NIS2 Forschungseinrichtungen: Welche Mandanten fallen unter das BSIG und welche Hochschulen nicht

Ein Start-up aus einer Technischen Universität mit 80 Beschäftigten, ein privates Auftragsforschungslabor und ein Hochschulinstitut nennen sich alle "Forschung". Nach dem NIS2UmsuCG ist nur eines davon sicher im Anwendungsbereich.

Wer forschungsnahe Mandanten berät, fragt nicht "Forschen die?". Die Frage lautet: "Sind sie Forschungseinrichtung im Sinne der Richtlinie, und was hat der deutsche Gesetzgeber hinzugefügt?"

Was NIS2 unter Forschungseinrichtungen versteht

Anhang II der NIS2-Richtlinie nennt Forschungseinrichtungen als Sektor. Einrichtungen in Anhang-II-Sektoren sind wichtige Einrichtungen. Die Aufsicht ist reaktiv: nach Hinweisen oder einem Vorfall, nicht proaktiv.

Die Definition steht in Artikel 6 Nummer 41. Eine Forschungseinrichtung hat als Hauptziel angewandte Forschung oder experimentelle Entwicklung, mit Blick auf die kommerzielle Verwertung der Ergebnisse. Bildungseinrichtungen sind ausdrücklich ausgenommen.

Daraus ergeben sich drei Prüfungen:

• Angewandte Forschung oder experimentelle Entwicklung ist das Hauptziel, keine Nebentätigkeit.
• Die Ergebnisse sollen kommerziell verwertet werden.
• Die Einrichtung ist keine Bildungseinrichtung.

Ein privates F&E-Labor, das Ergebnisse an die Industrie verkauft, erfüllt alle drei. Eine Hochschulfakultät mit einigen Industrieaufträgen nicht, weil die Hochschule insgesamt Bildungseinrichtung ist.

Die Größenschwelle gilt immer

Artikel 2 Absatz 1 wendet die europäische Größenschwelle an. Mittlere Unternehmen und größere sind erfasst: in der Praxis mindestens 50 Beschäftigte oder Umsatz und Bilanzsumme über 10 Mio. €.

Ein Start-up mit 12 Forschenden liegt daher außerhalb, sofern der Mitgliedstaat keine größenunabhängige Regel anwendet. Das ist der erste Filter bei jedem Forschungsmandanten und er streicht mehr Fälle, als die meisten Berater erwarten.

Hochschulen: grundsätzlich draußen, drinnen nur durch nationale Entscheidung

Artikel 2 Absatz 5 erlaubt den Mitgliedstaaten, NIS2 auf Bildungseinrichtungen auszuweiten, insbesondere wenn diese kritische Forschung betreiben. Das ist eine Option, keine Pflicht.

Das Ergebnis ist ein Flickenteppich. Zwei Hochschulen mit identischem Forschungsprogramm können beiderseits einer Grenze unterschiedlichen Pflichten unterliegen. Schließen Sie nie allein aus der Richtlinie auf die Antwort.

Deutschland: NIS2UmsuCG, BSIG und die Forschung

Das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) gilt seit dem 6. Dezember 2025. Zuständige Behörde ist das BSI, das nationale CSIRT ist CERT-Bund.

Forschungseinrichtungen fallen als wichtige Einrichtungen unter § 28 BSIG. Nach sekundären Quellen hat der Bundesgesetzgeber den Anwendungsbereich nicht allgemein auf Hochschulen ausgeweitet. Landesrechtliche Regelungen, etwa in den Hochschulgesetzen, können aber hinzukommen. Prüfen Sie das für das jeweilige Bundesland.

Wer in den Anwendungsbereich fällt, muss sich beim BSI registrieren. Für viele Einrichtungen ist genau das die offene Frist. Siehe dazu auch den Überblick der zehn Maßnahmen nach Artikel 21.

Auch jenseits Deutschlands: was wir verifizieren konnten

Niederlande. Die Cyberbeveiligingswet (Stb. 2026, 187) gilt seit dem 15. August 2026 und erfasst Forschung zu kommerziellen Zwecken. Die Einordnung von Bildungseinrichtungen richtet sich nach dem Fachministerium.

Österreich. Für Mandanten mit Sitz in Österreich gilt das NISG 2026. Prüfen Sie dort getrennt, wie Forschung und Hochschulen eingeordnet werden. Das konnten wir in diesem Lauf nicht verifizieren.

Italien. D.Lgs. 138/2024 geht über die Richtlinie hinaus: Forschungsorganisationen in Anhang II, Forschungseinrichtungen in Anhang III, Bildungseinrichtungen mit Forschung in Anhang IV. Zuständig ist die ACN.

Polen. Das geänderte KSC-Gesetz gilt seit dem 2. April 2026 und nennt wissenschaftliche Forschung als wichtigen Sektor.

Frankreich und Spanien. Die Umsetzung ist noch offen. Der französische Gesetzentwurf wartet auf die Nationalversammlung, in Spanien gilt vorerst weiter Real Decreto-ley 12/2018, und die Kommission hat Klage beim EuGH erhoben.

Was der Status als wichtige Einrichtung praktisch bedeutet

Wichtige Einrichtungen tragen dieselben Risikomanagementpflichten nach Artikel 21 wie besonders wichtige Einrichtungen. Sie müssen erhebliche Sicherheitsvorfälle nach Artikel 23 melden: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen eines Monats.

Der Unterschied liegt in Aufsicht und Bußgeldern. Für wichtige Einrichtungen liegt das Maximum bei 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes, je nachdem, was höher ist. Die Aufsicht erfolgt ex post.

Bei Forschungsmandanten sind die Schwachstellen vorhersehbar: Forschungsdaten und geistiges Eigentum, Zugriffsverwaltung für externe Kooperationspartner und Labor- oder Gerätenetze, die niemand als IT eingestuft hat.

So grenzen Sie einen Forschungsmandanten mit vier Fragen ab

1. Ist Forschung das Hauptziel der Einrichtung? Ist sie zuerst Bildungseinrichtung, prüfen Sie Landesrecht und etwaige Erweiterungen.
2. Ist die Forschung angewandt, mit kommerzieller Verwertung als Ziel? Wenn nicht, scheitert die Definition nach Artikel 6 Nummer 41 voraussichtlich.
3. Erreicht die Einrichtung die Größenschwelle? Unter 50 Beschäftigten und unter 10 Mio. € Umsatz liegt meist kein Anwendungsfall vor.
4. Fügt das nationale Recht etwas hinzu? Halten Sie die Einordnung mit Quelle und Datum fest.

Dokumentieren Sie Antworten und Datum. Beurteilt die Aufsicht später anders, belegt ein datierter Scoping-Vermerk Ihre Sorgfalt. Bei Konzernen in mehreren Ländern entscheiden die Zuständigkeitsregeln nach Artikel 26, welcher Aufsicht Sie gegenüberstehen.

Das Fazit

Grenzen Sie nicht am Wort "Forschung" ab, sondern an Artikel 6 Nummer 41, der Größenschwelle und dem nationalen Gesetz, in dieser Reihenfolge.

Schnell zu Belegen kommen Sie mit einer Readiness-Bewertung pro Mandant, deren Ergebnis Sie ablegen. Starten Sie einen Quick Scan bei NIS2Certify, um zu sehen, wo die Compliance-Lage eines Forschungsmandanten gegenüber Artikel 21 steht.

Dieser Artikel ist allgemeine Information, keine Rechtsberatung. Prüfen Sie den Anwendungsbereich am nationalen Recht und an der Aufsichtsbehörde Ihres Mandanten.