Wer sich mit NIS-2 beschäftigt, stößt auf zwei Begriffe, die in Gesetzestext, Behördensprache und Beratungsangeboten unterschiedlich verwendet werden: die Zentralstelle und die 2. Säule. Hinter dem ersten steht eine Behörde, hinter dem zweiten eine Einstufung – und beides entscheidet darüber, wer Sie beaufsichtigt, wie streng und mit welchem Bußgeldrisiko.
Dieser Beitrag erklärt beide Begriffe, stellt wichtige und besonders wichtige Einrichtungen gegenüber, fasst die Pflichten und Meldefristen zusammen und zeigt, wie die Registrierung im BSI-Portal abläuft. Er bezieht sich auf das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), das am 6. Dezember 2025 in Kraft getreten ist und das BSI-Gesetz (BSIG) neu gefasst hat.
Was ist die Zentralstelle bei NIS-2?
Die nationale Zentralstelle für Informationssicherheit ist das Bundesamt für Sicherheit in der Informationstechnik (BSI). Die EU-Richtlinie 2022/2555 verpflichtet jeden Mitgliedstaat, eine zuständige Behörde und eine zentrale Anlaufstelle für Cybersicherheit zu benennen; in Deutschland übernimmt das BSI beide Rollen. Im BSI-Gesetz ist diese Funktion seit jeher in § 1 verankert.
Mit dem NIS2UmsuCG hat das BSI gegenüber allen regulierten Einrichtungen umfassende Befugnisse erhalten. Es
- nimmt die Registrierung der Einrichtungen entgegen,
- empfängt und bewertet die Meldungen über erhebliche Sicherheitsvorfälle,
- führt die Aufsicht, bei besonders wichtigen Einrichtungen auch ohne konkreten Anlass, und
- verhängt Bußgelder und kann Anordnungen bis hin zur vorübergehenden Untersagung von Leitungsfunktionen treffen.
Das BSI ist damit keine reine Informationsbehörde, sondern eine Vollzugsbehörde mit direktem Durchgriff bis auf die Geschäftsführungsebene. Wer seine Pflichten gegenüber der Zentralstelle nicht kennt, riskiert nicht nur Bußgelder, sondern auch die persönliche Haftung der Leitungsorgane nach § 38 BSIG.
Was bedeutet 2. Säule bei NIS-2?
Das NIS2UmsuCG teilt regulierte Organisationen in zwei Säulen: besonders wichtige Einrichtungen (erste Säule, § 28 Abs. 1 BSIG) und wichtige Einrichtungen (zweite Säule, § 28 Abs. 2 BSIG). Die Einordnung ist das strukturelle Rückgrat des Gesetzes: Sie bestimmt, wie intensiv das BSI prüft und wie hoch der Bußgeldrahmen ist – nicht aber, welche Sicherheitsmaßnahmen umzusetzen sind. Die sind für beide Säulen identisch.
Wichtig: Die Zuordnung erfolgt kraft Gesetzes, nicht durch Antrag, Selbstauskunft oder Bescheid. Sobald Sektor und Größe die Kriterien erfüllen, ist eine Organisation betroffen – ob sie es weiß oder nicht. Die Prüfung liegt in ihrer eigenen Verantwortung; das BSI stuft nicht von sich aus ein.
Die Kriterien im Überblick
| Besonders wichtige Einrichtung (1. Säule) | Wichtige Einrichtung (2. Säule) | |
|---|---|---|
| Sektoren | Sektoren hoher Kritikalität (Anlage 1 BSIG): u. a. Energie, Transport, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur, IT-Dienste, Weltraum | Anlage 1 bei mittlerer Größe sowie sonstige kritische Sektoren (Anlage 2): u. a. Post und Kurier, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe und Maschinenbau, digitale Dienste, Forschung |
| Größe | Ab 250 Mitarbeitenden oder mehr als 50 Mio. Euro Umsatz und mehr als 43 Mio. Euro Bilanzsumme | Ab 50 Mitarbeitenden oder mehr als 10 Mio. Euro Umsatz und mehr als 10 Mio. Euro Bilanzsumme |
| Unabhängig von der Größe | Qualifizierte Vertrauensdiensteanbieter, TLD-Registries, DNS-Diensteanbieter, Betreiber kritischer Anlagen, bestimmte Telekommunikationsanbieter | Vertrauensdiensteanbieter, bestimmte TK-Anbieter |
| Aufsicht | Proaktiv: Prüfungen und Audits ohne konkreten Anlass | Reaktiv: Prüfungen bei Hinweisen oder nach Vorfällen |
| Bußgeld bei Pflichtverstößen | Bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes | Bis 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes |
| Sicherheits- und Meldepflichten | Identisch | Identisch |
Die Größenschwellen folgen der EU-Empfehlung 2003/361/EG; maßgeblich ist der letzte Jahresabschluss. Bei Unternehmensgruppen werden verbundene und Partnerunternehmen einbezogen, sofern keine wirtschaftliche und technische Unabhängigkeit besteht. Eine erste Einordnung liefert die kostenlose Betroffenheitsprüfung des BSI; eine ausführliche Darstellung der Sektoren finden Sie in unserem Beitrag NIS-2 für Unternehmen: Wer ist betroffen?.
Warum die 2. Säule so viele Unternehmen überrascht
Das BSI rechnet mit rund 29.500 betroffenen Einrichtungen, gegenüber etwa 4.500 KRITIS-Betreibern unter dem alten Recht. Der größte Teil des Zuwachses entfällt auf die zweite Säule – und dort vor allem auf Branchen, die sich bislang nicht als kritische Infrastruktur verstanden haben: Maschinen- und Anlagenbau, Chemie, Lebensmittelherstellung, Logistik, Elektrotechnik. Ein produzierendes Unternehmen mit 60 Mitarbeitenden im verarbeitenden Gewerbe ist wichtige Einrichtung – mit allen Pflichten.
Die reaktive Aufsicht der zweiten Säule wird dabei häufig missverstanden. Sie bedeutet nicht weniger Pflichten, sondern nur, dass das BSI nicht von sich aus prüft. Kommt es zu einem Vorfall oder einem Hinweis, prüft es umso genauer – und stützt sich auf die vorhandene Dokumentation. Für wichtige Einrichtungen ist die Qualität der eigenen Nachweise deshalb entscheidend.
Pflichten für beide Säulen
Die materiellen Anforderungen sind für wichtige und besonders wichtige Einrichtungen gleich. Vier Pflichtenblöcke stehen im Zentrum.
Risikomanagementmaßnahmen nach § 30 BSIG
Einrichtungen müssen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen nach dem Stand der Technik umsetzen. Das Gesetz nennt einen Mindestkatalog von zehn Maßnahmen: Risikoanalyse und Sicherheitskonzepte, Bewältigung von Sicherheitsvorfällen, Business Continuity mit Backup und Wiederherstellung sowie Krisenmanagement, Sicherheit der Lieferkette, Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen einschließlich Schwachstellenmanagement, Bewertung der Wirksamkeit der Maßnahmen, Cyberhygiene und Schulung, Kryptografie und Verschlüsselung, Personalsicherheit und Zugriffskontrolle sowie Multi-Faktor-Authentifizierung und sichere Kommunikation. Der Ansatz ist gefahrenübergreifend: Es geht nicht nur um Angriffe, sondern um alle Ursachen von Ausfällen.
Meldepflichten nach § 32 BSIG
Bei einem erheblichen Sicherheitsvorfall – einem Ereignis, das schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht oder andere Personen erheblich beeinträchtigen kann – gilt ein dreistufiges Verfahren gegenüber dem BSI:
- Frühwarnung innerhalb von 24 Stunden nach Kenntnis, mit ersten Angaben zum Vorfall und zur Frage, ob ein rechtswidriger Angriff vermutet wird.
- Meldung innerhalb von 72 Stunden mit Bewertung von Schweregrad, Auswirkungen und Kompromittierungsindikatoren.
- Abschlussbericht spätestens einen Monat nach der Meldung mit Ursachen, Maßnahmen und Auswirkungen.
Die Fristen sind kurz. Wer am Tag des Vorfalls noch klären muss, wer meldet und wie, hält sie nicht ein. Ein eingeübter Meldeweg mit benannten Verantwortlichen und vorbereiteten Vorlagen gehört deshalb zu den ersten Maßnahmen jeder NIS-2-Umsetzung.
Registrierungspflicht nach § 33 BSIG
Jede betroffene Einrichtung muss sich innerhalb von drei Monaten, nachdem sie in den Anwendungsbereich fällt, beim BSI registrieren – mit Name, Anschrift, Sektor, Einrichtungsart, Kontaktdaten einer jederzeit erreichbaren Stelle sowie IP-Adressbereichen und Domains. Für Einrichtungen, die am 6. Dezember 2025 bereits betroffen waren, endete die Frist am 6. März 2026. Jede Tochtergesellschaft ist einzeln zu prüfen und gegebenenfalls einzeln zu registrieren.
Pflichten der Geschäftsleitung nach § 38 BSIG
Die Leitungsorgane müssen die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Verletzen sie diese Pflichten, haften sie der Einrichtung gegenüber für entstandene Schäden. Eine Delegation an die IT-Leitung oder einen Dienstleister entbindet nicht; sie kann die Pflicht nur organisatorisch unterstützen – etwa durch einen externen Informationssicherheitsbeauftragten, der die Entscheidungsvorlagen erarbeitet und die Umsetzung berichtet.
Registrierung im BSI-Portal: So läuft es ab
Die Registrierung erfolgt ausschließlich digital über das BSI-Portal. Der Prozess ist zweistufig: Zuerst wird ein Zugang über das Unternehmenskonto („Mein Unternehmenskonto“, MUK) eingerichtet, danach erfolgt die eigentliche NIS-2-Registrierung.
Voraussetzung für das Unternehmenskonto ist ein ELSTER-Organisationszertifikat. Es ist nicht identisch mit einem privaten ELSTER-Zertifikat und muss gesondert beantragt werden; zwischen Antrag, digitaler Verarbeitung und postalischem Aktivierungsbrief vergehen in der Praxis ein bis zwei Wochen. Wer diesen Vorlauf nicht einplant, verpasst Fristen aus rein technischen Gründen.
Im Portal sind anzugeben: Unternehmensname und Rechtsform, Sektor und Teilsektor nach den Anlagen des BSIG, die Einstufung als wichtige oder besonders wichtige Einrichtung, eine jederzeit erreichbare Kontaktstelle mit Telefonnummer und E-Mail-Adresse sowie IP-Adressbereiche und betriebene Domains. Daraus folgt: Die Betroffenheitsprüfung muss vor der Registrierung abgeschlossen sein. Wer Sektor oder Säule nicht kennt, kann das Formular nicht korrekt ausfüllen.
Häufige Hürden in der Praxis sind der falsche ELSTER-Kontotyp, eine nicht übereinstimmende Steuernummer und eine unvollständige Sektorzuordnung. Alle drei lassen sich mit einer kurzen Vorbereitung vermeiden.
Abgrenzung: NIS-2 und KRITIS-Dachgesetz
Neben dem NIS2UmsuCG gilt seit 2026 das KRITIS-Dachgesetz. Beide Gesetze haben unterschiedliche Schutzgegenstände: NIS-2 regelt die Cybersicherheit von Netz- und Informationssystemen, das KRITIS-Dachgesetz den physischen Schutz und die Gesamtresilienz kritischer Anlagen nach einem Allgefahrenansatz, von Naturereignissen über Sabotage bis zu hybriden Bedrohungen.
Die Anwendungsbereiche überschneiden sich, sind aber nicht deckungsgleich: Das KRITIS-Dachgesetz erfasst Betreiber kritischer Anlagen, nicht jede NIS-2-Einrichtung, und klammert einzelne Sektoren wie IT, Telekommunikation und Finanzen aus, die dort eigenen Regimen unterliegen. Wer unter beide Gesetze fällt, sollte die Maßnahmen integriert planen – etwa über ein ISMS nach ISO 27001 und ein BCM nach ISO 22301 –, statt zwei parallele Compliance-Programme aufzubauen.
Auswirkungen auf die Lieferkette
NIS-2 verpflichtet beide Säulen, die Sicherheit ihrer Lieferkette zu berücksichtigen: Risiken bei Lieferanten und Dienstleistern sind zu bewerten, und angemessene Anforderungen sind vertraglich durchzusetzen. Die Folge ist ein Trickle-Down-Effekt: Zulieferer und IT-Dienstleister, die selbst unterhalb der Schwellenwerte liegen, erhalten von ihren regulierten Kunden Fragebögen, Vertragsklauseln und Auditanfragen – und müssen ihre Sicherheitsreife nachweisen, obwohl das Gesetz sie nicht direkt adressiert. Was das für Zulieferer bedeutet, beschreibt unser Beitrag NIS-2 in der Lieferkette; warum ausgefüllte Fragebögen allein keine Sicherheit schaffen, zeigt Lieferantenfragebögen als Scheinsicherheit.
Eine strukturierte Lieferantenbewertung, wie sie ISO 27001 in Anhang A vorsieht, deckt die gesetzliche Anforderung und die Erwartungen der Kunden in einem Verfahren ab.
In fünf Schritten zur Rechtssicherheit
- Sektor zuordnen. Gleichen Sie Ihre Tätigkeiten mit den Anlagen 1 und 2 des BSIG ab, für jede Gesellschaft einzeln. Dokumentieren Sie das Ergebnis mit Begründung.
- Schwellenwerte anwenden. Mitarbeitende, Umsatz und Bilanzsumme aus dem letzten Jahresabschluss, bei Gruppen unter Einbeziehung verbundener Unternehmen. Daraus folgt die Säule.
- Registrieren. Unternehmenskonto einrichten, Daten vorbereiten, im BSI-Portal registrieren. Wer die Frist verpasst hat, holt die Registrierung unverzüglich nach – die Pflicht besteht fort.
- Meldeweg und Geschäftsleitung. Verantwortliche, Erreichbarkeit und Vorlagen für die 24/72-Stunden-Meldung festlegen; Schulung der Leitungsorgane durchführen und dokumentieren.
- Gap-Analyse und Maßnahmenplan. Ist-Zustand gegen den Maßnahmenkatalog des § 30 BSIG prüfen, Lücken nach Risiko priorisieren, Plan von der Geschäftsleitung billigen lassen.
Fazit
Zentralstelle und 2. Säule bezeichnen zwei verschiedene Dinge: das BSI als nationale Aufsichtsbehörde mit Registrierungs-, Melde- und Sanktionsbefugnissen, und die Einstufung als wichtige Einrichtung mit reaktiver Aufsicht und reduziertem Bußgeldrahmen. Die Pflichten selbst – Risikomanagement, Meldungen, Registrierung, Verantwortung der Geschäftsleitung – gelten für beide Säulen gleich.
Der Hebel liegt deshalb nicht in der Diskussion über die Säule, sondern in der sauberen Betroffenheitsprüfung, der fristgerechten Registrierung und einem Managementsystem, das die geforderten Maßnahmen nachweisbar umsetzt. Wie das in Ihrer Organisation aussieht, klären wir im Rahmen unserer NIS-2 Beratung – von der Betroffenheitsanalyse bis zum prüffesten Nachweis.
