NIS2 in Deutschland: was internationale Unternehmen beim BSI beachten

Diese Seite richtet sich an Unternehmen mit Sitz außerhalb Deutschlands, die hier eine Tochtergesellschaft, eine Niederlassung oder einen Standort haben, und an die Verantwortlichen in der deutschen Gesellschaft. Sie zeigt, was in Deutschland gilt und wo deutsche Behördenwege anders aussehen als in einem Konzernhandbuch, das für die ganze Gruppe geschrieben ist. Über das Recht anderer Mitgliedstaaten treffen wir keine Aussagen; dort gilt jeweils die nationale Umsetzung der NIS‑2-Richtlinie (EU) 2022/2555.

Welches Recht gilt für die deutsche Gesellschaft?

Das BSI-Gesetz (BSIG) in der Fassung vom 22.10.2026. Deutschland hat die NIS‑2-Richtlinie mit dem NIS‑2-Umsetzungsgesetz umgesetzt; dessen Artikel 1 ist das neue BSIG, in Kraft seit dem 06.12.2025, ohne allgemeine Übergangsfrist. Für die deutsche Gesellschaft gilt der deutsche Gesetzestext. Ein Konzernhandbuch, das auf der Richtlinie oder auf der Umsetzung im Heimatstaat aufbaut, ist daran zu messen. Den Rechtsstand im Einzelnen erklärt die Seite NIS2-Umsetzungsgesetz.

Auch die Begriffe weichen ab. Die „essential entities“ der englischen Richtlinie heißen im BSIG „besonders wichtige Einrichtungen“ (in der deutschen Fassung der Richtlinie „wesentliche Einrichtungen“), die „important entities“ heißen „wichtige Einrichtungen“. Wer ein Konzernhandbuch auf Englisch führt, sollte die deutschen Begriffe daneben schreiben, damit Registrierung und Schriftverkehr mit dem BSI zusammenpassen.

Wann ist das BSI zuständig?

Im Regelfall, sobald die Einrichtung in Deutschland niedergelassen ist. Nach § 59 BSIG ist das BSI zuständige Aufsichtsbehörde für wichtige und besonders wichtige Einrichtungen, die in Deutschland niedergelassen sind, und für Betreiber kritischer Anlagen, deren Anlagen in Deutschland liegen. Das BSI fasst es so zusammen: Ausschlaggebend ist, ob ein Unternehmen in Deutschland niedergelassen ist oder hier einen Vertreter benannt hat. Ein Unternehmen kann laut BSI also auch dann erfasst sein, wenn es die einschlägigen Dienste nicht in Deutschland erbringt.

Für eine Gruppe von Einrichtungsarten gilt § 60 BSIG: DNS-Diensteanbieter, Top Level Domain Name Registries, Domain-Name-Registry-Dienstleister, Anbieter von Cloud-Computing-Diensten und Rechenzentrumsdiensten, Betreiber von Content Delivery Networks, Managed Service Provider, Managed Security Service Provider sowie Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen sozialer Netzwerke. Für sie ist das BSI nur zuständig, wenn ihre Hauptniederlassung in der EU in Deutschland liegt, dann aber für die gesamte EU.

Als Hauptniederlassung gilt der Mitgliedstaat, in dem die Entscheidungen zum Cybersicherheitsrisikomanagement vorwiegend getroffen werden. Lässt sich das nicht bestimmen oder fallen die Entscheidungen außerhalb der EU, gilt der Mitgliedstaat, in dem die Cybersicherheitsmaßnahmen durchgeführt werden, ersatzweise der mit der Niederlassung mit den meisten Beschäftigten in der EU (§ 60 Abs. 2). Ein benannter Vertreter lässt rechtliche Schritte gegen die Einrichtung selbst unberührt (§ 60 Abs. 4). Hat eine Einrichtung dieser Arten keine Niederlassung in der EU, bietet aber Dienste in der EU an, muss sie einen Vertreter in einem Mitgliedstaat benennen, in dem sie die Dienste anbietet; ohne Vertreter kann sich das BSI für sie zuständig erklären (§ 60 Abs. 3). Die Tabelle vereinfacht: Auf ein Amtshilfeersuchen eines anderen Mitgliedstaats kann das BSI auch gegenüber einer Einrichtung tätig werden, die in Deutschland Dienste anbietet (§ 60 Abs. 5).

Deckt die Registrierung im Heimatstaat Deutschland ab?

Nein, außer bei den Einrichtungsarten nach § 60. Das BSI antwortet auf die Frage, ob international tätige Unternehmen Registrierung und Meldung zentral beim BSI für alle Mitgliedstaaten erledigen können: Im Fall von § 60 kann das so sein, ansonsten nicht. Die Pflichten aus den nationalen Umsetzungen gelten unabhängig voneinander; Registrierungspflichten sind in mehreren Ländern zu erfüllen, wenn deren Gesetze das verlangen. Umgekehrt ersetzt die Registrierung beim BSI keine Registrierung, die ein anderer Mitgliedstaat verlangt.

Für die Konzernplanung heißt das: Jede Gesellschaft, die in einem Mitgliedstaat eine besonders wichtige oder wichtige Einrichtung ist, braucht dort ihren eigenen Weg. Eine zentrale Konzernregistrierung für die deutsche Tochter gibt es nicht. Gehören Mutter und Tochter mit gemeinsamer IT jeweils zu einer erfassten Einrichtungsart und erreichen sie gemeinsam die Schwellen, sind laut BSI beide erfasst; es reicht dann nicht, wenn nur die Mutter die Anforderungen erfüllt.

Wie registriert sich die deutsche Gesellschaft?

In zwei Stufen, wie jede Einrichtung in Deutschland: erst ein ELSTER-Organisationszertifikat über „Mein Unternehmenskonto“ (MUK), dann die Registrierung im BSI-Portal. Die Frist beträgt drei Monate, nachdem die Einrichtung erstmals oder erneut als besonders wichtig oder wichtig gilt (§ 33 Abs. 1). Für Einrichtungen, die schon am 06.12.2025 betroffen waren, ist sie abgelaufen; das BSI fordert dazu auf, die Registrierung umgehend nachzuholen. Ablauf, Angaben und eine ausgefüllte Checkliste stehen auf der Seite NIS2-Registrierung.

Für internationale Gruppen sind drei Punkte anders als erwartet:

• Steuernummer: MUK setzt eine deutsche Steuernummer voraus. Eine deutsche GmbH hat sie in der Regel. Einrichtungen ohne deutsche Steuernummer können laut BSI beim Finanzamt Neubrandenburg (RAB) ein Ordnungskriterium in Form einer Steuernummer beantragen; bei der Registrierung in „Mein ELSTER“ ist dann Mecklenburg-Vorpommern als Land zu wählen. Damit sind keine steuerlichen Prüfungen verbunden.
• Ein Profil je Einrichtung: Jede NIS‑2-relevante Einrichtung braucht ein eigenes MUK-Profil. Ein Zugang der Muttergesellschaft genügt nicht für die Tochter.
• Mitgliedstaaten und IP-Adressen: Anzugeben sind die Mitgliedstaaten, in denen die Einrichtung die Kerntätigkeit erbringt, die zur Einstufung führt; Wartung oder Kundenservice zählen laut BSI nicht. Öffentliche statische IP-Adressbereiche ausländischer Töchter dürfen laut BSI mitgemeldet werden. Wer sich nach § 34 registriert, gibt die Bereiche der Hauptniederlassung und der weiteren Niederlassungen in der EU an.

Wohin und in welcher Sprache wird gemeldet?

Erhebliche Sicherheitsvorfälle meldet die Einrichtung an die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK): spätestens 24 Stunden nach Kenntnis eine frühe Erstmeldung, spätestens nach 72 Stunden eine Meldung mit erster Bewertung, spätestens einen Monat danach eine Abschlussmeldung (§ 32 Abs. 1). Gemeldet wird über das BSI-Portal; Einrichtungen, die noch nicht registriert sind, melden laut BSI über ein Online-Formular im Melde- und Informationsportal. Den Meldeprozess beschreibt die Seite NIS2-Meldepflicht.

Zur Sprache sagt das BSI ausdrücklich: Vorfallsmeldungen dürfen auf Englisch abgegeben werden. Für Verwaltungsverfahren gilt im Übrigen § 23 des Verwaltungsverfahrensgesetzes (VwVfG): Die Amtssprache ist deutsch, und bei fremdsprachigen Anträgen oder Dokumenten soll die Behörde eine Übersetzung verlangen. Für Registrierung, Auskunftsverlangen und Aufsichtsmaßnahmen empfehlen wir deshalb, in der deutschen Gesellschaft eine Person zu benennen, die den Schriftverkehr auf Deutsch führen kann.

Hat ein Vorfall Auswirkungen in mehreren Mitgliedstaaten, muss das BSI unverzüglich informiert werden, wenn es zuständig ist. Ob in anderen Staaten weitere Meldepflichten bestehen, prüft das Unternehmen selbst; eine Meldung an das BSI erfüllt sie laut BSI nicht automatisch.

Was heißt das für Konzern-IT und Geschäftsleitung?

• Größe mit der Gruppe: Für die Einstufung zählen Partner- und verbundene Unternehmen mit, laut BSI auch solche außerhalb Deutschlands und der EU. Nur wenn die Gesellschaft bei ihrer IT unabhängig von der Gruppe ist, zählen allein ihre eigenen Zahlen (§ 28 Abs. 4). Wie man das prüft und dokumentiert, zeigt die Betroffenheitsprüfung.
• Maßnahmen gelten für die Einrichtung: Die Risikomanagementmaßnahmen nach § 30 BSIG muss die deutsche Einrichtung treffen. Betreibt die Konzern-IT ihre Systeme, muss die Einrichtung belegen können, dass die Maßnahmen dort umgesetzt sind; die Maßnahmen im Einzelnen stehen auf der Seite § 30 BSIG.
• Meldung durch Dritte: Dienstleister, auch die Konzern-IT, können zur Meldung ermächtigt werden; die Verantwortung für Vorfall und Inhalt bleibt bei der Einrichtung. Für den Beginn der Fristen stellt das BSI auf den Zeitpunkt ab, zu dem eine Mitarbeiterin oder ein Mitarbeiter der Einrichtung (innerhalb der Arbeitszeit) Kenntnis erlangt.
• Geschäftsleitung der deutschen Gesellschaft: § 38 BSIG verpflichtet die Geschäftsleitung der Einrichtung, die Maßnahmen umzusetzen, ihre Umsetzung zu überwachen und regelmäßig an Schulungen teilzunehmen. Das sind die Geschäftsführer der deutschen Gesellschaft. Ihre Pflichten erklärt die Seite NIS2 und Geschäftsleitung.

Beispiel: Checkliste für eine deutsche Konzerntochter

Fiktives Beispiel, kein Kunde. Eine Unternehmensgruppe mit Sitz in den USA stellt Messtechnik her. Zur Gruppe gehören eine deutsche GmbH, die Messgeräte entwickelt und fertigt (NACE-Abteilung 26, 140 Mitarbeitende in Jahresarbeitseinheiten), und eine Vertriebsgesellschaft in den Niederlanden. Die IT der GmbH betreibt das Konzern-Rechenzentrum in den USA, ein Sicherheitsteam der Gruppe überwacht alle Standorte. So sieht die ausgefüllte Checkliste der GmbH aus:

Die Checkliste ist eine Arbeitshilfe. Die Zuordnung der Einrichtungsart, die Konzernrechnung und die Frage, ob ein Vertreter nötig ist, gehören im Einzelfall auf den Tisch einer Rechtsanwältin oder eines Rechtsanwalts.

Drei typische Lücken bei Konzerntöchtern

Lücken und Abhilfen sind unsere fachliche Einordnung. Ob Ihre deutsche Gesellschaft heute die Anforderungen nach § 30 BSIG erfüllt, zeigt die NIS2-Gap-Analyse; wir führen sie auf Deutsch oder Englisch durch.