NIS2 in Deutschland: Ab wann Fertigungsbetriebe zur Cybersicherheits-Einrichtung werden

Das NIS-2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten und gilt seitdem für rund 29.500 Unternehmen und Einrichtungen der Bundesverwaltung in Deutschland. Viele davon wissen es noch nicht — „NIS2“ wird oft als Thema für Energieversorger oder Krankenhäuser wahrgenommen. Tatsächlich zählt auch das verarbeitende Gewerbe ausdrücklich zu den erfassten Sektoren.

Wer als „wichtige Einrichtung“ gilt

Als „wichtige Einrichtung“ gilt ein Unternehmen, wenn es mindestens 50 Mitarbeitende beschäftigt oder mehr als 10 Millionen Euro Jahresumsatz bei gleichzeitig mehr als 10 Millionen Euro Bilanzsumme erreicht — und einem der erfassten Sektoren angehört. Neben Energie, Verkehr, Finanzwesen und Gesundheit zählt dazu ausdrücklich auch die Fertigung, ergänzt um Post- und Kurierdienste, Abfallwirtschaft, Chemie und Lebensmittelproduktion. Die strengere Kategorie „besonders wichtige Einrichtung“ (ab 250 Mitarbeitenden oder mehr als 50 Millionen Euro Umsatz und 43 Millionen Euro Bilanzsumme) betrifft dagegen vor allem Energie-, Verkehrs- und Finanzsektor sowie Betreiber kritischer Infrastrukturen.

Registrierung und Sicherheitsmaßnahmen

Betroffene Unternehmen müssen sich innerhalb von drei Monaten nach Identifikation als erfasste Einrichtung beim BSI registrieren. Die gesetzliche Frist lief am 6. März 2026 ab — zu diesem Zeitpunkt hatten sich erst rund 11.500 der geschätzt 29.500 betroffenen Unternehmen registriert. Das BSI räumte daraufhin eine Nachfrist bis zum 31. Juli 2026 ein. Inhaltlich verlangt das Gesetz „angemessene, verhältnismäßige“ technische und organisatorische Maßnahmen: Risikoanalyse und Sicherheitsmanagement, Vorfallbehandlung, Lieferkettensicherheit, Multi-Faktor-Authentifizierung und regelmäßige Mitarbeiterschulungen gehören ausdrücklich dazu.

Was bei Verstößen droht

Für wichtige Einrichtungen drohen bei fehlenden Sicherheitsmaßnahmen oder unterlassener Meldung von Sicherheitsvorfällen Bußgelder von bis zu 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes — je nachdem, welcher Betrag höher ist. Für die Registrierung selbst gilt ein eigener, niedrigerer Bußgeldrahmen von bis zu 500.000 Euro. Anders als etwa beim AI Act gibt es dabei keine Übergangsfrist für die technischen Maßnahmen: Das Gesetz ist ohne Schonfrist in Kraft getreten.

Für Fertigungsbetriebe im betroffenen Größenbereich heißt das praktisch: zuerst prüfen, ob die Schwellenwerte erreicht werden, dann registrieren — und die Dokumentation der eigenen IT-Sicherheitsmaßnahmen so aufbauen, dass sie im Zweifel vorgelegt werden kann. Das betrifft ausdrücklich auch KI-Systeme, die produktionsnahe Daten verarbeiten: Sie fallen unter dieselbe Sicherheits- und Protokollierungspflicht wie jede andere IT-Komponente.