NIS2 Raumfahrt: Welche Bodeninfrastruktur unter das BSIG fällt

Das Kontrollzentrum eines Satellitenbetreibers liegt in einem Gewerbegebiet am Rand einer deutschen Mittelstadt. Vierzig Mitarbeitende, ein gemietetes Antennenfeld und ein IT-Dienstleister, der seit sechs Jahren Domänenadmin-Rechte hat. Der Satellit im Orbit liegt außerhalb von NIS2. Der Raum, von dem aus er gesteuert wird, nicht.

Genau hier irren sich Berater. Der Sektor Raumfahrt unter NIS2 ist eng gefasst, und das meiste, was man gemeinhin "Raumfahrt" nennt, fällt nicht darunter.

Was NIS2 für die Raumfahrt tatsächlich erfasst

Anhang I Nummer 11 der Richtlinie (EU) 2022/2555 nennt genau eine Einrichtungsart: Betreiber von Bodeninfrastrukturen, die sich im Eigentum von Mitgliedstaaten oder privaten Parteien befinden und von diesen verwaltet und betrieben werden und die die Erbringung weltraumgestützter Dienste unterstützen. Anbieter öffentlicher elektronischer Kommunikationsnetze sind ausgenommen. Sie gehören zum Sektor digitale Infrastruktur.

Erwägungsgrund 37 erklärt die Logik. Die Richtlinie deckt die Raumfahrt nur ab, soweit Dienste von Bodeninfrastruktur abhängen. Die Raumfahrzeuge selbst werden nicht reguliert.

In der Praxis bedeutet das das Bodensegment:

• Bodenstationen und Antennenstandorte
• Missionskontrolle und Satellitenbetriebszentren
• Telemetrie-, Bahnverfolgungs- und Kommandoanlagen (TT&C)
• Gateway-Standorte und eigene Datenverarbeitungszentren für Nutzlastdaten

Satellitenhersteller, Startdienstleister und Objekte im Orbit gehören nicht zu dieser Einrichtungsart. Ein Hersteller kann über einen anderen Sektor aus Anhang II dennoch betroffen sein, das ist aber eine eigene Frage.

Größe und Einstufung: besonders wichtig oder wichtig

Es gilt die allgemeine Größenschwelle aus Artikel 2 Absatz 1. Mittlere Unternehmen und größer fallen in den Anwendungsbereich. Kleine und Kleinstunternehmen nicht, es sei denn, nationales Recht oder Artikel 2 Absatz 2 ziehen sie hinein.

Raumfahrt steht in Anhang I. Ein großer Betreiber ist eine besonders wichtige Einrichtung (Artikel 3 Absatz 1), ein mittlerer eine wichtige Einrichtung. Das bestimmt die Aufsicht: Bei besonders wichtigen Einrichtungen prüft die Behörde proaktiv, bei wichtigen vor allem reaktiv nach einem Vorfall oder Hinweis.

Viele Raumfahrtunternehmen sind klein. Eine Bodenstation mit 30 Beschäftigten liegt in der Regel unter der Schwelle. Gehört dasselbe Unternehmen zu einer Gruppe, die die Schwellenwerte überschreitet, und teilt es sich das Netz, kann das anders aussehen. Prüfen Sie die Konzernstruktur, bevor Sie einem Kunden Entwarnung geben.

Die Pflichten sind das NIS2-Standardpaket

NIS2 kennt keine eigenen Raumfahrtregeln. Ein Betreiber im Anwendungsbereich schuldet dieselben Maßnahmen nach Artikel 21 wie jede andere Einrichtung: Risikoanalyse, Vorfallbewältigung, Business Continuity, Lieferkettensicherheit, sichere Entwicklung, Zugriffskontrolle, Kryptografie und MFA.

Drei Punkte verdienen bei diesem Kundentyp besondere Aufmerksamkeit:

• Zugriffskontrolle auf Kommandostrecken. TT&C-Uplinks sind das wertvollste Ziel. Privilegierter Zugriff auf Kommandosysteme braucht phishingresistente MFA und Sitzungsprotokollierung.
• Lieferantenkonzentration. Antennenzeit, Cloud-Verarbeitung und Managed IT kommen oft von zwei oder drei Anbietern. Artikel 21 Absatz 2 Buchstabe d verlangt, jeden davon zu bewerten.
• OT-ähnliche Systeme. Antennensteuerung und Planungssysteme laufen auf alter Software. Segmentierung zählt hier mehr als Patch-Tempo.

Die Meldung von Vorfällen folgt Artikel 23: Frühwarnung innerhalb von 24 Stunden, Vorfallmeldung innerhalb von 72 Stunden, Abschlussbericht nach einem Monat. Unser Leitfaden zu den Meldefristen erklärt den Ablauf.

Welche Behörde einen Raumfahrtbetreiber beaufsichtigt

In Deutschland ist das Bundesamt für Sicherheit in der Informationstechnik (BSI) die zuständige Aufsichtsbehörde. Raumfahrtagenturen wie die Deutsche Raumfahrtagentur im DLR sind politische Ansprechpartner, keine NIS2-Aufsicht. Die ESA ist eine zwischenstaatliche Organisation ohne NIS2-Aufsichtsrolle.

Nach Artikel 26 Absatz 1 unterliegt ein Raumfahrtbetreiber dem Mitgliedstaat, in dem er niedergelassen ist. Wer Bodenstandorte in mehreren Ländern betreibt, kann deshalb mehreren Aufsichtsbehörden unterstehen. Unser Beitrag dazu, welche Behörde Ihren Kunden beaufsichtigt, erklärt die Regeln. Die Registrierung ist in den meisten Ländern eine eigene Pflicht, lesen Sie auch die Übersicht der Registrierungsfristen.

Deutschland: NIS2UmsuCG seit dem 6. Dezember 2025

Deutschland hat NIS2 mit dem NIS2UmsuCG (BGBl. 2025 I Nr. 301) umgesetzt, das am 6. Dezember 2025 ohne Übergangsfrist in Kraft trat. Der Sektor Raumfahrt steht im BSIG in Anlage 1 Nummer 11 und übernimmt den Wortlaut des Anhangs I ohne deutsche Erweiterung. Die Registrierung beim BSI läuft zweistufig: erst Zugang über das Mein Unternehmenskonto (ELSTER-Organisationszertifikat), dann das BSI-Registrierungsportal.

Für Kunden mit Standorten im Ausland: Polen wendet das geänderte KSC-Gesetz seit 3. April 2026 an (Registrierungsfrist 3. Oktober 2026), Italien das D.Lgs. 138/2024 seit Oktober 2024, die Niederlande das Cyberbeveiligingswet seit 15. August 2026. Frankreich und Spanien haben die Umsetzung nicht abgeschlossen. Die Kommission kündigte am 8. Juli 2026 an, beide vor den Gerichtshof zu bringen.

Der EU Space Act könnte die Cyberregeln für Raumfahrt neu schreiben

Die Kommission hat den EU Space Act am 25. Juni 2025 vorgeschlagen (COM(2025) 335 final). Es ist ein Vorschlag, kein Gesetz. Die drei Organe sind sich über das Verhältnis zu NIS2 uneinig.

Die Kommission will den Space Act als lex specialis. Für NIS2-Einrichtungen würde sein Cybersicherheitskapitel die allgemeinen Pflichten nach Artikel 21 ersetzen, einschließlich bedrohungsgeleiteter Penetrationstests vor dem Start und mindestens alle drei Jahre sowie einer Frühwarnung innerhalb von 12 Stunden für Unionsgüter.

Der Kompromisstext des Rates geht in die andere Richtung. NIS2-Einrichtungen bleiben bei NIS2, die Space-Act-Pflichten gelten vor allem für Betreiber außerhalb von NIS2, etwa kleine und Drittstaatsbetreiber. Der Berichtsentwurf des ITRE-Ausschusses des Europäischen Parlaments (März 2026) lehnt ein eigenes Regime ab und will Raumfahrttätigkeiten in NIS2 selbst aufnehmen.

Die Trilog-Verhandlungen haben noch nicht begonnen. Eine Kanzleianalyse rechnet nicht vor Ende 2027 mit einer Verabschiedung und um 2030 mit der Anwendung. Bauen Sie kein Kundenprogramm auf einen Vorschlag. Bauen Sie auf NIS2 und beobachten Sie den Space Act.

Was Sie mit einem raumfahrtnahen Kunden tun

Beginnen Sie mit dem Scoping, nicht mit Maßnahmen. Drei Fragen: Betreibt der Kunde Bodeninfrastruktur, die weltraumgestützte Dienste unterstützt? Erreicht er die Größenschwelle inklusive Konzern? Ist er Anbieter elektronischer Kommunikation?

Lautet die Antwort ja, ja, nein, ist der Kunde im Anwendungsbereich. Erfassen Sie das Bodensegment als Asset-Inventar und führen Sie dann eine Gap-Analyse gegen Artikel 21 durch, beginnend mit TT&C und Kommandozugriff. Für eine Ausgangslage vor dem ersten Kundentermin nutzen Sie den NIS2Certify Quick Scan.

Der Space Act dauert Jahre. Die Registrierungs-, Melde- und Nachweispflichten nach dem BSIG gelten jetzt.