Haben Sie mehr als 50 Mitarbeiter? Dann kann Sie dieses Gesetz zur Cybersicherheit betreffen

Seit Ende 2025 gilt ein Gesetz zur Cybersicherheit 2025, das auch Handwerksbetriebe betrifft. Ob Sie handeln müssen, hängt von zwei Kriterien ab. Wenn Sie sie erfüllen, aber die Registrierung trotzdem verschieben, riskieren sie ein Bußgeld.

© Envato

Für Handwerksbetriebe greift das Gesetz nur unter zwei gleichzeitigen Voraussetzungen:

  1. Sie müssen mind. 50 Beschäftigte haben und Jahresumsatz sowie Bilanzsumme müssen jeweils bei über 10 Mio. Euro liegen.
  2. Das Unternehmen muss zu einer der Einrichtungsarten gehören, die in den Anlagen 1 und 2 des Gesetzes definiert sind (z. B. Energie, Gesundheit, digitale Infrastruktur, Trinkwasser, Abwasser). Ob Sie betroffen sind, können Sie auf der Website des Bundesamt für Sicherheit in der Informationstechnik (BSI) selbst prüfen.

Wichtig: Es müssen BEIDE Kriterien zutreffen.

Ein Maler- oder Fahrzeuglackierbetrieb mit 60 Mitarbeitern bspw., der keine Sektor relevante Tätigkeit ausübt, fällt nicht unter das Gesetz.

Was Sie tun müssen, WENN Ihr Unternehmen betroffen ist

  1. Registrierung beim BSI
    Die gesetzliche Frist für die Registrierung (6. März 2026) ist abgelaufen, das BSI weist aber darauf hin, dass sie noch geboten ist. Die verspätete Registrierung stellt einen eigenständigen Bußgeldtatbestand dar. Die Registrierung erfolgt über: https://portal.bsi.bund.de/, dort wird von einem „MUK“-Konto gesprochen („Mein Unternehmenskonto“), das einem Elster-Konto entspricht. Muss das Elster-Konto erst eingerichtet werden, dauert die Aktivierung durch Versand Aktivierungs-ID per Post evtl. ein paar Tage.
  2. Technische und organisatorische Maßnahmen
    Kern des Gesetzes ist ein Katalog von zehn verbindlichen Maßnahmenbereichen — darunter Konzepte zur Risikoanalyse und Informationssicherheit. Diese müssen seit 6. Dezember 2025 implementiert sein.
  3. Meldepflicht bei Sicherheitsvorfällen
    Erhebliche Cyberangriffe oder Störungen sind sehr ernst zu nehmen und müssen dem BSI über das BSI-Portal gemeldet werden. Verschweigen sollte man sie keinesfalls!
  4. Persönliche Haftung der Geschäftsleitung
    Jede Geschäftsführung haftet persönlich für die Einhaltung der Cybersicherheitspflichten. Dies kann nicht delegiert werden.

Wie so häufig sind auch hier Bußgelder vorgesehen.

Fazit: Große Betriebe ab 50 Beschäftigten sollten prüfen, ob sie vom Gesetz erfasst werden und dann zügig handeln.

Die häufigsten Fragen zu NIS-2 hat das Bundesamt für Sicherheit in der Informationstechnik hier zusammengestellt.