Latest / frag.hugo – Compliance für Chefs / NIS2: Ist mein Unternehmen betroffen?

Transcript

NIS2: Ist mein Unternehmen betroffen? · frag.hugo – Compliance für Chefs

• 0:04
  Hugo: Rund 29.500 Unternehmen und Einrichtungen der Bundesverwaltung fallen nach Schätzung des BSI unter die neuen NIS2-Pflichten.
• 0:12
  Hugo: Registriert hatten sich bis Ende September 2026 gut 20.000 Einrichtungen.
• 0:18
  Katrin: Dann fehlt rund ein Drittel.
• 0:19
  Katrin: Und ich weiß ehrlich gesagt nicht, ob mein eigener Betrieb dazugehört.
• 0:24
  Hugo: Die Zahl von 29.500 ist eine Schätzung, nicht jede Lücke ist also ein Versäumnis.
• 0:29
  Hugo: Aber genau diese Frage klären wir heute.
• 0:31
  Hugo: Nach dieser Folge können Sie in drei Schritten selbst prüfen, ob Ihr Unternehmen unter das deutsche NIS2-Umsetzungsgesetz fällt.
• 0:38
  Hugo: Und Sie wissen, was dann auf Sie zukommt.
• 0:40
  Hugo: Kurz vorweg: Alles, was wir heute sagen, hat die Redaktion von frag.hugo recherchiert und geprüft.
• 0:46
  Katrin: Ich leite einen Maschinenbauer mit 180 Leuten.
• 0:50
  Katrin: Wo fange ich an?
• 0:51
  Hugo: Mit drei Fragen.
• 0:52
  Hugo: Steht Ihre Tätigkeit in den Anlagen des Gesetzes, wie groß ist Ihr Unternehmen, und gibt es einen Sonderfall?
• 0:58
  Hugo: Daraus ergibt sich, ob Sie gar nicht betroffen sind, eine wichtige oder eine besonders wichtige Einrichtung.
• 1:04
  Hugo: Davon hängen Pflichten, Aufsicht und Bußgeldrahmen ab.
• 1:08
  Katrin: Dann nehmen wir mich.
• 1:09
  Katrin: Was heißt, in den Anlagen stehen?
• 1:12
  Hugo: Das Gesetz über das BSI hat zwei Listen mit Sektoren.
• 1:15
  Hugo: Anlage 1 enthält unter anderem Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser und digitale Infrastruktur.
• 1:23
  Hugo: Anlage 2 enthält unter anderem Post- und Kurierdienste, Abfall, Chemie, Lebensmittel, Forschung und das verarbeitende Gewerbe.
• 1:30
  Hugo: Dort steht der Maschinenbau ausdrücklich drin.
• 1:33
  Katrin: Woran erkenne ich, ob wir Maschinenbau im Sinne des Gesetzes sind?
• 1:37
  Hugo: Am Wirtschaftszweig nach der europäischen Statistik, dem sogenannten NACE-Code.
• 1:42
  Hugo: Maschinenbau ist dort Abteilung 28.
• 1:44
  Hugo: Fragen Sie Ihre Buchhaltung, unter welchem Wirtschaftszweig Sie geführt werden.
• 1:48
  Hugo: Entscheidend ist aber, welche Tätigkeiten Sie tatsächlich ausüben, auch neben dem Hauptgeschäft.
• 1:54
  Katrin: Wir bauen Werkzeugmaschinen, das passt also.
• 1:57
  Katrin: Und dann?
• 1:58
  Hugo: Dann kommt die Größe.
• 1:59
  Hugo: Wichtige Einrichtung sind Sie ab 50 Beschäftigten, oder wenn Umsatz und Bilanzsumme jeweils über 10 Millionen Euro liegen.
• 2:07
  Hugo: Besonders wichtig wird es in den Sektoren der Anlage 1 ab 250 Beschäftigten.
• 2:12
  Hugo: Oder bei über 50 Millionen Euro Umsatz und zugleich über 43 Millionen Euro Bilanzsumme.
• 2:17
  Katrin: Mit 180 Leuten bin ich also wichtig.
• 2:20
  Katrin: Zählt da jede Teilzeitkraft voll?
• 2:23
  Hugo: Nein.
• 2:23
  Hugo: Gezählt wird nach der EU-Empfehlung für kleine und mittlere Unternehmen, in Jahresarbeitseinheiten, Teilzeit zählt also nur anteilig.
• 2:31
  Hugo: Maßgeblich ist der letzte Jahresabschluss.
• 2:33
  Hugo: Laut BSI ändert sich die Einstufung erst, wenn eine Schwelle zwei Geschäftsjahre hintereinander über- oder unterschritten wird.
• 2:40
  Katrin: Wir gehören zu einer Gruppe mit einer Schwesterfirma.
• 2:43
  Katrin: Rechne ich die mit?
• 2:45
  Hugo: Grundsätzlich ja, verbundene Unternehmen und Partnerunternehmen werden nach der EU-Empfehlung ganz oder anteilig hinzugerechnet.
• 2:52
  Hugo: Paragraf 28 macht davon eine Ausnahme.
• 2:55
  Hugo: Nicht hinzugerechnet wird, wenn Ihre IT-Systeme und Prozesse rechtlich, wirtschaftlich und tatsächlich unabhängig von der Gruppe sind.
• 3:02
  Hugo: Das sollten Sie belegen können.
• 3:04
  Katrin: Kann ich als Maschinenbauer auch besonders wichtig werden?
• 3:07
  Hugo: Über die Größe allein nicht.
• 3:08
  Hugo: Die Größenregel für besonders wichtige Einrichtungen gilt nur für Sektoren aus Anlage 1, der Maschinenbau steht in Anlage 2.
• 3:16
  Hugo: Anders ist es, wenn Sie zusätzlich etwas aus Anlage 1 betreiben oder ein Sonderfall vorliegt.
• 3:20
  Katrin: Welche Sonderfälle?
• 3:22
  Hugo: Manche Einrichtungen sind unabhängig von ihrer Größe erfasst.
• 3:25
  Hugo: Betreiber kritischer Anlagen gelten immer als besonders wichtig, ebenso qualifizierte Vertrauensdiensteanbieter.
• 3:31
  Hugo: Vertrauensdiensteanbieter sind Stellen, die etwa elektronische Signaturen oder Siegel ausstellen.
• 3:37
  Hugo: Dazu kommen DNS-Diensteanbieter, die Namen im Internet in Adressen übersetzen, und die Verwalter von Domain-Endungen.
• 3:44
  Hugo: Auch Anbieter öffentlicher Telekommunikationsdienste sind ohne Mindestgröße erfasst.
• 3:49
  Hugo: Für einen Maschinenbauer ist das selten, aber prüfen Sie es kurz.
• 3:53
  Katrin: Gut.
• 3:53
  Katrin: Was muss ich konkret tun, wenn ich wichtig bin?
• 3:56
  Hugo: Vier Dinge.
• 3:57
  Hugo: Erstens registrieren Sie sich beim BSI, zweistufig: erst über Mein Unternehmenskonto mit dem ELSTER-Organisationszertifikat, dann im BSI-Portal.
• 4:06
  Katrin: Bis wann?
• 4:07
  Hugo: Spätestens drei Monate, nachdem Sie erstmals als Einrichtung gelten.
• 4:12
  Hugo: Das Gesetz gilt seit dem sechsten Dezember 2025, laut BSI ohne allgemeine Übergangsfrist.
• 4:18
  Hugo: Wer schon bei Inkrafttreten alle Merkmale erfüllte, musste sich also bis Anfang März 2026 registrieren.
• 4:24
  Hugo: Wer das verpasst hat, holt die Registrierung jetzt sofort nach.
• 4:29
  Katrin: Was muss ich bei der Registrierung angeben?
• 4:31
  Hugo: Unter anderem Name, Rechtsform, Handelsregisternummer, Kontaktdaten, Sektor, zuständige Aufsichtsbehörden und Ihre öffentlichen IP-Adressbereiche.
• 4:40
  Hugo: Für die IP-Adressen brauchen Sie meist Ihren IT-Dienstleister.
• 4:44
  Hugo: Ändern sich diese Angaben später, melden Sie das dem BSI unverzüglich, spätestens innerhalb von zwei Wochen.
• 4:50
  Katrin: Und die anderen drei Dinge?
• 4:51
  Hugo: Zweitens Risikomanagement nach Paragraf 30, mit mindestens zehn Bausteinen.
• 4:56
  Hugo: Darunter Risikoanalyse, Notfallplanung mit Backups, Zugriffskontrolle, Mehr-Faktor-Anmeldung, Schulungen und die Sicherheit der Lieferkette.
• 5:05
  Hugo: Die Umsetzung müssen Sie dokumentieren.
• 5:07
  Hugo: Drittens gelten Meldepflichten bei erheblichen Sicherheitsvorfällen, dazu mehr im dritten Fall.
• 5:12
  Hugo: Viertens betrifft es Sie persönlich.
• 5:14
  Hugo: Die Geschäftsleitung muss die Maßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen.
• 5:20
  Katrin: Wie oft ist regelmäßig?
• 5:22
  Hugo: Das Gesetz selbst nennt keine Zahl.
• 5:24
  Hugo: Laut Gesetzesbegründung heißt regelmäßig mindestens alle drei Jahre, und sie rechnet mit einer halbtägigen Schulung.
• 5:30
  Hugo: Das BSI sagt aber, dass vier Stunden in den allermeisten Fällen nicht reichen.
• 5:34
  Hugo: Planen Sie für jedes Mitglied der Geschäftsführung also großzügiger.
• 5:38
  Katrin: Und was passiert, wenn ich das alles liegen lasse?
• 5:41
  Hugo: Dann drohen Bußgelder.
• 5:42
  Hugo: Für fehlende Maßnahmen oder Meldungen bis 7 Millionen Euro bei wichtigen, bis 10 Millionen Euro bei besonders wichtigen Einrichtungen.
• 5:50
  Hugo: Bei mehr als 500 Millionen Euro weltweitem Umsatz kann es mehr werden.
• 5:54
  Hugo: Dann sind bis 1,4 beziehungsweise 2 Prozent dieses Umsatzes möglich.
• 5:58
  Hugo: Eine versäumte Registrierung kann bis 500.000 Euro kosten, und das BSI kann Sie auch selbst registrieren.
• 6:05
  Hugo: Was das für Sie persönlich heißt, klären wir in Folge 2.
• 6:08
  Katrin: Gibt es bei der Aufsicht einen Unterschied zwischen wichtig und besonders wichtig?
• 6:14
  Hugo: Ja.
• 6:14
  Hugo: Bei besonders wichtigen Einrichtungen kann das BSI Audits und Prüfungen anordnen, auch ohne konkreten Verdacht.
• 6:21
  Hugo: Bei wichtigen Einrichtungen prüft es, wenn Tatsachen auf Mängel hindeuten.
• 6:24
  Hugo: Die Pflichten selbst sind aber im Kern für beide gleich.
• 6:27
  Katrin: Jetzt die andere Seite: Mein Dreher, der mir Drehteile nach Zeichnung liefert, hat 60 Leute.
• 6:33
  Katrin: Ist der auch betroffen?
• 6:35
  Hugo: Ein typischer Fall.
• 6:36
  Hugo: Lohnfertigung wie Drehen und Fräsen von Metallteilen läuft in der Statistik unter Abteilung 25, Herstellung von Metallerzeugnissen.
• 6:44
  Hugo: Diese Abteilung steht nicht in den Anlagen.
• 6:46
  Hugo: Ohne weitere gelistete Tätigkeit und ohne Sonderfall ist Ihr Dreher also nicht selbst betroffen.
• 6:52
  Hugo: Vorsicht aber: Wer eigene Wellen, Lager oder Zahnräder als Antriebselemente herstellt, gehört zu Abteilung 28, also zum Maschinenbau.
• 7:00
  Hugo: Dann wäre er mit 60 Leuten wichtige Einrichtung.
• 7:04
  Katrin: Also kann er sich zurücklehnen?
• 7:06
  Hugo: Nein.
• 7:06
  Hugo: Sie als wichtige Einrichtung müssen die Sicherheit Ihrer Lieferkette berücksichtigen, so steht es in Paragraf 30, Absatz 2, Nummer 4.
• 7:14
  Hugo: Das BSI schreibt, dass sich das Gesetz so mittelbar auch auf nicht betroffene Unternehmen auswirken kann.
• 7:19
  Hugo: Etwa über Verträge mit betroffenen Kunden.
• 7:22
  Katrin: Was muss ich konkret von ihm verlangen?
• 7:24
  Katrin: Ein Zertifikat?
• 7:25
  Hugo: Das Gesetz schreibt kein bestimmtes Zertifikat vor.
• 7:28
  Hugo: Laut BSI gibt es auch kein einzelnes Zertifikat, das die Anforderungen pauschal belegt.
• 7:34
  Hugo: Eine Zertifizierung nach ISO 27001 kann aber in Ihre Bewertung einfließen.
• 7:38
  Hugo: Ob sie reicht, beurteilen Sie im eigenen Risikomanagement.
• 7:42
  Hugo: Praktisch heißt das: Sie legen fest, welche Lieferanten für Ihren Betrieb kritisch sind.
• 7:47
  Hugo: Mit diesen vereinbaren Sie konkrete Sicherheitsanforderungen im Vertrag.
• 7:51
  Katrin: Zum Beispiel?
• 7:52
  Hugo: Zum Beispiel, dass der Lieferant Sicherheitsvorfälle, die Sie betreffen, schnell meldet.
• 7:56
  Hugo: Oder dass Zugänge zu Ihren Systemen nur mit Mehr-Faktor-Anmeldung möglich sind.
• 8:01
  Hugo: Für den Dreher heißt das: Er sollte die Sicherheitsfragen seiner Kunden gebündelt beantworten können.
• 8:06
  Hugo: Das BSI begrüßt einheitliche Fragenkataloge für Lieferanten, die genau das erleichtern.
• 8:11
  Katrin: Mein Steuerungslieferant hat Fernzugriff auf unsere Maschinen.
• 8:15
  Katrin: Gehört das auch dazu?
• 8:17
  Hugo: Ja, genau dieser Zugang gehört in Ihre Risikoanalyse.
• 8:20
  Hugo: Wer greift zu, mit welcher Anmeldung, und wie sperren Sie den Zugang im Notfall?
• 8:24
  Katrin: Und wenn ich selbst Zulieferer eines großen Autobauers bin?
• 8:28
  Hugo: Dann kommen die Anforderungen von zwei Seiten.
• 8:30
  Hugo: Einmal aus Ihren eigenen Pflichten, einmal aus den Verträgen Ihres Kunden.
• 8:35
  Hugo: Bei Herstellern von Kraftwagen und Kraftwagenteilen hilft wieder der Blick in Anlage 2.
• 8:40
  Hugo: Dort steht auch diese Branche, als Abteilung 29.
• 8:43
  Katrin: Nehmen wir einen Lebensmittelhersteller mit 120 Leuten.
• 8:47
  Hugo: Lebensmittelunternehmen im Großhandel oder in der industriellen Produktion und Verarbeitung stehen in Anlage 2.
• 8:53
  Hugo: Produziert der Betrieb industriell, ist er mit 120 Leuten wichtige Einrichtung.
• 8:58
  Hugo: Der reine Ladenverkauf an Endkunden steht dort nicht.
• 9:01
  Hugo: Eine Bäckerei mit Filialen sollte deshalb genau prüfen, ob sie industriell produziert oder Großhandel betreibt.
• 9:06
  Katrin: Und ein Logistiker?
• 9:08
  Hugo: Da kommt es auf die Tätigkeit an.
• 9:10
  Hugo: Eine Spedition, die nur Lkw-Ladungen fährt, steht als solche nicht in den Anlagen, sofern sie keine kritische Anlage betreibt.
• 9:17
  Hugo: Post- und Kurierdienste stehen dagegen in Anlage 2.
• 9:20
  Hugo: Dazu zählt nach dem Postgesetz, wer gewerbsmäßig Briefe oder Pakete bis 31,5 Kilogramm befördert.
• 9:27
  Katrin: Und wenn der Kurierdienst nur ein kleiner Teil des Geschäfts ist?
• 9:31
  Hugo: Dann hilft Paragraf 28, Absatz 3.
• 9:33
  Hugo: Tätigkeiten, die gemessen am gesamten Geschäft vernachlässigbar sind, dürfen bei der Zuordnung unberücksichtigt bleiben.
• 9:40
  Hugo: Als Anhaltspunkte nennt das BSI Mitarbeiter, Umsatz oder Bilanzsumme dieses Bereichs.
• 9:44
  Hugo: Steht die Tätigkeit im Gesellschaftsvertrag, spricht das eher gegen vernachlässigbar.
• 9:49
  Katrin: Zurück zum Lebensmittelhersteller: Montagmorgen sind alle Rechner verschlüsselt.
• 9:55
  Katrin: Was passiert dann?
• 9:57
  Hugo: Ist das ein erheblicher Sicherheitsvorfall, läuft die Uhr ab dem Moment, in dem Sie davon wissen.
• 10:02
  Hugo: Erheblich ist er schon, wenn er schwere Betriebsstörungen, finanzielle Verluste oder erhebliche Schäden bei anderen verursachen kann.
• 10:09
  Hugo: Unverzüglich, spätestens nach 24 Stunden, geht eine frühe Erstmeldung an die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe.
• 10:18
  Katrin: Was steht da drin?
• 10:19
  Hugo: Vor allem, ob Sie einen Angriff vermuten und ob es Auswirkungen in anderen Ländern geben könnte.
• 10:24
  Hugo: Spätestens nach 72 Stunden folgt die Meldung mit einer ersten Bewertung von Schwere und Auswirkungen.
• 10:30
  Hugo: Spätestens einen Monat nach der 72-Stunden-Meldung kommt die Abschlussmeldung mit Ursache und Abhilfemaßnahmen.
• 10:35
  Hugo: Läuft der Vorfall dann noch, schicken Sie stattdessen eine Fortschrittsmeldung.
• 10:40
  Katrin: Wer macht das bei uns um drei Uhr nachts?
• 10:42
  Hugo: Das legen Sie vorher fest.
• 10:43
  Hugo: Benennen Sie eine verantwortliche Person mit Vertretung, und üben Sie den Ablauf einmal mit Ihrem IT-Dienstleister.
• 10:50
  Hugo: Wer gar nicht, falsch oder zu spät meldet, riskiert denselben Bußgeldrahmen wie bei fehlenden Maßnahmen.
• 10:55
  Katrin: Ändert sich an all dem gerade etwas?
• 10:58
  Katrin: Man liest von Erleichterungen aus Brüssel.
• 11:01
  Hugo: Die EU-Kommission hat im Januar 2026 Änderungen an der NIS2-Richtlinie vorgeschlagen.
• 11:06
  Hugo: Stand Oktober 2026 liegt der Vorschlag noch im Ausschuss des Europäischen Parlaments.
• 11:12
  Hugo: Beschlossen ist nichts.
• 11:13
  Hugo: Für Sie gilt das deutsche Gesetz über das BSI in seiner heutigen Fassung.
• 11:17
  Katrin: Was nehme ich aus dieser Folge mit?
• 11:19
  Hugo: Erstens: Prüfen Sie Sektor, Größe und Sonderfälle.
• 11:22
  Hugo: Ab 50 Beschäftigten oder je über 10 Millionen Euro Umsatz und Bilanzsumme sind Sie in den gelisteten Sektoren wichtige Einrichtung.
• 11:31
  Hugo: Zweitens: Wenn Sie betroffen sind, registrieren Sie sich sofort beim BSI.
• 11:35
  Hugo: Starten Sie dann Risikomanagement, einen Meldeweg für 24 Stunden und Ihre eigene Schulung.
• 11:41
  Hugo: Drittens: Auch wenn Sie nicht selbst betroffen sind, schauen Sie auf Ihre Kunden.
• 11:45
  Hugo: Als Zulieferer können deren Anforderungen über Verträge bei Ihnen ankommen.
• 11:49
  Katrin: Und wenn ich danach immer noch unsicher bin?
• 11:52
  Hugo: Für die erste Orientierung gibt es die anonyme NIS2-Betroffenheitsprüfung des BSI.
• 11:57
  Hugo: Sie ist unverbindlich, die Einstufung bleibt Ihre eigene Aufgabe.
• 12:01
  Hugo: Diese Folge ersetzt keine Rechtsberatung im Einzelfall.
• 12:04
  Hugo: In Folge 2 geht es um die Haftung der Geschäftsleitung.
• 12:07
  Hugo: Einen kostenlosen NIS2-Schnellcheck mit zehn Fragen finden Sie bei frag.hugo.