NIS2 verpasst? Was Maschinenbauer jetzt nachholen müssen

Wenn Sie sich nicht beim BSI registriert haben, ist die kurze Antwort: nachholen, und zwar jetzt. Die gesetzliche Frist lief am 6. März 2026 ab, die vom BSI eingeräumte Nachfrist am 31. Juli 2026. Eine verstrichene Frist hebt die Pflicht nicht auf — sie macht die Nichtregistrierung zu einem eigenen Bußgeldtatbestand. Und die Meldepflichten gelten unabhängig davon, ob Sie registriert sind oder nicht.

Sie sind damit nicht allein. Von rund 29.500 in Deutschland betroffenen Unternehmen hatten sich bis zum März-Stichtag etwa 11.500 gemeldet. Auch nach der Nachfrist blieb die Lücke bestehen.

Fällt mein Unternehmen überhaupt darunter?

Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) gilt seit dem 6. Dezember 2025, ohne Übergangsfrist. Es betrifft längst nicht mehr nur klassische KRITIS-Betreiber.

Als Faustregel gilt: Unternehmen in einem der in den Anlagen 1 und 2 BSIG genannten Sektoren — dazu gehört das verarbeitende Gewerbe einschließlich Maschinen- und Anlagenbau — mit mindestens 50 Beschäftigten oder mehr als 10 Millionen Euro Umsatz beziehungsweise Bilanzsumme fallen häufig darunter.

Die Faustregel ersetzt die Prüfung nicht. Das BSI stellt dafür eine kostenlose, anonyme Betroffenheitsprüfung bereit; sie dauert wenige Minuten und ist der richtige erste Schritt, bevor jemand ein Projekt aufsetzt.

NIS2 und CRA sind zwei verschiedene Dinge

Das wird regelmäßig vermischt, kostet Zeit und führt zu Maßnahmen an der falschen Stelle. Beide betreffen Maschinenbauer, aber an unterschiedlichen Stellen:

Kurz: NIS2 fragt, wie sicher Sie arbeiten. Der CRA fragt, wie sicher das ist, was Sie verkaufen. Wer beides zusammen plant, macht die Arbeit einmal. Was der CRA konkret verlangt, steht auf unserer Seite zum Cyber Resilience Act.

Was jetzt zu tun ist, in dieser Reihenfolge

1. Betroffenheit prüfen. BSI-Selbsttest, wenige Minuten. Ergebnis dokumentieren — auch ein „nicht betroffen” will später belegt sein.
2. Registrieren. Über das Melde- und Unterrichtungskanal-Portal des BSI (muk.bsi.bund.de). Dafür wird ein ELSTER-Organisationszertifikat benötigt; das zu beantragen dauert, also zuerst anstoßen.
3. Meldefähigkeit herstellen. § 32 BSIG verlangt bei einem erheblichen Sicherheitsvorfall eine Erstmeldung innerhalb von 24 Stunden, eine qualifizierte Meldung innerhalb von 72 Stunden und eine Abschlussmeldung innerhalb eines Monats. Diese Fristen laufen ab Kenntnis — nicht ab Behebung.
4. Risikomanagement dokumentieren. § 30 BSIG nennt zehn Maßnahmenbereiche, von Risikoanalyse über Vorfallsbewältigung und Business Continuity bis zu Zugriffskontrolle und Lieferkettensicherheit. Entscheidend ist die Nachweisbarkeit: Eine Entscheidung, die nur im Kopf existiert, lässt sich später nicht verteidigen.
5. Geschäftsleitung einbinden. § 38 BSIG macht das zur Chefsache: Die Geschäftsleitung muss die Maßnahmen billigen, ihre Umsetzung überwachen und an Schulungen teilnehmen. Delegieren geht hier nicht.

Und was hat das mit der Steuerung zu tun?

Mehr, als es zunächst aussieht. Drei der zehn Maßnahmenbereiche laufen darauf hinaus, dass Sie über Ihre eigene OT dieselben Aussagen treffen können müssen wie über Ihre IT:

• Welche Software läuft wo? Eine Anlage, deren Softwarestand niemand kennt, lässt sich nicht in eine Risikoanalyse schreiben.
• Wie kommt ein Sicherheitsupdate dorthin? Wenn die Antwort „jemand fährt hin” lautet, ist die 24-Stunden-Uhr schon abgelaufen, bevor die erste Maßnahme greift.
• Wer hat wann was geändert? Ohne Rollen, Rechte und ein Protokoll gibt es keinen Nachweis, nur Erinnerung.

Genau diese drei Fragen beantwortet logiccloud ORCHESTRATE: Geräte und Softwarestände zentral erfassen, Updates kontrolliert ausrollen — mit Rollback, wenn etwas schiefgeht —, Zugriffe über Rollen steuern und Änderungen protokollieren. Die Bausteine heißen IDENTIFY, CONTROL, UPDATE, MONITOR und AUDIT, und sie funktionieren auch mit bestehenden Systemen, nicht nur mit Steuerungen von logiccloud.

Das macht Sie nicht automatisch NIS2-konform — Konformität ist eine Organisationsleistung, keine Produkteigenschaft. Es beantwortet aber die Fragen, an denen technische Nachweise sonst scheitern.

Der nächste Schritt

Wenn Sie nicht sicher sagen können, welche Softwareversion gerade auf welcher Anlage im Feld läuft, fangen Sie dort an. Alles andere in NIS2 baut auf dieser Auskunft auf.

Sprechen Sie mit uns über Ihre installierte Basis — wir schauen uns gemeinsam an, welche Nachweise sich aus Ihrem heutigen Stand überhaupt erzeugen lassen.

Quellen, geprüft am 12. September 2026

• Gesetzestext § 30, § 32, § 33 und § 38 BSIG: https://nis2-umsetzung.com/bsig/32-bsig
• BSI-Registrierung, Fristen und Nachfrist bis 31. Juli 2026: https://www.secjur.com/blog/nis2-umsetzung
• Registrierungsstand (rund 29.500 betroffene, rund 11.500 registrierte Unternehmen): https://locaterisk.com/de/nis2-bsi-registrierung-frist-2026
• Was bei versäumter Registrierung gilt: https://itmr-legal.de/blog/nis2-registrierung-verpasst

Dieser Artikel ist eine fachliche Einordnung und keine Rechtsberatung.