NIS2 vor dem Ernstfall: Sind wir betroffen, und was gehört in den Notfallplan?

Fallen wir unter das neue BSI-Gesetz?

Das NIS-2-Umsetzungsgesetz hat das BSI-Gesetz neu gefasst; es ist nach dem Nachweis auf gesetze-im-internet.de am 6. Dezember 2025 in Kraft getreten. Für die meisten Unternehmen hängt die Einordnung von zwei Merkmalen ab, die zusammen vorliegen müssen: Es muss einer Einrichtungsart aus Anlage 1 oder 2 zuzuordnen sein und die Größenschwellen des § 28 BSIG erreichen. Für wichtige Einrichtungen sind das mindestens 50 Mitarbeiter oder ein Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro (§ 28 Abs. 2 Nr. 3). Besonders wichtig sind unter anderem Unternehmen der Anlage 1 mit mindestens 250 Mitarbeitern oder über 50 Millionen Euro Umsatz und über 43 Millionen Euro Bilanzsumme (§ 28 Abs. 1 Nr. 4). Daneben erfasst § 28 bestimmte Einrichtungen unabhängig von diesen Schwellen, etwa Betreiber kritischer Anlagen, Vertrauensdiensteanbieter, DNS-Diensteanbieter und Top Level Domain Name Registries; Telekommunikationsanbieter sind in jeder Größe erfasst, nur ihre Einstufung hängt von der Größe ab.

Für die Region bedeutsam sind etwa die in Anlage 2 genannten Einrichtungsarten Maschinenbau, Herstellung elektrischer Ausrüstungen, Lebensmittelunternehmen in Großhandel und industrieller Verarbeitung sowie Unternehmen der Abfallbewirtschaftung. Vernachlässigbare Nebentätigkeiten können bei der Zuordnung unberücksichtigt bleiben (§ 28 Abs. 3). Gezählt wird nach der KMU-Empfehlung der EU-Kommission von 2003: maßgeblich sind Jahresarbeitseinheiten, Teilzeitkräfte zählen anteilig, Auszubildende nicht. Daten von Partner- und verbundenen Unternehmen werden grundsätzlich einbezogen, außer das Unternehmen ist mit Blick auf seine IT von ihnen unabhängig (§ 28 Abs. 4). Das BSI stellt eine Online-Betroffenheitsprüfung bereit; das Ergebnis sollten Sie mit Begründung ablegen.

Müssen wir uns beim BSI registrieren?

Erfasste Einrichtungen müssen dem BSI nach § 33 Abs. 1 BSIG spätestens drei Monate, nachdem sie erstmals oder erneut als Einrichtung gelten, unter anderem Kontaktdaten, öffentliche IP-Adressbereiche und ihren Sektor übermitteln. Die Registrierung läuft in zwei Schritten: zunächst über „Mein Unternehmenskonto“ mit ELSTER-Organisationszertifikat, dann im BSI-Portal. Auf seiner Informationsseite weist das BSI darauf hin, „die gesetzliche Registrierungsfrist ist bereits abgelaufen“. Wer bei der Prüfung feststellt, dass er betroffen ist, sollte die Registrierung deshalb ohne weiteren Aufschub nachholen.

Was gehört in einen Notfallplan, der im Ernstfall trägt?

Für erfasste Einrichtungen verlangt § 30 Abs. 2 BSIG unter anderem Konzepte zur Bewältigung von Sicherheitsvorfällen (Nr. 2), die Aufrechterhaltung des Betriebs mit Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement (Nr. 3) sowie gegebenenfalls gesicherte Notfallkommunikation (Nr. 10). Die Einhaltung ist zu dokumentieren (§ 30 Abs. 1 Satz 3), und die Geschäftsleitung muss die Umsetzung überwachen (§ 38 Abs. 1). Für Telekommunikations- und Energienetzbetreiber mit eigenem Regelwerk sowie Finanzunternehmen im Sinne der Verordnung (EU) 2022/2554 gelten §§ 30, 32 und 38 nach § 28 Abs. 5 und 6 nicht. Für nicht erfasste Betriebe ist die Liste dennoch ein brauchbarer Maßstab.

Ein tragfähiger Plan beantwortet vorab: Wer entscheidet in der ersten Stunde, und wie ist er erreichbar, wenn E-Mail und Telefonanlage ausfallen? Welche Systeme werden in welcher Reihenfolge wiederhergestellt, und sind die Backups getrennt aufbewahrt und getestet? Wer bewertet die Meldepflichten gegenüber BSI, Datenschutzaufsicht und Kunden? Für erfasste Einrichtungen endet die Frist für die Erstmeldung nach § 32 Abs. 1 Nr. 1 BSIG spätestens 24 Stunden nach Kenntnis; Vorlagen und Zugänge zum BSI-Portal gehören deshalb griffbereit in den Plan. Proben Sie den Ablauf mit der Geschäftsleitung.

Was Sie jetzt vorbereiten können

• Einrichtungsart nach Anlage 1 und 2 sowie Mitarbeiterzahl, Umsatz und Bilanzsumme nach § 28 BSIG ermitteln
• BSI-Betroffenheitsprüfung durchführen und Ergebnis mit Begründung ablegen
• Bei Betroffenheit Registrierung über Mein Unternehmenskonto und BSI-Portal nachholen
• Bestandsaufnahme der Maßnahmen nach § 30 Abs. 2 BSIG erstellen
• Notfallplan mit Rollen, Erreichbarkeiten, Wiederanlauf und Meldevorlagen schreiben
• Getrennte Backups testen und den Ablauf mit der Geschäftsleitung üben