Produktion & Chemie
Die Linie steht. Und mit ihr jede Stunde Umsatz.
Hersteller, Chemiebetriebe und Maschinenbauer haben zwei Welten im Haus: Büro-IT und Produktions-IT. Angreifer nehmen den Weg von der einen in die andere — und der Stillstand kostet nicht Daten, sondern Tage.
Fallen Sie darunter?
Anlage 2 · Sektoren 3 und 5
Sektor Chemie sowie Verarbeitendes Gewerbe / Herstellung von Waren
Registrierungspflichtige Hersteller und Importeure chemischer Stoffe (REACH) sowie — nach NACE Rev. 2 — Medizinprodukte und In-vitro-Diagnostika, Datenverarbeitungsgeräte und Elektronik (26), elektrische Ausrüstungen (27), Maschinenbau (28), Kraftwagen und Kraftwagenteile (29) und sonstiger Fahrzeugbau (30).
Besonders wichtige Einrichtung
mindestens 250 Mitarbeitende — oder über 50 Mio. € Jahresumsatz und zugleich über 43 Mio. € Jahresbilanzsumme
Gilt für Einrichtungsarten aus Anlage 1 · § 28 Abs. 1, 2 BSIG
Wichtige Einrichtung
mindestens 50 Mitarbeitende — oder über 10 Mio. € Jahresumsatz und Jahresbilanzsumme
Gilt für Einrichtungsarten aus Anlage 1 und 2 · § 28 Abs. 1, 2 BSIG
Wichtig für Sie: Wer in Anlage 2 steht, gilt als wichtige Einrichtung — die niedrigere Schwelle greift, die Pflichten aus § 30 BSIG sind dieselben.
Ohne jede Größenschwelle betroffen sind Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries und DNS-Diensteanbieter (§ 28 Abs. 1 Nr. 1, 2 BSIG); Vertrauensdiensteanbieter gelten stets als wichtige Einrichtung (§ 28 Abs. 2 Nr. 1 BSIG). Mitarbeiterzahl und Finanzkennzahlen stehen zueinander im Oder-Verhältnis; bei den Finanzkennzahlen müssen beide Werte überschritten sein. Ob Ihr konkretes Unternehmen darunterfällt, ist eine Einzelfallfrage — dafür gibt es Anwältinnen und Anwälte.
Was in diesem Sektor typischerweise im Register steht
Diese Pflichten entscheiden bei Ihnen.
§ 30 Abs. 2 Nr. 9 BSIG
Büro- und Produktionsnetz trennen
Konzepte für Personalsicherheit, Zugriffskontrolle und die Verwaltung von IKT-Systemen, -Produkten und -Prozessen — hier entscheidet sich, ob ein Klick im Büro die Fertigung erreicht.
§ 30 Abs. 2 Nr. 6 BSIG
Wirksamkeit belegen, nicht behaupten
Konzepte und Verfahren zur Bewertung der Wirksamkeit: Ein Wiederherstellungstest zeigt in zwei Stunden, was zehn Seiten Konzept offenlassen.
§ 30 Abs. 2 Nr. 8 BSIG
Kryptographie dort, wo das Know-how liegt
Konzepte und Prozesse für kryptographische Verfahren — Konstruktionsdaten auf Laptops und Datenträgern sind der Kern Ihres Unternehmenswerts.
Fallbeispiel (fiktiv): Der Zulieferer und die verlorenen drei Tage
Ein Automobilzulieferer wird über eine Phishing-Mail in der Buchhaltung getroffen. Die Angreifer arbeiten sich weiter, bis sie das Netz erreichen, in dem auch die Fertigungssteuerung hängt. Die Produktion steht drei Tage.
Rückblickend war das Teuerste nicht die Wiederherstellung, sondern die fehlende Trennung zwischen Büro und Fertigung — und dass niemand sagen konnte, welche Systeme überhaupt betroffen waren. Ein gepflegtes Asset-Register hätte die Antwort in Minuten geliefert statt in Tagen.
Frei erfundenes Beispiel zur Veranschaulichung — kein realer Kunde, kein Rechtsrat
So nimmt Compliverse Ihnen das ab.
- 1
Maßnahmen mit Verantwortlichen und Fristen — damit Netztrennung ein Termin wird und nicht ein Vorsatz.
- 2
Risiko-Scoring zeigt der Geschäftsleitung, welche Investition welchen Ausfall verhindert.
- 3
Ein erledigter Punkt zählt gleichzeitig für NIS2, ISO 27001 und die DSGVO-Nachweise Ihrer Kunden.
Häufige Fragen zu NIS2 in der Branche Produktion & Chemie
Ist mein Unternehmen aus der Branche Produktion & Chemie von NIS2 betroffen?
Ihre Branche ist im BSI-Gesetz erfasst: Anlage 2 · Sektoren 3 und 5, Sektor Chemie sowie Verarbeitendes Gewerbe / Herstellung von Waren. Automatisch betroffen sind Sie damit nicht — dazu muss zusätzlich eine Größenschwelle erreicht sein (§ 28 Abs. 1, 2 BSIG). Einen Bescheid gibt es nicht: Sie prüfen die Einstufung selbst und registrieren sich, wenn sie zutrifft (§ 33 BSIG). Für Ihren Sektor gilt außerdem ein Sonderweg — er steht auf dieser Seite unter „Fallen Sie darunter?“. Die Würdigung Ihres Einzelfalls gehört zur Anwältin.
Ab welcher Größe gilt NIS2 für uns?
Als besonders wichtige Einrichtung gelten Sie ab mindestens 250 Mitarbeitende — oder über 50 Mio. € Jahresumsatz und zugleich über 43 Mio. € Jahresbilanzsumme; als wichtige Einrichtung ab mindestens 50 Mitarbeitende — oder über 10 Mio. € Jahresumsatz und Jahresbilanzsumme (§ 28 Abs. 1, 2 BSIG). Mitarbeiterzahl und Finanzkennzahlen stehen im Oder-Verhältnis — bei den Finanzkennzahlen müssen aber beide Werte überschritten sein. Einige Einrichtungsarten sind ohne jede Größenschwelle betroffen, etwa Betreiber kritischer Anlagen und qualifizierte Vertrauensdiensteanbieter.
Welche Behörde ist in Deutschland für uns zuständig?
Für Registrierung und Aufsicht ist das Bundesamt für Sicherheit in der Informationstechnik (BSI) zuständig (§ 33 BSIG). Sicherheitsvorfälle melden Sie aber nicht dorthin, sondern an die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) — mit Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden und Abschlussbericht (§ 32 BSIG). Das ist der häufigste Irrtum in diesem Gesetz: Aufsichtsstelle und Meldestelle sind nicht dieselbe Stelle.
Was passiert, wenn wir NIS2 nicht umsetzen?
Die Pflichten verschwinden nicht: Die Registrierung bleibt fällig (§ 33 BSIG), die Risikomanagementmaßnahmen ebenso (§ 30 Abs. 2 BSIG), und Meldefristen laufen ab dem ersten erheblichen Vorfall (§ 32 BSIG). Hinzu kommt § 38 BSIG: Die Geschäftsleitung muss die Maßnahmen billigen, ihre Umsetzung überwachen und sich selbst schulen lassen — persönlich. „Wusste ich nicht“ trägt an dieser Stelle nicht.
Klären Sie in dreißig Sekunden, was für Sie gilt.
Vier Fragen, eine ehrliche Ersteinschätzung — danach wissen Sie, mit welchem Modul Sie starten und was es kostet.
Was als Nächstes wichtig wird
Weitere Branchen
Rechtsstand geprüft am 01.09.2026 · Jede Aussage mit Fundstelle · Kein Rechtsrat