NIS2 für Forschungseinrichtungen: Was gilt für Institute und Universitäten?

Außeruniversitäre Forschungsinstitute und industrielle F&E-Zentren können seit dem Inkrafttreten des NIS2UmsuCG am 6. Dezember 2025 als wichtige Einrichtungen unter das neue BSI-Gesetz fallen: Der Sektor „Forschung“ steht in Anhang II der NIS-2-Richtlinie (EU) 2022/2555 und in Anlage 2 zum BSIG. Für Universitäten und Fachhochschulen ist die Lage anders: Bildungseinrichtungen gelten ausdrücklich nicht als „Forschungseinrichtungen“ im Sinne des Gesetzes, und über die Cybersicherheit staatlicher Hochschulen entscheiden in erster Linie die Länder. Staatlich gesteuerte Angreifer, Ransomware-Gruppen und Wirtschaftsspionage nehmen Wissenschaft und Forschung gleichwohl gezielt ins Visier – NIS2 reagiert darauf für die erfassten Einrichtungen mit verbindlichen Mindeststandards für Risikomanagement, Meldepflichten und Governance. Den übergeordneten Rahmen der technischen und organisatorischen Anforderungen beschreibt der Leitfaden zu den NIS2-Sicherheitsanforderungen.

Forschung als wichtige Einrichtung – Einstufung nach Anhang II NIS2

Die NIS-2-Richtlinie unterscheidet Einrichtungen aus Sektoren mit hoher Kritikalität (Anhang I, z. B. Energie, Gesundheit, Finanzmarktinfrastrukturen) und aus sonstigen kritischen Sektoren (Anhang II). Der Sektor „Forschung“ steht in Anhang II Nummer 7 der Richtlinie; erfasste Forschungseinrichtungen sind daher in der Regel wichtige Einrichtungen. Im deutschen Recht ist dies in Anlage 2 Nummer 7.1.1 zum BSIG („Forschungseinrichtungen“) umgesetzt.

Entscheidend ist die gesetzliche Definition. Nach § 2 Nummer 12 BSIG (entsprechend Art. 6 Nr. 41 NIS2) ist eine Forschungseinrichtung „eine Einrichtung, deren primäres Ziel es ist, angewandte Forschung oder experimentelle Entwicklung im Hinblick auf die Nutzung der Ergebnisse dieser Forschung für kommerzielle Zwecke durchzuführen; Bildungseinrichtungen gelten nicht als Forschungseinrichtungen“. Daraus folgt zweierlei: Einrichtungen mit dem Schwerpunkt Grundlagenforschung erfüllen die Definition typischerweise nicht, und Hochschulen sind als Bildungseinrichtungen ausgenommen. Die Richtlinie erlaubt den Mitgliedstaaten zwar, Bildungseinrichtungen einzubeziehen, „insbesondere wenn sie kritische Forschungstätigkeiten durchführen“ (Art. 2 Abs. 5 lit. b NIS2) – der Bundesgesetzgeber hat davon im BSIG keinen Gebrauch gemacht.

Die Einstufung als wichtige Einrichtung hat Folgen für Aufsicht und Bußgelder. Wichtige Einrichtungen unterliegen einer anlassbezogenen Aufsicht: Das BSI kann nach § 62 BSIG prüfen und Maßnahmen treffen, wenn Tatsachen die Annahme rechtfertigen, dass Pflichten nicht oder nicht richtig umgesetzt werden. Bußgelder können nach § 65 BSIG bei wichtigen Einrichtungen bis zu 7 Millionen Euro betragen; bei einem Gesamtumsatz von mehr als 500 Millionen Euro bis zu 1,4 Prozent des Gesamtumsatzes (bei besonders wichtigen Einrichtungen bis zu 10 Millionen Euro bzw. 2 Prozent). Die Risikomanagementpflichten nach § 30 BSIG gelten für beide Kategorien gleichermaßen.

Für die Schwellenwerte gilt nach § 28 Abs. 2 Nr. 3 BSIG: Erfasst ist eine Einrichtung, die anderen entgeltlich Waren oder Dienstleistungen anbietet, einer Einrichtungsart der Anlagen 1 oder 2 zuzuordnen ist und mindestens 50 Mitarbeitende beschäftigt oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweist. Maßgeblich ist grundsätzlich die KMU-Empfehlung der Kommission 2003/361/EG (§ 28 Abs. 4 BSIG); einen eigenen Berechnungsweg über den „Jahreshaushalt“ sieht das Gesetz nicht vor. Kleinere Institute unterhalb dieser Werte sind in der Regel nicht erfasst. Welche Einrichtungen konkret betroffen sind, erläutert der Leitfaden zum NIS2-Anwendungsbereich detailliert.

Sonderfall Anlage-1-Tätigkeiten: Forschende Organisationen können auch über andere Einrichtungsarten erfasst sein. Anlage 1 zum BSIG nennt im Sektor Gesundheit etwa „Unternehmen, die Forschungs- und Entwicklungstätigkeiten in Bezug auf Arzneimittel nach § 2 AMG ausüben“ (Nr. 4.1.3) sowie „Erbringer von Gesundheitsdienstleistungen“ (Nr. 4.1.1) – relevant etwa für Universitätskliniken. Ab 250 Mitarbeitenden bzw. über 50 Millionen Euro Umsatz und über 43 Millionen Euro Bilanzsumme kommt dann eine Einstufung als besonders wichtige Einrichtung in Betracht (§ 28 Abs. 1 Nr. 4 BSIG). Einrichtungen der öffentlichen Verwaltung, die in den Bereichen nationale Sicherheit oder Verteidigung tätig sind, nimmt die Richtlinie dagegen ausdrücklich aus (Art. 2 Abs. 7 NIS2).

Welche Einrichtungen betroffen sind – ein Überblick

Ob eine Organisation erfasst ist, hängt von ihrer Rechtsform, ihrem Forschungsprofil und ihrer Größe ab – pauschale Aussagen für ganze Wissenschaftsorganisationen sind nicht möglich. Die folgende Tabelle zeigt typische Einrichtungstypen und die jeweils maßgeblichen Prüfpunkte:

Einrichtungstyp	NIS2-Einstufung	Typische Begründung
Staatliche Universitäten	Nicht als Forschungseinrichtung nach BSIG erfasst	Bildungseinrichtungen sind nach § 2 Nr. 12 BSIG ausgenommen; Regelungen richten sich nach Landesrecht
Fachhochschulen / HAW	Nicht als Forschungseinrichtung nach BSIG erfasst	Wie Universitäten: Bildungseinrichtungen; ggf. Landesrecht prüfen
Universitätskliniken	Prüfung nach Anlage 1 (Gesundheit)	Als Erbringer von Gesundheitsdienstleistungen ggf. erfasst; Größe und Trägerschaft im Einzelfall prüfen
Max-Planck-Institute	Einzelfallprüfung; Definition oft nicht erfüllt	Schwerpunkt Grundlagenforschung; die Definition verlangt primär angewandte Forschung für kommerzielle Zwecke
Fraunhofer-Institute	Erfassung als wichtige Einrichtung kommt in Betracht	Anwendungsorientierte Auftragsforschung; Prüfung auf Ebene des Rechtsträgers (Fraunhofer-Gesellschaft e. V.)
Helmholtz-Zentren / Leibniz-Institute	Einzelfallprüfung	Rechtlich selbstständige Träger mit unterschiedlichem Profil aus Grundlagen- und anwendungsorientierter Forschung
Ressortforschung des Bundes (Bundesbehörden)	Einrichtung der Bundesverwaltung (§ 29 BSIG)	Regeln für besonders wichtige Einrichtungen, jedoch ohne §§ 38, 40 Abs. 3, 61 und 65 BSIG
Privat-gewerbliche F&E-Zentren	Wichtige Einrichtung	≥ 50 MA oder Umsatz und Bilanzsumme jeweils > 10 Mio. EUR
Kleine Forschungsinstitute	In der Regel außerhalb des Anwendungsbereichs	< 50 MA und Schwellen für Umsatz/Bilanzsumme nicht überschritten

Hochschulen und Länderkompetenz: Laut BSI hat der IT-Planungsrat mit Beschluss 2023/39 entschieden, von der Option, den Anwendungsbereich der NIS-2-Richtlinie auf Einrichtungen der öffentlichen Verwaltung auf lokaler Ebene und auf Bildungseinrichtungen zu erstrecken, keinen Gebrauch zu machen. Die Gesetzgebungskompetenz für die Cybersicherheit der Landesverwaltung liegt bei den Ländern; über die Umsetzung für Einrichtungen der öffentlichen Verwaltung auf regionaler Ebene entscheiden diese selbst. Staatliche Hochschulen sollten daher prüfen, ob landesrechtliche Vorgaben zur Informationssicherheit für sie gelten. Unabhängig davon bleiben Hochschulen als Kooperations- und Lieferkettenpartner relevant: Die Richtlinie verlangt von erfassten Einrichtungen ausdrücklich, dass ihre Zusammenarbeit mit Hochschul- und Forschungseinrichtungen ihrer Cybersicherheitsstrategie entspricht (Erwägungsgrund 88 NIS2).

Für erfasste Forschungseinrichtungen gilt die Registrierungspflicht nach § 33 BSIG: spätestens drei Monate, nachdem sie erstmals als wichtige Einrichtung gelten – für Einrichtungen, die bereits beim Inkrafttreten erfasst waren, also bis zum 6. März 2026. Einrichtungen, die diese Frist versäumt haben, sollten die Registrierung über das BSI-Portal unverzüglich nachholen; ein Verstoß kann als Ordnungswidrigkeit mit einem Bußgeld geahndet werden.

Schutz von Forschungsdaten und geistigem Eigentum

Forschungseinrichtungen verfügen über hochsensible Informationsvermögen, die für Angreifer außergewöhnlich attraktiv sind: patentreife Erfindungen, Forschungsprimärdaten, klinische Studienergebnisse und Dual-use-Erkenntnisse mit militärischer oder wirtschaftlicher Relevanz. Das Bundesamt für Verfassungsschutz (BfV) zählt die Aufklärung von Cyberangriffen, Spionage und Sabotage durch fremde Staaten, die sich gegen deutsche Unternehmen und Forschungseinrichtungen richten, zu seinem gesetzlichen Auftrag. Als zentrale staatliche Akteure von Cyberangriffen gegen deutsche Stellen nennt das BfV vor allem die Nachrichtendienste Russlands, Chinas, Irans und Nordkoreas.

Die Bedrohungslage ist vielschichtig:

• Wirtschaftsspionage und IP-Diebstahl: Staatlich gesponserte APT-Gruppen (Advanced Persistent Threats) infiltrieren Forschungsnetze, um Erfindungen und Entwicklungsergebnisse vor der Patentanmeldung abzugreifen. Besonders exponiert sind Forschungsfelder mit hohem wirtschaftlichem oder sicherheitspolitischem Wert.
• Ransomware-Angriffe: Auch Universitäten und Hochschulen werden Ziel von Ransomware- und anderen Cyberangriffen – heterogene IT-Infrastrukturen, eine große Zahl an Nutzerkonten und offene Gastnetze vergrößern die Angriffsfläche. Ein bekanntes Beispiel ist der Cyberangriff auf die Universität Duisburg-Essen, die am 27. November 2022 einen weitreichenden Ausfall ihrer IT-Systeme feststellte.
• Datenexfiltration aus Kollaborationsprojekten: In internationalen Forschungsverbundprojekten nutzen Angreifer Partnereinrichtungen mit niedrigerem Sicherheitsniveau als Lateral-Movement-Vektor, um in die primär gesicherte Einrichtung einzudringen.
• Klinische und personenbezogene Forschungsdaten: Medizinische Fakultäten und klinische Forschungseinrichtungen verarbeiten Probandendaten und Patienteninformationen – hier überlagern sich NIS2-Pflichten mit den Anforderungen der DSGVO und dem Berufsgeheimnis.

NIS2 verlangt in Artikel 21 Absatz 2 Buchstabe a (§ 30 Abs. 2 Nr. 1 BSIG) Konzepte in Bezug auf die Risikoanalyse und die Sicherheit für Informationssysteme. Eine Datenklassifizierung schreibt das Gesetz nicht ausdrücklich vor, sie ist für Forschungseinrichtungen aber ein naheliegendes Werkzeug. Bewährt hat sich etwa eine Einteilung in drei Schutzklassen: öffentliche Forschungsergebnisse (Open Data/Open Access), vertrauliche Rohdaten in laufenden Projekten und streng vertrauliche Daten mit strategischer, kommerzieller oder sicherheitsrelevanter Bedeutung. Die Schutzmaßnahmen sollten jeweils dem Risiko der Schutzklasse angemessen sein.

Wissenschaftsfreiheit und NIS2 – kein grundsätzlicher Widerspruch

Ein häufig diskutiertes Spannungsverhältnis betrifft die Vereinbarkeit von NIS2-Sicherheitspflichten mit der in Artikel 5 Absatz 3 des Grundgesetzes garantierten Wissenschaftsfreiheit. Open Access, Open Data und die Prinzipien offener Wissenschaft stehen auf den ersten Blick im Kontrast zu Zugangsrestriktionen und Netzwerksegmentierung. Bei genauerem Hinsehen ist der Widerspruch jedoch kein grundsätzlicher.

NIS2 verlangt nach Artikel 21 Absatz 1 „geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen“, um die Risiken für die Sicherheit der Netz- und Informationssysteme zu beherrschen. Bei der Verhältnismäßigkeit sind unter anderem das Ausmaß der Risikoexposition und die Größe der Einrichtung zu berücksichtigen (ebenso § 30 Abs. 1 BSIG). Für öffentlich zugängliche Forschungsdaten und veröffentlichte Publikationen steht daher nicht die Vertraulichkeit im Vordergrund, sondern vor allem Verfügbarkeit und Integrität – ein Konflikt mit wissenschaftlicher Offenheit entsteht dadurch in der Regel nicht. Strenge Zugangskontrolle und Datenverschlüsselung sind vor allem dort angezeigt, wo tatsächlich schutzwürdige Informationen verarbeitet werden.

In der Praxis bedeutet dies: Einrichtungen sollten klar festlegen, welche Systeme und Daten welches Schutzniveau benötigen, und sensible Bereiche funktional von der offenen Wissenschaftsinfrastruktur trennen. Typische Abgrenzungen sind:

• Forschungsprimärdaten in laufenden Projekten (vor Veröffentlichung) → hoher Schutzbedarf (Vertraulichkeit)
• Administrations- und Personalverwaltungssysteme → hoher Schutzbedarf
• Drittmittelabrechnung und Finanzdaten → hoher Schutzbedarf
• Veröffentlichte Forschungsergebnisse und Open-Access-Repositorien → geringer Vertraulichkeitsbedarf; Integrität und Verfügbarkeit bleiben relevant
• Lehrmaterialien und öffentliche Webseiten → geringer Vertraulichkeitsbedarf; Schutz vor Manipulation und Ausfall

Diese Differenzierung ist auch für die Budgetplanung wichtig: Die Pflichten nach § 30 BSIG beziehen sich auf die informationstechnischen Systeme, die eine Einrichtung für die Erbringung ihrer Dienste nutzt; Tiefe und Intensität der Maßnahmen lassen sich jedoch risikobasiert auf die Systeme konzentrieren, die tatsächlich kritische Informationswerte beherbergen.

Die NIS2-Sicherheitsanforderungen im Forschungskontext

Artikel 21 Absatz 2 NIS2 (in Deutschland § 30 Abs. 2 BSIG) listet zehn Kategorien von Mindestmaßnahmen, die auch erfasste Forschungseinrichtungen umsetzen müssen. Die folgende Tabelle zeigt die spezifische Relevanz im Hochschul- und Forschungskontext:

Sicherheitsmaßnahme (Art. 21 Abs. 2 NIS2)	Forschungsspezifischer Kontext
Konzepte zur Risikoanalyse und Informationssicherheit (lit. a)	Datenklassifizierung nach Schutzbedürfnis (öffentlich / vertraulich / streng vertraulich); Einbezug von Forschungsprojektdaten
Behandlung von Sicherheitsvorfällen (lit. b)	Incident-Response-Prozess, der die Meldefristen nach § 32 BSIG (24 h / 72 h / ein Monat) einhalten kann; besondere Bedeutung bei Exfiltration von IP-Daten
Business Continuity / Krisenmanagement (lit. c)	Backup-Konzepte für Forschungsprimärdaten; RTO/RPO für Kernsysteme; Notfallpläne für laufende Promotionen und Publikationsprozesse
Sicherheit der Lieferkette (lit. d)	Prüfung von Cloud-Diensten (z. B. Kollaborations- und Speicherplattformen), Forschungssoftware-Lieferanten und Drittparteizugriffe
Sicherheit bei Erwerb, Entwicklung und Wartung (lit. e)	Secure-Coding-Anforderungen für selbst entwickelte Forschungssoftware und Labordatenbanken; Schwachstellenmanagement
Wirksamkeitsbewertung (lit. f)	Regelmäßige Penetrationstests auf Forschungsinfrastruktur; interne Audits oder externe Prüfer
Cyberhygiene und Schulungen (lit. g)	Patch-Management insbesondere für heterogene Forschungsgeräte und Labor-IT (IoT, Messgeräte, embedded systems); Awareness-Trainings für Forschende, besonders zu Phishing
Kryptografie und Verschlüsselung (lit. h)	Verschlüsselung vertraulicher Forschungsdaten im Ruhezustand und bei der Übertragung; Schutz vor IP-Exfiltration
Personalsicherheit, Zugriffskontrolle und Asset-Management (lit. i)	Rollen- und Rechtekonzepte, Federated Identity (DFN-AAI), befristete Gastkonten, Inventar der Forschungs- und Labor-IT, Netzwerksegmentierung Gast-/Forschungsnetz
Multi-Faktor-Authentifizierung und gesicherte Kommunikation (lit. j)	MFA bzw. kontinuierliche Authentifizierung, insbesondere für privilegierte Zugänge und Fernzugriffe; gesicherte Sprach-, Video- und Textkommunikation

Ein strukturierter Einstieg in die Anforderungen des Art. 21 NIS2 sowie die zugrunde liegende Logik des risikobasierten Ansatzes ist im Leitfaden zu den NIS2-Anforderungen detailliert dargestellt.

Zugangskontrolle als Schlüsselmaßnahme in Forschungsnetzen

Unter den zehn Sicherheitsmaßnahmen des Artikels 21 kommt der Zugangskontrolle für Forschungseinrichtungen besondere Bedeutung zu. Hochschulen und Institute betreiben typischerweise eine hochgradig heterogene IT-Landschaft: neben klassischen Verwaltungssystemen existieren Hochleistungsrechner (HPC-Cluster), spezialisierte Laborinformationssysteme (LIMS), Messtechnik mit Netzwerkanbindung und offene WLAN-Netze für Studierende und Gäste. Diese Vielfalt erzeugt eine große Angriffsfläche, die durch eine konsequente Netzwerksegmentierung und Identitätsverwaltung begrenzt werden muss.

Bewährte Maßnahmen im Forschungskontext sind:

• Federated Identity Management: Der DFN-Verein betreibt mit der DFN-AAI (Authentication and Authorisation Infrastructure) eine SAML-basierte Föderation (häufig mit Shibboleth umgesetzt), über die Hochschulen und Forschungseinrichtungen ihren Nutzern Single-Sign-On-Zugang zu zahlreichen Diensten ermöglichen. Über eduGAIN lassen sich Dienste auch föderationsübergreifend mit internationalen Forschungspartnern nutzen.
• Multi-Faktor-Authentifizierung (MFA): Art. 21 Abs. 2 lit. j NIS2 bzw. § 30 Abs. 2 Nr. 10 BSIG verlangt die „Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung“. Risikobasiert vorrangig sind privilegierte Konten (IT-Administration, Rechenzentrum), Fernzugriffe (VPN, Remote Desktop) und Zugriffe auf sensible Forschungsdaten.
• Netzwerksegmentierung: Gastnetz, Lehrnetz, Verwaltungsnetz und Forschungsnetz sollten als getrennte Segmente betrieben werden. Labornetzwerke mit angebundenen Messgeräten benötigen ggf. eigene Mikrosegmentierung, um einen Lateral-Move von einem kompromittierten Gerät in das Kernnetz zu verhindern.
• Least-Privilege-Prinzip: Wissenschaftlerinnen und Wissenschaftler erhalten nur Zugriff auf die Daten und Systeme, die sie für ihre Forschungstätigkeit benötigen. Gastkonten für externe Kooperationspartner sollten zeitlich befristet und regelmäßig überprüft werden.

Eine ausführliche Darstellung der technischen und organisatorischen Anforderungen an Zugangskontrolle und Identitätsverwaltung bietet der Leitfaden zur NIS2-Zugangskontrolle.

Compliance-Fahrplan für Forschungseinrichtungen

Der Aufbau einer NIS2-konformen Sicherheitsorganisation lässt sich in der Praxis in sechs Schritten strukturieren:

Schritt 1: Betroffenheitsanalyse und BSI-Registrierung. Prüfen Sie zunächst, ob Ihre Einrichtung die Definition der Forschungseinrichtung nach § 2 Nr. 12 BSIG erfüllt (oder einer anderen Einrichtungsart der Anlagen 1 und 2 zuzuordnen ist), entgeltlich Leistungen anbietet und die Schwellenwerte nach § 28 BSIG erreicht (mindestens 50 Mitarbeitende oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. EUR). Hochschulen sollten zusätzlich das jeweilige Landesrecht prüfen. Ist die Einrichtung erfasst und steht die Registrierung über das BSI-Portal nach § 33 BSIG noch aus, ist diese unverzüglich nachzuholen. Legen Sie dabei aktuelle Kontaktdaten fest (§ 33 Abs. 1 Nr. 2 BSIG) und benennen Sie intern eine verantwortliche Ansprechperson für behördliche Anfragen.

Schritt 2: Informationsverbund und Datenklassifizierung. Erstellen Sie einen vollständigen Inventar aller IT-Systeme, die im Scope der NIS2-Compliance liegen (Verwaltungssysteme, Forschungsdatenbanken, HPC-Infrastruktur, Laborsysteme). Klassifizieren Sie Informationsbestände nach Schutzbedürfnis und legen Sie fest, welche Systeme besonders gesichert werden müssen.

Schritt 3: Risikoanalyse und Sicherheitskonzept. Führen Sie eine strukturierte Risikoanalyse durch, die die spezifischen Bedrohungsszenarien für Ihre Einrichtung berücksichtigt: Wirtschaftsspionage, Ransomware, Insider-Bedrohungen, Schwachstellen in Forschungssoftware. Das Sicherheitskonzept muss alle zehn Maßnahmenbereiche des § 30 Abs. 2 BSIG (Art. 21 Abs. 2 NIS2) adressieren. Als Orientierungsrahmen bietet sich der IT-Grundschutz des BSI an.

Schritt 4: Technische Maßnahmen priorisiert umsetzen. Setzen Sie technische Sofortmaßnahmen mit höchster Wirksamkeit zuerst um: MFA für alle privilegierten Konten, Netzwerksegmentierung (Trennung Gastnetz / Forschungsnetz / Verwaltungsnetz), regelmäßige Backups kritischer Forschungsdaten mit getesteter Wiederherstellung sowie Patch-Management für alle netzgebundenen Systeme.

Schritt 5: Meldeprozesse einrichten. Etablieren Sie einen Incident-Response-Prozess, der die dreistufige Meldepflicht nach § 32 BSIG (frühe Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung spätestens einen Monat nach der Meldung) einhalten kann. Definieren Sie intern, wer bei einem Sicherheitsvorfall zuständig ist und über welchen Kanal die BSI-Meldung erfolgt.

Schritt 6: Governance, Schulungen und kontinuierliche Verbesserung. Die Geschäftsleitung einer erfassten Einrichtung – etwa Vorstand oder Direktorium – ist nach § 38 BSIG (Art. 20 NIS2) verpflichtet, die Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen; bei schuldhafter Pflichtverletzung haftet sie der Einrichtung nach den für die Rechtsform geltenden Regeln. Zudem muss sie regelmäßig an Schulungen teilnehmen. Schulungs- und Sensibilisierungsmaßnahmen für Wissenschaftlerinnen und Wissenschaftler, Doktorandinnen und Doktoranden sowie Verwaltungspersonal gehören ebenfalls zu den Mindestmaßnahmen (§ 30 Abs. 2 Nr. 7 BSIG) und sollten regelmäßig stattfinden. Die Wirksamkeit der Maßnahmen ist regelmäßig durch interne Audits oder externe Prüfungen zu überprüfen.

Häufig gestellte Fragen

Sind alle Universitäten in Deutschland von NIS2 betroffen?

Nein, jedenfalls nicht über das BSI-Gesetz als Forschungseinrichtung. Nach § 2 Nr. 12 BSIG gelten Bildungseinrichtungen nicht als Forschungseinrichtungen, und die Option der Richtlinie, Bildungseinrichtungen einzubeziehen (Art. 2 Abs. 5 lit. b NIS2), wurde im BSIG nicht genutzt. Für staatliche Hochschulen sind in erster Linie die Länder zuständig, die über eigene Vorgaben zur Informationssicherheit entscheiden. Einzelne Bereiche können dennoch erfasst sein, etwa Universitätskliniken als Erbringer von Gesundheitsdienstleistungen (Anlage 1 BSIG) oder rechtlich selbstständige Ausgründungen und Transfergesellschaften. Eine Einzelfallprüfung ist daher sinnvoll.

Werden Forschungseinrichtungen als wichtige oder besonders wichtige Einrichtungen eingestuft?

Erfasste Forschungseinrichtungen sind in der Regel wichtige Einrichtungen, da der Sektor „Forschung“ nur in Anhang II der Richtlinie bzw. Anlage 2 zum BSIG gelistet ist. Eine Einstufung als besonders wichtige Einrichtung kommt in Betracht, wenn eine Organisation zugleich einer Einrichtungsart der Anlage 1 zuzuordnen ist (z. B. Arzneimittelforschung oder Gesundheitsdienstleistungen) und die höheren Schwellenwerte erreicht, oder wenn sie eine kritische Anlage betreibt. Für wichtige Einrichtungen gilt eine anlassbezogene Aufsicht (§ 62 BSIG); die Risikomanagementpflichten nach § 30 BSIG sind für beide Kategorien gleich.

Wie lässt sich die Wissenschaftsfreiheit mit NIS2-Sicherheitspflichten vereinbaren?

NIS2 verlangt verhältnismäßige Maßnahmen auf Basis einer Risikoanalyse – keine flächendeckende Einschränkung des Informationszugangs. Öffentlich zugängliche Forschungsdaten, veröffentlichte Publikationen und Open-Access-Repositorien haben einen geringen Vertraulichkeitsbedarf; hier geht es vor allem um Verfügbarkeit und Integrität. Strengere Schutzmaßnahmen konzentrieren sich auf nicht-öffentliche Forschungsprimärdaten, Verwaltungssysteme und Systeme mit strategisch bedeutsamen Ergebnissen. Eine klare Datenklassifizierungsrichtlinie ist das zentrale Instrument, um Wissenschaftsfreiheit und Sicherheitspflichten zu vermitteln.

Welche Sanktionen drohen Forschungseinrichtungen bei NIS2-Verstößen?

Für wichtige Einrichtungen sehen § 65 Abs. 5 und 7 BSIG für bestimmte Verstöße Bußgelder von bis zu 7 Millionen Euro vor, bei einem Gesamtumsatz von mehr als 500 Millionen Euro bis zu 1,4 Prozent des Gesamtumsatzes; für andere Verstöße gelten niedrigere Obergrenzen. Für Einrichtungen der Bundesverwaltung – etwa Ressortforschungseinrichtungen, die Bundesbehörden sind – findet § 65 BSIG nach § 29 Abs. 2 BSIG keine Anwendung; die Richtlinie überlässt es ohnehin den Mitgliedstaaten, ob und in welchem Umfang gegen Einrichtungen der öffentlichen Verwaltung Geldbußen verhängt werden können (Art. 34 Abs. 7 NIS2). Neben dem Bußgeld drohen Reputationsschäden, die insbesondere für drittmittelabhängige Einrichtungen erheblich sein können.

Dieser Artikel stellt allgemeine Informationen bereit und stellt keine Rechts- oder Regulierungsberatung dar. Die konkreten Anforderungen können je nach Einrichtungstyp, Größe und Forschungsschwerpunkt variieren. Für eine auf Ihre Einrichtung zugeschnittene Einschätzung empfehlen wir die Hinzuziehung eines qualifizierten Rechtsanwalts oder NIS2-Compliance-Spezialisten.

Quellen

1. Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau (NIS-2-Richtlinie) — EUR-Lex, insbesondere Artikel 2, 6 Nr. 41, 21, 34 und Anhänge I und II
2. Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG) in der Fassung des NIS2UmsuCG, insbesondere §§ 2, 28, 29, 30, 32, 33, 38, 62, 65 und Anlagen 1 und 2 — Bundesministerium der Justiz, Gesetze im Internet
3. FAQ zu NIS-2 (u. a. zu Länderzuständigkeit und Bildungseinrichtungen) — Bundesamt für Sicherheit in der Informationstechnik (BSI)
4. Prävention, Wirtschafts- und Wissenschaftsschutz — Bedrohungsszenarien — Bundesamt für Verfassungsschutz (BfV)
5. Cyberabwehr — Akteure und Angriffsmethoden — Bundesamt für Verfassungsschutz (BfV)
6. DUeIT Ausgabe 14 — Rückblick auf den Cyberangriff vom 27.11.2022 — Universität Duisburg-Essen, ZIM