Corporate, Data / Media / IT, Unternehmen

Unternehmen aufgepasst: Frist zur NIS-2-Registrierung läuft ab!

Am 31. Juli 2026 läuft die vom Bundesamt für Sicherheit in der Informationstechnik (BSI) gesetzte Duldungsfrist zur Registrierung von Unternehmen mit hoher Bedeutung für Wirtschaft, Versorgung und Gesellschaft ab. Unternehmen, die unter die NIS-2-Regulierung fallen und ihrer Registrierungspflicht bislang nicht nachgekommen sind, sollten jetzt kurzfristig handeln. Andernfalls drohen empfindliche Geldbußen; Geschäftsführer haften zudem persönlich gegenüber ihrer Gesellschaft.

Dr. Lorenz Müller,

Patrick Hinz

Juli 30, 2026

Einführung

Die europäische NIS-2-Richtlinie ist bereits Ende 2025 mit dem Inkrafttreten des neuen BSI-Gesetzes in deutsches Recht umgesetzt worden. Ziel der neuen Regulierung ist es, die Resilienz von Wirtschaft und Gesellschaft durch ein höheres Cybersicherheitsniveau zustärken. Dazu werden Unternehmen, die vom Gesetz als besonders bedeutsam angesehen werden, besonderen Pflichten unterworfen. So müssen sie sich u.a. beim BSI registrieren, Maßnahmen zum Risikomanagement treffen und sicherheitsrelevante Vorfälle melden. Zudem müssen Geschäftsleitungen und Beschäftigte sensibilisiert und geschult werden.Hinzu kommen Dokumentations- und Nachweispflichten.

Die gesetzliche Frist zur Registrierung ist bereits am 6. März 2026 abgelaufen. Innerhalb der gesetzlich vorgesehenen Frist hatten sich allerdings deutlich weniger Unternehmen beim BSI registrieren lassen als erwartet. Angesichts dessen wurde vom BSI angekündigt, verspätete Registrierungen bis Ende Juli zu dulden. Wichtig ist: Die Duldungsfrist hat die gesetzliche Registrierungsfrist nicht verlängert. Sie bedeutet lediglich, dass das BSI verspätete Registrierungen bis Ende Juli 2026 nach eigener Ankündigung nicht sanktionieren wollte.

Die Verletzung der Registrierungspflicht, die auch fahrlässig begangen werden kann, kann mit einer Geldbuße von bis zu 500.000 Euro geahndet werden. Bei Pflichtverletzungen drohen im Übrigen Geldbußen bis zu zehn Millionen Euro bzw. bis zu 2% des Gesamtumsatzes. Bei Konzernen kann der Gesamtumsatz weltweit bestimmt und auch vom BSI geschätzt werden. Geschäftsführung und Vorstand haften für Pflichtverletzungen bei der Umsetzung und Überwachung der Risikomanagementmaßnahmen im Innenverhältnis zum Unternehmen persönlich. In Einzelfällen kommt sogar eine strafrechtliche Verantwortlichkeit in Betracht.

Anwendungsbereich

Betroffen von der neuen Regulierung sind nach der Gesetzesbegründung insgesamt knapp 30.000 sogenannte “Einrichtungen” (Unternehmen und sonstige Organisationen) statt der zuvor etwa 4.700 Adressaten. Ob ein bestimmtes Unternehmen zu den „wichtigen“ oder „besonders wichtigen“ Einrichtungen zählt, auf die das BSI-Gesetz abzielt, ist keineswegs selbsterklärend, sondern bedarf häufig einer sehr intensiven Auseinandersetzung sowohl mit den Geschäftstätigkeiten des Unternehmens als auch der Rechtslage.

Größenmäßig werden vor allem Unternehmen mit mehr als 50 Mitarbeitern oder einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Millionen Euro erfasst, soweit sie in bestimmten Sektoren tätig sind. Dazu zählen unter anderem Energie, Verkehr, Gesundheitswesen, Trinkwasser und Abwasser, digitale Infrastruktur, IT-Dienstleister, Chemie, Lebensmittelproduktion, Abfallwirtschaft, verarbeitendes Gewerbe, Post- und Kurierdienste, digitale Dienste und Forschungseinrichtungen. Einige Anbieter können unabhängig von ihrer Größe betroffen sein, etwa DNS- und Domain-Anbieter, Telekommunikationsanbieter oder Vertrauensdiensteanbieter.

Schwierig wird die Feststellung der Betroffenheit im Einzelfall. Zum Beispiel bei Unternehmen der genannten Größenordnung, die bestimmte Tätigkeiten im Sektor „Verarbeitendes Gewerbe/Herstellung von Waren“ ausüben, eine in der Praxis sehr relevante Kategorie. Dabei stellt Anlage 2 zum BSI-Gesetz auf die Klassifizierung der Wirtschaftstätigkeiten nach der Statistischen Systematik der Wirtschaftszweige in der Europäischen Gemeinschaft (NACE Rev. 2) ab. In den einschlägigen Abteilungen 26-30 der Abteilung C dieser auch als “NACE-Code“ bekannten Systematik wird allerdings eine Vielzahl von Wirtschaftstätigkeiten beschrieben, die es nicht ohne weiteres nahelegen, dass ein Unternehmen erhöhten Anforderungen an die Cybersicherheit unterliegen muss.

So werden unter NACE Code Abteilung 26 unter der Überschrift “Herstellung von Datenverarbeitungsgeräten, elektronischen und optischen Erzeugnissen” zum Beispiel Folgendes erfasst:

Herstellung von elektronischen Bauelementen und Leiterplatten,
Herstellung von Datenverarbeitungsgeräten und peripheren Geräten,
Herstellung von Geräten und Einrichtungen der Telekommunikationstechnik,
Herstellung von Geräten der Unterhaltungselektronik,
Herstellung von Mess-, Kontroll-, Navigations- u. ä. Instrumenten und Vorrichtungen;Herstellung von Uhren,
Herstellung von Bestrahlungs- und Elektrotherapiegeräten und elektromedizinischen Geräten;
Herstellung von optischen und fotografischen Instrumenten und Geräten, und
Herstellung von magnetischen und optischen Datenträgern.

Wie weit diese Zuordnung geht, erschließt sich vor allem dann, wenn man in der Systematik des NACE-Codes noch eine Ebene tiefer geht. So zählt zum NACE Code Abteilung 27 “Herstellung von elektrischen Ausrüstungen” unter Ziffer 27.40 auch die Herstellung von elektrischen Lampen und Leuchten. Dazu gehören nach der detaillierten Auflistung des NACE-Codes nicht nur Decken- und Wandleuchten, Kronleuchter, Tischleuchten und Taschenleuchten. Es zählen dazu auch Beleuchtungsgegenstände, deren Bedeutung für die Cybersicherheit und Resilienz nicht ohne weiteres verständlich ist, nämlich zum Beispiel Weihnachtsbaum-Lichterketten, Elektrokamine, Blitzlichtgeräte und elektrische Insektenlampen.

Vergleichbare Beispiele ließen sich auch aus den NACE-Abteilungen „Maschinenbau“, „Herstellung von Kraftwagen und Kraftwagenteilen“ und „Sonstiger Fahrzeugbau“ benennen. Von letzterer ausdrücklich nicht erfasst werden allerdings die „Herstellung von Teilen von Vergnügungs- und Sportbooten“ und die „Herstellung von Segelbrettern und Surfbrettern.“

Erschwert wird die Feststellung der Betroffenheit eines Unternehmens zudem durch Unklarheiten darüber, wie der Begriff des “Herstellers” im Sinne der Regulierung zu verstehen ist. Bedarf es der faktischen Herstellung im eigenen Werk oder gilt ein Unternehmen schon dann als Hersteller, wenn ein Produkt mit seinem Namen versehen wird? Hier gehen die Meinungen auseinander. Selbst der löbliche und sicher gut gemeinte Versuch des deutschen Gesetzgebers, Tätigkeiten auszuschließen, “die im Hinblick auf die gesamte Geschäftstätigkeit der Einrichtung vernachlässigbar sind” (§ 28 Abs. 3 BSIG), ist juristisch umstritten: Er wird in der wissenschaftlichen Literatur als europarechtswidrig eingestuft, da sich eine vergleichbare Ausnahmeregelung in der NIS-2-Richtlinie selbst nicht findet.

Haftung der Geschäftsleitung

Die Verantwortung für die Umsetzung und Überwachung der NIS-2-Anforderungen liegt nicht allein bei der IT-Abteilung. Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen sind zur Umsetzung und Überwachung der durch die Einrichtung zu ergreifenden Risikomanagementmaßnahmen verpflichtet (§ 38 Abs. 1 BSIG).

Verstöße gegen diese Pflichten können erhebliche Konsequenzen haben. Neben behördlichen Maßnahmen und Bußgeldern sieht das Gesetz ausdrücklich eine persönliche Haftung der Geschäftsleitung gegenüber der Gesellschaft für schuldhaft verursachte Schäden vor (§ 38 Abs. 2 BSIG). Die Regelung konkretisiert die allgemeinen Organisations- und Legalitätspflichten von Geschäftsleitern. Da die Einhaltung gesetzlicher Vorgaben keine unternehmerische Ermessensentscheidung darstellt, greift insoweit auch die Business Judgment Rule nicht.

Zwar können operative Aufgaben im Bereich Informationssicherheit innerhalb des Unternehmens delegiert werden. Die Verantwortung für eine angemessene Organisation und Kontrolle verbleibt jedoch bei der Geschäftsleitung. Eine wirksame Delegation setzt deshalb voraus, dass Zuständigkeiten klar festgelegt, Prozesse angemessen dokumentiert und deren Einhaltung regelmäßig überwacht werden.

Hinzu kommt eine persönliche Fortbildungspflicht: Geschäftsleitungen müssen regelmäßig (alle drei Jahre) an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik zu erwerben (§ 38 Abs. 3 BSIG). Diese Pflicht kann nicht delegiert werden.

NIS-2 ist damit ausdrücklich auch ein Thema der Geschäftsleitung. Die Einhaltung der gesetzlichen Anforderungen kann nicht allein der IT-Abteilung überlassen werden.

Handlungsbedarf für Unternehmen

Unternehmen, die möglicherweise in den Anwendungsbereich des BSI-Gesetzes fallen und bislang nicht registriert sind, sollten ihre Betroffenheit jetzt kurzfristig prüfen. Das gilt insbesondere, weil die BSI-Duldungsfrist am 31. Juli 2026 endet und die gesetzliche Registrierungspflicht dadurch nicht verlängert wurde. Daher wird das BSI die Einhaltung der gesetzlichen Vorgaben nach Ablauf der „Duldungsfrist“ vermutlich konsequenter überwachen und ahnden. Das vom BSI bereitgestellte Tool zur Betroffenheitsprüfung kann eine erste Orientierung geben, ersetzt aber keine rechtliche Prüfung der Selbst-Identifizierung.

Wir unterstützen Sie gerne bei der Prüfung, ob Ihr Unternehmen vom BSI-Gesetz erfasst ist, sowie bei der Vorbereitung und Durchführung der Registrierung.