NIS2: Betrifft die Richtlinie Händler und Gastronomen?
Kurz gesagt
Händler und Gastronomen unterliegen in Deutschland den NIS2-Pflichten des BSI-Gesetzes, wenn ihre Tätigkeit in Anlage 1 oder 2 BSIG steht und sie mindestens 50 Mitarbeiter haben oder über 10 Millionen Euro Umsatz und Bilanzsumme erreichen, oder als Betreiber kritischer Anlagen unabhängig von der Größe (§ 28 BSIG, seit 6. Dezember 2025). Restaurants gelten laut BSI in der Regel nicht als erfasst; Lebensmittelgroßhändler und Online-Marktplätze können es sein.
Das Wichtigste
- Das BSI-Gesetz in der Fassung des NIS-2-Umsetzungsgesetzes gilt in Deutschland seit 6. Dezember 2025.
- Einzelhandel und Gastronomie sind in den Anlagen 1 und 2 BSIG nicht als eigener Sektor genannt; Betreiber kritischer Anlagen sind unabhängig von der Größe erfasst.
- Wichtige Einrichtung (sofern nicht bereits besonders wichtig): mindestens 50 Mitarbeiter oder je über 10 Millionen Euro Umsatz und Bilanzsumme, gemessen am gesamten Unternehmen.
- Wer als erfasste Einrichtung keine Risikomanagementmaßnahmen ergreift, riskiert bis zu 10 Millionen Euro (besonders wichtige) beziehungsweise 7 Millionen Euro (wichtige Einrichtung) Bußgeld; bei mehr als 500 Millionen Euro weltweitem Gesamtumsatz gelten Prozentrahmen.
- Erfasste Einrichtungen müssen sich binnen drei Monaten beim BSI registrieren (§ 33 Abs. 1 BSIG).
Was das BSI-Gesetz vorschreibt
Die NIS-2-Richtlinie (EU) 2022/2555 setzt in Deutschland das BSI-Gesetz (BSIG) um. Es wurde durch das NIS-2-Umsetzungsgesetz vom 2. Dezember 2025 (BGBl. 2025 I Nr. 301) neu gefasst und ist am 6. Dezember 2025 in Kraft getreten (Artikel 30 des Gesetzes). Die Risikomanagementpflichten nach § 30 BSIG treffen nur „besonders wichtige Einrichtungen“ und „wichtige Einrichtungen“. Wer dazugehört, regelt § 28 BSIG mit zwei Fragen: Gehört Ihre Tätigkeit zu einer Einrichtungsart in Anlage 1 oder 2, und ist Ihr Unternehmen groß genug?
Wer ist betroffen, wer nicht?
Die Größe wird am gesamten Unternehmen gemessen, nicht am einzelnen Standort. Anzuwenden ist die Empfehlung 2003/361/EG der Kommission ohne Artikel 3 Absatz 4 ihres Anhangs. Daten von Partner- oder verbundenen Unternehmen zählen mit, außer das Unternehmen betreibt seine IT-Systeme unabhängig von ihnen (§ 28 Abs. 4 BSIG).
| Einstufung | Einrichtungsart | Größe des Unternehmens | Norm |
|---|---|---|---|
| Wichtige Einrichtung, sofern nicht bereits besonders wichtig | Anlage 1 oder 2 | mindestens 50 Mitarbeiter, oder Jahresumsatz und Jahresbilanzsumme jeweils über 10 Millionen Euro | § 28 Abs. 2 Nr. 3 BSIG |
| Besonders wichtige Einrichtung | nur Anlage 1 | mindestens 250 Mitarbeiter, oder Jahresumsatz über 50 Millionen Euro und Jahresbilanzsumme über 43 Millionen Euro | § 28 Abs. 1 Nr. 4 BSIG |
| Besonders wichtige Einrichtung | Betreiber einer kritischen Anlage | keine Größenschwelle | § 28 Abs. 1 Nr. 1 BSIG |
Geschäftstätigkeiten, die im Verhältnis zur gesamten Tätigkeit vernachlässigbar sind, können bei der Zuordnung zu einer Einrichtungsart unberücksichtigt bleiben (§ 28 Abs. 3 BSIG).
Die folgende Entscheidungstabelle wendet das auf typische Betriebe an. Die Größenangaben sind erfundene Beispiele.
| Ihr Betrieb | Einrichtungsart in Anlage 1 oder 2? | Ergebnis |
|---|---|---|
| Restaurant, Café oder Hotel-Restaurant, auch mit 80 Mitarbeitern | Anlage 2 Nr. 4.1.1 erfasst Lebensmittelunternehmen nur im Großhandel und in der industriellen Produktion und Verarbeitung | laut BSI-FAQ in der Regel nicht erfasst |
| Einzelhandel mit Ladengeschäft | Einzelhandel als solcher ist kein Sektor der Anlagen 1 und 2 | nicht erfasst, soweit nicht eine andere Einrichtungsart nach Anlage 1 oder 2 zutrifft (das BSI ordnet etwa Apotheken als Gesundheitsdienstleister Anlage 1 Nr. 4.1.1 zu) oder der Betrieb eine kritische Anlage betreibt |
| Lebensmittelgroßhändler mit 60 Mitarbeitern | ja, Anlage 2 Nr. 4.1.1 | wichtige Einrichtung |
| Lebensmittelgroßhändler mit 30 Mitarbeitern, 8 Millionen Euro Umsatz und 6 Millionen Euro Bilanzsumme | ja, Anlage 2 Nr. 4.1.1 | unter den Schwellen, nicht erfasst |
| Betreiber eines Online-Marktplatzes, auf dem Dritte an Verbraucher verkaufen, mit 55 Mitarbeitern | ja, Anlage 2 Nr. 6.1.1 | wichtige Einrichtung |
| Webshop, in dem nur Sie selbst verkaufen | nach dem Wortlaut kein Online-Marktplatz, weil der Dienst Verträge mit anderen Unternehmern oder Verbrauchern ermöglichen muss (§ 312l Abs. 2 BGB) | nicht erfasst, außer ein anderer Tatbestand trifft zu |
| Betreiber einer Anlage des Lebensmittelhandels ab 434.500 Tonnen Lebensmittel (ohne Getränke) im Jahr | kritische Anlage nach BSI-KritisV, Anhang 3; sie gilt ab dem 1. April des Folgejahres, nachdem die Schwelle erstmals erreicht wurde | besonders wichtige Einrichtung, unabhängig von der Größe |
| Ihr IT- oder Kassen-Dienstleister, der Cloud-Computing-Dienste oder Managed Services anbietet | Anlage 1 Nr. 6.1.4 oder 6.1.10 | kann selbst erfasst sein; für Sie als Kunde folgt daraus keine eigene Pflicht |
Das BSI gibt keine verbindliche Auskunft über die Betroffenheit im Einzelfall. Es bietet eine Betroffenheitsprüfung an und verweist bei Unklarheiten auf rechtliche Beratung.
Was erfasste Einrichtungen tun müssen
Nur wer nach § 28 BSIG erfasst ist, muss Folgendes erfüllen:
- Risikomanagement: geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen ergreifen und deren Einhaltung dokumentieren (§ 30 Abs. 1 BSIG). Absatz 2 nennt mindestens zehn Felder, darunter Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Backup-Management, Sicherheit der Lieferkette und Multi-Faktor-Authentifizierung.
- Meldungen: einen erheblichen Sicherheitsvorfall unverzüglich, spätestens binnen 24 Stunden nach Kenntnis, erstmelden, binnen 72 Stunden ausführlicher melden und spätestens einen Monat nach der zweiten Meldung abschließend berichten; dauert der Vorfall dann noch an, folgt eine Fortschrittsmeldung, und die Abschlussmeldung kommt nach abschließender Bearbeitung. Die Pflicht gilt frühestens ab Einrichtung des Meldewegs (§ 32 Abs. 1 und 2 BSIG).
- Registrierung: spätestens drei Monate, nachdem die Einrichtung erstmals als besonders wichtig oder wichtig gilt, über das BSI-Portal (§ 33 Abs. 1 BSIG). Das BSI beschreibt zwei Schritte: ELSTER-Organisationszertifikat über „Mein Unternehmenskonto“, dann Registrierung im BSI-Portal. Es weist darauf hin, dass die gesetzliche Registrierungsfrist bereits abgelaufen ist.
- Geschäftsleitung: Maßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen; bei schuldhafter Pflichtverletzung haftet sie der Einrichtung nach dem Gesellschaftsrecht (§ 38 BSIG).
Bei wichtigen Einrichtungen kann das BSI die Einhaltung prüfen, wenn Tatsachen die Annahme rechtfertigen, dass sie Pflichten nicht oder nicht richtig umsetzen (§ 62 BSIG).
Was droht bei einem Verstoß?
Wer die Risikomanagementmaßnahmen nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig ergreift, handelt ordnungswidrig (§ 65 Abs. 2 Nr. 2 BSIG). Dasselbe gilt für fehlende Dokumentation, Meldungen und die Registrierung. Die Geldbuße kann betragen:
- bis zu 10 Millionen Euro bei besonders wichtigen und bis zu 7 Millionen Euro bei wichtigen Einrichtungen für fehlende Maßnahmen, Dokumentation und Meldungen (§ 65 Abs. 5 Satz 1 Nr. 1 BSIG),
- bis zu 500.000 Euro, wenn die Registrierungsangaben nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermittelt werden (§ 65 Abs. 2 Nr. 6, Abs. 5 Satz 1 Nr. 5 BSIG),
- für die Verstöße des ersten Spiegelstrichs (nicht für die Registrierung) stattdessen bis zu 2 Prozent (besonders wichtige) beziehungsweise 1,4 Prozent (wichtige Einrichtung) des Gesamtumsatzes, wenn das Unternehmen weltweit im vorausgegangenen Geschäftsjahr mehr als 500 Millionen Euro umgesetzt hat (§ 65 Abs. 6 bis 8 BSIG).
Das sind Höchstbeträge. Für nicht erfasste Betriebe gelten diese Pflichten und Bußgelder nicht.
Checkliste für Ihren Betrieb
- Prüfen Sie, ob Ihre Tätigkeit in Anlage 1 oder 2 BSIG vorkommt (Restaurants: laut BSI-FAQ in der Regel nicht; Einzelhandel als solcher: kein Sektor der Anlagen, aber etwa Apotheken sind Gesundheitsdienstleister nach Anlage 1 Nr. 4.1.1).
- Prüfen Sie, ob Sie Lebensmittel im Großhandel oder industriell verarbeiten oder einen Online-Marktplatz betreiben, auf dem Dritte verkaufen.
- Zählen Sie Mitarbeiter, Umsatz und Bilanzsumme des gesamten Unternehmens samt verbundener Unternehmen, nicht einer Filiale.
- Prüfen Sie, ob Sie Betreiber einer kritischen Anlage nach der BSI-KritisV sind.
- Führen Sie die Betroffenheitsprüfung des BSI durch und legen Sie das Ergebnis ab (redaktionelle Empfehlung).
- Wenn Sie erfasst sind: Registrieren Sie sich im BSI-Portal und beginnen Sie mit der Dokumentation der Risikomanagementmaßnahmen.