Bußgeldtatbestand – auch wenn alle anderen Pflichten erfüllt sind. Die Nachmeldung sollte unverzüglich erfolgen.

NIS2 und Business Continuity: Die Verbindung zu Stromausfall-Vorsorge

Bereich 3 des NIS2-Risikomanagements umfasst ausdrücklich Business Continuity, Backup-Management und Krisenmanagement. Für Produktionsbetriebe bedeutet das: Die Vorsorge für Produktionsstillstände – einschließlich Stromausfällen – ist gesetzlich gefordert, nicht mehr nur eine unternehmerische Empfehlung.

Ein reales Beispiel liefert der März 2024: Ein gezielter Anschlag auf eine Stromleitung nahe dem Tesla-Werk in Grünheide führte zur ungeplanten Produktionsabschaltung eines der modernsten Fertigungsbetriebe Europas. Business-Continuity-Konzepte nach Anhang II Nr. 3 NIS2 müssen deshalb explizit auch physische Sabotage der Energieversorgung als Ausfallszenario berücksichtigen – nicht nur IT-Angriffe oder Wetterereignisse. Den wirtschaftlichen Schaden solcher Szenarien zeigt der Stillstandskosten-Rechner. Quelle: marktundmittelstand.de – Wie leicht Deutschland im Blackout landet.

Was NIS2 konkret verlangt: Betroffene Einrichtungen müssen Konzepte zur Aufrechterhaltung des Betriebs bei Störungen vorhalten, testen und dokumentieren. Dazu gehören die Identifikation kritischer Prozesse, die Festlegung maximaler Ausfallzeiten und Notfallpläne für verschiedene Szenarien – inklusive Stromausfall.

Typische Maßnahmen für Produktionsbetriebe
  • Notstromversorgung: USV für kritische Steuerungssysteme (SPS, SCADA) + Notstromaggregat für längere Ausfälle; BBK empfiehlt Auslegung für ≥ 72 Stunden
  • Backup-Konzept: Regelmäßige und getestete Sicherungen von SPS-Programmen, SCADA-Konfigurationen und Produktionsdaten
  • Wiederanlaufpläne: Dokumentiert, geübt, auch ohne IT-Systeme verfügbar
  • Krisenkommandostruktur: Wer entscheidet was – auch wenn E-Mail und Telefonie ausfallen?
  • Lieferkettensicherheit: Pufferbestände und Alternativlieferanten für kritische Rohstoffe

Der wirtschaftliche Aspekt: Neben der Compliance-Pflicht hat die Vorsorge einen direkten betriebswirtschaftlichen Nutzen. Mit dem Stillstandskosten-Rechner können Sie berechnen, was ein Stromausfall Ihren Betrieb konkret kostet – und so die Investition in Resilienzmaßnahmen fundiert begründen.

Was kostet ein Stromausfall Ihren Betrieb?

Berechnen Sie in 30 Sekunden, welche Stillstandskosten bei Ihrem Betrieb durch einen Stromausfall entstehen – als Grundlage für Ihre Business-Continuity-Planung und die NIS2-Compliance-Dokumentation.

Stillstandskosten berechnen →

Referenz: § 30 NIS2UmsuCG (Risikomanagementmaßnahmen), Anlage zu § 30; BBK/DKE-Leitfaden „Notstromversorgung in Unternehmen und Behörden".

NIS2 vs. KRITIS-Dachgesetz: Was gilt für wen?

Seit Frühjahr 2026 sind in Deutschland zwei parallele Regelwerke für kritische Infrastrukturen und Betreiber wichtiger Dienste in Kraft. Sie ergänzen sich, adressieren aber unterschiedliche Risikodimensionen.

Aspekt NIS2 (NIS2UmsuCG) KRITIS-Dachgesetz
In Kraft 6. Dezember 2025 17. März 2026
Schwerpunkt Cybersicherheit (IT- und Netzwerksysteme) Physische Resilienz (Gebäude, Anlagen, Personal)
Betroffene ~29.500–30.000 Unternehmen, 18 Sektoren Enger Kreis: Betreiber kritischer Anlagen (Schwellenwerte nach Sektoren)
Kernpflichten Registrierung, Vorfallsmeldung, Risikomanagement (10 Bereiche) Risikoanalyse, Resilienzpläne, Meldung physischer Vorfälle
Registrierungsportal & -frist BSI-Meldeplattform · Nachfrist abgelaufen: 31. Juli 2026 Gemeinsame BBK/BSI-Plattform · ab 17. Juli 2026 (frühestens)
Meldestelle BSI BSI / zuständige Behörde je Sektor
Bußgelder bis 10 Mio. € / 2 % (BEI); bis 7 Mio. € / 1,4 % (WEI) bis 20 Mio. €
Können parallel gelten? Ja – beide Gesetze können denselben Betrieb gleichzeitig verpflichten

Wichtig – zwei separate Registrierungen: Auch wenn NIS2 und KRITIS-DachG denselben Betrieb betreffen können, handelt es sich um zwei eigenständige Registrierungspflichten mit unterschiedlichen Portalen und Fristen. Die NIS2-Registrierung erfolgt über die BSI-Meldeplattform (Nachfrist am 31. Juli 2026 abgelaufen, Registrierungspflicht besteht fort). Die KRITIS-DachG-Registrierung erfolgt über eine separate, gemeinsame Plattform von BBK und BSI – frühestens ab 17. Juli 2026, spätestens 3 Monate nach Identifikation als kritische Anlage. Eine NIS2-Registrierung ersetzt die KRITIS-Registrierung nicht. Hinweis: keine Rechtsberatung; im Zweifel anwaltlichen Rat einholen.

Fazit für Produktionsbetriebe: Die meisten Produktionsunternehmen im Verarbeitenden Gewerbe fallen unter NIS2, nicht aber unter das enger gefasste KRITIS-Dachgesetz. Betreiber in den Sektoren Energie, Wasser, Gesundheit oder Lebensmittelversorgung können beiden Regelwerken unterliegen und müssen beide Anforderungen parallel erfüllen. Bei Unklarheit über die eigene Einstufung ist eine rechtliche Prüfung dringend zu empfehlen.

Erste Schritte, wenn Sie betroffen sind

NIS2 ist kein Projekt mit einem festen Endtermin, sondern ein dauerhafter Compliance-Rahmen. Diese fünf Schritte helfen betroffenen Produktionsbetrieben, geordnet in die Umsetzung einzusteigen.

  1. 1
    Betroffenheit rechtssicher klären

    Nutzen Sie den Betroffenheits-Check oben als erste Orientierung. Bei Konzernsachverhalten, Grenzfällen oder Zurechnungsfragen ist eine rechtliche Einzelfallprüfung unerlässlich. Klären Sie auch, ob ergänzend das KRITIS-Dachgesetz gilt.

  2. 2
    BSI-Registrierung unverzüglich nachholen

    Die offizielle Frist (6. März 2026) ist abgelaufen. Auch die vom BSI eingeräumte Nachfrist bis zum 31. Juli 2026 ist inzwischen verstrichen. Von rund 29.500 NIS2-pflichtigen Unternehmen in Deutschland hatten sich bis dahin rund 18.500 registriert – rund 11.000 Unternehmen weiterhin nicht. Ihnen droht ein Bußgeld von bis zu 500.000 € (fehlende Registrierung ist ein eigenständiger, andauernder Bußgeldtatbestand). Quelle: zfk.de, mars-solutions.de. Die Registrierung erfolgt über das MELDEPLATTFORM-Portal des BSI. Den vollständigen Fristen-Fahrplan finden Sie auf: Regulatorik-Fahrplan →

  3. 3
    Risikoanalyse und Bestandsaufnahme durchführen

    Identifizieren Sie Ihre kritischen IT-Systeme, OT-Systeme (SPS, SCADA) und Geschäftsprozesse. Bewerten Sie bestehende Schutzmaßnahmen gegen die 10 Risikomanagement-Bereiche des NIS2UmsuCG. Orientierung geben der BSI IT-Grundschutz und ISO 27001.

  4. 4
    Business Continuity und technische Maßnahmen umsetzen

    Priorisieren Sie Bereich 3 (Business Continuity) – für Produktionsbetriebe besonders relevant: Notstromversorgung, Backup-Konzepte für OT-Systeme und getestete Wiederanlaufpläne. Den wirtschaftlichen Nutzen zeigt der Stillstandskosten-Rechner.

  5. 5
    Melde- und Notfallprozesse verankern

    Definieren Sie intern, wer bei einem erheblichen Sicherheitsvorfall die BSI-Frühwarnung (24 h) und den Folgebericht (72 h) übermittelt. Stellen Sie sicher, dass diese Prozesse auch bei IT-Ausfall funktionieren – analoge Notfallkommunikation einplanen.

Gesamtresilienz prüfen: NIS2 deckt Cybersicherheit ab – aber Blackout-Resilienz umfasst mehr. Mit dem kostenlosen Blackout-Resilienz-Check prüfen Sie in 5 Minuten, wo Ihr Betrieb bei einem Stromausfall wirklich verwundbar ist.

Häufige Fragen zu NIS2 für Produktionsunternehmen

NIS2 ist eine EU-Richtlinie zur Cybersicherheit, die seit dem 6. Dezember 2025 durch das NIS2-Umsetzungsgesetz (NIS2UmsuCG) in Deutschland gilt. Sie betrifft rund 29.500–30.000 Unternehmen aus 18 Sektoren – darunter viele Produktionsbetriebe im Verarbeitenden Gewerbe, in der Chemie, der Lebensmittelherstellung sowie in Energie und Transport. Entscheidend sind Sektorzugehörigkeit und Unternehmensgröße. Eine erste Orientierung liefert der kostenlose NIS2-Betroffenheits-Check auf dieser Seite.

Grundvoraussetzung ist, dass Ihr Unternehmen einem der 18 NIS2-Sektoren zuzuordnen ist und die Größenschwellen erreicht: grundsätzlich ab 50 Mitarbeitenden und 10 Mio. € Jahresumsatz. Die genaue Einstufung in wichtige oder besonders wichtige Einrichtung hängt von Sektorkritikalität, Mitarbeiterzahl und Umsatz ab. Bei Konzernsachverhalten und Grenzfällen ist eine rechtliche Einzelfallprüfung empfohlen. Der Betroffenheits-Check oben auf dieser Seite liefert eine erste, rechtlich unverbindliche Einschätzung.

Betroffene Unternehmen müssen drei Kernpflichten erfüllen: (1) Registrierung beim BSI, (2) Meldung erheblicher Sicherheitsvorfälle – Frühwarnung binnen 24 Stunden, Folgebericht nach 72 Stunden – und (3) Umsetzung von Risikomanagementmaßnahmen in zehn Bereichen. Diese zehn Bereiche umfassen ausdrücklich Business Continuity, Backup-Management, Krisenmanagement und Lieferkettensicherheit. Für Produktionsunternehmen bedeutet das: Die Vorsorge für Stromausfälle und Produktionsstillstände ist gesetzlich gefordert, nicht mehr nur eine Empfehlung.

Für besonders wichtige Einrichtungen drohen Bußgelder bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (der höhere Betrag gilt); für wichtige Einrichtungen bis zu 7 Mio. € oder 1,4 %. Darüber hinaus macht NIS2 die Umsetzung und Überwachung der Risikomanagementmaßnahmen ausdrücklich zur Pflicht der Geschäftsleitung – Geschäftsführer können also persönlich haften. Ergänzend gilt das allgemeine Gesellschaftsrecht, etwa § 43 GmbHG. Hinweis: Dies ist keine Rechtsberatung; im Zweifelsfall anwaltlichen Rat einholen.

Die offizielle Registrierungsfrist beim BSI lief am 6. März 2026 ab. Das BSI räumte eine Nachfrist bis zum 31. Juli 2026 ein – diese ist inzwischen verstrichen. Die fehlende Registrierung bleibt ein eigenständiger Bußgeldtatbestand (bis 500.000 €); das BSI akzeptiert weiterhin Nachmeldungen, ob und in welcher Höhe ein Bußgeld verhängt wird, liegt im behördlichen Ermessen. Hinweis: keine Rechtsberatung.

Die fehlende BSI-Registrierung ist nach NIS2UmsuCG ein eigenständiger Bußgeldtatbestand – unabhängig davon, ob alle anderen Pflichten erfüllt sind. Das BSI hatte eine Nachfrist bis zum 31. Juli 2026 eingeräumt; diese ist inzwischen verstrichen, der Verstoß besteht bei fehlender Registrierung fort. Ob und in welcher Höhe ein Bußgeld verhängt wird, liegt im Ermessen der Behörde; kooperatives Verhalten wird regelmäßig berücksichtigt. Hinweis: keine Rechtsberatung; im Zweifel Anwalt konsultieren.

Grundsätzlich können Zurechnungsregeln dazu führen, dass auch Tochtergesellschaften als betroffen gelten, wenn der Konzern als Ganzes die Schwellenwerte überschreitet. Rein eigenständige kleine Unternehmen, die selbst die Schwellen nicht erfüllen, sind in der Regel nicht direkt betroffen – können aber als Zulieferer betroffener Unternehmen über Lieferkettensicherheitsklauseln in die Pflicht genommen werden. Bei Konzernsachverhalten ist eine individuelle rechtliche Prüfung unbedingt empfohlen.

Die Kernpflichten – Registrierung, Meldepflichten und Risikomanagement in zehn Bereichen – gelten für beide Kategorien. Der Unterschied liegt primär in Aufsichtsdichte und Bußgeldhöhe: Besonders wichtige Einrichtungen unterliegen proaktiver Aufsicht durch das BSI und können mit Bußgeldern bis zu 10 Mio. € oder 2 % des Jahresumsatzes belegt werden. Wichtige Einrichtungen werden anlassbezogen kontrolliert und stehen bei Verstößen vor Bußgeldern bis zu 7 Mio. € oder 1,4 %. Operativ sind die Anforderungen an das Risikomanagement weitgehend identisch.

Verlässliche Pauschalkosten existieren nicht – der Aufwand hängt stark von Ausgangssituation, Branche und vorhandenen Schutzmaßnahmen ab. Unternehmen mit bestehendem Informationssicherheits-Managementsystem (ISMS) oder ISO-27001-Zertifizierung haben deutlich geringeren Anpassungsbedarf. Typische Kostentreiber sind: externe Bestandsaufnahme und Beratung, technische Maßnahmen (USV, Backup, Netzwerksegmentierung), Schulungen sowie die organisatorische Verankerung von Melde- und Notfallprozessen. Eine belastbare Zahl ergibt sich nur aus individuellen Angeboten.

Ja – wenn Ihr Unternehmen eine kritische Anlage im Sinne des KRITIS-Dachgesetzes betreibt, sind NIS2-Registrierung und KRITIS-DachG-Registrierung zwei voneinander unabhängige Pflichten mit unterschiedlichen Portalen und Fristen. Die NIS2-Registrierung erfolgt beim BSI (Nachfrist am 31. Juli 2026 abgelaufen, Registrierungspflicht besteht fort). Die KRITIS-DachG-Registrierung erfolgt auf einer gemeinsamen Plattform von BBK und BSI – frühestens ab 17. Juli 2026, spätestens drei Monate nach der Identifikation als kritische Anlage. Spätestens neun Monate nach der Registrierung ist eine Risikoanalyse nach dem All-Gefahren-Ansatz fällig (Wiederholung mindestens alle vier Jahre). Hinweis: keine Rechtsberatung; im Zweifel anwaltlichen Rat einholen.

Nach übereinstimmenden Berichten hatten sich bis zum Fristablauf am 31. Juli 2026 rund 18.500 von etwa 29.500 NIS2-pflichtigen Unternehmen in Deutschland registriert. Rund 11.000 Unternehmen (gut ein Drittel) hatten die Registrierung zu diesem Zeitpunkt weiterhin nicht nachgeholt – ihnen droht ein Bußgeld von bis zu 500.000 €, denn die fehlende Registrierung ist nach dem NIS2UmsuCG ein eigenständiger Bußgeldtatbestand, unabhängig davon, wie lange sie andauert. Quelle: zfk.de, mars-solutions.de (Stand: nach Fristablauf). Hinweis: keine Rechtsberatung; im Zweifel anwaltlichen Rat einholen.

NIS2 löst die erste NIS-Richtlinie (NIS1, 2016/1148/EU) ab und erweitert deren Anwendungsbereich erheblich: NIS1 galt nur für eine eng begrenzte Gruppe von Betreibern wesentlicher Dienste in 7 Sektoren. NIS2 erfasst seit ihrer Umsetzung in deutsches Recht (NIS2UmsuCG) rund 29.500 Unternehmen in 18 Sektoren – mit niedrigeren Schwellenwerten (ab 50 Mitarbeitende oder 10 Mio. € Umsatz als wichtige Einrichtung) und deutlich schärferen Sanktionen (bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen). Für viele Produktionsunternehmen, die unter NIS1 noch gar nicht reguliert waren, bedeutet NIS2 erstmals konkrete Compliance-Pflichten und persönliche Geschäftsführerhaftung. Hinweis: keine Rechtsberatung; im Zweifel anwaltlichen Rat einholen.

Quellen und Hinweise

Diese Seite stützt sich auf folgende öffentlich zugängliche Rechtsquellen und Behördeninformationen. Alle Angaben ohne Gewähr; Stand August 2026. Diese Seite enthält keine Rechtsberatung.

  • NIS2-Umsetzungsgesetz (NIS2UmsuCG) – BGBl. 2024 I Nr. 307, in Kraft ab 6. Dezember 2025; ursprüngliche BSI-Registrierungsfrist: 6. März 2026; BSI-Nachfrist bis 31. Juli 2026; Bußgeld fehlende Registrierung: bis 500.000 €
  • BSI – Informationen zur NIS2-Umsetzung, MELDEPLATTFORM-Portal und Nachfrist-Kommunikation (bsi.bund.de)
  • KRITIS-Dachgesetz (KRITIS-DachG) – in Kraft ab 17. März 2026; Bußgelder bis 20 Mio. €
  • BBK/DKE-Leitfaden „Notstromversorgung in Unternehmen und Behörden" (empfohlene Planungsdauer ≥ 72 h)
  • EU-Richtlinie NIS2 – Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates vom 14. Dezember 2022
  • EU-Empfehlung 2003/361/EG – KMU-Definition; maßgeblich für NIS2-Größenschwellen (mittleres Unternehmen: ≥ 50 MA und ≥ 10 Mio. €; großes Unternehmen: ≥ 250 MA oder ≥ 50 Mio. €)
  • § 43 GmbHG / § 93 AktG – gesellschaftsrechtliche Grundlage für persönliche Haftung der Geschäftsleitung (ergänzend zu NIS2UmsuCG); gilt unabhängig von NIS2

Der NIS2-Betroffenheits-Check auf dieser Seite basiert auf den allgemeinen Größenschwellen des NIS2UmsuCG (§§ 28–30). Er ersetzt keine rechtliche Einzelfallprüfung. Sektorspezifische Sonderregeln und die Bilanzsumme als drittes Kriterium bleiben unberücksichtigt.