NIS-2 seit Dezember 2025: Welche Genossenschaften betroffen sind und welche Schritte sich anbieten
Aktualisiert: 22. Okt.
Inhaltsübersicht
Rechtsstand: August 2026 · Dieser Beitrag richtet sich an Vorstände, Aufsichtsräte und Mitglieder von Genossenschaften.
Das Wichtigste in Kürze
NIS-2 seit 6.12.2025: ab 50 Mitarbeitern oder über 10 Mio. EUR Jahresumsatz und Jahresbilanzsumme im Regelfall betroffen
24-Stunden-Frühwarnung, 72-Stunden-Folgemeldung, Abschlussmeldung einen Monat nach der 72-Stunden-Meldung an das BSI
Für bestimmte Verstöße sieht § 65 BSIG Geldbußen bis zu 7 Mio. EUR bei wichtigen und bis zu 10 Mio. EUR bei besonders wichtigen Einrichtungen vor. Bei Einrichtungen mit einem Gesamtumsatz von mehr als 500 Mio. EUR gelten für bestimmte Verstöße abweichend umsatzbezogene Höchstgrenzen von 1,4 % bzw. 2 % des weltweiten Gesamtumsatzes.
Seit dem 6. Dezember 2025 ist das NIS-2-Umsetzungsgesetz in Kraft. Mit ihm wurden die Vorgaben des deutschen IT-Sicherheitsrechts für zahlreiche Einrichtungen erweitert. In den Gesetzgebungsmaterialien wurde für die Ermittlung des Erfüllungsaufwands mit rund 29.850 besonders wichtigen und wichtigen Einrichtungen gerechnet; dabei handelt es sich um eine Schätzung. Bis zum Ablauf der Registrierungsfrist am 6. März 2026 hatten sich knapp 11.500 beim Bundesamt für Sicherheit in der Informationstechnik (BSI) eingetragen. Aus der Differenz zwischen der damaligen Schätzung und der Zahl der Registrierungen lässt sich allein nicht belastbar ableiten, aus welchen Gründen Einrichtungen bis zum Stichtag nicht registriert waren.
Für Genossenschaften ist die Einordnung alles andere als trivial. Das Gesetz unterscheidet zwischen wichtigen und besonders wichtigen Einrichtungen. Bei den meisten Einrichtungsarten gilt eine Einrichtung als wichtige Einrichtung, wenn sie einer in Anlage 1 oder 2 BSIG bestimmten Einrichtungsart zuzuordnen ist und mindestens 50 Mitarbeiter beschäftigt oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweist; Sonderregelungen bleiben unberührt.ahresbilanzsumme von jeweils über 10 Millionen Euro aufweist. Bei den meisten Einrichtungsarten nach Anlage 1 gilt eine Einrichtung als besonders wichtige Einrichtung, wenn sie mindestens 250 Mitarbeiter beschäftigt oder einen Jahresumsatz von über 50 Millionen Euro und zugleich eine Jahresbilanzsumme von über 43 Millionen Euro aufweist; Sonderregelungen bleiben unberührt. Die Sektorenliste reicht von Energie über Trinkwasser und Abwasser bis hin zu digitaler Infrastruktur und öffentlicher Verwaltung.
Welche Genossenschaften betroffen sind
Bei Energiegenossenschaften ist die konkrete Tätigkeit anhand der in Anlage 1 BSIG bestimmten Einrichtungsarten sowie der sektorspezifischen Regelungen des Energiewirtschaftsgesetzes einzuordnen. Ob eine Bürgerenergiegenossenschaft erfasst ist, hängt insbesondere davon ab, ob ihre konkrete Tätigkeit einer in Anlage 1 BSIG genannten Einrichtungsart entspricht und die Voraussetzungen des § 28 BSIG erfüllt; für bestimmte Betreiber im Energiesektor gelten zudem die sektorspezifischen Regelungen der §§ 5c bis 5e EnWG. Für die Einstufung als wichtige Einrichtung gelten die Größenmerkmale des § 28 Absatz 2 BSIG: mindestens 50 Mitarbeiter oder ein Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro. Der Anwendungsbereich der Cybersicherheitsregulierung wurde durch die NIS-2-Umsetzung erweitert. Die bloße Zugehörigkeit zu einem Sektor genügt bei den meisten Einrichtungsarten jedoch nicht; maßgeblich sind die konkrete Einrichtungsart, die Größenmerkmale und gegebenenfalls sektorspezifische Sonderregelungen.
Der Betrieb eigener Photovoltaik- oder Blockheizkraftwerke führt bei Wohnungsgenossenschaften nicht automatisch zu einer Einstufung nach NIS-2; maßgeblich sind die konkrete Einrichtungsart, die Größenmerkmale sowie gegebenenfalls die Regelung des § 28 Absatz 3 BSIG zu im Verhältnis zur gesamten Geschäftstätigkeit vernachlässigbaren Tätigkeiten. Auch Genossenschaften in den Bereichen digitale Infrastruktur, Verwaltung von IKT-Diensten, Abfallbewirtschaftung oder Lebensmittelwirtschaft können erfasst sein, soweit ihre Tätigkeit einer gesetzlich bestimmten Einrichtungsart entspricht und die jeweiligen Voraussetzungen erfüllt sind; eine allgemeine Tätigkeit als IT-Dienstleister, Softwareanbieter oder in der Lebensmittelversorgung genügt für sich genommen nicht. Besonders wichtige und wichtige Einrichtungen müssen sich nach § 33 BSIG beim BSI registrieren. Die NIS-2-Registrierung erfolgt nach aktueller BSI-Information ausschließlich über das BSI-Portal und nicht über das MIP; für den Zugang zum BSI-Portal wird ein ELSTER-Organisationszertifikat über „Mein Unternehmenskonto“ verwendet. Für die Risikomanagementpflichten sieht das BSIG keine allgemeine dreimonatige Umsetzungsfrist vor. Die Registrierung ist dagegen spätestens drei Monate nach erstmaligem oder erneutem Eintritt in den Anwendungsbereich vorzunehmen; die Meldepflicht nach § 32 BSIG gilt frühestens ab Einrichtung des Meldewegs.
Persönliche Haftung und 24-Stunden-Meldepflicht
Das BSIG enthält ausdrücklich Umsetzungs-, Überwachungs- und Schulungspflichten für die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen. § 38 BSIG verpflichtet die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen, die nach § 30 BSIG zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen; außerdem müssen sie regelmäßig an Schulungen teilnehmen. Verletzt eine Geschäftsleitung schuldhaft ihre Pflichten nach § 38 Absatz 1 BSIG und entsteht der Einrichtung dadurch ein Schaden, richtet sich die Haftung nach § 38 Absatz 2 BSIG nach den für die jeweilige Rechtsform geltenden gesellschaftsrechtlichen Regeln; für Vorstandsmitglieder einer Genossenschaft ist insbesondere § 34 GenG zu beachten. Aussagen zum Umfang einer D&O-Deckung sind nur anhand der konkreten Versicherungsbedingungen möglich. Die besonderen Pflichten des § 38 BSIG richten sich an die Geschäftsleitung. Für Aufsichtsratsmitglieder einer Genossenschaft bestehen daneben die allgemeinen organschaftlichen Pflichten nach dem Genossenschaftsgesetz.
Bei einem erheblichen Sicherheitsvorfall sieht § 32 BSIG eine frühe Erstmeldung spätestens innerhalb von 24 Stunden, eine Meldung über den Sicherheitsvorfall spätestens innerhalb von 72 Stunden, auf Ersuchen eine Zwischenmeldung und grundsätzlich spätestens einen Monat nach Übermittlung der 72-Stunden-Meldung eine Abschlussmeldung vor.tlung der 72-Stunden-Meldung. Für bestimmte Verstöße können bei wichtigen Einrichtungen Geldbußen bis zu 7 Millionen Euro und bei besonders wichtigen Einrichtungen bis zu 10 Millionen Euro verhängt werden. Bei einem Gesamtumsatz von mehr als 500 Millionen Euro gelten für bestimmte Verstöße abweichend Höchstgrenzen von bis zu 1,4 Prozent beziehungsweise 2 Prozent des weltweiten Gesamtumsatzes. Eine nicht oder nicht rechtzeitig vorgenommene Registrierung nach § 33 BSIG kann nach § 65 Absatz 5 Satz 1 Nummer 5 BSIG mit einer Geldbuße bis zu 500.000 Euro geahndet werden, das Ignorieren von BSI-Anordnungen mit bis zu 2 Millionen Euro.
Welche gesetzlichen Anforderungen zu beachten sind
Ob eine Genossenschaft unter das BSIG fällt, bestimmt sich insbesondere nach der konkreten Einrichtungsart, den Größenmerkmalen des § 28 BSIG und gegebenenfalls bestehenden Sonderregelungen. § 30 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen zu geeigneten, verhältnismäßigen und wirksamen technischen und organisatorischen Risikomanagementmaßnahmen. Ein bestimmtes Informationssicherheits-Managementsystem nach ISO 27001 oder BSI-Standard 200-1 wird durch § 30 BSIG nicht allgemein vorgeschrieben. Die Maßnahmen müssen nach § 30 Absatz 2 BSIG unter anderem Konzepte zur Risikoanalyse, die Bewältigung von Sicherheitsvorfällen, Maßnahmen zur Aufrechterhaltung des Betriebs, Lieferkettensicherheit, Zugriffskontrolle sowie Konzepte und Prozesse für kryptografische Verfahren und gesicherte Kommunikation umfassen. Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen müssen nach § 38 Absatz 3 BSIG regelmäßig an Schulungen teilnehmen. Für erhebliche Sicherheitsvorfälle sind die Meldepflichten des § 32 BSIG zu beachten.
Häufige Fragen
Welche Genossenschaften fallen unter NIS-2?
Genossenschaften können erfasst sein, wenn ihre Tätigkeit einer in Anlage 1 oder 2 BSIG genannten Einrichtungsart zuzuordnen ist und die jeweiligen Voraussetzungen des § 28 BSIG erfüllt sind. Bei den meisten Einrichtungsarten gilt für wichtige Einrichtungen: mindestens 50 Mitarbeiter oder Jahresumsatz und Jahresbilanzsumme jeweils über 10 Millionen Euro. Für besonders wichtige Einrichtungen nach Anlage 1 gelten grundsätzlich mindestens 250 Mitarbeiter oder ein Jahresumsatz von über 50 Millionen Euro bei zugleich über 43 Millionen Euro Jahresbilanzsumme. Daneben bestehen Sonderregelungen und einzelne größenunabhängige Tatbestände. Eine bloße Tätigkeit als Softwareanbieter oder die Beauftragung eines externen IT-Dienstleisters begründet für sich genommen keine Einstufung nach § 28 BSIG.
Wann musste die Registrierung erfolgen?
Für Einrichtungen, die bereits mit Inkrafttreten am 6. Dezember 2025 erstmals als besonders wichtige oder wichtige Einrichtung galten, endete die dreimonatige Registrierungsfrist des § 33 Absatz 1 BSIG am 6. März 2026. Für Einrichtungen, die erst später in den Anwendungsbereich fallen, läuft die Frist individuell ab diesem Zeitpunkt. Eine nach § 33 BSIG bestehende Registrierungspflicht entfällt nicht dadurch, dass die Dreimonatsfrist bereits abgelaufen ist. Eine verspätete Registrierung verändert nicht den Zeitpunkt, ab dem die übrigen gesetzlichen Pflichten bei Vorliegen ihrer Voraussetzungen gelten.
Wie schnell muss ein Sicherheitsvorfall gemeldet werden?
Bei einem erheblichen Sicherheitsvorfall sind eine frühe Erstmeldung spätestens innerhalb von 24 Stunden und eine Meldung über den Sicherheitsvorfall spätestens innerhalb von 72 Stunden nach Kenntniserlangung abzugeben; auf Ersuchen ist eine Zwischenmeldung vorzulegen. Die Abschlussmeldung ist grundsätzlich spätestens einen Monat nach Übermittlung der 72-Stunden-Meldung fällig. Die NIS-2-Meldung erfolgt nach aktueller BSI-Information über das BSI-Portal; für Betreiber kritischer Anlagen bestehen übergangsweise besondere Meldewege. Eine nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig abgegebene Meldung nach § 32 BSIG kann nach § 65 BSIG eine Ordnungswidrigkeit darstellen; die konkrete Sanktion richtet sich nach den gesetzlichen Voraussetzungen des Einzelfalls.
Haftet der Vorstand persönlich für NIS-2-Verstöße?
§ 38 Absatz 2 BSIG bestimmt, dass Geschäftsleitungen, die ihre Pflicht zur Umsetzung und Überwachung der Risikomanagementmaßnahmen nach § 38 Absatz 1 BSIG verletzen, ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den für die Rechtsform geltenden gesellschaftsrechtlichen Regeln haften. Für Vorstandsmitglieder einer Genossenschaft ist insbesondere § 34 GenG zu beachten. § 38 BSIG enthält keine eigenständige Haftungsregel für sämtliche Meldepflichtverstöße. Die gesetzlichen Umsetzungs- und Überwachungspflichten der Geschäftsleitung nach § 38 Absatz 1 BSIG bestehen auch dann, wenn technische oder organisatorische Aufgaben an Dritte ausgelagert werden. Ob und in welchem Umfang eine D&O-Versicherung Schäden im Zusammenhang mit solchen Pflichtverletzungen deckt, richtet sich nach den jeweiligen Versicherungsbedingungen und kann nicht allgemein beurteilt werden.
Welche Bußgelder drohen bei NIS-2-Verstößen?
Für bestimmte Verstöße können bei besonders wichtigen Einrichtungen Geldbußen bis zu 10 Millionen Euro und bei wichtigen Einrichtungen bis zu 7 Millionen Euro verhängt werden. Bei Einrichtungen mit einem Gesamtumsatz von mehr als 500 Millionen Euro gelten für bestimmte Verstöße abweichend Höchstgrenzen von bis zu 2 Prozent beziehungsweise 1,4 Prozent des weltweiten Gesamtumsatzes. Bei besonders wichtigen Einrichtungen kann die jeweils zuständige Aufsichtsbehörde unter den Voraussetzungen des § 61 Absatz 9 BSIG als letztes Mittel eine fachrechtliche Genehmigung vorübergehend ganz oder teilweise aussetzen oder einer unzuverlässigen Geschäftsleitung die Ausübung ihrer Tätigkeit vorübergehend untersagen, bis der zugrunde liegenden BSI-Anordnung nachgekommen wird.
Quellen
Der Genossenschaftsverband der Länder e.V. (GVdL) informiert seine Mitgliedsgenossenschaften im Rahmen seiner Verbandsarbeit über für Genossenschaften relevante Anforderungen der NIS-2-Umsetzung. Die konkrete rechtliche Einordnung richtet sich nach den gesetzlichen Voraussetzungen des Einzelfalls. Bei Genossenschaften im Energiebereich ist neben § 28 BSIG insbesondere zu prüfen, ob und in welchem Umfang die sektorspezifischen Regelungen der §§ 5c bis 5e EnWG Anwendung finden. Kontakt: info@gvdl.de oder +49 371 77 50 15 24.
Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine individuelle steuerliche oder rechtliche Beratung.
Kommentare