NIS2 in Deutschland gilt bereits. Die Registrierungsfrist ist abgelaufen.
Das BSIG ist seit dem 6. Dezember 2025 in Kraft — ohne allgemeine Übergangsfrist. Die Registrierung war binnen drei Monaten fällig (§ 33 Abs. 1 BSIG). Wer erfasst ist und sich nicht registriert hat, ist säumig. Vier Fragen, Ergebnis sofort, ohne E-Mail-Adresse.
Keine Registrierung · Antworten bleiben im Browser · unverbindliche Ersteinschätzung
Betroffenheits-Check
Die Reihenfolge folgt dem Gesetz: erst Sonderstatus und Bereichsausnahmen, dann Anlagen-Zuordnung, dann Größe. Wer mit der Größe beginnt, bekommt bei Vertrauensdiensten, DNS-Anbietern und DORA-Unternehmen systematisch falsche Ergebnisse.
Was daraus folgt
Fristen und Stichtage
Ohne Gewähr. Diese Ersteinschätzung gibt unsere Lesart des BSIG in der Fassung des NIS2UmsuCG wieder und ersetzt keine Rechtsberatung. Maßgeblich ist ausschließlich der Gesetzestext in der geltenden Fassung. Ihre Antworten werden nicht übertragen und nicht gespeichert.
§ 30 Abs. 1 Satz 3 BSIG: „Die Einhaltung der Verpflichtung nach Satz 1 ist durch die Einrichtungen zu dokumentieren.“
Ein Satz, elf Wörter — und die schärfste Pflicht des Gesetzes für alle, die keine kritische Anlage betreiben.
Das BSIG verlangt nicht nur, die Risikomanagement-Maßnahmen zu ergreifen. Es verlangt, ihre Einhaltung zu dokumentieren — sofort, für alle erfassten Einrichtungen, ohne Übergangsfrist. Ein Verstoß dagegen liegt im obersten Bußgeldrahmen, gleichauf mit dem Nichtergreifen der Maßnahmen selbst.
Das österreichische NISG kennt diese Pflicht so nicht. Wer in Deutschland erfasst ist, schuldet der Aufsicht also nicht nur einen Zustand, sondern dessen Beleg — und zwar rückwirkend für den Zeitraum, in dem der Zustand gegolten haben soll.
Keine turnusmäßige Nachweispflicht — aber jederzeit anlassbezogen
Ein Nachweis alle drei Jahre per Audit oder Zertifizierung trifft nur Betreiber kritischer Anlagen (§ 39 BSIG). Für alle anderen kann das BSI Nachweise anlassbezogen anordnen (§ 61 Abs. 1) — bei besonders wichtigen Einrichtungen breitflächig ab dem 6. Dezember 2028 (§ 61 Abs. 3). Wer dann erst anfängt zu dokumentieren, hat keine Historie.
Historie lässt sich nicht nachträglich erzeugen
Genau das ist der Punkt: Ein Dokument, das heute erstellt wird, belegt nicht, was vor zwei Jahren galt. ReportAct versiegelt jeden Nachweis kryptografisch und versieht ihn mit einem qualifizierten Zeitstempel — Inhalt und Zeitpunkt bleiben unabhängig überprüfbar, auch für Ihren Prüfer, auch ohne Zugang zu unserem System.
Betroffen kraft Gesetz — oder kraft Vertrag.
Der Unterschied entscheidet, wem gegenüber Sie nachweispflichtig sind — der Aufsicht oder Ihrem Kunden.
Unmittelbar erfasst
Sie fallen als besonders wichtige oder wichtige Einrichtung selbst unter das BSIG: Registrierung beim BSI, Risikomanagement-Maßnahmen samt Dokumentationspflicht, Meldekette bei erheblichen Sicherheitsvorfällen an die gemeinsame Meldestelle von BSI und BBK, Pflichten der Geschäftsleitung.
Als Zulieferer
Sie sind selbst nicht erfasst, beliefern aber erfasste Einrichtungen. Deren Pflicht zur Lieferkettensicherheit wird vertraglich an Sie weitergereicht — als Sicherheitsfragebogen, Auditrecht oder Meldeklausel. Ihr Gegenüber ist Ihr Kunde, und Ihre Frist ist dessen Beschaffungsprozess.
Managed Services Provider und Managed Security Services Provider stehen als eigene Einrichtungsarten im Sektor „Digitale Infrastruktur“ der Anlage 1 — sie fallen also aus eigenem Recht unter das BSIG, nicht bloß über den Vertrag ihrer Kunden.
Anders als in Österreich ist „Öffentliche Verwaltung“ in Deutschland kein Sektor der Anlagen. Einrichtungen der Bundesverwaltung laufen über § 29 BSIG; Länder und Kommunen erfasst das BSIG nicht — für sie gilt Landesrecht.
Lieferkettensicherheit, die sich beweisen lässt.
In Deutschland verlangt § 30 Abs. 2 Nr. 4 BSIG „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“. Nach § 38 BSIG muss die Geschäftsleitung die Umsetzung der Risikomanagementmaßnahmen persönlich billigen und überwachen — mit persönlicher Haftung bei schuldhafter Pflichtverletzung. Das Lieferantenregister von ReportAct führt Kritikalität, Verträge, Herkunftsland und Konzentrationsflag je Anbieter; Sicherheits-Fragebögen werden je Lieferant versendet und beantwortet; die Kontrolle „Lieferkettensicherheit“ bewertet sich laufend aus der Vollständigkeit der Lieferanten-Due-Diligence — und jeder Stand wird kryptografisch versiegelt.
Sehen Sie ReportAct an einem echten Nachweis.
30 Minuten, Ihre Branche, Ihre Pflichten. Wir richten einen Piloten auf Ihrem Regime ein — üblicherweise innerhalb einer Woche.