BSIG · Deutschland Betroffenheits-Check

NIS2 in Deutschland gilt bereits. Die Registrierungsfrist ist abgelaufen.

Das BSIG ist seit dem 6. Dezember 2025 in Kraft — ohne allgemeine Übergangsfrist. Die Registrierung war binnen drei Monaten fällig (§ 33 Abs. 1 BSIG). Wer erfasst ist und sich nicht registriert hat, ist säumig. Vier Fragen, Ergebnis sofort, ohne E-Mail-Adresse.

Betroffenheit prüfen Demo vereinbaren

Keine Registrierung · Antworten bleiben im Browser · unverbindliche Ersteinschätzung

Schritt für Schritt

Betroffenheits-Check

Die Reihenfolge folgt dem Gesetz: erst Sonderstatus und Bereichsausnahmen, dann Anlagen-Zuordnung, dann Größe. Wer mit der Größe beginnt, bekommt bei Vertrauensdiensten, DNS-Anbietern und DORA-Unternehmen systematisch falsche Ergebnisse.

1 Welcher Branche ist Ihre Tätigkeit zuzuordnen?

Die Anlagen des BSIG unterscheiden Sektoren, Branchen und Einrichtungsarten. Maßgeblich ist die Branche — sie entscheidet, ob Anlage 1 oder Anlage 2 gilt. Auch eine Nebentätigkeit kann die Zuordnung auslösen; unwesentliche Geschäftstätigkeiten dürfen außer Betracht bleiben (§ 28 Abs. 3).

2 Trifft einer dieser Sonderfälle auf Sie zu?

Diese Fälle gehen der Größenprüfung vor — teils, weil sie größenunabhängig erfassen, teils, weil sie von den NIS2-Kernpflichten ausnehmen. Wählen Sie den zutreffendsten Fall.

3 Wie groß ist Ihr Unternehmen?

Die Verknüpfung ist nicht symmetrisch: Mitarbeiterzahl oder (Umsatz und Bilanzsumme). Es genügt also die Mitarbeiterzahl allein — beim Finanzkriterium müssen dagegen beide Werte überschritten sein (§ 28 Abs. 1 Nr. 4, Abs. 2 Nr. 3). Konzernwerte zählen grundsätzlich mit, nicht jedoch bei IT-seitiger Unabhängigkeit (§ 28 Abs. 4).

4 Beliefern Sie erfasste Unternehmen?

Zulieferung allein macht Sie nicht zur erfassten Einrichtung. Sie ändert das gesetzliche Ergebnis nicht — wohl aber, was Ihre Kunden Ihnen vertraglich abverlangen, denn Lieferkettensicherheit ist eine ihrer Pflichten (§ 30 Abs. 2 Nr. 4 BSIG).

Was daraus folgt

    Fristen und Stichtage

      Ohne Gewähr. Diese Ersteinschätzung gibt unsere Lesart des BSIG in der Fassung des NIS2UmsuCG wieder und ersetzt keine Rechtsberatung. Maßgeblich ist ausschließlich der Gesetzestext in der geltenden Fassung. Ihre Antworten werden nicht übertragen und nicht gespeichert.

      Der unterschätzte Satz

      § 30 Abs. 1 Satz 3 BSIG: „Die Einhaltung der Verpflichtung nach Satz 1 ist durch die Einrichtungen zu dokumentieren.“

      Ein Satz, elf Wörter — und die schärfste Pflicht des Gesetzes für alle, die keine kritische Anlage betreiben.

      Das BSIG verlangt nicht nur, die Risikomanagement-Maßnahmen zu ergreifen. Es verlangt, ihre Einhaltung zu dokumentieren — sofort, für alle erfassten Einrichtungen, ohne Übergangsfrist. Ein Verstoß dagegen liegt im obersten Bußgeldrahmen, gleichauf mit dem Nichtergreifen der Maßnahmen selbst.

      Das österreichische NISG kennt diese Pflicht so nicht. Wer in Deutschland erfasst ist, schuldet der Aufsicht also nicht nur einen Zustand, sondern dessen Beleg — und zwar rückwirkend für den Zeitraum, in dem der Zustand gegolten haben soll.

      Keine turnusmäßige Nachweispflicht — aber jederzeit anlassbezogen

      Ein Nachweis alle drei Jahre per Audit oder Zertifizierung trifft nur Betreiber kritischer Anlagen (§ 39 BSIG). Für alle anderen kann das BSI Nachweise anlassbezogen anordnen (§ 61 Abs. 1) — bei besonders wichtigen Einrichtungen breitflächig ab dem 6. Dezember 2028 (§ 61 Abs. 3). Wer dann erst anfängt zu dokumentieren, hat keine Historie.

      Historie lässt sich nicht nachträglich erzeugen

      Genau das ist der Punkt: Ein Dokument, das heute erstellt wird, belegt nicht, was vor zwei Jahren galt. ReportAct versiegelt jeden Nachweis kryptografisch und versieht ihn mit einem qualifizierten Zeitstempel — Inhalt und Zeitpunkt bleiben unabhängig überprüfbar, auch für Ihren Prüfer, auch ohne Zugang zu unserem System.

      Zwei Wege hinein

      Betroffen kraft Gesetz — oder kraft Vertrag.

      Der Unterschied entscheidet, wem gegenüber Sie nachweispflichtig sind — der Aufsicht oder Ihrem Kunden.

      Unmittelbar erfasst

      Sie fallen als besonders wichtige oder wichtige Einrichtung selbst unter das BSIG: Registrierung beim BSI, Risikomanagement-Maßnahmen samt Dokumentationspflicht, Meldekette bei erheblichen Sicherheitsvorfällen an die gemeinsame Meldestelle von BSI und BBK, Pflichten der Geschäftsleitung.

      Als Zulieferer

      Sie sind selbst nicht erfasst, beliefern aber erfasste Einrichtungen. Deren Pflicht zur Lieferkettensicherheit wird vertraglich an Sie weitergereicht — als Sicherheitsfragebogen, Auditrecht oder Meldeklausel. Ihr Gegenüber ist Ihr Kunde, und Ihre Frist ist dessen Beschaffungsprozess.

      MSPs und MSSPs sind in Deutschland direkt erfasst.
      Managed Services Provider und Managed Security Services Provider stehen als eigene Einrichtungsarten im Sektor „Digitale Infrastruktur“ der Anlage 1 — sie fallen also aus eigenem Recht unter das BSIG, nicht bloß über den Vertrag ihrer Kunden.
      Öffentliche Verwaltung: nur der Bund.
      Anders als in Österreich ist „Öffentliche Verwaltung“ in Deutschland kein Sektor der Anlagen. Einrichtungen der Bundesverwaltung laufen über § 29 BSIG; Länder und Kommunen erfasst das BSIG nicht — für sie gilt Landesrecht.
      Lieferketten-Compliance

      Lieferkettensicherheit, die sich beweisen lässt.

      In Deutschland verlangt § 30 Abs. 2 Nr. 4 BSIG „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“. Nach § 38 BSIG muss die Geschäftsleitung die Umsetzung der Risikomanagementmaßnahmen persönlich billigen und überwachen — mit persönlicher Haftung bei schuldhafter Pflichtverletzung. Das Lieferantenregister von ReportAct führt Kritikalität, Verträge, Herkunftsland und Konzentrationsflag je Anbieter; Sicherheits-Fragebögen werden je Lieferant versendet und beantwortet; die Kontrolle „Lieferkettensicherheit“ bewertet sich laufend aus der Vollständigkeit der Lieferanten-Due-Diligence — und jeder Stand wird kryptografisch versiegelt.

      Sehen Sie ReportAct an einem echten Nachweis.

      30 Minuten, Ihre Branche, Ihre Pflichten. Wir richten einen Piloten auf Ihrem Regime ein — üblicherweise innerhalb einer Woche.