NIS2 in Deutschland gilt bereits. Die Registrierungsfrist ist abgelaufen.
Das BSIG ist seit dem 6. Dezember 2025 in Kraft, ohne allgemeine Übergangsfrist. Die Registrierung war binnen drei Monaten fällig (§ 33 Abs. 1 BSIG). Wer erfasst ist und sich nicht registriert hat, ist säumig. Vier Fragen, Ergebnis sofort, mit Begründung und Fundstelle.
Keine Registrierung · Antworten bleiben im Browser · unverbindliche Ersteinschätzung
Betroffenheits-Check
Reihenfolge nach dem Gesetz: Sonderstatus und Bereichsausnahmen, Anlagen-Zuordnung, Größe. Wer mit der Größe beginnt, erhält bei Vertrauensdiensten, DNS-Anbietern und DORA-Unternehmen falsche Ergebnisse.
Was daraus folgt
Fristen und Stichtage
Ohne Gewähr. Diese Ersteinschätzung gibt unsere Lesart des BSIG in der Fassung des NIS2UmsuCG wieder und ersetzt keine Rechtsberatung. Maßgeblich ist ausschließlich der Gesetzestext in der geltenden Fassung. Ihre Antworten werden nicht übertragen und nicht gespeichert — außer Sie lassen sich das Ergebnis zusenden.
§ 30 Abs. 1 Satz 3 BSIG: „Die Einhaltung der Verpflichtung nach Satz 1 ist durch die Einrichtungen zu dokumentieren.“
Ein Satz, elf Wörter: die schärfste Pflicht des Gesetzes für alle, die keine kritische Anlage betreiben.
Das BSIG verlangt, die Risikomanagement-Maßnahmen nicht nur zu ergreifen, sondern ihre Einhaltung zu dokumentieren, sofort, für alle erfassten Einrichtungen, ohne Übergangsfrist. Ein Verstoß liegt im obersten Bußgeldrahmen, gleichauf mit dem Nichtergreifen der Maßnahmen selbst.
Das österreichische NISG kennt diese Pflicht so nicht. Wer in Deutschland erfasst ist, schuldet der Aufsicht nicht nur einen Zustand, sondern dessen Beleg, rückwirkend für den Zeitraum, in dem er gegolten haben soll.
Keine turnusmäßige Nachweispflicht — aber jederzeit anlassbezogen
Ein Nachweis alle drei Jahre per Audit oder Zertifizierung trifft nur Betreiber kritischer Anlagen (§ 39 BSIG). Für alle anderen kann das BSI Nachweise anlassbezogen anordnen (§ 61 Abs. 1), bei besonders wichtigen Einrichtungen breitflächig ab dem 6. Dezember 2028 (§ 61 Abs. 3). Wer dann erst anfängt, hat keine Historie.
Historie lässt sich nicht nachträglich erzeugen
Ein heute erstelltes Dokument belegt nicht, was vor zwei Jahren galt. ReportAct versiegelt jeden Nachweis kryptografisch und versieht ihn mit einem qualifizierten Zeitstempel. Inhalt und Zeitpunkt bleiben überprüfbar, auch für Ihren Prüfer, auch ohne Zugang zu unserem System.
Betroffen kraft Gesetz — oder kraft Vertrag.
Er bestimmt, wem gegenüber Sie nachweispflichtig sind: der Aufsicht oder Ihrem Kunden.
Unmittelbar erfasst
Sie fallen als besonders wichtige oder wichtige Einrichtung selbst unter das BSIG: Registrierung beim BSI, Risikomanagement-Maßnahmen samt Dokumentationspflicht, Meldekette bei erheblichen Sicherheitsvorfällen an die gemeinsame Meldestelle von BSI und BBK, Pflichten der Geschäftsleitung.
Als Zulieferer
Sie sind selbst nicht erfasst, beliefern aber erfasste Einrichtungen. Deren Pflicht zur Lieferkettensicherheit wird vertraglich an Sie weitergereicht: als Sicherheitsfragebogen, Auditrecht oder Meldeklausel. Ihr Gegenüber ist Ihr Kunde, Ihre Frist dessen Beschaffungsprozess.
Managed Services Provider und Managed Security Services Provider stehen als eigene Einrichtungsarten im Sektor „Digitale Infrastruktur“ der Anlage 1 und fallen damit aus eigenem Recht unter das BSIG.
Anders als in Österreich ist „Öffentliche Verwaltung“ in Deutschland kein Sektor der Anlagen. Einrichtungen der Bundesverwaltung laufen über § 29 BSIG; Länder und Kommunen erfasst das BSIG nicht — für sie gilt Landesrecht.
Lieferkettensicherheit, die sich beweisen lässt.
In Deutschland verlangt § 30 Abs. 2 Nr. 4 BSIG „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“. Nach § 38 BSIG muss die Geschäftsleitung die Umsetzung der Risikomanagementmaßnahmen persönlich billigen und überwachen — mit persönlicher Haftung bei schuldhafter Pflichtverletzung. Das Lieferantenregister von ReportAct führt Kritikalität, Verträge, Herkunftsland und Konzentrationsflag je Anbieter; Sicherheits-Fragebögen werden je Lieferant versendet und beantwortet; die Kontrolle „Lieferkettensicherheit“ bewertet sich laufend aus der Vollständigkeit der Lieferanten-Due-Diligence, jeder Stand wird kryptografisch versiegelt.
Sehen Sie ReportAct an einem echten Nachweis.
30 Minuten, Ihre Branche, Ihre Pflichten. Wir richten einen Piloten auf Ihrem Regime ein — üblicherweise innerhalb einer Woche.
- Historie lässt sich nicht nachträglich erzeugen.
- Keine turnusmäßige Nachweispflicht — aber jederzeit anlassbezogen.
- Lieferkettensicherheit, die sich beweisen lässt.