NIS2 Chemieindustrie: Wer fällt unter Anhang II und REACH?

Ein mittelständischer Lackhersteller in Leverkusen mit 120 Beschäftigten steuert seine Dosieranlage über eine SPS und nimmt Aufträge über ein Webportal an. Der größte Kunde schickt einen Lieferantenfragebogen mit der Zeile: "Bestätigen Sie Ihren NIS2-Status." In der Produktion weiß niemand die Antwort.

Dieses Gespräch führen Sie als IT-Berater oder MSP bald mit vielen Kunden. Für NIS2 in der Chemieindustrie gilt: Chemie ist ein "sonstiger kritischer Sektor" in Anhang II der Richtlinie (EU) 2022/2555, und der Wortlaut ist weiter, als Kunden erwarten.

Was Anhang II Nr. 3 tatsächlich erfasst

Anhang II nennt sieben Sektoren. Nr. 3 lautet "Herstellung, Produktion und Vertrieb von chemischen Stoffen". Der Text verweist auf die REACH-Verordnung (EG) Nr. 1907/2006 und erfasst:

• Unternehmen, die Stoffe herstellen (REACH Artikel 3 Nr. 9);
• Unternehmen, die Stoffe oder Gemische vertreiben (REACH Artikel 3 Nr. 14);
• Unternehmen, die Erzeugnisse aus Stoffen oder Gemischen produzieren (REACH Artikel 3 Nr. 3).

Zwei Gruppen nennt der Text nicht: Importeure und nachgeschaltete Anwender als solche. Wer einen Stoff nur importiert, fällt nicht unter diese Nummer. Ein Formulierer ist nach REACH nachgeschalteter Anwender, doch der Anhang-II-Wortlaut zum Vertrieb von Stoffen oder Gemischen und zur Erzeugnisproduktion kann ihn dennoch erfassen. Schließen Sie einen Mischbetrieb nicht allein anhand von REACH-Etiketten aus.

Beim dritten Punkt dehnt sich der Anwendungsbereich. Hersteller von Kunststoffteilen oder beschichteten Metallwaren können unter Nr. 3 und zugleich unter den Anhang-II-Sektor "Verarbeitendes Gewerbe" fallen. Prüfen Sie beide Einträge, bevor Sie einem Kunden sagen, er sei raus.

Die Größe entscheidet, ob die Richtlinie greift

NIS2 gilt für mittlere und größere Einrichtungen in den genannten Sektoren (Artikel 2 Absatz 1). Mittel heißt: mindestens 50 Beschäftigte oder Umsatz und Bilanzsumme jeweils über 10 Mio. €. Ein Spezialmischer mit 30 Beschäftigten und 6 Mio. € Umsatz liegt darunter, sofern ein Mitgliedstaat nicht kleinere Einrichtungen mit Schlüsselrolle einbezieht (Artikel 2 Absatz 2).

Einrichtungen aus Anhang II sind standardmäßig wichtige Einrichtungen. Sie werden nur dann "besonders wichtig", wenn sie ein weiteres Kriterium aus Artikel 3 erfüllen, etwa durch Tätigkeit in einem Anhang-I-Sektor.

Warum Chemiekunden schwieriger sind, als sie aussehen

Chemiebetriebe liegen an der Grenze zwischen IT und OT. Dosierung, Batch-Prozesse, Tankfüllstandsüberwachung und Sicherheitssysteme hängen am Netz. Unser Leitfaden zur IT/OT-Segmentierung für Hersteller beschreibt die Architektur. Bei Chemie lohnen drei Punkte in der Gap-Analyse besondere Aufmerksamkeit:

1. Ein Asset-Register inklusive OT. Endet das Register bei Laptops und Servern, ist Artikel 21 Absatz 2 Buchstabe i nicht erfüllt.
2. Incident Handling inklusive Prozessauswirkung. Ransomware, die einen Batch-Prozess stoppt, ist ein erheblicher Sicherheitsvorfall mit Folgen über die Daten hinaus.
3. Lieferkette. Artikel 21 Absatz 2 Buchstabe d verlangt Aufmerksamkeit für unmittelbare Lieferanten und Dienstleister. Chemiefirmen hängen an Logistikplattformen, gehostetem ERP und Herstellerfernzugriff auf Anlagen. Siehe Lieferantenverträge nach Artikel 21.

Händler haben ein anderes Profil: ERP, Bestellportale und Lagersysteme. Es gelten dieselben zehn Maßnahmen nach Artikel 21 Absatz 2, auf eine kleinere Angriffsfläche.

Wie hoch die Bußgelder ausfallen

Für wichtige Einrichtungen liegt das Maximum nach Artikel 34 Absatz 5 beim Höheren von 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes. Besonders wichtige Einrichtungen riskieren bis zu 10 Mio. € oder 2 %. Unser Beitrag zu NIS2-Bußgeldern und Geschäftsleiterhaftung erklärt, wie nationale Regime diese Obergrenzen anwenden.

Die deutsche Umsetzung: BSIG und BSI-Registrierung

Das NIS2-Umsetzungsgesetz zur Änderung des BSI-Gesetzes (BSIG) ist am 6. Dezember 2025 ohne Übergangsfrist in Kraft getreten. Chemische Hersteller stehen in Anlage 2 des BSIG (Sektor Chemie) und sind, wenn sie die Größenschwelle erreichen, nach § 28 Absatz 2 Nr. 3 BSIG wichtige Einrichtungen. Daraus folgen Risikomanagementmaßnahmen (§ 30), Meldepflichten gegenüber dem BSI und die Registrierungspflicht beim BSI (§ 33). Das BSI stellt einen kostenlosen Betroffenheitscheck bereit; nutzen Sie ihn als ersten Schritt mit dem Kunden. Für wichtige Einrichtungen drohen Bußgelder bis zu 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes.

Außerhalb Deutschlands ist das Bild uneinheitlich:

• Niederlande: das Cyberbeveiligingswet gilt seit 15. August 2026.
• Italien: das Decreto legislativo 138/2024 gilt seit 16. Oktober 2024; Basismaßnahmen sollen im Oktober 2026 operativ sein.
• Polen: das geänderte KSC-Gesetz ist am 3. April 2026 in Kraft getreten und nimmt die chemische Produktion auf.
• Frankreich und Spanien: die Umsetzung ist nicht abgeschlossen; beide Länder wurden an den Gerichtshof verwiesen.

Das Gesamtbild zeigt die EU-Umsetzungsübersicht.

So grenzen Sie einen Chemiekunden in einer Stunde ab

Gehen Sie vier Fragen der Reihe nach durch:

1. Welche REACH-Rolle hat der Kunde je Produktlinie: Hersteller, Händler, Erzeugnishersteller, nur Importeur oder nachgeschalteter Anwender?
2. In welchen Mitgliedstaaten ist er tätig? Jedes nationale Gesetz hat eigene Registrierungs- und Meldepflichten.
3. Erreicht er die Schwelle für mittlere Unternehmen, oder erfasst ihn eine nationale Regel trotzdem?
4. Welche OT-Systeme steuern Produktion oder Sicherheit, und wer hat Fernzugriff?

Beginnen Sie bei Frage eins. Die meisten Fehler entstehen durch die Annahme, "wir mischen nur" heiße "wir sind raus". Prüfen Sie diese Annahme am Anhang-II-Wortlaut und am nationalen Recht, bevor Sie sie akzeptieren.

Für einen strukturierten Einstieg lassen Sie den Kunden den kostenlosen NIS2Certify Quick Scan durchlaufen. Er liefert eine Readiness-Bewertung, mit der Sie das Gespräch eröffnen.

Fazit: Verlassen Sie sich nicht auf den Sektornamen. Der Anwendungsbereich folgt der REACH-Rolle, der Größe und dem Land, in dieser Reihenfolge.