NIS2 in Deutschland: Betroffenheit für Hersteller und Großhändler

Was die deutsche NIS2-Umsetzung anordnet

Deutschland setzt die NIS2-Richtlinie (Richtlinie (EU) 2022/2555) mit dem Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung um (BGBl. 2025 I Nr. 301). Es ändert das Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG) und ist am 6. Dezember 2025 in Kraft getreten. Aufsichtsbehörde ist das Bundesamt für Sicherheit in der Informationstechnik (BSI) für Einrichtungen, die in Deutschland niedergelassen sind (§ 59 Satz 1 Nr. 1 BSIG).

Das Gesetz kennt zwei Klassen: besonders wichtige Einrichtungen und wichtige Einrichtungen (§ 28 BSIG). Beide trifft derselbe Pflichtenkern aus Risikomanagementmaßnahmen (§ 30), Meldungen (§ 32), Registrierung (§ 33) und Schulung der Geschäftsleitung (§ 38). Unterschiedlich ist die Aufsicht: Gegenüber besonders wichtigen Einrichtungen darf das BSI Audits, Prüfungen oder Zertifizierungen anordnen (§ 61 Abs. 1 BSIG) und nach Maßgabe des Absatzes 3 Nachweise verlangen; gegenüber wichtigen Einrichtungen nur, wenn Tatsachen die Annahme eines Verstoßes rechtfertigen (§ 62 BSIG).

Ein ERP-System, eine Warenwirtschaft oder eine Kasse begründen für sich keine Betroffenheit. Entscheidend sind Tätigkeit, Größe und Rolle der Einrichtung.

Wer betroffen ist: Tätigkeit, Größe und Rolle

Drei Merkmale entscheiden. Die Tätigkeit muss einer Einrichtungsart der Anlage 1 oder der Anlage 2 entsprechen. Die Einrichtung muss die Größenschwelle des § 28 BSIG erreichen. Für einzelne Rollen wird die Größe nicht geprüft. Die Anlage bestimmt dabei die Obergrenze der Klasse: Eine Einrichtungsart der Anlage 1 reicht bei großer Größe zur besonders wichtigen Einrichtung, eine der Anlage 2 für sich genommen nur zur wichtigen Einrichtung, solange keine der Rollen nach § 28 Abs. 1 Satz 1 Nr. 1 bis 3 BSIG zusätzlich greift.

Maßgeblich ist die tatsächlich ausgeübte Tätigkeit, nicht die Branchenbezeichnung im Handelsregister. Das BSI ordnet über die NACE Rev. 2 in der Fassung von 2008 ein; die neuere NACE Rev. 2.1 ist für die Anlagen nicht maßgeblich. Geschäftstätigkeiten, die im Hinblick auf die gesamte Tätigkeit der Einrichtung vernachlässigbar sind, dürfen nach § 28 Abs. 3 BSIG unberücksichtigt bleiben; das BSI hat dazu eine Auslegungshilfe veröffentlicht. Für Betreiber kritischer Anlagen, Vertrauensdiensteanbieter, Top Level Domain Name Registries, DNS-Diensteanbieter und Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze findet § 28 Abs. 3 BSIG nach dem Hinweis des BSI keine Anwendung.

Die Tabelle ordnet die Fälle, die sich für Fertigungs- und Handelsbetriebe in Deutschland aus den Anlagen ergeben. Jede Zeile trägt ihre Voraussetzung und ihre Rechtsgrundlage.

Fall	Einstufung	Rechtsgrundlage
Hersteller von Datenverarbeitungsgeräten, elektronischen und optischen Erzeugnissen, elektrischen Ausrüstungen, Maschinen, Kraftwagen und sonstigen Fahrzeugen (NACE-Abteilungen 26 bis 30)	wichtige Einrichtung ab mittlerer Größe	Anlage 2 Nr. 5.2.1 bis 5.6.1; § 28 Abs. 2 Satz 1 Nr. 3 BSIG
Hersteller von Medizinprodukten und In-vitro-Diagnostika	wichtige Einrichtung ab mittlerer Größe; für Hersteller kritischer Medizinprodukte nach Artikel 22 der Verordnung (EU) 2022/123 gilt Anlage 1 Nr. 4.1.5, also ab großer Größe besonders wichtig	Anlage 2 Nr. 5.1.1 BSIG
Hersteller pharmazeutischer Erzeugnisse (NACE-Abteilung 21)	Einrichtungsart der Anlage 1: mittlere Größe wichtige, große Größe besonders wichtige Einrichtung	Anlage 1 Nr. 4.1.4 BSIG
Hersteller anderer Waren, etwa der Metallbearbeitung	über Anlage 2 Nr. 5 nicht erfasst; zu prüfen bleibt, ob eine andere Einrichtungsart greift	Anlage 2 Nr. 5 BSIG
Lebensmittelgroßhandel und industrielle Lebensmittelproduktion	wichtige Einrichtung ab mittlerer Größe	Anlage 2 Nr. 4.1.1 BSIG
Chemische Stoffe: Hersteller und Importeure mit REACH-Registrierungspflicht in NACE 20	wichtige Einrichtung ab mittlerer Größe	Anlage 2 Nr. 3.1.1 BSIG
Reiner Händler fertiger chemischer Erzeugnisse	nicht über Anlage 2 Nr. 3 erfasst	Anlage 2 Nr. 3.1.1 BSIG; BSI, FAQ zu NIS-2, Antwort 24
Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für soziale Netzwerke	wichtige Einrichtung ab mittlerer Größe	Anlage 2 Nr. 6.1.1 bis 6.1.3 BSIG
Anbieter von Cloud-Computing-, Rechenzentrums-, verwalteten Diensten und verwalteten Sicherheitsdiensten	Einrichtungsart der Anlage 1: mittlere Größe wichtige, große Größe besonders wichtige Einrichtung	Anlage 1 Nr. 6.1.4, 6.1.5, 6.1.10 und 6.1.11 BSIG
Groß- und Einzelhandel mit Waren, die in keiner Einrichtungsart der Anlagen genannt sind	keine der beiden Anlagen trifft auf diese Tätigkeit zu; erfasst nur, wenn eine weitere Tätigkeit hinzutritt, die einer Einrichtungsart der Anlagen 1 oder 2 entspricht, oder wenn die Einrichtung Betreiberin einer kritischen Anlage ist	Anlagen 1 und 2 BSIG
Betreiber einer kritischen Anlage	besonders wichtige Einrichtung ohne Größenprüfung	§ 28 Abs. 1 Satz 1 Nr. 1 BSIG
Zulieferer oder ERP-Dienstleister eines betroffenen Kunden	aus dieser Rolle keine eigene Pflicht; der betroffene Kunde muss die Sicherheit der Lieferkette gegenüber unmittelbaren Anbietern und Diensteanbietern regeln	§ 30 Abs. 2 Nr. 4 BSIG

Die Größe beurteilt § 28 BSIG. Wichtige Einrichtung ist, wer einer Einrichtungsart der Anlagen 1 oder 2 zuzuordnen ist und mindestens 50 Mitarbeitende beschäftigt oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweist (Abs. 2 Satz 1 Nr. 3). Besonders wichtig ist, wer einer Einrichtungsart der Anlage 1 zuzuordnen ist und mindestens 250 Mitarbeitende beschäftigt oder einen Jahresumsatz von über 50 Millionen Euro und eine Jahresbilanzsumme von über 43 Millionen Euro aufweist (Abs. 1 Satz 1 Nr. 4). Beide Schwellen folgen der Empfehlung der Kommission 2003/361/EG; die Mitarbeitendenzahl wird in Jahresarbeitseinheiten gerechnet, Teilzeit zählt anteilig. Daten von Partner- oder verbundenen Unternehmen werden nicht hinzugerechnet, wenn die Einrichtung bei ihren informationstechnischen Systemen unabhängig ist (§ 28 Abs. 4 BSIG).

Eine Einrichtungsart der Anlage 2 führt für sich genommen höchstens zur wichtigen Einrichtung; zur besonders wichtigen Einrichtung wird eine solche Einrichtung nur, wenn zusätzlich eine der Rollen nach § 28 Abs. 1 Satz 1 Nr. 1 bis 3 BSIG greift, etwa der Betrieb einer kritischen Anlage. Beispiel mit erfundenen Zahlen: Ein Maschinenbauer mit 60 Mitarbeitenden und 18 Millionen Euro Jahresumsatz ist wichtige Einrichtung, wenn seine Tätigkeit unter die NACE-Abteilung 28 fällt. Ein Betrieb der Metallbearbeitung mit 300 Mitarbeitenden bleibt außerhalb der Anlagen und damit außerhalb des Anwendungsbereichs, solange keine weitere Tätigkeit hinzutritt, die dort genannt ist, und er nicht Betreiber einer kritischen Anlage ist.

Wer seine Einrichtung einschätzen will, kann dafür die Betroffenheitsprüfung des BSI als Fragebogen nutzen. Was deutsche Kunden von ihren Zulieferern verlangen können, wenn sie selbst betroffen sind, steht in NIS2 und Lieferkette. Für einen Standort oder eine Einrichtung in Österreich gilt eine eigene Regelung auf Grundlage derselben Richtlinie: NIS2 in Österreich.

Was Sie tun müssen: § 30 Abs. 2 auf das ERP übersetzt

Die Pflichten treffen in Deutschland die Einrichtung, nicht den Softwarelieferanten. § 30 Abs. 1 Satz 1 BSIG verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen für die informationstechnischen Systeme, Komponenten und Prozesse, die die Einrichtung für ihre Dienste nutzt; die Einhaltung ist zu dokumentieren (Satz 3). Absatz 2 nennt zehn Inhalte, die die Maßnahmen mindestens umfassen müssen.

Vorgabe aus § 30 Abs. 2 BSIG	Was das für das ERP heißt
Nr. 1 Konzepte für Risikoanalyse und Sicherheit in der Informationstechnik	Systeminventur über Server, Datenbank, Schnittstellen und Clients, mit festgehaltenem Ergebnis
Nr. 2 Bewältigung von Sicherheitsvorfällen	Ablaufplan für den Verdachtsfall mit Rollen und Erreichbarkeiten
Nr. 3 Aufrechterhaltung des Betriebs, Backup-Management, Wiederherstellung und Krisenmanagement	Sicherungskonzept, Restore-Test und Papierbetrieb für den Ausfall
Nr. 4 Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern	Bewertung von ERP-Anbieter, Hosting, Wartungszugängen und Schnittstellenpartnern
Nr. 5 Erwerb, Entwicklung und Wartung, Management und Offenlegung von Schwachstellen	Patch- und Updateprozess mit Testsystem und Fristen
Nr. 6 Konzepte und Verfahren zur Bewertung der Wirksamkeit der Maßnahmen	wiederkehrende Überprüfung mit festgehaltenem Ergebnis
Nr. 7 grundlegende Schulungen und Sensibilisierungsmaßnahmen	Schulungstermine für Schlüsselanwender und IT
Nr. 8 Konzepte und Prozesse für kryptografische Verfahren	Verschlüsselung von Übertragung, Sicherungen und Datenträgern
Nr. 9 Sicherheit des Personals, Zugriffskontrolle und Verwaltung von IKT-Systemen	Rollen- und Rechtekonzept, getrennte Administrationskonten
Nr. 10 Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung, gesicherte Kommunikation	MFA für Fernzugriff und Administrationszugänge

Die rechte Spalte enthält Umsetzungshinweise der Redaktion und keine gesetzlichen Vorgaben. Die Grundlagen dazu stehen in IT-Sicherheit rund ums ERP.

Dazu tritt eine Pflicht der Geschäftsleitung: Sie muss die Maßnahmen umsetzen, die Umsetzung überwachen und regelmäßig an Schulungen teilnehmen (§ 38 Abs. 1 und 3 BSIG). Bei einer schuldhaften Pflichtverletzung haftet sie der Einrichtung nach den Regeln des Gesellschaftsrechts (§ 38 Abs. 2 BSIG).

Fristen für Registrierung, Meldung und Nachweis

Die Fristen nach dem BSIG gelten für besonders wichtige und wichtige Einrichtungen in Deutschland:

Schritt	Frist	Rechtsgrundlage
Registrierung über die Registrierungsmöglichkeit des BSI	spätestens drei Monate, nachdem die Einrichtung erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gilt	§ 33 Abs. 1 BSIG
Frühe Erstmeldung nach einem erheblichen Sicherheitsvorfall	unverzüglich, spätestens 24 Stunden nach Kenntniserlangung	§ 32 Abs. 1 Satz 1 Nr. 1 BSIG
Meldung mit erster Bewertung	unverzüglich, spätestens 72 Stunden nach Kenntniserlangung	§ 32 Abs. 1 Satz 1 Nr. 2 BSIG
Abschlussmeldung	spätestens einen Monat nach der Meldung; dauert der Vorfall an, zunächst eine Fortschrittsmeldung	§ 32 Abs. 1 Satz 1 Nr. 4 und Abs. 2 BSIG
Anordnung der Vorlage von Nachweisen über die Erfüllung der Pflichten gegenüber besonders wichtigen Einrichtungen, die nicht schon nach Absatz 1 geprüft werden	frühestens drei Jahre nach Inkrafttreten, also ab 6. Dezember 2028; bei zugelassenen Krankenhäusern frühestens nach fünf Jahren	§ 61 Abs. 3 BSIG

Unabhängig von dieser Frist kann das BSI nach § 61 Abs. 1 BSIG gegenüber einzelnen besonders wichtigen Einrichtungen Audits, Prüfungen oder Zertifizierungen durch unabhängige Stellen anordnen; hat es das getan, kann es nach Absatz 3 Satz 2 auch die Ergebnisse einschließlich der aufgedeckten Sicherheitsmängel verlangen.

Die Meldepflicht gilt erst ab Einrichtung des Meldewegs (§ 32 Abs. 1 Satz 2 BSIG). Das BSI betreibt dafür das BSI-Portal als Meldestelle; wer dort noch nicht registriert ist, meldet über ein Online-Formular. Erheblich ist ein Vorfall, wenn er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann oder wenn er andere durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann (§ 2 Nr. 11 BSIG).

Das BSI weist darauf hin, dass die gesetzliche Registrierungsfrist abgelaufen ist und noch nicht registrierte Einrichtungen sich umgehend im BSI-Portal registrieren sollen (Stand 14. Oktober 2026).

Gibt es Ausnahmen?

Für Betreiber öffentlicher Telekommunikationsnetze und Anbieter öffentlich zugänglicher Telekommunikationsdienste sowie für Betreiber von Energieversorgungsnetzen, Energieanlagen oder digitalen Energiediensten, die den §§ 5c bis 5e des Energiewirtschaftsgesetzes unterliegen, sind die §§ 30, 31, 32, 35, 36, 38, 39, 61 und 62 nicht anzuwenden (§ 28 Abs. 5 Satz 1 BSIG). Diese Ausnahme gilt nach Satz 2 nicht, soweit die Einrichtung über die in Satz 1 genannten Anlagen hinaus weitere kritische Anlagen betreibt oder aufgrund weiterer Tätigkeiten einer Einrichtungsart der Anlage 1 oder 2 zuzuordnen ist; Satz 2 erfasst nach Satz 3 alle informationstechnischen Systeme, die für den Betrieb der weiteren kritischen Anlagen erforderlich sind. Betreibt die Einrichtung eine Energieanlage nach Satz 1 Nummer 2 nur als Nebentätigkeit, findet Absatz 5 nach Satz 4 insgesamt keine Anwendung. Für Finanzunternehmen im Anwendungsbereich der Verordnung (EU) 2022/2554 und für die Gesellschaft für Telematik und Betreiber von Diensten der Telematikinfrastruktur gelten die §§ 30, 31, 32, 35, 36, 38 und 39 nicht (§ 28 Abs. 6 BSIG).

Keine Anwendung findet das Gesetz auf rechtlich unselbstständige Organisationseinheiten von Gebietskörperschaften und auf juristische Personen, an denen ausschließlich Gebietskörperschaften außer dem Bund beteiligt sind, wenn sie zu dem Zweck errichtet wurden, im öffentlichen Auftrag Leistungen für Verwaltungen zu erbringen, und durch vergleichbare landesrechtliche Vorschriften unter Bezugnahme auf diese Vorschrift reguliert werden (§ 28 Abs. 8 BSIG).

Im Einzelfall kann das Bundesministerium des Innern eine besonders wichtige oder wichtige Einrichtung von Pflichten des Gesetzes befreien, wenn die Einrichtung Vorgaben einhält, die diesen Pflichten gleichwertig sind (§ 37 Abs. 1 Satz 1 BSIG). Ein einfacher Ausnahmebescheid befreit teilweise: Er ist für Einrichtungen vorgesehen, die in den Bereichen nationale Sicherheit, öffentliche Sicherheit, Verteidigung oder Strafverfolgung tätig sind oder ausschließlich für Behörden mit solchen Aufgaben, und erfasst für diese Tätigkeiten die Risikomanagementmaßnahmen nach § 30 und die Meldepflichten nach § 32 (§ 37 Abs. 2 BSIG). Ein erweiterter Ausnahmebescheid befreit insgesamt und setzt voraus, dass die Einrichtung ausschließlich in diesen Bereichen tätig ist; er erfasst zusätzlich die Registrierungspflichten nach den §§ 33 und 34 (§ 37 Abs. 3 BSIG). Für Vertrauensdiensteanbieter gelten die Absätze 1 bis 3 nicht (§ 37 Abs. 4 BSIG).

Was bei einem Verstoß droht

§ 65 BSIG macht mehrere Verstöße zu Ordnungswidrigkeiten, darunter eine nach § 30 Abs. 1 Satz 1 nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig ergriffene Maßnahme (Abs. 2 Nr. 2), die fehlende Dokumentation der Einhaltung (Nr. 3), eine fehlerhafte oder verspätete Meldung nach § 32 Abs. 1 Satz 1 (Nr. 4) und eine fehlende, fehlerhafte oder verspätete Registrierung nach § 33 Abs. 1 (Nr. 6). Für Maßnahmen und Meldungen beträgt die Geldbuße bis zu 10 Millionen Euro bei besonders wichtigen und bis zu 7 Millionen Euro bei wichtigen Einrichtungen (Abs. 5 Satz 1 Nr. 1); für Registrierungsverstöße bis zu 500.000 Euro (Abs. 5 Satz 1 Nr. 5).

Überschreitet das Unternehmen, dem die Einrichtung angehört, im vorangegangenen Geschäftsjahr weltweit einen Gesamtumsatz von 500 Millionen Euro, kann statt des Festbetrags eine Geldbuße bis zu 2 Prozent dieses Gesamtumsatzes bei besonders wichtigen und bis zu 1,4 Prozent bei wichtigen Einrichtungen verhängt werden (Abs. 6 bis 8). Dieser abweichende Rahmen gilt nach Absatz 6 und 7 nur für die in Absatz 2 Nummer 1 Buchstabe d sowie Nummer 2 bis 5 und 9 genannten Verstöße, also für Maßnahmen, Dokumentation und Meldungen, nicht für Registrierungsverstöße. Neben einer Geldbuße der Datenschutzaufsicht nach Artikel 58 Absatz 2 Buchstabe i der Verordnung (EU) 2016/679 darf für dasselbe Verhalten keine weitere Geldbuße nach dem BSIG verhängt werden (Abs. 11).

Zwei Blickwinkel: Ladenkasse und NIS2

Die Kassensicht stellt auf das System ab: Wer aufzeichnungspflichtige Geschäftsvorfälle mit einem elektronischen Aufzeichnungssystem erfasst, muss sie einzeln, vollständig, richtig, zeitgerecht und geordnet aufzeichnen und das System durch eine zertifizierte technische Sicherheitseinrichtung schützen (§ 146a Abs. 1 Sätze 1 und 2 AO). Diese Pflicht trifft jeden Unternehmer, der ein solches System verwendet, unabhängig von Branche, Umsatz und Mitarbeitendenzahl; ein Kassensystem ist ein elektronisches Aufzeichnungssystem (§ 1 Abs. 1 Satz 1 KassenSichV). Sie gilt für Kalenderjahre nach dem 31. Dezember 2019, also seit 1. Januar 2020 (Art. 97 § 30 Abs. 1 EGAO).

Die NIS2-Sicht stellt auf die Einrichtung ab. Beide Blickwinkel können auseinanderfallen: Ein Einzelhandelsgeschäft, das nur eigene Waren an Endkunden verkauft und dafür ein elektronisches Kassensystem nutzt, ist über § 146a AO erfasst; eine Einrichtungsart der Anlagen 1 und 2 und damit eine Klasse nach § 28 BSIG hat es nicht. Umgekehrt hängt die Betroffenheit eines Maschinenbauers mit 300 Mitarbeitenden nicht von seinem Kassensystem ab.

Für den erfassten Betrieb kommen beide Regelkreise zusammen. Das ERP gehört zu den informationstechnischen Systemen, die die Einrichtung für ihre Dienste nutzt, und fällt damit unter die Maßnahmen nach § 30 BSIG. Aus der NIS2-Betroffenheit folgt aber keine kassenrechtliche Aufzeichnungspflicht: Die Pflichten nach § 146a AO treffen nur den Teil des Systems, der aufzeichnungspflichtige Geschäftsvorfälle als elektronisches Aufzeichnungssystem im Sinne der KassenSichV erfasst; elektronische Buchhaltungsprogramme sind davon ausdrücklich ausgenommen (§ 1 Abs. 1 Satz 2 Nr. 3 KassenSichV). Ist eine Kasse im ERP angebunden, sind deren digitale Aufzeichnungen nach § 146a Abs. 1 Satz 4 AO auf dem Speichermedium zu sichern und für Nachschauen und Außenprüfungen verfügbar zu halten. Prüfen Sie deshalb zuerst die Betroffenheit nach § 28 BSIG und danach, welche Maßnahmen Sie über Kassen- und Buchführungsanforderungen bereits erfüllen.

Checkliste für Ihren Betrieb

1. Schreiben Sie Ihre tatsächlichen Tätigkeiten auf und ordnen Sie jede einzelne einer Einrichtungsart der Anlagen 1 und 2 zu; die Branchenbezeichnung im Handelsregister genügt nicht.
2. Ordnen Sie Ihre Größe nach § 28 BSIG ein: Mitarbeitendenzahl in Jahresarbeitseinheiten, Jahresumsatz und Jahresbilanzsumme des letzten Abschlusses, ohne Daten unabhängiger Partner- oder verbundener Unternehmen.
3. Prüfen Sie die Rollen ohne Größenschwelle: Betreiber einer kritischen Anlage, qualifizierter Vertrauensdiensteanbieter, Top Level Domain Name Registry, DNS-Diensteanbieter.
4. Registrieren Sie sich über die Registrierungsmöglichkeit des BSI, wenn Sie betroffen sind; nach dem Hinweis des BSI ist die gesetzliche Frist bereits abgelaufen.
5. Legen Sie den Meldeprozess mit Rollen, Erreichbarkeiten und Vorlagen für frühe Erstmeldung, Meldung und Abschlussmeldung an.
6. Erstrecken Sie die Risikoanalyse auf ERP-Server, Datenbank, Schnittstellen, Fernzugriff und Clients und halten Sie das Ergebnis fest.
7. Bewerten Sie ERP-Anbieter, Hosting, Wartungszugänge und Schnittstellenpartner für die Sicherheit der Lieferkette (§ 30 Abs. 2 Nr. 4 BSIG).
8. Terminieren Sie die Schulung der Geschäftsleitung nach § 38 Abs. 3 BSIG und der Mitarbeitenden nach § 30 Abs. 2 Nr. 7 BSIG.