NIS2 für digitale Infrastruktur: Rechenzentren, IXP, DNS und TLD-Betreiber

Digitale Infrastruktur ist das Rückgrat des europäischen Internets – und ein zentraler Regelungsbereich der NIS2-Richtlinie. Wer Rechenzentrumsdienste erbringt, Internet-Knoten betreibt, DNS-Dienste anbietet oder Top-Level-Domains verwaltet, unterliegt konkreten Cybersicherheitspflichten, die seit dem 6. Dezember 2025 durch das Gesetz zur Umsetzung der NIS-2-Richtlinie (NIS2UmsuCG) im neu gefassten BSI-Gesetz (BSIG) geregelt sind. Dieser Leitfaden erklärt, wer genau betroffen ist, welche Besonderheiten der Sektor mitbringt – insbesondere die teilweise größenunabhängige Einordnung – und für welche Einrichtungsarten die direkt anwendbare Durchführungsverordnung CIR 2024/2690 gilt.

Was gilt als digitale Infrastruktur nach NIS2?

Die NIS2-Richtlinie (Richtlinie (EU) 2022/2555) nennt in Anhang I Nr. 8 für den Sektor „Digitale Infrastruktur“ folgende Einrichtungsarten:

• Internet-Knoten (IXPs) – Infrastrukturen, die mehr als zwei unabhängige autonome Systeme zusammenschalten, vorrangig zum Austausch von Internet-Datenverkehr (§ 2 Nr. 20 BSIG)
• DNS-Diensteanbieter – Anbieter öffentlich verfügbarer rekursiver oder autoritativer DNS-Dienste, ausgenommen Betreiber von Root-Nameservern
• TLD-Registries – Einrichtungen, die die Registrierung von Domain-Namen innerhalb einer Top-Level-Domain verwalten und betreiben (z. B. .de, .eu, .com)
• Anbieter von Cloud-Computing-Diensten
• Anbieter von Rechenzentrumsdiensten
• Betreiber von Inhaltszustellnetzen (CDNs)
• Vertrauensdiensteanbieter
• Anbieter öffentlicher elektronischer Kommunikationsnetze oder öffentlich zugänglicher elektronischer Kommunikationsdienste

Das BSIG übernimmt diese Liste in Anlage 1 (Nr. 6.1.1 bis 6.1.9) und ordnet dem Sektor zusätzlich Managed Service Provider und Managed Security Service Provider zu (in der Richtlinie: eigener Sektor, Anhang I Nr. 9). Anhang I umfasst die „Sektoren mit hoher Kritikalität“ – daraus folgt aber nicht automatisch eine Einstufung als wesentliche, im deutschen Recht „besonders wichtige“ Einrichtung. Die Einstufung hängt von Einrichtungsart und oft von der Größe ab (Art. 3 NIS2, § 28 BSIG) und bestimmt Aufsichtsintensität (§§ 61, 62 BSIG) und Bußgeldrahmen (§ 65 BSIG).

Rechenzentren: Wer genau betroffen ist

Ein Rechenzentrumsdienst umfasst nach § 2 Nr. 35 BSIG Strukturen, die vorrangig der zentralen Unterbringung, Zusammenschaltung und dem Betrieb von IT- oder Netzwerkausrüstung dienen, einschließlich der Anlagen für Stromverteilung und Umgebungskontrolle. Erfasst sind nach § 28 BSIG Einrichtungen, die anderen entgeltlich Dienstleistungen anbieten. Wer ein Rechenzentrum ausschließlich für den Eigenbedarf betreibt, fällt deshalb in der Regel nicht unter diese Einrichtungsart; das BSI zählt interne – auch managed – IT zu den Tätigkeiten für interne Zwecke. Typische Anwendungsfälle sind Colocation- und Housing-Anbieter sowie Betreiber großer Rechenzentren, die Fläche, Strom und Kühlung für Kunden bereitstellen.

Auch Anbieter von Cloud-Computing-Diensten sind separat gelistet; nach Erwägungsgrund 33 NIS2 gehören dazu unter anderem IaaS, PaaS, SaaS und NaaS. Für Cloud-, Rechenzentrums- und CDN-Anbieter, DNS-Diensteanbieter und TLD-Registries gilt eine besondere Zuständigkeitsregel: Das BSI ist nach § 60 BSIG nur zuständig, wenn die Hauptniederlassung in der EU in Deutschland liegt, dann aber für die gesamte EU. Maßgeblich ist der Mitgliedstaat, in dem die Entscheidungen zum Cybersicherheitsrisikomanagement vorwiegend getroffen werden – nicht, wo die Kunden sitzen.

Internet-Knoten (IXPs): DE-CIX und die NIS2-Einordnung

Internet Exchange Points sind Infrastrukturen, an denen Internetdienstanbieter, Netzbetreiber und Content-Anbieter ihre Netze zusammenschalten und Datenverkehr austauschen. Der DE-CIX in Frankfurt zählt zu den größten Internetknoten der Welt. Anders als DNS-Diensteanbieter und TLD-Registries gehören IXP-Betreiber jedoch nicht zu den größenunabhängig erfassten Einrichtungsarten: Sie fallen unter das BSIG, wenn sie mindestens mittlere Unternehmen sind oder als Betreiber kritischer Anlagen gelten (§ 28 BSIG).

Kleinere regionale Internet-Knoten sind daher nur erfasst, wenn sie die Schwellenwerte erreichen, wobei Daten von Partner- und verbundenen Unternehmen grundsätzlich mitzählen (§ 28 Abs. 4 BSIG). Erfasste IXP-Betreiber müssen sich beim BSI registrieren, die zehn Mindestmaßnahmen nach § 30 Abs. 2 BSIG umsetzen und erhebliche Sicherheitsvorfälle spätestens 24 Stunden nach Kenntniserlangung erstmals melden. Die CIR 2024/2690 gilt für IXP-Betreiber nicht.

DNS-Dienstanbieter und TLD-Registrierungsstellen

Erwägungsgrund 32 NIS2 bezeichnet ein zuverlässiges, resilientes und sicheres Domain Name System als Schlüsselfaktor für die Integrität des Internets. Deshalb erfasst NIS2 diese beiden Einrichtungsarten unabhängig von ihrer Größe:

DNS-Diensteanbieter bieten nach § 2 Nr. 8 BSIG für Internet-Endnutzer öffentlich verfügbare rekursive Namensauflösung oder autoritative Namensauflösung zur Nutzung durch Dritte an; Root-Nameserver sind ausgenommen (Art. 6 Nr. 20 NIS2). Nicht erfasst ist nach Auffassung des BSI der rein private, interne oder organisationsbezogene DNS-Betrieb; DNS als untrennbarer Teil eines Internetzugangsdienstes begründet in der Regel keine eigenständige Einordnung. Registrare und Hoster, die autoritative Nameserver für eine Vielzahl von Kundendomains betreiben, können dagegen DNS-Diensteanbieter sein.

TLD-Registries verwalten und betreiben die Registrierung von Domain-Namen innerhalb einer TLD einschließlich Nameserverbetrieb, Datenbankpflege und Verteilung der Zonendateien – auch wenn sie diese Aufgaben auslagern (§ 2 Nr. 42 BSIG). Für .de ist die DENIC eG zuständig. Ob eine TLD-Registry der deutschen Aufsicht untersteht, richtet sich nach § 60 BSIG nach ihrer Hauptniederlassung in der EU, nicht nach ihren Kunden in Deutschland.

Domain-Registrierungsdaten: Zusatzpflichten für TLD-Registries und Registrare

Art. 28 NIS2 ist in den §§ 49 bis 51 BSIG umgesetzt. Die Pflichten treffen TLD-Registries und Domain-Name-Registry-Dienstleister, also Registrare und in deren Namen tätige Stellen wie Privacy- oder Proxy-Dienste (§ 2 Nr. 9 BSIG):

• genaue und vollständige Registrierungsdaten in einer Datenbank pflegen – mindestens Domain-Name, Registrierungsdatum, Name, E-Mail-Adresse und Telefonnummer des Inhabers (§ 49 Abs. 1 und 2)
• Vorgaben und Überprüfungsverfahren für die Richtigkeit vorhalten und bis zum 6. März 2026 veröffentlichen (§ 49 Abs. 3)
• nicht personenbezogene Registrierungsdaten unverzüglich nach der Registrierung öffentlich zugänglich machen (§ 49 Abs. 4)
• berechtigten Zugangsnachfragern auf begründeten Antrag spätestens innerhalb von 72 Stunden Zugang gewähren (§ 50 Abs. 1) und zur Vermeidung doppelter Datenerhebung kooperieren (§ 51)

Verstöße können mit bis zu 500.000 € geahndet werden (§ 65 Abs. 2 Nr. 12 bis 14, Abs. 5 BSIG).

Größenunabhängige Pflichten – die entscheidende Besonderheit

Für die meisten NIS2-Sektoren gilt: Erfasst sind nur mittlere Unternehmen (mindestens 50 Mitarbeitende oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. €) und große Unternehmen (mindestens 250 Mitarbeitende oder über 50 Mio. € Jahresumsatz und zugleich über 43 Mio. € Bilanzsumme). Beim Sektor digitale Infrastruktur gibt es jedoch wichtige Ausnahmen.

Artikel 2 Abs. 2 Buchst. a NIS2 bestimmt, dass die Richtlinie unabhängig von der Größe gilt, wenn die Dienste erbracht werden von:

• Anbietern öffentlicher elektronischer Kommunikationsnetze oder -dienste (Ziff. i)
• Vertrauensdiensteanbietern (Ziff. ii)
• TLD-Registries und DNS-Diensteanbietern (Ziff. iii)
• Hinzu kommen nach Art. 2 Abs. 4 Einrichtungen, die Domain-Namen-Registrierungsdienste erbringen; für sie gelten in Deutschland die Registrierungspflichten und die §§ 49 bis 51 BSIG.

Nach § 28 BSIG gelten qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Diensteanbieter unabhängig von der Größe als besonders wichtige Einrichtungen; nicht qualifizierte Vertrauensdiensteanbieter sind mindestens wichtige Einrichtungen; Telekommunikationsanbieter sind ab mittlerer Größe besonders wichtig, darunter wichtig. Das bedeutet konkret: Ein kleiner DNS-Diensteanbieter mit 8 Mitarbeitenden und 2 Mio. € Umsatz ist erfasst und gilt als besonders wichtige Einrichtung; dasselbe gilt für eine TLD-Registry mit 15 Mitarbeitenden, bei der das BSI die Einhaltung auch ohne konkreten Anlass überprüfen kann (§ 61 Abs. 5 BSIG). Das unterscheidet diese Einrichtungsarten von Sektoren wie Energie oder Transport, in denen – abgesehen von Betreibern kritischer Anlagen – die Größenschwellen maßgeblich sind.

Für Rechenzentren, CDNs, Cloud-Anbieter und IXPs gelten hingegen die normalen Größenschwellen: Mittlere Unternehmen sind wichtige, große Unternehmen besonders wichtige Einrichtungen.

CIR 2024/2690: Die direkt anwendbare Durchführungsverordnung

Eine der wichtigsten Neuerungen gegenüber dem früheren NIS-Regime ist die Durchführungsverordnung (EU) 2024/2690 der Kommission vom 17. Oktober 2024 (kurz: CIR 2024/2690). Sie wurde am 18. Oktober 2024 im Amtsblatt veröffentlicht und trat am zwanzigsten Tag danach, am 7. November 2024, in Kraft. Details dazu finden Sie im Leitfaden zur NIS2-Durchführungsverordnung (CIR 2024/2690).

Als EU-Verordnung gilt die CIR unmittelbar in allen Mitgliedstaaten, ohne deutsches Umsetzungsgesetz. Sie gilt aber nicht für den ganzen Sektor: Erfasst sind nach Art. 1 DNS-Diensteanbieter, TLD-Registries, Cloud-, Rechenzentrums- und CDN-Anbieter, Managed (Security) Service Provider, Online-Marktplätze, Online-Suchmaschinen, Plattformen sozialer Netzwerke und Vertrauensdiensteanbieter – nicht dagegen IXP-Betreiber und Telekommunikationsanbieter. Für die erfassten Einrichtungsarten hat die CIR nach § 30 Abs. 3 BSIG Vorrang; Registrierungs-, Melde- und Geschäftsleitungspflichten des BSIG gelten daneben weiter.

Die CIR legt im Anhang die technischen und methodischen Anforderungen an die Maßnahmen nach Artikel 21 Abs. 2 NIS2 fest und bestimmt in Art. 3 bis 14, wann ein Sicherheitsvorfall erheblich ist. Die 13 Abschnitte des Anhangs gelten für alle erfassten Einrichtungsarten gleichermaßen, unter anderem:

• Sicherheitskonzept und Risikomanagement (Abschnitte 1 und 2)
• Bewältigung von Sicherheitsvorfällen einschließlich Überwachung und Protokollierung (Abschnitt 3)
• Sicherheit bei Erwerb, Entwicklung und Wartung, unter anderem Netzsegmentierung (Abschnitt 6)
• Kryptografie (Abschnitt 9) und Zugriffskontrolle (Abschnitt 11)
• Physische Sicherheit (Abschnitt 13): Schutz vor Ausfällen von Strom, Lüftung und Klimatisierung, Erwägung von Redundanzsystemen, Verträge über Notversorgung, Zutrittskontrolle

Eigene Abschnitte für DNS, Rechenzentren oder Routing enthält der Anhang nicht – auch keine ausdrückliche DNSSEC- oder BGP-Vorgabe. Die Besonderheiten der Einrichtungsarten zeigen sich in den Erheblichkeitsschwellen (Art. 5 bis 14). Hält eine Einrichtung eine Anforderung, die nur „soweit angemessen“ gilt, für nicht anwendbar, muss sie dies nachvollziehbar dokumentieren (Art. 2 Abs. 2 CIR).

Die 10 Pflichtmaßnahmen nach Artikel 21 NIS2

Alle besonders wichtigen und wichtigen Einrichtungen der digitalen Infrastruktur müssen die zehn Cybersicherheits-Risikomanagementmaßnahmen nach Artikel 21 NIS2 umsetzen (in Deutschland § 30 Abs. 2 BSIG). Für den Sektor ergeben sich in der Praxis typischerweise folgende Schwerpunkte (Beispiele, keine gesetzlichen Einzelvorgaben):

Maßnahme (Art. 21 Abs. 2)	Besondere Relevanz für digitale Infrastruktur
a) Konzepte für Risikoanalyse und Sicherheit	Risikomodelle sollten Szenarien wie BGP-Hijacking, DNS-Spoofing und DDoS abdecken
b) Bewältigung von Sicherheitsvorfällen	SOC-Anbindung, Eskalationspfade zur Meldestelle von BSI und BBK
c) Business Continuity und Krisenmanagement	Georedundanz, automatisches Failover, RTO/RPO für DNS und Routing
d) Sicherheit der Lieferkette	Hardware-Lieferanten, Transit-Provider, Peering-Partner prüfen
e) Sicherheit bei Erwerb und Wartung von Systemen	Patch- und Schwachstellenmanagement für Betriebssysteme, Router-Firmware, DNS-Software
f) Bewertung der Wirksamkeit von Maßnahmen	Penetrationstests, Red-Team-Übungen, BGP-Sicherheits-Audits
g) Grundlegende Cyberhygiene und Schulungen	Mitarbeitende für Phishing, Social Engineering und Insider-Threats sensibilisieren
h) Kryptografie und Verschlüsselung	DNSSEC, TLS 1.3, Verschlüsselung von Management-Verbindungen
i) Personalmanagement und Zugriffssteuerung	Privilegierter Zugang zu Routern, Nameservern und Rechenzentrumsinfrastruktur
j) Multifaktor-Authentifizierung und sichere Kommunikation	MFA für alle Admin-Zugänge, Out-of-Band-Management-Netzwerke

Meldepflichten bei Sicherheitsvorfällen

Besonders wichtige und wichtige Einrichtungen müssen erhebliche Sicherheitsvorfälle nach § 32 BSIG an die gemeinsame Meldestelle von BSI und BBK (über das BSI-Portal) melden:

• Innerhalb von 24 Stunden: frühe Erstmeldung – besteht der Verdacht auf rechtswidrige oder böswillige Handlungen oder auf grenzüberschreitende Auswirkungen?
• Innerhalb von 72 Stunden: Meldung – Aktualisierung, erste Bewertung mit Schweregrad und Auswirkungen, gegebenenfalls Kompromittierungsindikatoren.
• Einen Monat nach der Meldung: Abschlussmeldung – Beschreibung, Ursache, Abhilfemaßnahmen, grenzüberschreitende Folgen; bei andauerndem Vorfall zunächst eine Fortschrittsmeldung.

Ein Vorfall ist „erheblich“, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann oder andere Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann (§ 2 Nr. 11 BSIG). Für die CIR-Einrichtungsarten ist diese Schwelle konkretisiert: Bei DNS-Diensteanbietern genügt etwa ein vollständiger Ausfall eines Auflösungsdienstes von mehr als 30 Minuten (Art. 5 CIR), bei TLD-Registries jeder vollständige Ausfall des autoritativen Dienstes (Art. 6), bei Rechenzentren unter anderem eine mehr als einstündige eingeschränkte Verfügbarkeit oder ein beeinträchtigter physischer Zugang (Art. 8). Telekommunikationsanbieter melden stattdessen nach § 168 TKG an Bundesnetzagentur und BSI.

Registrierungspflicht beim BSI

Erfasste Einrichtungen – nach § 33 Abs. 1 BSIG auch Registrare (Domain-Name-Registry-Dienstleister) – müssen sich über das BSI-Portal beim BSI registrieren. Die gesetzliche Frist lief für bestehende Einrichtungen am 6. März 2026 ab; noch nicht registrierte Einrichtungen sollten dies unverzüglich nachholen. Anzugeben sind nach § 33 Abs. 1 insbesondere:

• Name und Rechtsform der Einrichtung, gegebenenfalls Handelsregisternummer
• Anschrift und aktuelle Kontaktdaten, einschließlich E-Mail-Adresse, öffentlicher IP-Adressbereiche und Telefonnummern
• Relevanter Sektor bzw. Branche nach Anlage 1 oder 2 BSIG
• Mitgliedstaaten, in denen die Einrichtung entsprechende Dienste erbringt
• Zuständige Aufsichtsbehörden des Bundes und der Länder

Zusätzlich § 34 BSIG: DNS-Diensteanbieter, TLD-Registries, Registrare, Cloud-, Rechenzentrums- und CDN-Anbieter, MSP und MSSP (die Einrichtungsarten des § 60) müssen außerdem die Anschrift ihrer Hauptniederlassung und sonstigen EU-Niederlassungen bzw. ihres Vertreters, die Mitgliedstaaten ihrer Diensterbringung und ihre öffentlichen IP-Adressbereiche übermitteln; das BSI leitet die Angaben – ohne IP-Bereiche – an ENISA weiter.

Wichtig: Die Registrierung ist keine Einmalmaßnahme. Änderungen sind unverzüglich mitzuteilen, Änderungen der §-34-Angaben spätestens binnen drei Monaten (§ 33 Abs. 5, § 34 Abs. 2 BSIG). Wird die Pflicht nicht erfüllt, kann das BSI die Registrierung selbst vornehmen (§ 33 Abs. 3); fehlende oder unrichtige Angaben können mit bis zu 500.000 € geahndet werden (§ 65 Abs. 2 Nr. 6 und 8, Abs. 5 BSIG).

Einstufung: wesentlich oder wichtig?

Ob eine Einrichtung als besonders wichtig (EU-Begriff: wesentlich) oder wichtig gilt, ergibt sich aus § 28 BSIG – die Zugehörigkeit zu Anhang I allein entscheidet nicht. Die Einstufung hat direkte Auswirkungen:

• Besonders wichtige Einrichtungen unterliegen anlassunabhängiger Aufsicht: Das BSI kann die Einhaltung überprüfen, Audits, Prüfungen oder Zertifizierungen anordnen und frühestens drei Jahre nach Inkrafttreten Nachweise anfordern (§ 61 BSIG).
• Wichtige Einrichtungen werden anlassbezogen beaufsichtigt: Das BSI wird tätig, wenn Tatsachen die Annahme rechtfertigen, dass Pflichten nicht oder nicht richtig umgesetzt werden (§ 62 BSIG).

Ein mittelgroßer Rechenzentrumsanbieter mit 80 Mitarbeitenden, der keine größenunabhängige Einrichtungsart betreibt und kein Betreiber einer kritischen Anlage ist, gilt daher als wichtige Einrichtung – nicht als besonders wichtige (§ 28 Abs. 2 Nr. 3 BSIG).

Der Bereich Telekommunikation ist ebenfalls in Anhang I Nr. 8 gelistet, wird in Deutschland aber weitgehend über das Telekommunikationsgesetz (TKG) geregelt: Für Betreiber öffentlicher TK-Netze und Anbieter öffentlich zugänglicher TK-Dienste gelten unter anderem die §§ 30, 32, 38, 61 und 62 BSIG nicht (§ 28 Abs. 5 BSIG); Schutzmaßnahmen und Meldungen richten sich nach den §§ 165 und 168 TKG.

Bußgelder und Haftung

Für Verstöße sieht das BSIG unter anderem folgende Sanktionen vor:

• Bußgeldrahmen: Für Verstöße etwa gegen Risikomanagement- oder Meldepflichten bis zu 10 Mio. € (besonders wichtige) bzw. 7 Mio. € (wichtige Einrichtungen); nur bei einem Gesamtumsatz von mehr als 500 Mio. € bis zu 2 % bzw. 1,4 % des weltweiten Gesamtumsatzes (§ 65 Abs. 5 bis 8 BSIG).
• Geschäftsleitung: Sie muss die Risikomanagementmaßnahmen umsetzen, überwachen und regelmäßig an Schulungen teilnehmen; bei schuldhafter Pflichtverletzung haftet sie der Einrichtung nach Gesellschaftsrecht (§ 38 BSIG). Einen eigenen Bußgeldtatbestand gegen Geschäftsleitungen enthält § 65 nicht.
• Letztes Mittel: Befolgt eine besonders wichtige Einrichtung BSI-Anordnungen trotz Fristsetzung nicht, kann die zuständige Aufsichtsbehörde eine fachrechtliche Genehmigung vorübergehend aussetzen und unzuverlässigen Geschäftsleitungen die Tätigkeit vorübergehend untersagen (§ 61 Abs. 9 BSIG).

Für TLD-Registries und DNS-Diensteanbieter, die größenunabhängig als besonders wichtig gelten, gelten dieselben Bußgeldrahmen – auch wenn das Unternehmen sonst als Kleinstunternehmen gilt. Es handelt sich um Höchstbeträge; die konkrete Höhe hängt vom Einzelfall ab.

Häufig gestellte Fragen

Wir betreiben ein Unternehmensrechenzentrum nur für unseren eigenen Bedarf. Sind wir betroffen?
In der Regel nicht als Rechenzentrumsdienstleister: Erfasst sind Einrichtungen, die anderen entgeltlich Dienstleistungen anbieten, und das BSI zählt interne IT zu den internen Zwecken. Bei Rechenzentren, die Konzerngesellschaften versorgen, ist die Auslegungshilfe des BSI zu § 28 Abs. 3 BSIG zu prüfen. Ist das Unternehmen aus anderen Gründen erfasst, gehört das Rechenzentrum zum Gegenstand seiner Risikomanagementmaßnahmen.

Unser Unternehmen hat weniger als 50 Mitarbeiter und erbringt DNS-Dienste. Müssen wir NIS2 einhalten?
In der Regel ja, sofern es sich um einen öffentlich verfügbaren rekursiven Dienst für Internet-Endnutzer oder einen autoritativen Dienst zur Nutzung durch Dritte handelt (§ 2 Nr. 8 BSIG). DNS-Diensteanbieter gelten unabhängig von ihrer Größe als besonders wichtige Einrichtungen (§ 28 Abs. 1 Nr. 2 BSIG; Art. 3 Abs. 1 Buchst. b NIS2). Rein privater, interner oder organisationsbezogener DNS-Betrieb ist nach Auffassung des BSI nicht erfasst.

Wir sind ein CDN-Anbieter mit 120 Mitarbeitern und 40 Mio. Euro Umsatz. Gehören wir dazu?
Ja, voraussichtlich als wichtige Einrichtung. CDN-Betreiber gehören zu Anhang I Nr. 8, aber nicht zu den größenunabhängig erfassten Einrichtungsarten. Mit 120 Mitarbeitenden ist die Schwelle für mittlere Unternehmen erreicht, die für große Unternehmen (250 Mitarbeitende oder über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme) nicht. Daraus folgt eine Einstufung als wichtige Einrichtung (§ 28 Abs. 2 Nr. 3 BSIG), vorbehaltlich der Daten verbundener Unternehmen. Für CDN-Betreiber gilt zudem die CIR 2024/2690.

Was verlangt die CIR 2024/2690 speziell für DNS-Betreiber?
Einen eigenen DNS-Maßnahmenkatalog oder eine ausdrückliche DNSSEC-Pflicht enthält die CIR nicht; es gelten die allgemeinen Anforderungen des Anhangs, etwa zu Protokollierung, Kryptografie und Betriebskontinuität. Ob DNSSEC angezeigt ist, ist im Rahmen der Risikobewertung zu prüfen. DNS-spezifisch ist Art. 5 CIR: Erheblich ist ein Vorfall unter anderem bei mehr als 30 Minuten vollständigem Ausfall, bei einer durchschnittlichen Antwortzeit von über 10 Sekunden für mehr als eine Stunde oder bei beeinträchtigter Integrität, Vertraulichkeit oder Authentizität der Daten des autoritativen Dienstes.

Gilt NIS2 auch für ausländische Anbieter, die Dienste in Deutschland erbringen?
Das hängt von der Einrichtungsart ab. Für DNS-Diensteanbieter, TLD-Registries, Registrare, Cloud-, Rechenzentrums- und CDN-Anbieter sowie MSP und MSSP gilt das Prinzip der Hauptniederlassung (§ 60 BSIG): Zuständig ist der Mitgliedstaat, in dem die Entscheidungen zum Cybersicherheitsrisikomanagement vorwiegend getroffen werden. Anbieter ohne EU-Niederlassung, die hier Dienste anbieten, müssen einen Vertreter in einem Mitgliedstaat benennen, in dem sie Dienste anbieten; sitzt er in Deutschland, ist das BSI zuständig. Ohne Vertreter kann sich das BSI für zuständig erklären.

Quellen

1. Europäisches Parlament und Rat. Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union (NIS2). EUR-Lex, 2022.
2. Europäische Kommission. Durchführungsverordnung (EU) 2024/2690 vom 17. Oktober 2024 mit Durchführungsbestimmungen zur Richtlinie (EU) 2022/2555. EUR-Lex, 2024.
3. Bundesamt für Sicherheit in der Informationstechnik (BSI). NIS-2-regulierte Unternehmen. BSI, 2026.
4. Bundesrepublik Deutschland. Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung (NIS2UmsuCG). BGBl. 2025 I Nr. 301.
5. BSI-Gesetz (BSIG) in der ab 6. Dezember 2025 geltenden Fassung. gesetze-im-internet.de.
6. Bundesamt für Sicherheit in der Informationstechnik (BSI). Allgemeine FAQ zu NIS-2. BSI, 2026.