Die NIS-2-Richtlinie stellt Unternehmen und Behörden vor komplexe Herausforderungen, doch wenige Aspekte sorgen für so viel Verwirrung wie die strukturellen Anforderungen rund um die Zentralstelle und die 2. Säule. Wer sich mit dem Thema Zentralstelle 2. Säule auseinandersetzt, stößt schnell auf ein Geflecht aus Zuständigkeiten, Meldepflichten und organisatorischen Vorgaben, das auf den ersten Blick schwer zu durchdringen ist.
Dabei ist das Verständnis dieser Strukturen keine akademische Übung, sondern eine praktische Notwendigkeit. Unternehmen, die unter den Geltungsbereich der NIS-2-Richtlinie fallen, müssen genau wissen, welche Rolle die Zentralstelle spielt und wie sich die zweite Säule in das Gesamtkonzept der Cybersicherheitsarchitektur einfügt.
In diesem Tutorial erklären wir Ihnen Schritt für Schritt, was hinter diesen Begriffen steckt, welche konkreten Pflichten sich daraus ableiten und wie Sie die Anforderungen in Ihrer Organisation systematisch umsetzen können. Nach der Lektüre verfügen Sie über ein solides Fundament, um die regulatorischen Vorgaben sicher einzuordnen und gezielt zu handeln.
Was bedeutet Zentralstelle im NIS-2-Kontext?
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist gemäß § 1 BSIG die nationale Zentralstelle für Informationssicherheit in Deutschland. Diese gesetzlich verankerte Rolle macht das BSI zur zuständigen Behörde für die Umsetzung der NIS-2-Richtlinie auf Bundesebene. Die EU-Richtlinie 2022/2555 verpflichtet alle Mitgliedstaaten ausdrücklich dazu, eine zentrale Anlaufstelle für Cybersicherheit zu benennen. In Deutschland fällt diese Funktion vollständig dem BSI zu.
Mit Inkrafttreten des NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes (NIS2UmsuCG) am 6. Dezember 2025 erhielt das BSI umfassende Aufsichts-, Registrierungs- und Sanktionsbefugnisse gegenüber allen regulierten Einrichtungen. Das Gesetz wirkt unmittelbar, ohne Übergangsfrist. Unternehmen, die bei Inkrafttreten bereits betroffen waren, mussten sich bis zum 6. März 2026 im BSI-Portal registrieren. Trotz dieser klaren Frist hatten sich kurz vor dem Stichtag weniger als 10 Prozent der verpflichteten Unternehmen registriert, was den enormen Nachholbedarf in der deutschen Unternehmenslandschaft deutlich zeigt.
Das BSI nimmt in diesem Rahmen drei zentrale Funktionen wahr: Es empfängt Registrierungen regulierter Einrichtungen, verarbeitet Sicherheitsvorfallmeldungen und kann Bußgelder von bis zu 500.000 Euro allein für unterlassene Registrierung verhängen. Das BSI ist damit keine reine Informationsbehörde, sondern eine aktive Vollzugsbehörde mit direktem Durchgriff auf Geschäftsführungsebene.
Der Begriff „Zentralstelle 2. Säule“ wird im praktischen Sprachgebrauch in zwei Bedeutungen verwendet. Er bezeichnet entweder die institutionelle Rolle des BSI als nationale Zentralstelle oder die zweite regulatorische Einrichtungskategorie des NIS2UmsuCG, nämlich die „wichtigen Einrichtungen“ im Unterschied zu den „besonders wichtigen Einrichtungen“. Beide Bedeutungen stehen in engem Zusammenhang, da das BSI als Zentralstelle für beide Kategorien zuständig ist und die Einordnung in die jeweilige Säule unmittelbare Konsequenzen für Aufsichtsintensität und Bußgeldrahmen hat.
Die Zweisäulenstruktur des NIS2UmsuCG
Das NIS2UmsuCG teilt regulierte Organisationen in zwei klar voneinander abgegrenzte Kategorien ein: besonders wichtige Einrichtungen (Säule 1) und wichtige Einrichtungen (Säule 2). Diese Unterscheidung ist kein formales Detail, sondern das strukturelle Rückgrat des gesamten Gesetzes und bestimmt unmittelbar, welchem Aufsichtsregime ein Unternehmen unterliegt.
Zuordnung kraft Gesetzes
Entscheidend ist: Die Einordnung erfolgt nicht durch einen Antrag, eine Selbstauskunft oder einen behördlichen Bescheid. Sie entsteht automatisch kraft Gesetzes, sobald drei Kriterien kumulativ erfüllt sind: die Zugehörigkeit zu einem der 18 regulierten Sektoren, die Mitarbeiterzahl sowie der Jahresumsatz beziehungsweise die Jahresbilanzsumme. Unternehmen aus Anhang-I-Sektoren wie Energie, Gesundheit oder digitale Infrastruktur werden dabei typischerweise als besonders wichtige Einrichtungen eingestuft, während Anhang-II-Sektoren wie Lebensmittel, Chemie oder Forschung häufig zur zweiten Säule zählen. Wichtig: In bestimmten Sektoren kann eine Betroffenheit auch unterhalb der allgemeinen EU-Schwellenwerte von 50 Mitarbeitenden und 10 Millionen Euro Jahresumsatz eintreten.
Gemeinsame Pflichten, unterschiedliche Aufsicht
Beide Säulen unterliegen denselben grundlegenden Sicherheits- und Meldepflichten: ISMS-Implementierung, Risikoanalysen, Lieferkettenprüfung, Vorfallmeldung innerhalb von 24 Stunden sowie Governance-Pflichten für die Geschäftsleitung. Der wesentliche Unterschied liegt im Aufsichtsregime: Säule-1-Einrichtungen unterliegen einer proaktiven Aufsicht inklusive regelmäßiger Audits; Säule-2-Einrichtungen werden reaktiv, also anlassbezogen, kontrolliert. Der Bußgeldrahmen für Säule 1 beträgt mindestens 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes; für Säule 2 sind es mindestens 7 Millionen Euro oder 1,4 Prozent.
Betroffenheitsanalyse als kritischer erster Schritt
Wer seine Säulenzuordnung nicht kennt, kann keine strukturierte Compliance-Planung aufbauen, keine Ressourcen priorisieren und keine Fristen einhalten. Genau hier liegt Ende Q1 2026 das größte praktische Problem: Schätzungsweise 25.000 bis 30.000 Organisationen in Deutschland fallen unter das NIS2UmsuCG, doch kurz vor der Registrierungsdeadline am 6. März 2026 hatten sich lediglich rund 1.900 Einrichtungen im BSI-Portal registriert. Das entspricht weniger als 10 Prozent der Verpflichteten. Die Komplexität der Sektoren- und Schwellenwertprüfung gilt dabei als zentrales Hindernis für den Abschluss der Betroffenheitsanalyse.
Säule 1: Besonders wichtige Einrichtungen
Besonders wichtige Einrichtungen gemäß § 28 Abs. 1 BSIG bilden die erste und regulatorisch anspruchsvollste Kategorie im Zweisäulenmodell des NIS2UmsuCG. In der Regel handelt es sich dabei um Großunternehmen, die in einem der elf Hochrisikosektoren der Anlage 1 BSIG tätig sind und dabei entweder mindestens 250 Mitarbeiter beschäftigen oder sowohl einen Jahresumsatz von mehr als 50 Mio. Euro als auch eine Jahresbilanzsumme von mehr als 43 Mio. Euro aufweisen. Klassische Beispiele finden sich in den Sektoren Energie, Trinkwasser, digitale Infrastruktur und Gesundheit. Die genaue Schwellenwertermittlung richtet sich nach der EU-Empfehlung 2003/361/EG, wobei der letzte Rechnungsabschluss des Unternehmens maßgeblich ist. Weitere Details zu den Größenkriterien liefert OpenKRITIS.
Das Aufsichtsregime für diese Einrichtungen ist das strengste im deutschen NIS-2-Rahmen. Das BSI kann proaktiv und ohne konkreten Anlass Kontrollen, Audits und Inspektionen einleiten, ohne auf einen Verdachtsfall oder einen Sicherheitsvorfall angewiesen zu sein. Diese anlassunabhängige Überwachung unterscheidet Säule 1 fundamental von den reaktiven Prüfmechanismen bei wichtigen Einrichtungen.
Hinzu kommt ein empfindlicher Bußgeldrahmen: Bei Verstößen gegen Sicherheitspflichten drohen Sanktionen von bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes, je nachdem welcher Betrag höher ausfällt. Dieses Modell orientiert sich bewusst an der DSGVO-Struktur und soll sicherstellen, dass auch global tätige Konzerne spürbar sanktioniert werden können.
Wichtig zu verstehen: Nicht nur Großunternehmen fallen in diese Kategorie. Qualified Trust Service Provider, DNS-Diensteanbieter und TLD-Registries gelten unabhängig von ihrer Größe als besonders wichtige Einrichtungen, weil sie systemisch kritische Funktionen für die digitale Infrastruktur erfüllen. Das BSI klärt weitere Sonderfälle in seinen FAQ.
Ein in der Praxis oft unterschätzter Aspekt betrifft die persönliche Haftung der Geschäftsleitung. Geschäftsführer und Vorstandsmitglieder tragen direkte Verantwortung für die Einführung und Überwachung angemessener Sicherheitsmaßnahmen. Diese Pflicht lässt sich nicht vollständig an nachgeordnete Stellen oder externe Dienstleister delegieren, wie auch die Gesellschaft für Datenschutz betont.
Säule 2: Wichtige Einrichtungen
Wichtige Einrichtungen gemäß § 28 Abs. 2 BSIG bilden die zweite regulatorische Kategorie im NIS2UmsuCG und richten sich typischerweise an mittlere Unternehmen. Als Schwellenwerte gelten mindestens 50 Mitarbeiter oder ein Jahresumsatz sowie eine Jahresbilanzsumme von jeweils mehr als 10 Mio. Euro. Entscheidend ist dabei, dass ein Unternehmen zusätzlich einem der erfassten Sektoren angehören muss.
Die Sektorzuordnung der zweiten Säule ist bewusst breiter angelegt als die der ersten. Neben klassischen Infrastrukturbereichen erfasst Säule 2 ausdrücklich erweiterte Sektoren wie Post- und Kurierdienste, Abfallwirtschaft, Lebensmittelproduktion und -vertrieb, Maschinenbau sowie digitale Dienste. Diese Ausweitung erklärt, warum das BSI insgesamt rund 29.500 betroffene Unternehmen in Deutschland schätzt, von denen ein erheblicher Teil in die Kategorie der wichtigen Einrichtungen fällt. Besonders der Maschinen- und Anlagenbau sowie produzierende Mittelständler sind hier überproportional vertreten, eine Tatsache, die vielen Unternehmen noch nicht bewusst ist.
Ein zentrales Unterscheidungsmerkmal gegenüber Säule 1 liegt im Aufsichtsmechanismus: Das BSI agiert bei wichtigen Einrichtungen reaktiv. Behördliche Maßnahmen werden in der Regel erst nach gemeldeten Sicherheitsvorfällen oder konkreten Hinweisen auf Verstöße eingeleitet. Dieser Unterschied bedeutet jedoch keinen reduzierten Pflichtenkatalog, denn die materiellen Anforderungen an Risikomanagement, Meldepflichten und technisch-organisatorische Maßnahmen sind identisch mit denen der Säule 1.
Die finanziellen Konsequenzen einer Nicht-Compliance sind erheblich. Bei Verstößen gegen Sicherheitspflichten drohen Bußgelder von bis zu 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes. Für die Nicht-Registrierung im BSI-Portal sind bis zu 500.000 Euro fällig. Zum Registrierungsstichtag am 06. März 2026 hatten sich dennoch lediglich rund 1.900 Einrichtungen registriert, was weniger als 10 % der Verpflichteten entspricht. Dieser dramatisch niedrige Wert verdeutlicht, wie viele Unternehmen ihre Betroffenheitsanalyse noch nicht abgeschlossen haben und dringenden Handlungsbedarf aufweisen.
Konkrete Pflichten für Säule-2-Unternehmen
Wichtige Einrichtungen nach § 30 NIS2UmsuCG sind gesetzlich verpflichtet, umfassende technische und organisatorische Sicherheitsmaßnahmen auf Basis des aktuellen Stands der Technik einzuführen und dauerhaft aufrechtzuerhalten. Der Pflichtenkatalog umfasst insbesondere Risikoanalysen und dokumentierte Sicherheitskonzepte, ein strukturiertes Incident-Management zur Erkennung und Eindämmung von Angriffen, Business Continuity Management (BCM) mit Backup-Strategien und Notfallwiederherstellungsplänen sowie Maßnahmen zur Sicherheit der Lieferkette. Ein mittelständisches Produktionsunternehmen etwa muss nicht nur seine eigenen Systeme absichern, sondern auch die Cybersicherheitsstandards seiner Software-Lieferanten und Dienstleister aktiv überprüfen.
Meldepflichten mit verbindlichen Fristen
Treten erhebliche Sicherheitsvorfälle auf, greift ein gestuftes Melderegime gegenüber dem BSI. Eine Erstmeldung ist zwingend innerhalb von 24 Stunden nach Bekanntwerden des Vorfalls einzureichen, gefolgt von einem detaillierten Folgebericht innerhalb von 72 Stunden sowie einem abschließenden Abschlussbericht spätestens nach einem Monat. Versäumnisse bei diesen Meldepflichten können Bußgelder von bis zu 10 Millionen Euro auslösen.
Registrierung, Managementverantwortung und Rahmenwerke
Die Registrierung im BSI-Portal unter portal.bsi.bund.de war für unmittelbar betroffene Unternehmen bis zum 06. März 2026 zu erfüllen; eine gesetzliche Fristverlängerung ist ausdrücklich nicht vorgesehen. Besonders relevant: Jede Tochtergesellschaft muss einzeln geprüft und separat registriert werden.
Die Geschäftsführung trägt dabei persönliche Verantwortung. Sie muss alle Sicherheitsmaßnahmen ausdrücklich billigen und regelmäßig an vorgeschriebenen Schulungen zur Cybersicherheit teilnehmen. Dies stellt eine erhebliche Neuerung gegenüber dem bisherigen Rechtsrahmen dar und schließt eine delegationsbasierte Enthaftung weitgehend aus.
NIS-2 schreibt anders als ISO 27001 keine Zertifizierungspflicht vor. Anerkannte Rahmenwerke wie BSI IT-Grundschutz oder ISO 27001 empfehlen sich dennoch als strukturierter Nachweis gegenüber Aufsichtsbehörden und gelten bei Prüfungen als starkes Indiz für angemessene Sicherheitsvorkehrungen.
Registrierung im BSI-Portal: So funktioniert der Prozess
Die Registrierung erfolgt ausschließlich digital über das BSI-Portal unter portal.bsi.bund.de. Das Portal wurde am 06. Januar 2026 geöffnet; der offizielle Registrierungsstichtag für unmittelbar betroffene Einrichtungen war der 06. März 2026. Das Verfahren ist zweistufig aufgebaut: Zunächst wird ein Zugang über „Mein Unternehmenskonto“ (MUK) eingerichtet, danach erfolgt die eigentliche NIS-2-Registrierung.
Voraussetzung ist ein gültiges ELSTER-Organisationszertifikat. Dieses ist nicht identisch mit dem privaten ELSTER-Zertifikat und muss gesondert beantragt werden. Die digitale Verarbeitung dauert drei bis fünf Werktage; der postalische Aktivierungsbrief an die Firmenadresse erfordert einen zusätzlichen Zeitpuffer von bis zu zwei Wochen. Wer diesen Vorlauf unterschätzt, riskiert eine verzögerte Registrierung.
Im Portal sind folgende Pflichtangaben einzutragen: Unternehmensname, Rechtsform, Sektorzugehörigkeit nach den Anhängen des NIS2UmsuCG, die Einstufung als wichtige oder besonders wichtige Einrichtung sowie eine 24/7-erreichbare Kontaktstelle mit Name, Mobilnummer und dienstlicher E-Mail-Adresse. Zusätzlich sind IT-Grunddaten wie IP-Adressbereiche in CIDR-Notation und betriebene DNS-Domains anzugeben.
Entscheidend ist, dass die Betroffenheitsprüfung vor Beginn der Registrierung abgeschlossen sein muss. Wer seinen Sektor oder seine Einrichtungsklasse nicht kennt, kann das Formular nicht korrekt ausfüllen. Unternehmen, die erst nach dem 06. Dezember 2025 durch Wachstum in den Anwendungsbereich fallen, haben ab diesem Zeitpunkt drei Monate Zeit zur Registrierung. Häufige technische Hürden in der Praxis sind der falsche ELSTER-Kontotyp, eine nicht übereinstimmende Steuernummer sowie eine fehlende oder unvollständige Sektorzuordnung. Diese Fehler lassen sich durch eine strukturierte Vorbereitungsphase zuverlässig vermeiden.
Sicherheitsmaßnahmen und Meldefristen im Überblick
Das NIS2UmsuCG verpflichtet betroffene Einrichtungen zur Umsetzung eines Mindestkatalogs von zehn technischen und organisatorischen Sicherheitsmaßnahmen. Dazu zählen unter anderem Risikoanalysen, Business Continuity Management, Zugangskontrolle, Kryptographie, Multi-Faktor-Authentifizierung sowie sichere Kommunikationskanäle. Hinzu kommen Anforderungen an das Schwachstellenmanagement, die Sicherheit der Lieferkette und regelmäßige Schulungsmaßnahmen für Mitarbeitende. Der Gesetzgeber verfolgt dabei einen All-Hazards-Ansatz: Unternehmen müssen ein breites Risikospektrum abdecken und operative Resilienz strukturell verankern.
Bei Eintritt eines erheblichen Sicherheitsvorfalls gilt ein verbindliches dreistufiges Meldeverfahren gegenüber dem BSI. Innerhalb von 24 Stunden ist eine Frühwarnung zu erstatten, die erste Informationen zum Vorfall und mögliche grenzüberschreitende Auswirkungen enthält. Nach spätestens 72 Stunden folgt eine detailliertere Incident-Meldung mit Schweregradbewertung und Kompromittierungsindikatoren. Abgeschlossen wird das Verfahren durch einen Abschlussbericht innerhalb eines Monats, der Ursachen, Gegenmaßnahmen und Schadensausmaß dokumentiert. Verstöße gegen diese Fristen sind bußgeldbewehrt; für wichtige Einrichtungen der Säule 2 drohen Sanktionen bis zu 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes.
Als erheblich gilt jedes Ereignis, das die Verfügbarkeit, Integrität oder Vertraulichkeit der betroffenen Netz- und Informationssysteme erheblich stört oder stören könnte. Für Säule-2-Einrichtungen mit reaktivem Aufsichtsregime ist dabei die Qualität der Incident-Dokumentation von besonderer Bedeutung: Das BSI greift bei anlassbezogenen Ermittlungen auf vorliegende Vorfallsprotokolle als zentrale Beweisgrundlage zurück. Strukturierte Aufzeichnungen mit Zeitstempeln, technischen Indikatoren und Kommunikationsprotokollen sind daher kein bürokratischer Zusatzaufwand, sondern ein zentrales Compliance-Instrument.
Anerkannte Sicherheitsrahmenwerke wie ISO 27001 oder BSI IT-Grundschutz sind zwar formal nicht verpflichtend, erleichtern aber den Nachweis der Maßnahmenumsetzung gegenüber dem BSI erheblich. Sie bieten strukturierte Mappings zu den NIS2-Anforderungen und schaffen Synergien mit weiteren regulatorischen Verpflichtungen.
NIS-2 und das KRITIS-Dachgesetz: Abgrenzung der Regelwerke
Das KRITIS-Dachgesetz (KRITISDachG), in Kraft getreten im März 2026, und das NIS2UmsuCG verfolgen unterschiedliche Schutzgegenstände und ergänzen sich gegenseitig. Während NIS-2 ausschließlich die Cybersicherheit von Netz- und Informationssystemen reguliert, adressiert das KRITIS-Dachgesetz den physischen Schutz und die Gesamtresilienz kritischer Infrastrukturen nach einem All-Gefahren-Ansatz, der Naturkatastrophen, hybride Angriffe und physische Bedrohungen gleichermaßen umfasst. Beide Regelwerke können gleichzeitig auf ein Unternehmen anwendbar sein, was die Compliance-Planung erheblich verkompliziert.
Ein verbreiteter Irrtum in der Praxis betrifft die Annahme einer automatischen Deckungsgleichheit: Wer nach dem BSI-Gesetz alter Fassung als KRITIS-Betreiber galt, fällt nicht zwingend unter das neue Dachgesetz, und umgekehrt ist nicht jede NIS-2-Einrichtung automatisch ein Betreiber kritischer Infrastruktur nach dem KRITISDachG. Das KRITIS-Dachgesetz schließt zudem Sektoren wie IT, Telekommunikation, Finanzen und Versicherungen ausdrücklich aus. Sektordefinitionen und Schwellenwerte weichen teilweise erheblich voneinander ab; das NIS2UmsuCG erfasst insgesamt rund 29.500 Einrichtungen, während das frühere BSI-Gesetz lediglich ca. 4.500 KRITIS-Betreiber regulierte.
Für Unternehmen, die unter beide Regelwerke fallen, empfiehlt sich eine integrierte Compliance-Strategie, die Mappings zu ISO 27001 und ISO 22301 nutzt, um doppelte Maßnahmenpakete und parallele Audit-Aufwände zu vermeiden. Die Betroffenheitsanalyse muss beide Regelwerke parallel berücksichtigen: die NIS2UmsuCG-Anhänge für die Sektorzuordnung sowie die KRITIS-DachG-Schwellenwerte für physische Schutzpflichten. Die politische Debatte ist dabei noch nicht abgeschlossen; die Bundesregierung kündigte im Rahmen der Bundesratsabstimmung eine zukünftige Novelle an, was die anhaltende Diskussion über die Umsetzungstiefe unterstreicht. Zusätzlich steht die konkretisierende KRITIS-Verordnung noch aus, was die praktische Bestimmung betroffener Betreiber derzeit erschwert.
Auswirkungen auf die Lieferkette
NIS-2 verpflichtet sowohl besonders wichtige als auch wichtige Einrichtungen ausdrücklich dazu, Sicherheitsrisiken in ihrer gesamten Lieferkette systematisch zu analysieren und angemessene technische sowie vertragliche Maßnahmen gegenüber Lieferanten durchzusetzen. Das BSI hat dazu ein eigenes Informationspaket zur sicheren Lieferkette veröffentlicht, das Supply-Chain-Sicherheit als prioritäre Anforderung einordnet. Betreiber regulierter Einrichtungen müssen also nicht nur das eigene Netzwerk absichern, sondern aktiv steuern, welche Sicherheitsstandards ihre Lieferanten und Dienstleister erfüllen.
Der sogenannte Trickle-Down-Effekt trifft viele Unternehmen, die sich selbst nicht als NIS-2-pflichtig betrachten. Wer als Zulieferer oder IT-Dienstleister für eine Säule-1- oder Säule-2-Einrichtung tätig ist, wird über Vertragsklauseln und Sicherheitsanforderungen der Kunden faktisch in den Geltungsbereich hineingezogen. Solche Unternehmen müssen im Rahmen von Audits und Risikobeurteilungen ihrer Kunden alle relevanten Nachweise zur eigenen Sicherheitsreife vorlegen können. Dies gilt unabhängig davon, ob das Zuliefererunternehmen selbst die gesetzlichen Schwellenwerte überschreitet.
Supply-Chain-Angriffe, darunter Softwaremanipulationen und kompromittierte Hardware-Komponenten, gehören laut BSI zu den häufigsten Ursachen erheblicher Sicherheitsvorfälle und sind ein zentrales Thema im NIS-2-Maßnahmenkatalog. Gerade in Sektoren mit mehrstufigen Lieferketten wie Maschinenbau, Luft- und Raumfahrt oder Verteidigung bedeutet dies: Auch Zulieferer mittlerer Größe stehen unter zunehmendem Druck, ihre Informationssicherheit strukturiert nachzuweisen.
Eine strukturierte Lieferantenbewertung und -steuerung, wie sie in ISO 27001 Anhang A verankert ist, bietet hier einen effizienten Ansatz. Sie deckt sowohl die gesetzlichen NIS-2-Anforderungen als auch die Sicherheitserwartungen der Kunden in einem integrierten Rahmenwerk ab und vermeidet doppelten Aufwand bei der Compliance-Umsetzung.
Nächste Schritte: Betroffenheitsanalyse und Registrierung
Die folgenden fünf Schritte strukturieren Ihre Betroffenheitsanalyse und helfen Ihnen, ausstehende Compliance-Pflichten geordnet abzuarbeiten.
Schritt 1: Sektorzuordnung prüfen
Gleichen Sie Ihre Hauptgeschäftsfelder systematisch mit den Anhängen I und II des NIS2UmsuCG ab. Anhang I listet die besonders wichtigen Sektoren auf, darunter Energie, Transport, Gesundheit und digitale Infrastruktur. Anhang II erfasst wichtige Sektoren wie produzierende Industrie, Post- und Kurierdienste sowie Lebensmittelverarbeitung. Entscheidend ist, in welchem Anhang Sie primär verortet sind, da sich daraus die Säulenzugehörigkeit und der Prüfintensität des BSI ableiten. Die Selbsteinstufung liegt in Ihrer Eigenverantwortung; das BSI nimmt keine automatische Kategorisierung vor.
Schritt 2: Schwellenwerte anwenden
Eine NIS-2-Pflicht besteht ab mindestens 50 Mitarbeitenden sowie einem Jahresumsatz oder einer Bilanzsumme von mindestens 10 Mio. Euro. Ziehen Sie dafür die letzten testierten Jahresabschlüsse heran. Bei Unternehmensgruppen sind Konzernwerte nach EU-Definition heranzuziehen; Partner- und verbundene Unternehmen werden einbezogen, sofern keine vollständige wirtschaftliche und technische Unabhängigkeit besteht. Dokumentieren Sie diese Prüfung sorgfältig, da sie als erster Compliance-Nachweis gegenüber dem BSI dient.
Schritt 3: Registrierung nachholen
Die originäre Registrierungsfrist war der 6. März 2026. Wer diese verpasst hat, sollte die Registrierung im BSI-Portal unverzüglich nachholen. Die Nicht-Registrierung ist eine eigenständige bußgeldbewehrte Ordnungswidrigkeit mit einem Rahmen von bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes. Das BSI bewertet nachweislich aktiv handelnde Unternehmen anders als solche, die das Thema vollständig ignorieren.
Schritt 4: Gap-Analyse durchführen
Vergleichen Sie Ihre bestehenden technischen und organisatorischen Maßnahmen mit dem Mindestkatalog nach § 30 NIS2UmsuCG. Priorisieren Sie identifizierte Lücken nach Risikorelevanz und leiten Sie einen verbindlichen Maßnahmenplan mit klaren Verantwortlichkeiten und Umsetzungsfristen ab.
Schritt 5: Externe Unterstützung einbeziehen
Angesichts der Komplexität der Sektorzuordnung und der persönlichen Managementhaftung nach § 38 Abs. 2 BSIG empfiehlt sich die Einbindung eines erfahrenen externen Informationssicherheitsbeauftragten. Cognic unterstützt Unternehmen als externer ISB mit nachgewiesener NIS-2-Praxiserfahrung, kennt das BSI-Portal-Verfahren und begleitet Sie von der Betroffenheitsanalyse bis zur abgeschlossenen Registrierung.
Fazit und Handlungsempfehlungen
Die Begriffe Zentralstelle und 2. Säule bezeichnen zwei unterschiedliche, aber eng miteinander verknüpfte Konzepte: das BSI als nationale Aufsichtsbehörde nach § 1 BSIG und die Einrichtungsklasse der wichtigen Einrichtungen gemäß § 28 Abs. 2 BSIG. Wer beide Konzepte verwechselt oder ignoriert, riskiert nicht nur Bußgelder bis zu 7 Mio. Euro, sondern auch persönliche Geschäftsführerhaftung nach § 38 BSIG.
Die Zahlen sprechen eine deutliche Sprache: Weniger als 10 % der verpflichteten Unternehmen hatten sich kurz vor der Registrierungsdeadline am 06. März 2026 im BSI-Portal eingetragen. Das Bußgeldrisiko erlischt nicht durch Fristablauf, sondern besteht dauerhaft für alle nicht-registrierten Einrichtungen fort.
Betroffenheitsanalyse, Registrierung und Gap-Analyse sind keine abschließbaren Einmalprojekte; sie sind kontinuierliche Pflichten, die strukturell in ein funktionierendes ISMS integriert werden müssen.
Cognic begleitet Ihr Unternehmen als externer Informationssicherheitsbeauftragter vom ersten Betroffenheitscheck über die BSI-Registrierung bis zur vollständigen, audit-ready NIS-2-Compliance, einschließlich ISO 27001 und BSI IT-Grundschutz. Der konkrete erste Schritt: Vereinbaren Sie eine strukturierte Betroffenheitsanalyse, um Rechtssicherheit über Ihre Säulenzuordnung und Ihre Pflichten zu erhalten.
Conclusion
Die NIS-2-Richtlinie mag komplex erscheinen, doch mit dem richtigen Verständnis wird sie beherrschbar. Die wichtigsten Erkenntnisse auf einen Blick: Die Zentralstelle übernimmt eine koordinierende Schlüsselrolle innerhalb der Cybersicherheitsarchitektur. Die 2. Säule definiert klare organisatorische Zuständigkeiten, die verbindlich umzusetzen sind. Meldepflichten und interne Strukturen müssen systematisch aufeinander abgestimmt werden. Wer frühzeitig handelt, vermeidet kostspielige Nachbesserungen.
Jetzt ist der richtige Zeitpunkt, die eigene Organisation zu analysieren und konkrete Maßnahmen einzuleiten. Prüfen Sie, ob Ihre internen Prozesse den Anforderungen entsprechen, und definieren Sie klare Verantwortlichkeiten. Nutzen Sie die in diesem Beitrag vorgestellten Schritte als praktischen Leitfaden.
Compliance ist keine Last, sondern eine Chance, Ihr Unternehmen widerstandsfähiger und zukunftssicher aufzustellen.
