Fristen nach NIS-2, BSI-Gesetz und Cyber Resilience Act

Ob ein Unternehmen unter NIS-2 fällt, ergibt sich aus Sektor und Größe – eine behördliche Mitteilung gibt es nicht. Betriebe des verarbeitenden Gewerbes, etwa Maschinenbau, Herstellung von Kraftwagen und sonstiger Fahrzeugbau, elektrische Ausrüstungen, Elektronik und Medizinprodukte, sowie Chemie- und Lebensmittelhersteller sind ab den Schwellenwerten wichtige Einrichtungen. Die Zahlen verbundener Unternehmen werden grundsätzlich mitgezählt, es sei denn, der IT-Betrieb ist nachweislich unabhängig.

Betroffene müssen sich spätestens drei Monate nach Eintritt der Betroffenheit registrieren – zunächst über „Mein Unternehmenskonto“, dann im BSI-Portal. Ändern sich Angaben wie Kontaktdaten, öffentliche IP-Adressbereiche oder Tätigkeiten, ist dies innerhalb von zwei Wochen nachzutragen.

Typischer Fehler: Die Betroffenheit wird einmal geprüft und dann vergessen. Wächst das Unternehmen über eine Schwelle, kauft es zu oder nimmt es eine neue Tätigkeit auf, beginnt die Dreimonatsfrist neu. Dokumentieren Sie die jährliche Prüfung mit Datum und Datengrundlage.

Quellen: Gesetze im Internet – BSIG § 33 Registrierungspflicht · Gesetze im Internet – BSIG § 28 Besonders wichtige und wichtige Einrichtungen · BSI – Pressemitteilung: NIS-2-Umsetzungsgesetz in Kraft (05.12.2025)

Wichtige und besonders wichtige Einrichtungen müssen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen ergreifen und deren Umsetzung dokumentieren. Das BSI-Gesetz nennt zehn Mindestbereiche – von Risikoanalyse und Vorfallbewältigung über Backup und Krisenmanagement, Lieferkettensicherheit und Schwachstellenmanagement bis zu Schulungen, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung. Ausdrücklich gefordert sind auch Verfahren, mit denen die Wirksamkeit der Maßnahmen bewertet wird.

Für Produktionsbetriebe heißt das: Steuerungen, Engineering-Stationen, Fernwartungszugänge und MES gehören in die Risikoanalyse, nicht nur die Büro-IT. Die Geschäftsleitung muss die Umsetzung überwachen und haftet bei schuldhaften Pflichtverletzungen.

Eine feste Prüffrist gibt es nicht. Bewährt hat sich ein jährlicher Zyklus aus Risikoanalyse, internem Audit und Managementbewertung, ergänzt um anlassbezogene Überprüfungen nach Vorfällen oder größeren Anlagenänderungen. Typischer Fehler: Maßnahmen werden beschlossen, ihr Umsetzungsstand aber nie gemessen.

Quellen: Gesetze im Internet – BSIG § 30 Risikomanagementmaßnahmen · Gesetze im Internet – BSIG § 38 Pflichten der Geschäftsleitung · BSI – NIS-2-Infopaket: Bewertung der Wirksamkeit von Maßnahmen

Die Mitglieder der Geschäftsleitung müssen regelmäßig an Schulungen teilnehmen, um Cyberrisiken und Risikomanagementpraktiken erkennen und bewerten sowie ihre Auswirkungen auf die eigenen Dienste beurteilen zu können. Die Pflicht trifft jede Person mit Leitungsfunktion persönlich und lässt sich nicht delegieren.

Das Gesetz nennt weder Dauer noch Intervall. Das BSI empfiehlt in seiner Handreichung vom April 2026 eine ausführliche Erstschulung und anschließende Folgeschulungen, deren Abstand sich nach Risikoexposition und Vorkenntnissen richtet. Anlass für eine zusätzliche Schulung sind insbesondere ein Wechsel in der Geschäftsleitung sowie deutliche Änderungen bei Geschäftsprozessen, Risiken oder Sicherheitsmaßnahmen.

Führen Sie eine lückenlose Dokumentation über Datum, Umfang und Inhalte – sie ist der Nachweis gegenüber dem BSI und im Haftungsfall. Typischer Fehler: Die Geschäftsleitung besucht die allgemeine Awareness-Schulung für Beschäftigte. Diese ersetzt die Leitungsschulung zu Risikosteuerung und Verantwortung nicht.

Quellen: Gesetze im Internet – BSIG § 38 Umsetzungs-, Überwachungs- und Schulungspflicht · BSI – Handreichung Schulung für Geschäftsleitungen (Version 1.0, 17.04.2026) · BSI – NIS-2-Infopaket Geschäftsleitungsschulung

Erhebliche Sicherheitsvorfälle sind in drei Stufen zu melden: innerhalb von 24 Stunden eine frühe Erstmeldung mit der Angabe, ob ein rechtswidriger oder böswilliger Hintergrund vermutet wird; innerhalb von 72 Stunden eine Meldung mit erster Bewertung von Schweregrad und Auswirkungen; spätestens einen Monat danach eine Abschlussmeldung mit Ursache und Abhilfemaßnahmen. Dauert der Vorfall noch an, ist zunächst eine Fortschrittsmeldung fällig. Auf Ersuchen des BSI kommen Zwischenmeldungen hinzu.

Die Fristen laufen ab Kenntnis, also auch am Wochenende. Kriterien für „erheblich“, Entscheidungsbefugnis und Zugänge zum BSI-Portal müssen deshalb vorab festgelegt sein. Betreiber kritischer Anlagen melden zusätzlich Angaben zur betroffenen kritischen Dienstleistung.

Typischer Fehler: Im Ernstfall ist unklar, wer meldet, oder die Zugangsdaten liegen auf dem verschlüsselten Server. Hinterlegen Sie Meldeweg und Kontaktdaten auch offline und üben Sie den Ablauf. Andere Meldepflichten, etwa nach Datenschutzrecht, bestehen daneben.

Quellen: Gesetze im Internet – BSIG § 32 Meldepflichten · BSI – NIS-2-Infopaket Meldepflicht

Wer eine kritische Anlage betreibt – in der Produktion vor allem große Lebensmittel- und Getränkehersteller oberhalb der Schwellenwerte –, gilt automatisch als besonders wichtige Einrichtung und hat zusätzliche Pflichten. Nach dem BSI-Gesetz ist die Umsetzung der IT-Sicherheitsmaßnahmen alle drei Jahre durch Audits, Prüfungen oder Zertifizierungen nachzuweisen; Ergebnisse und festgestellte Mängel gehen an das BSI.

Das seit dem 17. März 2026 geltende KRITIS-Dachgesetz ergänzt Pflichten zur physischen Resilienz: Registrierung binnen drei Monaten, Risikoanalyse mindestens alle vier Jahre, Resilienzmaßnahmen mit Resilienzplan, jährliche Aktualisierung des Versorgungsgrads und Vorfallmeldung binnen 24 Stunden. Welche Anlagen kritisch sind, bestimmt eine Rechtsverordnung mit Schwellenwerten.

Typischer Fehler: Die IT-Nachweise werden vorbereitet, die physische Resilienz – Zufahrten, Notstrom, Abhängigkeit von einzelnen Lieferanten – bleibt außen vor. Planen Sie beide Nachweiswelten gemeinsam: Die Behörden können Teile der BSI-Nachweise auch für die Prüfung nach dem KRITIS-Dachgesetz heranziehen.

Quellen: Gesetze im Internet – BSIG § 39 Nachweispflichten für Betreiber kritischer Anlagen · Gesetze im Internet – KRITISDachG § 12 Risikoanalyse des Betreibers · Gesetze im Internet – KRITISDachG § 8 Registrierung kritischer Anlagen

Seit dem 11. September 2026 gelten die Meldepflichten des Cyber Resilience Act. Hersteller von Produkten mit digitalen Elementen – dazu zählen vernetzte Maschinen, Steuerungen, Antriebe, Sensoren oder zugehörige Software – müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über die zentrale Meldeplattform der ENISA melden. Die Meldung geht zugleich an das als Koordinator benannte CSIRT des Mitgliedstaats der Hauptniederlassung.

Die Pflicht betrifft ausdrücklich auch Produkte, die vor dem vollständigen Geltungsbeginn am 11. Dezember 2027 in Verkehr gebracht wurden. Ab diesem Datum kommen die übrigen Anforderungen hinzu, etwa ein Unterstützungszeitraum für Sicherheitsupdates von grundsätzlich mindestens fünf Jahren.

Typischer Fehler: Maschinenbauer sehen sich nur in der Betreiberrolle nach NIS-2 und übersehen ihre Herstellerpflichten. Klären Sie, für welche Produkte Sie Hersteller sind, richten Sie eine Stelle für Schwachstellenmeldungen ein und testen Sie den Zugang zur Meldeplattform. Die Fristen laufen ab Kenntnis, unabhängig von Wochenenden und Feiertagen.

Quellen: EUR-Lex – Verordnung (EU) 2024/2847 (Cyber Resilience Act) · ENISA – The CRA Single Reporting Platform is launched