NIS2 im Mittelstand: Das BSI zählt 17.729 registrierte Einrichtungen, der Gesetzgeber rechnete mit rund 30.000. Die Lücke sitzt fast vollständig bei den wichtigen Einrichtungen

Das BSI führt eine Seite mit dem Titel NIS-2 in Zahlen. Auf ihr steht ein Satz, der mehr Aufmerksamkeit verdient, als er bekommt: Bis zum 30. Juni 2026 haben sich 17.729 Einrichtungen im BSI-Portal registriert, davon 11.501 wichtige Einrichtungen und 6.215 besonders wichtige. Einschließlich der Registrierungen von Nebenniederlassungen und grenzüberschreitenden Einheiten sind es 17.945.

Für sich genommen liest sich die Zahl wie ein Fortschritt. Gegen das gehalten, womit der Gesetzgeber gerechnet hat, liest sie sich anders. Die Folgenabschätzung zum deutschen NIS2-Umsetzungsgesetz ging von rund 30.000 Einrichtungen aus, aufgeteilt in etwa 8.250 besonders wichtige und etwa 21.600 wichtige. Stellt man beide Datensätze nebeneinander, wird das Bild eindeutig.

Zwei Anmerkungen zur Rechnung, weil Genauigkeit hier wichtiger ist als eine glatte Überschrift. Erstens ergeben die beiden Teilzahlen zusammen 17.716, also dreizehn weniger als die genannte Gesamtzahl von 17.729; das BSI schlüsselt die Differenz nicht auf. Zweitens sind die rund 30.000 eine Schätzung aus dem Gesetzgebungsverfahren, kein Register. Niemand führt eine verbindliche Liste der betroffenen Einrichtungen, und genau das ist das strukturelle Problem, um das es in diesem Beitrag geht. Die Abdeckungsspalte ist deshalb als Größenordnung zu lesen, nicht als exakte Quote.

Was diesen Vorbehalt übersteht, ist der Abstand zwischen den beiden Zeilen. Bei den besonders wichtigen Einrichtungen haben sich etwa drei von vier registriert. Bei den wichtigen Einrichtungen gut die Hälfte. Und wichtige Einrichtungen sind fast definitionsgemäß der deutsche Mittelstand: ab 50 Beschäftigten.

Warum die Lücke dort sitzt, wo sie sitzt

Der Grund ist keine Verweigerung. Es ist ein Missverständnis, das in der Begrifflichkeit angelegt ist. Die deutsche Debatte verhandelt Cybersicherheitsregulierung seit einem Jahrzehnt unter der Überschrift kritische Infrastruktur. Der Begriff ruft Stromnetze, Kliniken und Wasserwerke auf. Ein Geschäftsführer eines Werkzeugmaschinenbauers mit 90 Beschäftigten hört das und schließt daraus, durchaus nachvollziehbar, dass ihn das alles nicht betrifft.

Nach dem geltenden BSIG ist dieser Schluss falsch, und der Grund heißt Anlage 2.

Anlage 1 gegen Anlage 2: die Unterscheidung, die entscheidet

Das BSIG arbeitet mit zwei Anlagen, und sie leisten sehr Unterschiedliches.

Anlage 1 erfasst die Sektoren, die dem intuitiven Bild entsprechen: Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur, Weltraum. Hier sitzen die Betreiber kritischer Anlagen, und das ist es, was die meisten meinen, wenn sie von kritischer Infrastruktur sprechen.

Anlage 2 erfasst etwas völlig anderes, und sie ist diejenige, die den Mittelstand einfängt:

• Post- und Kurierdienste
• Abfallbewirtschaftung
• Produktion, Herstellung und Handel mit chemischen Stoffen
• Produktion, Verarbeitung und Vertrieb von Lebensmitteln
• Verarbeitendes Gewerbe und Herstellung von Waren, mit dem Maschinenbau als ausdrücklicher Unterkategorie
• Anbieter digitaler Dienste
• Forschung

Verarbeitendes Gewerbe. Maschinenbau. Chemie. Lebensmittel. Das sind keine Randbereiche der deutschen Wirtschaft, das ist ihr Schwerpunkt. Ein Unternehmen aus einem dieser Sektoren, das die Größenschwelle erreicht, ist nach Paragraf 28 Absatz 2 Nummer 3 BSIG eine wichtige Einrichtung mit vollem Pflichtenkatalog, ohne jemals etwas zu betreiben, das im umgangssprachlichen Sinn nach kritischer Infrastruktur aussieht.

Die Schwellenwerte, genau gelesen

Paragraf 28 BSIG kennt zwei Größenbänder, und die Verknüpfungen zwischen den Kriterien sind so wichtig wie die Zahlen selbst.

Beachten Sie den Aufbau des Tests für wichtige Einrichtungen: 50 Beschäftigte oder die Finanzschwellen. Ein Unternehmen mit 55 Personen und bescheidenem Umsatz fällt allein über die Kopfzahl hinein. Umgekehrt fällt ein Unternehmen mit 30 Personen, das beide Finanzschwellen überschreitet, hinein, ohne die Kopfzahl zu erreichen. Beide Wege stehen offen, und nur einer von beiden muss erfüllt sein.

Im Größenkorridor, in dem wir am häufigsten arbeiten, also 10 bis 500 Beschäftigte, liegt die praktische Trennlinie damit bei 50. Darunter ist die Frage meist erledigt. Darüber, in einem Sektor der Anlagen 1 oder 2, lautet die Antwort meist ja.

Die Frist ist abgelaufen. Das ändert weniger, als es scheint

Das Gesetz wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet und trat ohne Übergangsfrist in Kraft. Paragraf 33 Absatz 1 BSIG gibt Einrichtungen drei Monate ab dem Zeitpunkt, zu dem sie erstmals als solche gelten, um sich beim BSI zu registrieren. Auf seiner Seite für regulierte Unternehmen stellt das BSI inzwischen unmissverständlich fest, dass die gesetzliche Registrierungsfrist bereits abgelaufen ist.

Manche lesen das als geschlossene Tür. Es ist das Gegenteil. Eine abgelaufene Frist bringt die Pflicht nicht zum Erlöschen, sie verwandelt eine bevorstehende Verpflichtung in einen gegenwärtigen Verstoß, der so lange andauert, wie die Registrierung fehlt. Daraus folgen drei Dinge.

Der Verstoß läuft, er ist nicht Vergangenheit. Jede weitere Woche ohne Registrierung ist eine weitere Woche der Nichterfüllung und kein verblassendes Ereignis von früher.

Das BSI kann von sich aus handeln. Paragraf 33 Absatz 3 BSIG erlaubt dem Bundesamt, die Registrierung selbst vorzunehmen, wenn eine Einrichtung ihrer Pflicht nicht nachkommt. Von außen registriert zu werden ist deutlich ungünstiger als die freiwillige Registrierung, weil es dokumentiert, dass die Einrichtung nicht gehandelt hat.

Die Registrierung ist die kleinste der Pflichten. Sie ist ein Verwaltungsakt von wenigen Stunden: ein ELSTER-Organisationszertifikat über den Dienst Mein Unternehmenskonto, danach die Registrierung im BSI-Portal mit Name, Rechtsform, Kontaktdaten, IP-Adressbereichen, Sektor, bedienten Mitgliedstaaten und zuständigen Aufsichtsbehörden. Die inhaltlichen Pflichten aus den Paragrafen 30, 32 und 38 sind der anspruchsvolle Teil, und sie gelten unabhängig davon, ob sich jemand registriert hat.

Was die Geschäftsleitung persönlich trifft

Paragraf 38 BSIG ist die Vorschrift, die NIS2 von einem IT-Thema zu einem Geschäftsführungsthema macht. Sie hat drei Absätze, und jeder leistet etwas Eigenes.

Absatz 1 verpflichtet die Geschäftsleitung, die Risikomanagementmaßnahmen nach Paragraf 30 umzusetzen und ihre Umsetzung zu überwachen. Die zweite Hälfte ist der Teil, der sich nicht auslagern lässt. Die IT-Abteilung mit NIS2 zu beauftragen erfüllt bestenfalls die Umsetzungspflicht; die Überwachungspflicht bleibt beim Leitungsorgan.

Absatz 2 regelt die Haftung für schuldhaft verursachte Schäden. Der Hauptweg führt über das Gesellschaftsrecht der jeweiligen Rechtsform, bei einer GmbH also über die Geschäftsführerpflichten des GmbH-Gesetzes. Enthält das Gesellschaftsrecht keine passende Regelung, greift das BSIG unmittelbar und schließt damit die Lücke für Rechtsformen, die sonst durchfallen würden.

Absatz 3 verlangt von der Geschäftsleitung, regelmäßig Schulungen zu besuchen, um ausreichende Kenntnisse zur Erkennung und Bewertung von Risiken zu erlangen und deren Auswirkungen auf die erbrachten Dienste beurteilen zu können. Das ist eine Pflicht des Leitungsorgans selbst. Sensibilisierungsschulungen für die Belegschaft, so sinnvoll sie sind, erfüllen sie nicht.

Für einen Geschäftsführer lautet die praktische Frage nicht, ob die Firewall aktuell ist. Sie lautet, ob er zu einem bestimmten Datum belegen kann, dass er die Maßnahmen geprüft und sich von ihrer Wirksamkeit überzeugt hat. Das ist eine Dokumentationsfrage, lange bevor es eine Technikfrage ist.

Bußgelder: was für den Mittelstand tatsächlich gilt

Berichte über NIS2 zitieren verlässlich zehn Millionen Euro oder zwei Prozent des weltweiten Umsatzes. Die erste Hälfte stimmt für eine Kategorie. Die zweite Hälfte ist für fast jedes mittelständische Unternehmen schlicht nicht anwendbar.

Paragraf 65 BSIG setzt in Absatz 5 absolute Höchstbeträge: bis zu zehn Millionen Euro für besonders wichtige und bis zu sieben Millionen Euro für wichtige Einrichtungen bei Verstößen gegen Risikomanagement- und Meldepflichten, absteigend über fünf Millionen, zwei Millionen, eine Million, 500.000 und 100.000 Euro für andere Verstoßkategorien. Die versäumte Registrierung liegt auf der Stufe von 500.000 Euro.

Die umsatzbezogene Alternative steht in den Absätzen 6 und 7, und sie ist an eine Bedingung geknüpft: zwei Prozent für besonders wichtige und 1,4 Prozent für wichtige Einrichtungen, anwendbar auf Einrichtungen mit mehr als 500 Millionen Euro Gesamtumsatz. Unterhalb dieser Schwelle geht die Prozentregel überhaupt nicht in die Rechnung ein. Ein Hersteller mit 80 Millionen Euro Umsatz kann nach dieser Vorschrift nicht mit zwei Prozent seines Umsatzes belegt werden.

Nichts davon sind Regelbußgelder. Es sind die oberen Enden eines gesetzlichen Rahmens, innerhalb dessen die Aufsicht abstuft. Der Grund, sie genau zu lesen, ist nicht Beruhigung, sondern Verhältnismäßigkeit: Übertriebene Zahlen erzeugen entweder Lähmung oder Abwehr, und beides ist schlechter als ein zutreffendes Bild.

Die Lieferkette: betroffen, ohne betroffen zu sein

Die für kleinere Unternehmen am meisten unterschätzte Vorschrift ist Paragraf 30 Absatz 2 Nummer 4 BSIG. Unter den zehn Maßnahmenbereichen nennt er die Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern.

Eine betroffene Einrichtung kann diese Pflicht nicht intern erfüllen. Sie muss in ihre Lieferantenbeziehungen hineingreifen, und das bedeutet Fragebögen, Sicherheitsanhänge zu Verträgen, Nachweise über Maßnahmen und vereinbarte Meldewege. Diese Anforderungen erreichen Zulieferer, die selbst häufig weit unter jeder NIS2-Schwelle liegen.

Für einen Zulieferer entsteht daraus eine kaufmännische Frage, keine rechtliche. Einen Kundenfragebogen nicht beantworten zu können löst kein Bußgeld aus. Es gefährdet den Auftrag, und zunehmend entscheidet es darüber, ob ein Unternehmen überhaupt auf die engere Liste kommt. Anbieter, die glaubwürdig antworten können, beginnen das als Unterscheidungsmerkmal zu behandeln, und das ist die nützlichere Sicht auf die Sache.

Verhältnismäßigkeit: die Klausel, die das Ganze handhabbar macht

Paragraf 30 Absatz 2 BSIG nennt zehn Bereiche: Konzepte zur Risikoanalyse und Informationssicherheit, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs samt Backup und Krisenmanagement, Sicherheit der Lieferkette, Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen, Bewertung der Wirksamkeit der Maßnahmen, Schulungen und Sensibilisierung, Kryptografie, Personalsicherheit und Zugriffskontrolle sowie Mehr-Faktor-Authentifizierung und gesicherte Kommunikation.

Als Liste gelesen sieht das nach einem Konzernprogramm aus. Handhabbar wird es durch Paragraf 30 Absatz 1 Satz 2, eine ausdrückliche Verhältnismäßigkeitsklausel: Zu berücksichtigen sind das Ausmaß der Risikoexposition, die Größe der Einrichtung, die Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen.

Diese Klausel leistet echte Arbeit. Sie bedeutet, dass ein Unternehmen mit 70 Personen Maßnahmen schuldet, die zu einem Unternehmen mit 70 Personen passen. Sie bedeutet nicht, dass die Bereiche optional wären. Jeder der zehn muss adressiert werden, aber die Tiefe ist abgestuft. Praktisch ist das der Grund, warum eine Betroffenheitsprüfung vor jede Werkzeugentscheidung gehört und erst recht vor ein Zertifizierungsprojekt.

Die Meldekette: 24 Stunden, 72 Stunden, ein Monat

Paragraf 32 BSIG richtet eine gestufte Meldepflicht an eine gemeinsame Meldestelle des BSI und des Bundesamtes für Bevölkerungsschutz und Katastrophenhilfe ein.

Die 24-Stunden-Uhr ist das operativ anspruchsvolle Element. Sie läuft ab der Kenntniserlangung, nicht ab dem Abschluss der Analyse, und sie läuft über Wochenenden. Sie einzuhalten verlangt einen vorab festgelegten Entscheidungsweg: wer beurteilt, ob ein Vorfall erheblich ist, wer ist zur Meldung befugt, und was passiert, wenn diese Person nicht erreichbar ist. Wer das während eines Vorfalls erfindet, verpasst das Fenster. Deshalb gehört der Meldeweg in den Notfallplan und nicht in ein Richtliniendokument.

NIS2, Cyber Resilience Act und Data Act sind drei verschiedene Dinge

Drei Regulierungsstränge werden in Geschäftsführungsrunden häufig vermengt, weil alle drei Cybersicherheit erwähnen. Sie auseinanderzuhalten spart erheblichen Aufwand.

NIS2 reguliert Sie als Betreiber. Es fragt, wie Sie Ihren eigenen Betrieb absichern, und knüpft an Sektor und Größe an.

Der Cyber Resilience Act reguliert Sie als Hersteller. Er knüpft an Produkte mit digitalen Elementen an, die Sie in Verkehr bringen, unabhängig von Ihrem Sektor. Die Meldepflichten haben wir gesondert im Beitrag zur CRA-Meldepflicht im Mittelstand behandelt.

Der Data Act reguliert den Datenzugang bei vernetzten Produkten und gilt ab dem 12. September 2026, wie im Beitrag zum Data Act und vernetzten Produkten dargestellt.

Ein Maschinenbauer kann von allen dreien gleichzeitig erfasst sein, und zwar in drei verschiedenen Rollen: als Betreiber nach NIS2, als Hersteller nach dem CRA und als Dateninhaber nach dem Data Act. Die Pflichten verschmelzen nicht, und die Fristen tun es auch nicht.

Was in den nächsten vier Wochen zu tun ist

Eine Reihenfolge, die funktioniert, geordnet danach, was am schnellsten Antworten liefert.

1. Betroffenheit schriftlich feststellen. Sektor gegen die Anlagen 1 und 2, Kopfzahl und Finanzkennzahlen gegen Paragraf 28. Das Ergebnis ist eine Seite mit einem datierten Befund und der Begründung. Auch ein dokumentiertes Nein ist wertvoll, weil die Frage wiederkommt, von einem Kunden oder einem Versicherer.

2. Bei Betroffenheit registrieren. Das ELSTER-Organisationszertifikat ist meist der längere Teil des Vorgangs. Das BSI-Portal selbst geht schnell, sobald das Zertifikat vorliegt.

3. Den Meldeweg festlegen, bevor Sie ihn brauchen. Benannte Personen, Vertretungen, Erreichbarkeit außerhalb der Geschäftszeiten und die Entscheidungsregel dafür, was als erheblich gilt. Das ist der eine Punkt, der sich nicht improvisieren lässt.

4. Die zehn Bereiche gegen den Bestand halten. Die meisten Unternehmen haben mehr davon umgesetzt, als sie denken, und dokumentiert haben sie es selten. Die Lücke ist meist der Nachweis, nicht die Substanz.

5. Die Überwachungspflicht auf die Tagesordnung setzen. Eine datierte Befassung der Geschäftsleitung mit den Maßnahmen, protokolliert. Genau das verlangt Paragraf 38 Absatz 1, und es ist der günstigste Punkt auf der Liste.

Nichts davon erfordert ein Zertifizierungsprojekt. Es erfordert eine dokumentierte Antwort auf eine Frage, die eine wachsende Zahl von Kunden, Versicherern und Prüfern ohnehin stellen wird.

Häufige Fragen zu NIS2, Registrierungspflicht und Betroffenheit im Mittelstand