Gilt für deutsche Unternehmen die NIS2-Richtlinie oder das BSIG?

Das BSIG. Eine EU-Richtlinie gilt nicht unmittelbar, sondern muss national umgesetzt werden. In Deutschland geschieht das durch das NIS2-Umsetzungsgesetz, das das BSIG neu fasst (BSIG 2025, in Kraft seit 6. Dezember 2025). Maßgeblich ist der deutsche Gesetzestext, nicht der Richtlinienwortlaut.

Stimmt die Schwelle „50 Mitarbeiter oder 10 Mio. Euro“?

Nur teilweise. Nach § 28 BSIG ist eine Einrichtung wichtig, wenn sie mindestens 50 Beschäftigte hat ODER Jahresumsatz UND Bilanzsumme jeweils über 10 Mio. € erreicht. Die Finanzkriterien sind kumulativ – beide müssen überschritten sein. „Eines von beiden genügt“ ist bei den Finanzwerten falsch.

Gibt es „wesentliche Einrichtungen“ im deutschen NIS2-Recht?

Nein. Das ist EU-Terminologie (essential entities). Das BSIG kennt „besonders wichtige Einrichtungen“ (§ 28 Abs. 1) und „wichtige Einrichtungen“ (§ 28 Abs. 2).

Drohen bei NIS2-Verstößen in Deutschland bis zu 10 Mio. Euro oder 2 % Umsatz?

Nicht in dieser EU-Formel. Das BSIG (§ 65) staffelt feste Höchstbeträge; die umsatzabhängige Alternative (2 % bzw. 1,4 %) greift erst ab 500 Mio. € Gesamtumsatz. Ein reiner Registrierungsverstoß ist mit höchstens 500.000 € bewehrt.

Wissen · NIS2

BSIG 2025 vs. NIS2-Richtlinie: Was in Deutschland wirklich gilt

NIS2 ist eine EU-Richtlinie (Richtlinie (EU) 2022/2555) und gilt für Unternehmen nicht unmittelbar – sie muss national umgesetzt werden. In Deutschland geschieht das durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, das das BSI-Gesetz neu fasst (BSIG 2025, in Kraft seit 6. Dezember 2025). Für deutsche Adressaten ist deshalb das BSIG maßgeblich, nicht der Richtlinientext – und das BSIG weicht in fünf Punkten spürbar von der EU-Fassung ab: Begriffe, Schwellenwerte, Sektorenzählung, Bußgeldsystematik und Geschäftsleitungshaftung. Viele Ratgeber übernehmen fälschlich die EU-Zahlen.

EU-Recht: Richtlinie (EU) 2022/2555 (NIS2)
DE-Recht: BSIG 2025 (seit 06.12.2025, BGBl. 2025 I Nr. 301)
Kategorien: besonders wichtige (§ 28 Abs. 1) / wichtige (§ 28 Abs. 2)
Meldung: 24 h / 72 h / 1 Monat (ab 72-h-Meldung), § 32
Bußgeld: feste Höchstbeträge (§ 65); 2 % erst ab 500 Mio. €
Quelle: gesetze-im-internet.de/bsig_2025/

1. Begriffe: besonders wichtige und wichtige Einrichtungen

Das BSIG kennt zwei Kategorien: besonders wichtige Einrichtungen (§ 28 Abs. 1) und wichtige Einrichtungen (§ 28 Abs. 2). Die aus der EU-Richtlinie geläufige „wesentliche Einrichtung“ (essential entity) ist im deutschen Recht kein Rechtsbegriff. Wer mit den EU-Begriffen „wesentlich/wichtig“ arbeitet, verwendet für deutsche Adressaten die falsche Terminologie.

2. Schwellenwerte (§ 28): kumulative Finanzkriterien

Die verbreitete Faustformel „50 Beschäftigte ODER 10 Mio. € – eines genügt“ ist für das BSIG falsch. Besonders wichtig ist eine Einrichtung aus Anlage 1, wenn sie mindestens 250 Beschäftigte hat ODER einen Jahresumsatz über 50 Mio. € UND eine Bilanzsumme über 43 Mio. €. Wichtig ist eine Einrichtung aus Anlage 1 oder 2, wenn sie mindestens 50 Beschäftigte hat ODER Jahresumsatz UND Bilanzsumme jeweils über 10 Mio. € erreicht.

Entscheidend: Die finanziellen Kriterien sind kumulativ – Umsatz und Bilanzsumme müssen beide überschritten sein, nicht nur eines. Die Konzernbetrachtung ist ebenfalls eng: Nach § 28 Abs. 4 werden Partner- und verbundene Unternehmen nicht hinzugerechnet, wenn die Einrichtung informationstechnisch unabhängig ist – eine bewusste Abweichung von der sonst üblichen Zusammenrechnung nach EU-Empfehlung 2003/361/EG.

3. Sektorenzählung: 7 + 7 statt 18

Die oft zitierte Zahl „18 Sektoren“ (11 mit hoher Kritikalität + 7 sonstige) stammt aus der EU-Richtlinie. Die Anlagen des BSIG führen die Sektoren anders: Anlage 1 (besonders wichtige) und Anlage 2 (weitere) mit jeweils sieben Sektoren. Der EU-Sektor „Verwaltung von IKT-Diensten“ ist im BSIG nicht separat gelistet, sondern in Anlage 1 Nr. 6 (Digitale Infrastruktur, u. a. Managed Service Provider) enthalten. Die öffentliche Verwaltung wird gesondert in § 29 geregelt.

4. Meldung, Registrierung und Aufsicht

Die Meldepflicht (§ 32) ist gestaffelt: Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung binnen eines Monats – wobei die Monatsfrist ab der 72-Stunden-Meldung läuft. Die Registrierung (§ 33) muss binnen drei Monaten erfolgen; das Registrierungsportal des BSI ist seit Januar 2026 verfügbar (für die bereits am 6. Dezember 2025 betroffenen Einrichtungen lief die Frist am 6. März 2026 ab).

Bei der Aufsicht unterscheidet das BSIG proaktive Aufsicht über besonders wichtige Einrichtungen (§ 61) und anlassbezogene Aufsicht über wichtige Einrichtungen (§ 62). Die materiellen Sicherheitspflichten sind für beide Kategorien identisch – nur die Aufsichtsintensität unterscheidet sich.

5. Bußgeld (§ 65): feste Höchstbeträge statt EU-Prozentformel

Die vielzitierte EU-Formel „bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, je nachdem, was höher ist“ (Art. 34 der Richtlinie) gilt in Deutschland so nicht. Das BSIG staffelt in § 65 feste Höchstbeträge; die umsatzabhängige Alternative (2 % bzw. 1,4 %) greift erst ab einem Gesamtumsatz von 500 Mio. €. Ein reiner Registrierungsverstoß (§ 33) ist mit höchstens 500.000 € bewehrt, nicht mit 10 Mio. €. Zudem enthält § 65 ein Doppelbebußungsverbot gegenüber DSGVO-Sanktionen.

6. Geschäftsleitungshaftung (§ 38): Innenhaftung, subsidiär

Die Leitungsorgane müssen die Risikomanagementmaßnahmen umsetzen und überwachen (§ 38). Die Haftung ist eine Innenhaftung gegenüber der eigenen Einrichtung und ausdrücklich subsidiär zum Gesellschaftsrecht (§ 43 GmbHG, § 93 AktG) – eine Außenhaftung gegenüber Dritten begründet § 38 nicht. § 38 ist selbst nicht bußgeldbewehrt (er taucht im Bußgeldkatalog § 65 nicht auf), aber durchsetzbar: Die Aufsicht kann die Umsetzung prüfen und im Extremfall eine Tätigkeitsuntersagung aussprechen (§ 61).

Das NIS2-Modul in MGMSYS bildet die Betroffenheitsprüfung nach BSIG-Kriterien, den Maßnahmenkatalog, das gestaffelte Meldewesen und die Nachweise zur Geschäftsleitungsverantwortung ab.

Rechtsstand und Vorbehalt

Dieser Beitrag beschreibt die Rechtslage nach dem BSIG in der Fassung von 2025 (in Kraft seit 6. Dezember 2025, BGBl. 2025 I Nr. 301; zuletzt geändert durch Gesetz vom 11. März 2026, BGBl. 2026 I Nr. 66). Maßgeblich ist stets der aktuelle Gesetzestext (gesetze-im-internet.de/bsig_2025/). Der Beitrag ersetzt keine Rechtsberatung; für die verbindliche Einordnung im Einzelfall ist fachkundiger Rat einzuholen.

Häufige Fragen

Gilt für deutsche Unternehmen die NIS2-Richtlinie oder das BSIG?: Das BSIG. Eine EU-Richtlinie gilt nicht unmittelbar, sondern muss national umgesetzt werden. In Deutschland geschieht das durch das NIS2-Umsetzungsgesetz, das das BSIG neu fasst (BSIG 2025, in Kraft seit 6. Dezember 2025). Maßgeblich ist der deutsche Gesetzestext, nicht der Richtlinienwortlaut.
Stimmt die Schwelle „50 Mitarbeiter oder 10 Mio. Euro“?: Nur teilweise. Nach § 28 BSIG ist eine Einrichtung wichtig, wenn sie mindestens 50 Beschäftigte hat ODER Jahresumsatz UND Bilanzsumme jeweils über 10 Mio. € erreicht. Die Finanzkriterien sind kumulativ – beide müssen überschritten sein. „Eines von beiden genügt“ ist bei den Finanzwerten falsch.
Gibt es „wesentliche Einrichtungen“ im deutschen NIS2-Recht?: Nein. Das ist EU-Terminologie (essential entities). Das BSIG kennt „besonders wichtige Einrichtungen“ (§ 28 Abs. 1) und „wichtige Einrichtungen“ (§ 28 Abs. 2).
Drohen bei NIS2-Verstößen in Deutschland bis zu 10 Mio. Euro oder 2 % Umsatz?: Nicht in dieser EU-Formel. Das BSIG (§ 65) staffelt feste Höchstbeträge; die umsatzabhängige Alternative (2 % bzw. 1,4 %) greift erst ab 500 Mio. € Gesamtumsatz. Ein reiner Registrierungsverstoß ist mit höchstens 500.000 € bewehrt.
Haftet die Geschäftsleitung persönlich gegenüber Dritten?: Nein. § 38 BSIG begründet eine Innenhaftung gegenüber der eigenen Einrichtung, ausdrücklich subsidiär zum Gesellschaftsrecht (§ 43 GmbHG, § 93 AktG). Eine Außenhaftung gegenüber Dritten folgt daraus nicht. § 38 ist selbst nicht bußgeldbewehrt, die Aufsicht kann aber die Umsetzung durchsetzen.