NIS2-Check / Forschung

NIS2 für Forschungseinrichtungen

Forschung ist ein eigener Sektor in Anlage 2 des BSIG. Für Institute und forschende Einrichtungen entsteht damit ab mittlerer Größe eine unmittelbare Pflichtenlage.

Betroffenheit kostenlos prüfen

Anlage 2 Nr. 7 BSIG nennt die Forschung als Sektor. Angesprochen sind Forschungseinrichtungen, deren Tätigkeit auf Forschung ausgerichtet ist. Ab 50 Beschäftigten oder bei mehr als 10 Millionen Euro Umsatz und zugleich mehr als 10 Millionen Euro Bilanzsumme entsteht die Kategorie wichtige Einrichtung.

Anlage 2 heißt: höchstens wichtige Einrichtung. Über die Größe allein erreicht ein Sektor der Anlage 2 nie die Kategorie besonders wichtig. Das ändert sich nur, wenn zusätzlich eine der größenunabhängigen Sonderrollen nach § 28 Abs. 1 BSIG zutrifft, etwa als Betreiber einer Kritischen Anlage.

Hochschulen sind ein Sonderfall

Für Hochschulen kommt es darauf an, wie das jeweilige Landesrecht sie einordnet, denn sie sind in der Regel Einrichtungen des Landes. Zusätzlich kann eine Hochschule über einzelne Bereiche in andere Sektoren fallen, etwa mit einem Universitätsklinikum im Gesundheitswesen. Eine pauschale Antwort gibt es hier nicht, die Prüfung sollte die konkrete Trägerschaft berücksichtigen.

Offene Kultur trifft Sicherheitsanforderungen

Forschung lebt von Austausch, Gastwissenschaftlern, wechselnden Projektgruppen und internationalen Kooperationen. Genau das steht in einem Spannungsverhältnis zu Zugriffskontrolle und Netzsegmentierung. Die Mindestmaßnahmen des § 30 BSIG verlangen keine Abschottung, sondern eine bewusste Steuerung: dokumentierte Zugänge, klare Verantwortlichkeiten, geregelte Offboarding-Prozesse und ein Umgang mit Forschungsdaten, der Vertraulichkeit und Integrität berücksichtigt.

Drittmittel und Kooperationen

Industriepartner, die selbst betroffen sind, geben ihre Lieferkettenanforderungen an Forschungspartner weiter. Ein dokumentierter Stand der eigenen Einstufung erspart in Kooperationsverhandlungen viel Zeit.

Beide Registrierungsfristen sind abgelaufen. Die gesetzliche Frist endete am 6. März 2026, die vom BSI kommunizierte Nachfrist am 31. Juli 2026. Wer betroffen und nicht registriert ist, sollte die Registrierung jetzt nachholen und den Zeitpunkt der eigenen Prüfung dokumentieren.

Einstufung prüfen

Der kostenlose NIS2-Check ordnet Ihre Einrichtung ein und nennt die Pflichten mit Paragrafenbezug.

Häufige Fragen

Sind Universitäten betroffen?

Das hängt von der landesrechtlichen Einordnung ab. Einzelne Bereiche können zusätzlich über andere Sektoren erfasst sein, etwa ein Universitätsklinikum.

Gilt das auch für private Forschungsinstitute?

Ja, wenn die Forschungstätigkeit prägend ist und die Größenschwelle erreicht wird.

Was ist mit unternehmenseigener Forschung?

Eine Forschungsabteilung innerhalb eines Unternehmens wird nicht gesondert geprüft. Maßgeblich ist die Einrichtung als Ganzes.

Sind Sie NIS2-betroffen? Prüfen Sie es kostenlos.

Sektor und Größe eingeben, in unter einer Minute Ihre Einstufung, die Registrierungspflicht und den Pflichten-Fahrplan erhalten. Kostenlos, ohne Konto.

Betroffenheit prüfen

Keine Rechtsberatung. Eine erste Einschätzung auf Basis Ihrer Angaben und der aktuellen Struktur des NIS2-Umsetzungsgesetzes.