NIS2 für die Abfallwirtschaft: Anforderungen für Entsorger und Recycler

Sortieranlagen verarbeiten Wertstoffe mit optischen Sensoren und Robotiksystemen. Müllverbrennungsanlagen steuern Verbrennungsprozesse, Dampfkessel und Abgasreinigung über verteilte Leitsysteme (DCS). Deponien überwachen Sickerwasser und Deponiegaserfassung rund um die Uhr. Die Abfallwirtschaft ist längst keine rein mechanische Branche mehr — sie betreibt umfangreiche Operational-Technology-Infrastruktur (OT), die zunehmend mit IT-Netzwerken verknüpft ist und damit denselben Cyberbedrohungen ausgesetzt ist wie Industrieunternehmen.

Das NIS2-Umsetzungsgesetz (NIS2UmsuCG), in Kraft seit dem 6. Dezember 2025, hat das BSI-Gesetz (BSIG) neu gefasst. Die Abfallbewirtschaftung steht dort in Anlage 2 BSIG (Nr. 2.1.1). Entsorger, Recycler und kommunale Entsorgungsbetriebe, die die Größenschwellen des § 28 BSIG erreichen, gelten als wichtige Einrichtungen — mit Sicherheitspflichten nach § 30 BSIG. Daneben gibt es einen zweiten Weg: Seit 1. Januar 2024 ist die Siedlungsabfallentsorgung ein KRITIS-Sektor der BSI-Kritisverordnung. Betreiber kritischer Anlagen gelten nach § 28 Abs. 1 Nr. 1 BSIG als besonders wichtige Einrichtungen. Was das konkret bedeutet, welche OT-Risiken adressiert werden sollten und welche Fristen gelten, erklärt dieser Leitfaden. Einen Überblick über alle zehn technischen und organisatorischen Basismaßnahmen bietet der Leitfaden zu den NIS2-Sicherheitsanforderungen nach § 30 BSIG.

Abfallwirtschaft als Anhang-II-Sektor: Wer ist betroffen?

Die NIS2-Richtlinie (EU) 2022/2555 erfasst die Abfallbewirtschaftung in Anhang II unter Nummer 2: „Unternehmen der Abfallbewirtschaftung im Sinne des Artikels 3 Nummer 9 der Richtlinie 2008/98/EG …, ausgenommen Unternehmen, für die Abfallbewirtschaftung nicht ihre Hauptwirtschaftstätigkeit ist“. Das BSIG übernimmt dies in Anlage 2 Nr. 2.1.1 und verweist auf § 3 Abs. 14 des Kreislaufwirtschaftsgesetzes (KrWG). Danach umfasst Abfallbewirtschaftung die Bereitstellung, Überlassung, Sammlung, Beförderung, Verwertung und Beseitigung von Abfällen einschließlich der Sortierung, außerdem die Überwachung dieser Tätigkeiten, die Nachsorge von Beseitigungsanlagen sowie die Tätigkeiten von Händlern und Maklern. Erfasst sein können damit Sammel- und Transportunternehmen ebenso wie Deponien, Sortieranlagen, Müllverbrennungsanlagen (MVA), mechanisch-biologische Abfallbehandlungsanlagen (MBA) und Recyclingunternehmen — sofern die Abfallbewirtschaftung ihre Hauptwirtschaftstätigkeit ist.

Die Einordnung in Anlage 2 hat eine wichtige Konsequenz: Anders als Wasser- oder Energieversorger (Anlage 1) können Abfallbewirtschaftungsunternehmen über die Größenschwellen allein höchstens als wichtige Einrichtungen eingestuft werden — auch wenn sie sehr groß sind. Besonders wichtig werden sie nur auf anderem Weg, insbesondere als Betreiber einer kritischen Anlage (siehe unten). Für wichtige Einrichtungen gilt eine anlassbezogene Aufsicht: Das BSI kann die Einhaltung prüfen, wenn Tatsachen die Annahme rechtfertigen, dass Pflichten nicht oder nicht richtig umgesetzt werden (§ 62 BSIG). Der Maßnahmenkatalog des § 30 BSIG gilt für beide Kategorien. Einen ausführlichen Vergleich beider Kategorien bietet der Leitfaden Wesentliche vs. wichtige Einrichtungen nach NIS2.

Für die Einstufung als wichtige Einrichtung gelten folgende Größenschwellen:

Einrichtungstyp	Schwellenwert (einer der folgenden)	Aufsichtsregime
Wichtige Einrichtung (wE)	≥ 50 Mitarbeiter oder Jahresumsatz > 10 Mio. Euro und Jahresbilanzsumme > 10 Mio. Euro (§ 28 Abs. 2 Nr. 3 BSIG)	Anlassbezogene Aufsicht (§ 62 BSIG)
Nicht erfasst	< 50 Mitarbeiter und nicht zugleich Jahresumsatz und Jahresbilanzsumme > 10 Mio. Euro	Keine Pflichten als NIS2-Einrichtung (vorbehaltlich KRITIS-Einstufung); freiwillige Meldungen an das BSI nach § 5 BSIG möglich

Reine Sammel- und Transportunternehmen sind daher nicht pauschal ausgenommen. Maßgeblich ist kein NACE-Code, sondern ob die Abfallbewirtschaftung die Hauptwirtschaftstätigkeit ist — bei Spediteuren, die Abfalltransporte nur nebenbei fahren, kann das fehlen (vgl. auch § 28 Abs. 3 BSIG zu vernachlässigbaren Tätigkeiten).

Recycler mit Produktionscharakter. Recyclingunternehmen, die Sekundärrohstoffe wie Kunststoffregranulat herstellen, sollten zusätzlich prüfen, ob sie einer weiteren Einrichtungsart zuzuordnen sind, etwa Anlage 2 Nr. 3.1.1 (Hersteller und Importeure chemischer Stoffe — nur bei Registrierungspflicht nach REACH und Zuordnung zur NACE-Abteilung 20). Weil auch diese Einrichtungsarten in Anlage 2 stehen, bleibt es dann bei der Kategorie „wichtig“.

Praktische Beispiele für die Einstufung im Abfallsektor:

• Privates Recyclingunternehmen mit 80 Mitarbeitern und eigenem Sortierbetrieb (unterhalb der KRITIS-Schwellen) → in der Regel wichtige Einrichtung
• Kommunaler Eigenbetrieb mit 200 Beschäftigten, der Entsorgungsleistungen gegen Entgelt erbringt → in der Regel wichtige Einrichtung; betreibt er eine MVA oberhalb der KRITIS-Schwelle, besonders wichtige Einrichtung
• Deponiebetreiber mit 200 Mio. Euro Jahresumsatz → wichtige Einrichtung (nicht besonders wichtig, da Anlage 2 — vorbehaltlich einer KRITIS-Einstufung)
• Kleines Sammelunternehmen mit 30 Mitarbeitern und 3 Mio. Euro Umsatz → als NIS2-Einrichtung nicht erfasst

KRITIS-Sektor Siedlungsabfallentsorgung: der Weg zur besonders wichtigen Einrichtung

Anders als oft angenommen, gibt es im Abfallsektor sehr wohl kritische Anlagen. Die Vierte Verordnung zur Änderung der BSI-Kritisverordnung (BGBl. 2023 I Nr. 339) hat mit Wirkung zum 1. Januar 2024 den Sektor Siedlungsabfallentsorgung aufgenommen. Nach § 10 BSI-KritisV ist die Entsorgung von Siedlungsabfällen eine kritische Dienstleistung, erbracht in den Bereichen „Abfallsammlung und -beförderung“ und „Abfallverwertung und -beseitigung“. Bis zum Inkrafttreten der neuen Verordnung nach dem KRITIS-Dachgesetz bestimmt die BSI-KritisV weiterhin, welche Anlagen kritisch sind (§ 66 BSIG).

Die Schwellenwerte in Anhang 8 Teil 3 BSI-KritisV orientieren sich an einem Versorgungsgrad von 500.000 Einwohnern, zum Beispiel:

• Anlage zur Disposition der Sammlung oder Beförderung (z. B. Disposition, Flottenmanagement, ERP): 500.000 angeschlossene Einwohner oder 79.500 t/Jahr gesammelter Rest- bzw. gemischter Gewerbeabfall (weitere Werte für Bio-, LVP-, PPK- und Glasabfall)
• Anlage zur thermischen Behandlung (MVA, EBS-Kraftwerk) sowie MBA/MPS: genehmigte Behandlungskapazität von 79.500 t/Jahr Rest- oder gemischtem Gewerbeabfall
• Sortieranlage: 79.500 t/Jahr Rest- oder gemischter Gewerbeabfall oder 18.500 t/Jahr LVP- und Kunststoffabfall (genehmigte Kapazität)

Eine Anlage gilt ab dem 1. April des Folgejahres als kritisch, nachdem sie den Schwellenwert erstmals erreicht hat. Betreiber kritischer Anlagen sind nach § 28 Abs. 1 Nr. 1 BSIG unabhängig von Mitarbeiterzahl und Umsatz besonders wichtige Einrichtungen. Für sie gelten zusätzlich unter anderem Systeme zur Angriffserkennung (§ 31 Abs. 2 BSIG), zusätzliche Meldeangaben (§ 32 Abs. 3 BSIG) und der Nachweis gegenüber dem BSI alle drei Jahre (§ 39 BSIG). Wer eine MVA, eine große Sortieranlage oder die Sammellogistik einer Großstadt betreibt, sollte die Schwellenwerte deshalb zuerst prüfen — die Einstufung nach Anlage 2 ist dann nicht das Ende der Prüfung. Welche Unternehmen grundsätzlich unter den NIS2-Anwendungsbereich fallen, erklärt der Leitfaden zum NIS2-Anwendungsbereich und den Größenschwellen.

OT-Sicherheit in Sortieranlagen und Müllverbrennungsanlagen

Der Abfallsektor betreibt OT-Infrastruktur, die über klassische Büro-IT weit hinausgeht. Drei Anlagentypen prägen das OT-Risikoprofil der Branche:

Sortieranlagen (MRF — Material Recovery Facilities). Moderne Leichtverpackungssortieranlagen verarbeiten mehrere Tausend Tonnen Wertstoffe pro Jahr vollautomatisch: Nah-Infrarot-Sensoren (NIR) erkennen Materialtypen, Druckluftventile lenken Fraktionen auf verschiedene Förderbänder, Baggergreifer und Ballenpressen runden den Prozess ab. Alle Komponenten werden über speicherprogrammierbare Steuerungen (SPS) koordiniert und von einem SCADA-System überwacht. Die NIR-Sortieroptik und die Förderbandsensorik sind oft über Ethernet-basierte Industrieprotokolle (PROFINET, EtherNet/IP) verbunden — bei älteren Anlagen selten konsequent vom Büronetz segmentiert.

Ein Ransomware-Angriff, der SPS-Kommunikation oder das SCADA-Netz trifft, kann die gesamte Anlage zum Stillstand bringen — mit unmittelbaren Folgen für die kommunale Wertstofferfassung und angeschlossene Verwertungsabnehmer. Das Wiederanfahren einer manuell gestoppten Sortieranlage erfordert in der Regel mehrere Stunden Reinigungs- und Konfigurationsaufwand, selbst wenn die IT-Ursache schnell behoben ist.

Müllverbrennungsanlagen (MVA). MVAs sind hochkomplexe Energieanlagen: Sie verbrennen Restabfälle und erzeugen gleichzeitig Dampf für die Strom- und Fernwärmeerzeugung. Verbrennungsregelung, Kessel- und Turbinensteuerung, Abgasreinigungssysteme (Rauchgaswäscher, Elektrofilter, Aktivkoks-Einblasung) und Emissionsmesstechnik laufen über verteilte Leitsysteme (DCS) — häufig von Anbietern wie Siemens, ABB oder Honeywell. Hinzu kommen Mess- und Auswertesysteme für die kontinuierliche Emissionsüberwachung nach der 17. Bundes-Immissionsschutzverordnung (17. BImSchV).

Ein besonderes OT-Risiko in MVAs ist die Manipulation von Emissionsdaten. Werden Emissionsmesstechnik oder Auswertesysteme kompromittiert, könnten Grenzwertüberschreitungen verschleiert werden — mit möglichen regulatorischen, rechtlichen und reputativen Folgen. Ein Angriff, der die MVA-Steuerung selbst trifft, kann außerdem zur ungeplanten Abschaltung führen und würde kurzfristig erhebliche Entsorgungsengpässe für das versorgte Stadtgebiet verursachen.

Deponien. Die OT-Infrastruktur von Deponien umfasst Sickerwasser-Pumpensteuerungen, Deponiegaserfassungs- und Verwertungssysteme (BHKW-Anbindung), automatische Wiegesysteme und Schrankensteuerungen. Der Vernetzungsgrad ist oft geringer als bei MVAs, aber auch hier bestehen spezifische Risiken: Eine manipulierte Sickerwasserpumpe kann zu unkontrolliertem Sickerwasseraustritt und Grundwasserbelastung führen; eine kompromittierte Deponiegasmessanlage kann Sicherheitsabschaltungen blockieren.

Für alle drei Anlagentypen gilt: OT-Systeme wurden für Verfügbarkeit und Prozessstabilität ausgelegt, nicht für Cyberangriffe. § 30 Abs. 1 BSIG verlangt geeignete, verhältnismäßige und wirksame Maßnahmen für die informationstechnischen Systeme, Komponenten und Prozesse, die für die Erbringung der Dienste genutzt werden; nach Abs. 2 sollen sie den Stand der Technik einhalten. Das Gesetz schreibt keine bestimmte Netzarchitektur vor — eine OT-/IT-Segmentierung ist in der Praxis aber eine naheliegende Maßnahme, um diese Anforderungen für Leitsysteme und Steuerungen umzusetzen.

§30 BSIG im Abfallsektor: Die zehn Maßnahmen

§ 30 Abs. 2 BSIG setzt Art. 21 Abs. 2 lit. a–j der NIS2-Richtlinie ins deutsche Recht um. Das Gesetz formuliert die Maßnahmen branchenneutral; die folgende Tabelle zeigt, wie sie sich im Abfallsektor praktisch umsetzen lassen:

Maßnahme	Rechtsgrundlage	Abfallsektor-Kontext
Risikoanalyse und Sicherheit in der Informationstechnik (Konzepte)	lit. a / Nr. 1	OT-Asset-Inventar aller SPS, SCADA-Server, DCS-Komponenten, NIR-Sortiereinheiten und Emissionsmesstechnik mit Betriebsalter und Netzwerktopologie
Vorfallreaktion und Meldung	lit. b / Nr. 2	IRP mit Eskalationsplan für Anlagenausfall; 24h-Frühwarnung, 72h-BSI-Meldung, Abschlussmeldung einen Monat nach der Meldung für erhebliche Sicherheitsvorfälle nach § 32 BSIG
Backup, Wiederherstellung, Krisenmanagement	lit. c / Nr. 3	Redundante SCADA-Konfiguration; Notbetriebsplan für manuellen Sortierbetrieb; MVA-spezifischer RTO am sicheren Anlagenstillstand ausgerichtet
Lieferkettensicherheit	lit. d / Nr. 4	Vertragliche Sicherheitsklauseln für Wartungsdienstleister an SPS/SCADA-Systemen, Fernwartungsanbieter von NIR-Sortiertechnik und DCS-Hersteller
Sicherheit bei Erwerb, Entwicklung und Wartung, inkl. Schwachstellenmanagement	lit. e / Nr. 5	Sicherheitsanforderungen bei Beschaffung und Wartung von SPS, SCADA und DCS; Patch- und Schwachstellenmanagement für OT-Komponenten; abgesicherte Fernwartungszugänge
Wirksamkeit der Maßnahmen	lit. f / Nr. 6	OT-Penetrationstests; Anomalie-Monitoring für Prozessabweichungen (Emissionsspitzen, anomale Sortierquoten); regelmäßige Konfigurationsprüfung der SCADA-Zugriffsteuerung
Grundlegende Schulungen und Sensibilisierung	lit. g / Nr. 7	Schulungen für Anlagenpersonal: USB-Risiken an SPS-Terminals, sichere Handhabung von Fernwartungszugängen, Phishing-Erkennung für Leitstandpersonal
Kryptografie	lit. h / Nr. 8	Verschlüsselung für VPN-Fernwartungszugänge auf DCS/SCADA; Konzept für den Umgang mit älteren Industrieprotokollen ohne eigene Verschlüsselung (z. B. Absicherung über gesicherte Tunnel)
Sicherheit des Personals, Zugriffskontrolle und Verwaltung von IKT-Systemen	lit. i / Nr. 9	Physische Zugangskontrolle zu Leitständen und SPS-Schaltschränken; Rollen- und Need-to-Know-Konzept für privilegierte Accounts an SCADA und DCS
Multi-Faktor-Authentifizierung, gesicherte Kommunikation	lit. j / Nr. 10	MFA für Fernzugriffe auf SCADA und DCS; begründete Ausnahmen (z. B. an sicherheitskritischen Bedienplätzen) dokumentieren; gesicherte Notfallkommunikation für den Leitstand

Drei Maßnahmen sind für Abfallbewirtschaftungsunternehmen besonders kritisch:

§ 30 Abs. 2 Nr. 1 BSIG — OT-Asset-Inventar als Compliance-Grundlage. Eine vollständige Risikoanalyse setzt ein präzises Asset-Inventar voraus. Für Sortieranlagen bedeutet das die Erfassung aller SPS-Einheiten, NIR-Sortiersysteme, Ballenpressen-Steuerungen und SCADA-Server — inklusive Firmware-Versionen, Netzwerktopologie und Betriebsalter. Ohne Asset-Inventar ist kaum eine belastbare Risikoanalyse möglich — und Konzepte zur Risikoanalyse sind die erste der Mindestmaßnahmen des § 30 Abs. 2 BSIG. Wo dieses Inventar noch nicht systematisch aufgebaut ist, ist es ein sinnvoller erster Schritt.

OT/IT-Segmentierung (Stand der Technik nach § 30 Abs. 1 und 2 BSIG). In vielen älteren Sortier- und Verbrennungsanlagen sind OT-Netzwerke und Büronetzwerke nicht vollständig getrennt. SCADA-Server, die über das gleiche Netz wie E-Mail-Clients betrieben werden, sind ein weit verbreitetes Sicherheitsrisiko. § 30 BSIG nennt Segmentierung nicht ausdrücklich, verlangt aber Maßnahmen nach dem Stand der Technik unter Berücksichtigung einschlägiger Normen — in der OT-Praxis läuft das häufig auf eine DMZ-Architektur zwischen IT- und OT-Zone hinaus. Als Rahmen für OT-Netzwerksegmentierung wird häufig die Normenreihe IEC 62443 herangezogen; das IT-Grundschutz-Kompendium des BSI enthält Bausteine für industrielle Steuerungssysteme (Schicht IND).

§ 30 Abs. 2 Nr. 10 BSIG — MFA für Fernwartungszugriffe. Externe Wartungsdienstleister, die SPS- oder DCS-Systeme fernwarten, sind im Abfallsektor besonders verbreitet: Spezialisierte Komponenten wie NIR-Sortiersysteme (Hersteller: Steinert, Tomra, Binder+Co) und MVA-DCS-Systeme werden regelmäßig durch Herstellerdienstleister aus der Ferne betreut. § 30 Abs. 2 Nr. 10 BSIG nennt Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung als Mindestmaßnahme; für externe Fernwartungszugänge ist MFA eine naheliegende Umsetzung — eine Maßnahme, die bei vielen Anlagen einen technischen Umbau der Fernwartungsarchitektur erfordern kann und frühzeitig mit den Wartungsvertragspartnern abgestimmt werden sollte.

Kommunale Entsorger — Eigenbetriebe, AöR und Abfallwirtschaftsverbände

Ein wesentlicher Teil der deutschen Abfallentsorgung wird von kommunalen Einrichtungen geleistet: Eigenbetriebe der Kreise und Gemeinden, Anstalten des öffentlichen Rechts (AöR), kommunale GmbHs, Abfallwirtschafts-Zweckverbände und Regiebetriebe. Diese Trägerstruktur beeinflusst die NIS2-Compliance in mehrfacher Hinsicht.

Rechtsform und Schwellenberechnung. § 28 BSIG erfasst natürliche und juristische Personen — und ausdrücklich auch rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft, die anderen entgeltlich Waren oder Dienstleistungen anbieten. Eine kommunale Entsorgungs-GmbH oder AöR ist eigene Einrichtung (Daten verbundener Unternehmen zählen nach § 28 Abs. 4 BSIG grundsätzlich mit, außer bei unabhängiger IT). Ein Eigen- oder Regiebetrieb kann als Organisationseinheit selbst Einrichtung sein; maßgeblich sind dann seine eigenen Kennzahlen — nicht die Gesamtgröße des Kreises oder der Stadt. Ausgenommen sind nach § 28 Abs. 8 BSIG nur bestimmte rein kommunale Einheiten, die im öffentlichen Auftrag Leistungen für Verwaltungen erbringen und durch vergleichbares Landesrecht reguliert werden.

Kleine Zweckverbände mit begrenzten IT-Ressourcen. Abfallwirtschafts-Zweckverbände sind eigene Körperschaften des öffentlichen Rechts und werden nach ihren eigenen Kennzahlen geprüft. Kleinere Verbände können unter den Schwellen bleiben — sollten aber prüfen, ob sie Anlagen oberhalb der KRITIS-Schwellen betreiben, denn dann kommt es auf ihre Größe nicht an. Das BSIG schreibt keinen Informationssicherheitsbeauftragten vor und enthält auch keine Regelung zu einem gemeinsamen ISB; nichts hindert Verbände aber daran, Sicherheitsleistungen interkommunal oder über Dienstleister zu bündeln. Verantwortlich für Umsetzung und Überwachung bleibt nach § 38 Abs. 1 BSIG die Geschäftsleitung jeder Einrichtung.

Multi-Utility-Konstellationen. Stadtwerke, die neben Strom und Gas auch Abfallentsorgung oder MVA-Betrieb verantworten, können mehreren Einrichtungsarten zugleich zuzuordnen sein. Der Energiebereich steht in Anlage 1, der Abfallbereich in Anlage 2 BSIG. Eingestuft wird die Einrichtung als Ganzes: Ein Stadtwerk mit MVA und Energiesparte, das mindestens 250 Mitarbeiter beschäftigt oder einen Jahresumsatz von über 50 Mio. Euro und eine Jahresbilanzsumme von über 43 Mio. Euro aufweist, gilt nach § 28 Abs. 1 Nr. 4 BSIG als besonders wichtige Einrichtung — auch wenn der Abfallbereich isoliert betrachtet nur eine wichtige Einrichtung wäre, sofern die Energietätigkeit nicht vernachlässigbar ist (§ 28 Abs. 3 BSIG). Auch reine MVA-Betreiber, die Strom ins Netz einspeisen oder Fernwärme liefern, sollten prüfen, ob sie als „Betreiber von Erzeugungsanlagen“ (Anlage 1 Nr. 1.1.4) oder als Betreiber einer Fernwärmeversorgung (Anlage 1 Nr. 1.2.1) einzuordnen sind. Für Energieanlagen, die den §§ 5c bis 5e EnWG unterliegen, gelten zudem die Sonderregeln des § 28 Abs. 5 BSIG.

Für die Selbsteinstufung bietet das BSI die Online-NIS-2-Betroffenheitsprüfung an. Für KRITIS-Betreiber der Siedlungsabfallentsorgung haben die Verbände BDE, ITAD und VKU im UP-KRITIS-Branchenarbeitskreis einen branchenspezifischen Sicherheitsstandard (B3S SAE) erarbeitet und dem BSI zur Eignungsprüfung vorgelegt; ob die Eignung festgestellt ist, lässt sich in der B3S-Übersicht des BSI prüfen.

Fristen, Registrierung und Bußgelder

Datum	Pflicht	Rechtsgrundlage
6. Dezember 2025	NIS2UmsuCG in Kraft; die Pflichten nach § 30 BSIG gelten ohne Übergangsfrist auch für Einrichtungen im Abfallsektor	Art. 30 NIS2UmsuCG (BGBl. 2025 I Nr. 301)
6. März 2026	Frist für die Registrierung beim BSI (BSI-Portal) — Abfallbewirtschaftung eingeschlossen; wer sie versäumt hat, sollte die Registrierung unverzüglich nachholen	§ 33 BSIG
Laufend seit 6. Dezember 2025	Erhebliche Sicherheitsvorfälle: frühe Erstmeldung binnen 24 h, Meldung binnen 72 h, Abschlussmeldung einen Monat nach der Meldung	§ 32 BSIG
Jederzeit	Anlassbezogene Prüfung durch das BSI, wenn Tatsachen die Annahme rechtfertigen, dass eine wichtige Einrichtung ihre Pflichten nicht oder nicht richtig umsetzt	§ 62 BSIG
1. April des Folgejahres nach Erreichen des Schwellenwerts	Anlage der Siedlungsabfallentsorgung gilt als kritische Anlage; Betreiber ist besonders wichtige Einrichtung (Nachweise nach § 39 BSIG alle drei Jahre)	Anhang 8 BSI-KritisV; § 28 Abs. 1 Nr. 1 BSIG

Bußgelder nach § 65 BSIG für wichtige Einrichtungen im Abfallsektor (Bußgeldbehörde ist das BSI):

• Verstöße gegen § 30 oder § 32 BSIG: bis zu 7 Millionen Euro; nur bei einem weltweiten Gesamtumsatz von mehr als 500 Mio. Euro bis zu 1,4 % des Gesamtumsatzes (§ 65 Abs. 5 und 7 BSIG)
• Versäumte oder fehlerhafte Registrierung nach § 33 BSIG: bis zu 500.000 Euro
• Geschäftsleitung: Haftung gegenüber der eigenen Einrichtung nach Gesellschaftsrecht bei schuldhafter Verletzung der Pflichten aus § 38 BSIG — kein eigener Bußgeldtatbestand im BSIG

Das Bußgeldrisiko für wichtige Einrichtungen ist damit niedriger als für besonders wichtige Einrichtungen (bis zu 10 Mio. Euro; 2 % nur oberhalb von 500 Mio. Euro Gesamtumsatz) — die gelten jedoch für Betreiber kritischer Anlagen der Siedlungsabfallentsorgung. Die Pflichten nach § 30 BSIG sind für beide Kategorien gleich. Der wesentliche Unterschied liegt im Aufsichtsmodus: Wichtige Einrichtungen werden anlassbezogen geprüft (§ 62 BSIG), während das BSI gegenüber besonders wichtigen Einrichtungen weitergehende Aufsichtsbefugnisse hat (§ 61 BSIG).

§ 38 BSIG — Pflichten und Haftung der Geschäftsleitung: Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen sind verpflichtet, die nach § 30 BSIG zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen (Abs. 1). Verletzen sie diese Pflicht schuldhaft, haften sie ihrer Einrichtung nach den Regeln des Gesellschaftsrechts der jeweiligen Rechtsform (Abs. 2). Außerdem müssen sie regelmäßig an Schulungen teilnehmen (Abs. 3). Die operative Arbeit kann die IT-Abteilung übernehmen — die Verantwortung für Umsetzung und Überwachung bleibt bei der Geschäftsleitung.

Häufige Fragen zur NIS2-Pflicht für die Abfallwirtschaft

Ist die Abfallwirtschaft eine besonders wichtige oder wichtige Einrichtung?

Über die Größenschwellen höchstens wichtige Einrichtung: Abfallbewirtschaftung steht in Anhang II der NIS2-Richtlinie bzw. Anlage 2 BSIG, nicht in Anlage 1. Auch ein Entsorger mit 500 Mitarbeitern ist deshalb allein aufgrund seiner Größe nicht besonders wichtig. Besonders wichtig wird er aber, wenn er eine kritische Anlage der Siedlungsabfallentsorgung betreibt (Schwellenwerte in Anhang 8 BSI-KritisV, § 28 Abs. 1 Nr. 1 BSIG) oder wenn er zugleich einer Einrichtungsart der Anlage 1 (z. B. Stromerzeugung, Fernwärme) zuzuordnen ist und deren Größenschwellen erreicht.

Müssen kommunale Entsorgungsbetriebe NIS2 erfüllen?

In der Regel ja, wenn sie die Größenschwellen erreichen (mindestens 50 Mitarbeiter oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. Euro) — unabhängig davon, ob sie als GmbH, AöR oder Zweckverband organisiert sind. Auch Eigen- und Regiebetriebe ohne eigene Rechtspersönlichkeit können als „rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft“ selbst Einrichtung sein, wenn sie Leistungen gegen Entgelt anbieten; maßgeblich sind dann ihre eigenen Kennzahlen (§ 28 Abs. 1, 2 und 4 BSIG). Unabhängig von der Größe besonders wichtig sind Betreiber kritischer Anlagen der Siedlungsabfallentsorgung.

Gilt NIS2 auch für reine Recyclingunternehmen ohne eigene Sortieranlage?

Ja, sofern die Abfallbewirtschaftung im Sinne von § 3 Abs. 14 KrWG ihre Hauptwirtschaftstätigkeit ist und die Schwellenwerte erreicht werden. Der Begriff umfasst neben Verwertung und Beseitigung ausdrücklich auch Sammlung und Beförderung sowie die Tätigkeit von Händlern und Maklern — reine Sammel- und Transportunternehmen sind also nicht pauschal ausgenommen. Ein NACE-Code ist für diese Einrichtungsart nicht maßgeblich.

Gibt es branchenspezifische Sicherheitsstandards (B3S) für die Abfallwirtschaft?

Für den KRITIS-Sektor Siedlungsabfallentsorgung haben BDE, ITAD und VKU im UP-KRITIS-Branchenarbeitskreis den „Branchenspezifischen Sicherheitsstandard für die Siedlungsabfallentsorgung“ (B3S SAE) erarbeitet und dem BSI zur Eignungsprüfung vorgelegt (Fassung vom 16.10.2025). Ob die Eignung festgestellt ist, sollten Sie in der B3S-Übersicht des BSI prüfen. Zusätzlich können für OT-Systeme die Normenreihe IEC 62443 und das IT-Grundschutz-Kompendium des BSI (u. a. IND.1 „Betriebs- und Steuerungstechnik“, IND.2.2 „Speicherprogrammierbare Steuerung (SPS)“) herangezogen werden.

Was sind die dringlichsten NIS2-Maßnahmen für Sortieranlagen?

Zwei Maßnahmen haben die höchste Priorität: Erstens ein vollständiges OT-Asset-Inventar aller SPS, NIR-Sortiersysteme und SCADA-Komponenten (Grundlage für die Risikoanalyse nach § 30 Abs. 2 Nr. 1 BSIG). Zweitens die OT/IT-Netzwerksegmentierung, um SCADA-Server vom Büronetz zu trennen — eine verbreitete Umsetzung des Stands der Technik nach § 30 Abs. 1 und 2 BSIG. Beide Maßnahmen erleichtern die Umsetzung der weiteren §-30-Anforderungen.

Dieser Artikel dient ausschließlich der allgemeinen Information und stellt keine Rechts- oder Compliance-Beratung dar. Die NIS2-Umsetzungspflichten können je nach Unternehmensstruktur, Sektor, Größe und nationaler Regulierung variieren. Wenden Sie sich für eine unternehmensspezifische Beratung an einen qualifizierten Rechtsanwalt oder NIS2-Compliance-Spezialisten.

Quellen

• Richtlinie (EU) 2022/2555 (NIS2), Anhang II Nr. 2 — EUR-Lex, Europäisches Parlament und Rat
• BSI: NIS-2-Betroffenheitsprüfung — Bundesamt für Sicherheit in der Informationstechnik
• BSI-Gesetz (BSIG) in der Fassung des NIS2UmsuCG, insbesondere §§ 28, 30, 62, 65 und Anlage 2 — Gesetze im Internet
• NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, BGBl. 2025 I Nr. 301 — recht.bund.de
• BSI-Kritisverordnung, Anhang 8: Anlagenkategorien und Schwellenwerte im Sektor Siedlungsabfallentsorgung — Gesetze im Internet
• Kreislaufwirtschaftsgesetz (KrWG), § 3 Begriffsbestimmungen (Abs. 14 Abfallbewirtschaftung) — Gesetze im Internet
• B3S SAE — Branchenspezifischer Sicherheitsstandard für die Siedlungsabfallentsorgung (Fassung 16.10.2025, UP KRITIS / BDE, ITAD, VKU)
• OpenKRITIS: NIS2-Sektoren und Einstufung in Deutschland