NIS2 und Zutrittskontrolle
Darum geht’s:
- Ob ein Unternehmen betroffen ist, hängt von der Einrichtungsart, dem Sektor
sowie den gesetzlichen Größenschwellen ab – nicht allein von der Mitarbeiterzahl
oder dem Umsatz. - Auch Zulieferer können indirekt betroffen sein, wenn Kunden NIS2-Anforderungen an ihre Lieferkette stellen.
- Eine Zutrittskontrolle allein macht Unternehmen nicht NIS2-konform, sie ist jedoch ein wichtiger Baustein eines umfassenden Risikomanagements.
NIS2 betrifft zahlreiche mittlere und große Unternehmen aus kritischen und besonders relevanten Sektoren, darunter Energie, Gesundheit, Verkehr, digitale Infrastruktur und Teile des verarbeitenden Gewerbes. In Deutschland gelten die Vorgaben seit dem 6. Dezember 2025 über das neue BSI-Gesetz. Zu den geforderten Risikomanagementmaßnahmen gehören auch Zugriffskontrolle, Personalsicherheit und der Schutz kritischer Systeme. Eine digitale Zutrittskontrolle kann hierzu einen wesentlichen Beitrag leisten. Hier: Zutrittskontrolle von ZMI.
🚨 NIS2 ist seit Dezember 2025 in Deutschland verbindlich
Die europäische NIS2-Richtlinie erweitert den Kreis der regulierten Unternehmen erheblich. In Deutschland wurde sie durch das neue BSI-Gesetz umgesetzt. Dieses ist am 6. Dezember 2025 in Kraft getreten und unterscheidet insbesondere zwischen besonders wichtigen Einrichtungen und wichtigen Einrichtungen.
Unternehmen müssen selbst prüfen, ob sie die gesetzlichen Voraussetzungen erfüllen. Eine individuelle behördliche Aufforderung ist grundsätzlich nicht erforderlich. Betroffene Einrichtungen müssen sich vielmehr über das BSI-Portal registrieren und erhebliche Sicherheitsvorfälle über die vorgesehenen Meldewege anzeigen.
Für den Mittelstand ist NIS2 nicht nur wegen der direkten Regulierung relevant. Auch Unternehmen, die selbst keiner gesetzlichen Einrichtungskategorie entsprechen, können über Kundenverträge, Audits und Sicherheitsanforderungen innerhalb der Lieferkette mittelbar betroffen sein.
🧐 Betroffenheits-Check: Welche Unternehmen fallen unter NIS2?
Die Betroffenheit lässt sich nicht allein anhand der Mitarbeiterzahl bestimmen. Entscheidend ist das Zusammenspiel aus:
🤝 der konkreten Einrichtungsart
🤝 dem zugehörigen Sektor
🤝 der Unternehmensgröße
🤝 möglichen Sonderregelungen
Schritt 1: Gehört das Unternehmen zu einer erfassten Einrichtungsart?
Das BSI-Gesetz enthält zwei Anlagen mit den erfassten Sektoren, Branchen und Einrichtungsarten. Dabei reicht es nicht aus, dass ein Unternehmen allgemein in einem Bereich wie „Produktion“ oder „Energie“ tätig ist. Maßgeblich ist, ob seine konkrete Tätigkeit einer gesetzlich definierten Einrichtungsart entspricht.
Kategorie: sonstig kritisch
Typische Beispiele: Unternehmen, deren Haupttätigkeit die Abfallbewirtschaftung ist
Kategorie: hochkritisch
Typische Beispiele: Betreiber von Abwasseranlagen
Kategorie: hochkritisch
Typische Beispiele: Kreditinstitute
Kategorie: sonstig kritisch
Typische Beispiele: Hersteller und Importeure bestimmter chemischer Stoffe und Gemische
Kategorie: sonstig kritisch
Typische Beispiele: Online-Marktplätze, Suchmaschinen, soziale Netzwerke
Kategorie: hochkritisch
Typische Beispiele: Rechenzentren, Cloud-Dienste, DNS-Dienste, Telekommunikationsnetze
Kategorie: hochkritisch
Typische Beispiele: Stromlieferanten, Netzbetreiber, Energieerzeuger, Fernwärmeversorgung
Kategorie: hochkritisch
Typische Beispiele: Handelsplätze, zentrale Gegenparteien
Kategorie: sonstig kritisch
Typische Beispiele: definierte Forschungseinrichtungen
Kategorie: hochkritisch
Typische Beispiele: Krankenhäuser, Labore, bestimmte Arzneimittel- und Medizinprodukteunternehmen
Kategorie: sonstig kritisch
Typische Beispiele: bestimmte Hersteller, Verarbeiter und Großhändler
Kategorie: hochkritisch
Typische Beispiele: insbesondere Einrichtungen der Bundesverwaltung
Kategorie: sonstig kritisch
Typische Beispiele: Postdienstleister und Kurierdienste
Kategorie: hochkritisch bzw. teilweise sonstig kritisch
Typische Beispiele: Luftverkehr, Schienenverkehr, Schifffahrt, Straßenverkehr, Post- und Kurierdienste
Kategorie: hochkritisch
Typische Beispiele: Wasserversorger
Kategorie: sonstig kritisch
Typische Beispiele: ausgewählte Hersteller, etwa Maschinenbau, Fahrzeugbau oder Elektronik
Kategorie: hochkritisch
Typische Beispiele: Betreiber bodengestützter Infrastruktur für weltraumgestützte Dienste
👉 Die Tabelle bietet lediglich eine erste Orientierung. Eine belastbare Einordnung erfordert immer die Prüfung der konkreten Einrichtungsart in den Anlagen 1 und 2 des BSI-Gesetzes.
Schritt 2: Werden die Größenschwellen überschritten?
Als besonders wichtige Einrichtung gilt eine erfasste Organisation nach Anlage 1 in der Regel, wenn sie:
✅ mindestens 250 Mitarbeitende beschäftigt oder
✅ mehr als 50 Millionen Euro Jahresumsatz und zugleich eine Jahresbilanzsumme von mehr als 43 Millionen Euro erreicht
Als wichtige Einrichtung gilt eine Organisation aus Anlage 1 oder 2 grundsätzlich, wenn sie:
✅ mindestens 50 Mitarbeitende beschäftigt oder
✅ mehr als 10 Millionen Euro Jahresumsatz und zugleich eine Jahresbilanzsumme von mehr als 10 Millionen Euro erreicht
Die oft verkürzte Aussage „ab zehn Millionen Euro Umsatz gilt NIS2“ ist daher ungenau. Bei der finanziellen Schwelle müssen grundsätzlich Umsatz und Bilanzsumme gemeinsam berücksichtigt werden.
👉 Für Telekommunikationsanbieter, Vertrauensdiensteanbieter, DNS-Dienste und Top-Level-Domain-Registries gelten teilweise abweichende Regeln. Bestimmte Einrichtungsarten fallen unabhängig von den üblichen Schwellen oder bereits bei geringerer Unternehmensgröße in den Anwendungsbereich.
Schritt 3: Besteht eine indirekte Betroffenheit über die Lieferkette?
Ein Zulieferer wird nicht automatisch selbst zu einer wichtigen oder besonders wichtigen Einrichtung, nur weil sein Kunde NIS2-pflichtig ist.
Betroffene Unternehmen müssen jedoch ausdrücklich die Sicherheit ihrer Lieferkette und sicherheitsbezogene Aspekte der Zusammenarbeit mit unmittelbaren Lieferanten und Dienstleistern berücksichtigen. Deshalb werden NIS2-Anforderungen zunehmend in Verträge, Lieferantenaudits und Informationssicherheitsfragebögen aufgenommen.
🚨 Für mittelständische Zulieferer kann daraus eine faktische Verpflichtung entstehen: Wer keine angemessenen Sicherheitsmaßnahmen nachweisen kann, riskiert den Verlust von Aufträgen oder die Nichtverlängerung wichtiger Verträge.
🤔 Was fordert NIS2 für physische Sicherheit und Zutrittskontrolle?
NIS2 ist keine reine Firewall- oder Cybersecurity-Regelung. Das BSI-Gesetz verlangt einen gefahrenübergreifenden Ansatz zum Schutz der Verfügbarkeit, Integrität und Vertraulichkeit der eingesetzten IT-Systeme, Komponenten und Prozesse.
Zu den ausdrücklich genannten Risikomanagementmaßnahmen zählen Konzepte für die Sicherheit des Personals, die Zugriffskontrolle und die Verwaltung von IKT-Systemen. Die Zugriffskontrolle ist dabei nicht ausschließlich physisch zu verstehen. Sie umfasst auch logische Zugriffe auf Anwendungen, Systeme und Daten. Physische Zutrittsmaßnahmen werden jedoch relevant, sobald ein unberechtigter Zugang zu Räumen die geschützten IT-Systeme gefährden könnte.
Nachvollziehbare Zutrittsprotokolle
In sicherheitskritischen Bereichen sollte nachvollziehbar sein:
🔵 welche Person einen Bereich betreten hat
🔵 wann der Zutritt erfolgte
🔵 welcher Zugang genutzt wurde
🔵 ob ein Zutrittsversuch abgelehnt wurde
Diese Protokolle unterstützen sowohl die Prävention als auch die spätere Rekonstruktion eines Sicherheitsvorfalls. Aufbewahrungsdauer und Zugriff auf die Protokolle müssen zugleich datenschutzrechtlich begründet und begrenzt werden.
Rollenbasierte Zutrittsrechte
Pauschale Berechtigungen nach dem Prinzip „Alle Mitarbeitenden dürfen überall hinein“ sind mit einem risikobasierten Sicherheitskonzept kaum vereinbar. Zutrittsrechte sollten sich nach Funktion, Verantwortungsbereich, Arbeitsort und tatsächlichem Bedarf richten. Beispiele sind:
🔵 IT-Administratoren erhalten Zugang zum Serverraum
🔵 Produktionsmitarbeitende dürfen nur definierte Produktionsbereiche betreten
🔵 Externe Techniker bekommen zeitlich befristete Berechtigungen
🔵 Ausgeschiedene Mitarbeitende werden unmittelbar gesperrt
🔵 Schutz besonders kritischer Bereiche
Ein erhöhtes Schutzniveau ist insbesondere für folgende Bereiche sinnvoll:
🔵 Server- und Technikräume
🔵 Netzwerkverteiler
🔵 Leitstände
🔵 Produktionssteuerungen
🔵 Räume mit Sicherungs- und Backup-Systemen
🔵 Archive mit sicherheitsrelevanten Unterlagen
Ein mechanischer Schlüssel kann den Zutritt begrenzen, liefert jedoch meist keinen belastbaren Nachweis darüber, wer einen Raum tatsächlich wann betreten hat. Ob ein digitales System erforderlich ist, hängt vom individuellen Risiko ab. Für kritische Bereiche bietet es regelmäßig bessere Kontroll- und Nachweismöglichkeiten.
Schnelle Reaktion auf Sicherheitsvorfälle
Bei Verdacht auf kompromittierte Ausweise, verlorene Transponder oder unberechtigte Zutritte müssen Berechtigungen kurzfristig gesperrt werden können. Digitale Systeme ermöglichen eine zentrale Sperrung, ohne dass komplette Schließanlagen ausgetauscht werden müssen.
Eine Zutrittskontrolle allein macht ein Unternehmen allerdings nicht NIS2-konform. Sie ist ein Baustein eines umfassenden Risikomanagements, zu dem unter anderem Incident Response, Backup-Management, Lieferkettensicherheit, Schulungen, Kryptografie und Multi-Faktor-Authentifizierung gehören.
🆘 Meldepflichten bei Sicherheitsvorfällen
Ein erheblicher Sicherheitsvorfall muss grundsätzlich in mehreren Stufen gemeldet werden:
💥 innerhalb von 24 Stunden: frühe Erstmeldung
💥 innerhalb von 72 Stunden: konkretisierte Vorfallsmeldung
💥 spätestens einen Monat nach der Vorfallsmeldung: Abschlussmeldung beziehungsweise Fortschrittsmeldung, falls der Vorfall noch andauert
Die 24- und 72-Stunden-Fristen beginnen mit der Kenntniserlangung vom erheblichen Sicherheitsvorfall.
Ein unautorisierter Zutritt ist nicht automatisch meldepflichtig. Er kann jedoch einen erheblichen Sicherheitsvorfall auslösen, wenn dadurch etwa Produktionssteuerungen manipuliert, Systeme abgeschaltet, Daten entwendet oder wesentliche Dienste beeinträchtigt werden.
👉 Auswertbare Zutrittsdaten helfen in diesem Fall, den zeitlichen Ablauf zu rekonstruieren, betroffene Bereiche einzugrenzen und die Auswirkungen gegenüber dem BSI nachvollziehbar darzustellen.
👔 Sanktionen und Verantwortung der Geschäftsleitung
Verstöße gegen Risikomanagement-, Dokumentations- oder Meldepflichten können erhebliche Bußgelder auslösen.
Für besonders wichtige Einrichtungen sieht das deutsche BSI-Gesetz bei bestimmten Verstößen Geldbußen von bis zu zehn Millionen Euro vor. Bei Unternehmen mit einem weltweiten Gesamtumsatz von mehr als 500 Millionen Euro kann stattdessen eine Geldbuße von bis zu zwei Prozent des weltweiten Jahresumsatzes verhängt werden.
Für wichtige Einrichtungen beträgt der Bußgeldrahmen bei entsprechenden Verstößen bis zu sieben Millionen Euro. Bei einem weltweiten Gesamtumsatz über 500 Millionen Euro sind bis zu 1,4 Prozent des Jahresumsatzes möglich.
Die Geschäftsleitung muss die vorgeschriebenen Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen. Bei schuldhaften Pflichtverletzungen kann sie der eigenen Einrichtung nach den jeweils geltenden gesellschaftsrechtlichen Regelungen haften. Außerdem besteht eine regelmäßige Schulungspflicht für Geschäftsleitungen.
Zentrale Aufsichtsbehörde für wichtige und besonders wichtige Einrichtungen in Deutschland ist grundsätzlich das BSI.
✍️ Praktische Umsetzung mit Zutrittskontroll-Software
Ein Zutrittskontrollsystem sollte nicht nur Türen öffnen und schließen. Für ein risikobasiertes Sicherheitskonzept sind insbesondere folgende Funktionen relevant:
✅ individuelle und rollenbasierte Berechtigungen
✅ zeitlich begrenzte Zutrittsrechte
✅ zentrale Sperrung verlorener Identifikationsmedien
✅ nachvollziehbare Protokollierung
✅ schnelle Auswertbarkeit bei Sicherheitsvorfällen
✅ dokumentierte Änderung von Berechtigungen
✅ Trennung besonders kritischer Sicherheitsbereiche
Eine Verbindung von Zutrittskontrolle und Zeiterfassung kann zusätzlich organisatorische Vorteile bieten. Stammdaten und Berechtigungen müssen nicht in voneinander getrennten Systemen gepflegt werden. Ein Eintritt, Abteilungswechsel oder Austritt kann einheitlich verarbeitet werden. Mehr erfahren.
👉 Dabei müssen Zutritts- und Arbeitszeitdaten weiterhin zweckgebunden behandelt werden. Eine technische Integration rechtfertigt nicht automatisch jede Auswertung. Rollen- und Löschkonzepte sowie die Beteiligung von Datenschutzbeauftragten und gegebenenfalls Betriebsrat bleiben erforderlich.
✅ Checkliste: Ist Ihr Unternehmen von NIS2 betroffen?
1️⃣ Prüfen, ob die konkrete Tätigkeit einer Einrichtungsart aus Anlage 1 oder 2 des BSI-Gesetzes entspricht
2️⃣ Mitarbeiterzahl, Jahresumsatz und Bilanzsumme anhand der gesetzlichen Kriterien ermitteln
3️⃣ Sonderregelungen für Telekommunikation, DNS, Vertrauensdienste oder kritische Anlagen prüfen
4️⃣ Direkte und indirekte Anforderungen wichtiger Kunden und Auftraggeber erfassen
5️⃣ Verantwortliche Rolle für NIS2 und Informationssicherheit benennen
6️⃣ Risikomanagement-Maßnahmen vollständig dokumentieren
7️⃣ Kritische Räume und physische Zutrittsrisiken identifizieren
8️⃣ Zutrittsrechte rollenbasiert vergeben und regelmäßig überprüfen
9️⃣ Meldeprozess für erhebliche Sicherheitsvorfälle mit 24- und 72-Stunden-Frist festlegen
🔟 Registrierungspflicht und Meldemöglichkeiten im BSI-Portal prüfen
🤓 Fazit: Zutrittskontrolle als Teil eines umfassenden Sicherheitskonzepts
NIS2 verpflichtet betroffene Unternehmen zu einem dokumentierten, risikobasierten Sicherheitsmanagement. Dazu gehört neben der klassischen IT-Sicherheit auch die Frage, wer physisch auf kritische Systeme und Räume zugreifen kann.
Digitale Zutrittskontrolle kann Berechtigungen nachvollziehbar steuern, Sicherheitsvorfälle rekonstruierbar machen und die Nachweisführung gegenüber Kunden, Auditoren und Behörden erleichtern. Sie ersetzt jedoch weder die Betroffenheitsprüfung noch ein vollständiges Informationssicherheitskonzept.
Auch nicht unmittelbar regulierte Mittelständler sollten prüfen, welche Anforderungen ihre wichtigsten Kunden künftig an Lieferanten stellen. Gerade in Energie, Gesundheit, Verkehr, öffentlicher Verwaltung und industrieller Produktion entwickelt sich Informationssicherheit zunehmend zu einer Voraussetzung für langfristige Geschäftsbeziehungen.
💡FAQ: NIS2 und Zutrittskontrolle
Ab wann gilt NIS2 verbindlich in Deutschland?
Das deutsche NIS2-Umsetzungsgesetz und das darin enthaltene neue BSI-Gesetz sind am 6. Dezember 2025 in Kraft getreten. Die gesetzlichen Registrierungs-, Risiko- und Meldepflichten gelten damit bereits.
Sind kleine Handwerksbetriebe betroffen, wenn sie für ein NIS2-Unternehmen arbeiten?
Nicht automatisch. Sie können jedoch vertraglich zu Sicherheitsmaßnahmen verpflichtet werden, weil regulierte Kunden ihre Lieferkette absichern müssen. Daraus entsteht eine indirekte, wirtschaftlich relevante Betroffenheit.
Reicht ein herkömmliches Schließsystem aus?
Das hängt vom Schutzbedarf ab. NIS2 schreibt nicht pauschal ein bestimmtes elektronisches Schließsystem vor. Bei Serverräumen oder Produktionssteuerungen kann eine digitale Zutrittskontrolle jedoch erforderlich oder zumindest sachgerecht sein, weil sie individuelle Rechte, Sperrungen und nachvollziehbare Protokolle ermöglicht.
Was ist der Unterschied zwischen besonders wichtigen und wichtigen Einrichtungen?
Die Kategorien unterscheiden sich insbesondere nach Einrichtungsart und Unternehmensgröße. Für besonders wichtige Einrichtungen gelten eine intensivere Aufsicht und teilweise höhere Bußgeldrahmen. Die grundlegenden Pflichten zu Risikomanagement und Vorfallsmeldungen betreffen jedoch beide Kategorien.
Muss sich ein betroffenes Unternehmen selbst registrieren?
Ja, betroffene Einrichtungen müssen ihre Registrierung aktiv über das BSI-Portal vornehmen. Unternehmen sollten nicht darauf warten, vom BSI individuell angeschrieben zu werden.
Wie hängen NIS2 und ISO 27001 zusammen?
ISO 27001 bietet ein strukturiertes Informationssicherheits-Managementsystem (ISMS) und kann viele organisatorische Grundlagen für NIS2 unterstützen. Eine Zertifizierung ersetzt jedoch nicht automatisch die gesetzliche Betroffenheitsprüfung oder die Erfüllung sämtlicher Pflichten des BSI-Gesetzes.
Jonathan Martin
Jonathan Martin ist geschäftsführender Gesellschafter der ZMI GmbH. Er beschäftigt sich seit vielen Jahren mit den Themen Zeiterfassung, HR-Software, Zutrittskontrolle und der Digitalisierung von Personalprozessen. In seinen Fachbeiträgen vermittelt er praxisnahe Einblicke zu aktuellen Entwicklungen, gesetzlichen Anforderungen und digitalen Lösungen für Unternehmen.
