NIS2 für Entsorger und Recyclingbetriebe: betroffen, registriert, nachweisbar
Seit dem 6. Dezember 2025 gilt das NIS2-Umsetzungsgesetz. Unternehmen der Abfallbewirtschaftung stehen ausdrücklich in Anlage 2 des BSI-Gesetzes. Wer ab 50 Beschäftigten oder 10 Mio. € Umsatz und Bilanzsumme arbeitet, ist wichtige Einrichtung: registrieren beim BSI, Risikomanagement nach § 30, erhebliche Vorfälle binnen 24 Stunden melden, Geschäftsleitung haftet und muss sich schulen lassen. Wir klären mit euch, ob ihr betroffen seid, wo ihr steht und was als Nächstes kommt, mit Blick auf Waage, Kameras, Leitstelle und Telematik statt nur auf die Büro-IT.
Termin aussuchen
Mit KI erzeugtes Bild. Mehr zur KI-Transparenz
Worum es geht
Mit dem NIS2-Umsetzungsgesetz hat sich am 6. Dezember 2025 der Kreis der Unternehmen stark erweitert, die Cybersicherheit nachweisen müssen. Die Abfallbewirtschaftung steht seitdem ausdrücklich im BSI-Gesetz, in Anlage 2 als Sektor der wichtigen Einrichtungen. Gemeint ist alles, was § 3 Absatz 14 KrWG zur Abfallbewirtschaftung zählt: Sammeln, Befördern, Verwerten und Beseitigen einschließlich Sortierung, dazu Händler und Makler.
Viele Betriebe der Branche haben das erst spät bemerkt. Die Registrierung beim BSI war bis zum 6. März 2026 fällig, die Nachfrist lief bis zum 31. Juli. Bis dahin hatte sich nach Berichten nur gut ein Drittel der geschätzt betroffenen Unternehmen registriert.
Warum Entsorger anders sind als ein Büro
Die üblichen NIS2-Pakete schauen auf Mailserver, Laptops und Buchhaltung. In einem Entsorgungsbetrieb hängt der Betrieb aber an anderer Technik:
- Waage und Branchensoftware. Steht die Waage, steht die Annahme. Wiegedaten, eANV und Abrechnung laufen oft über eine Branchensoftware mit Fernwartung durch den Hersteller.
- Kameras an Annahme, Kippstelle und Bunker. Videoüberwachung, Wärmebild für die Brandfrüherkennung und zunehmend KI-Bilderkennung. Jede davon ist ein Gerät im Netz mit eigener Firmware.
- Leitstelle und Alarmierung. Wer Brandalarme und Notrufe empfängt, muss auch erreichbar bleiben, wenn die IT ausfällt.
- Fahrzeuge. Telematik, Tourenplanung und Behälteridentifikation verbinden Lkw mit Cloud-Diensten von Herstellern und Dienstleistern.
Genau diese Technik kennen wir aus unseren Projekten in der Branche. Bei der Bestandsaufnahme gehört sie deshalb von Anfang an dazu, und nicht erst, wenn ein Auditor danach fragt.
Betreiber kritischer Anlagen
Die Siedlungsabfallentsorgung ist ein KRITIS-Sektor, und die Schwellen in Anhang 8 der BSI-Kritisverordnung erreicht schon ein mittelgroßes Müllheizkraftwerk. Maßgeblich ist bei Behandlungsanlagen die genehmigte Kapazität, nicht die tatsächliche Auslastung.
| Anlage | Kritisch ab (je Jahr) |
|---|---|
| Thermische, mechanisch-biologische, mechanische Behandlung, Sortierung | 79.500 t genehmigte Kapazität Rest- oder gemischter Gewerbeabfall |
| Sortierung von Leichtverpackungen und Kunststoffen | 18.500 t genehmigte Kapazität |
| Biologische Behandlung | 33.500 t genehmigte Kapazität Bioabfall |
| Disposition von Sammlung und Beförderung | 500.000 angeschlossene Einwohner oder z. B. 79.500 t Restabfall, 32.500 t Altpapier, 12.000 t Glas |
| Lager, Zwischenlager, Umschlag | 79.500 t Zugang Rest- oder gemischter Gewerbeabfall |
Wer darüber liegt, ist nach dem BSI-Gesetz besonders wichtige Einrichtung und hat zusätzliche Pflichten: Maßnahmen über das übliche Schutzniveau hinaus und Systeme zur Angriffserkennung (§ 31 BSIG), außerdem ein Nachweis alle drei Jahre gegenüber dem BSI durch Audits, Prüfungen oder Zertifizierungen (§ 39 BSIG).
Seit dem 17. März 2026 gilt zusätzlich das KRITIS-Dachgesetz. Es nennt die Siedlungsabfallentsorgung ausdrücklich als Sektor (§ 4) und regelt die physische Widerstandsfähigkeit: Registrierung beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe binnen drei Monaten (§ 8), neun Monate danach eine Risikoanalyse, die mindestens alle vier Jahre zu wiederholen ist (§ 12), nach zehn Monaten Resilienzmaßnahmen mit Resilienzplan (§ 13), Meldung von Vorfällen binnen 24 Stunden mit Bericht nach einem Monat (§ 18) und die Verantwortung der Geschäftsleitung (§ 20). Welche Anlagen darunter fallen, legt eine eigene Rechtsverordnung fest (§ 4 Absatz 3, § 5); erst ab ihr laufen diese Fristen. Den aktuellen Stand prüfen wir mit euch im Erstgespräch.
Für Brand, Ausfall und Sabotage auf dem Gelände passt dazu unsere KI-Brandfrüherkennung und die Störstofferkennung im Müllbunker.
Die Pakete
Betroffenheit
kostenlos · im Erstgespräch, etwa 45 Minuten
Das BSI bietet eine kostenlose Online-Betroffenheitsprüfung an. Die gehen wir mit euch gemeinsam durch und schauen auf die Stellen, an denen sie allein nicht weiterhilft:
- Abfallbewirtschaftung als Haupt- oder Nebentätigkeit
- Schwellenwerte mit Blick auf verbundene und Partnerunternehmen
- Anlage 1, wenn ihr zusätzlich Strom oder Fernwärme einspeist
- ob die Registrierung beim BSI schon erledigt ist
Bestandsaufnahme
3.490 € netto bis 100 Beschäftigte · 5.900 € netto bis 500 Beschäftigte · Ergebnis in etwa zwei bis drei Wochen
-
BSI-Registrierung: Unterlagen zusammenstellen und mit euch einreichen, falls sie noch fehlt, dazu die Liste der zuständigen Aufsichtsbehörden
-
Die zehn Mindestbereiche aus § 30 Absatz 2 BSIG, jeweils mit Stand, Lücke und Vorschlag
-
Betriebstechnik ausdrücklich eingeschlossen: Waage, Kameras, Brandfrüherkennung, Leitstelle, Fahrzeugtelematik
-
Liste eurer IT-Dienstleister und Hersteller mit Fernzugang, als Grundlage für die Lieferkette
-
Prioritäten nach Risiko und Aufwand, damit ihr nicht alles gleichzeitig anfangt
Umsetzung
ab 7.900 € netto · je nach Umfang
- Meldeweg für erhebliche Sicherheitsvorfälle: frühe Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung nach einem Monat (§ 32 BSIG), mit Vorlagen und Zuständigkeiten
- Notfall- und Wiederanlaufplan für Annahme, Waage und Leitstelle
- Mehr-Faktor-Anmeldung und Zugriffskonzept für Fernwartung
- Schulung der Geschäftsleitung nach § 38 Absatz 3 BSIG und Sensibilisierung für Disposition, Waage und Fahrer
- Nachweismappe, die zeigt, was wann umgesetzt wurde
Betrieb
590 € netto im Monat · monatlich kündbar
Ein externer Informationssicherheitsbeauftragter ist das nicht. Wenn ihr einen braucht, helfen wir bei der Auswahl.
- Nachweise aktuell halten, wenn Technik, Dienstleister oder Personal wechseln
- Jährliche Prüfung der Wirksamkeit nach § 30 Absatz 2 Nr. 6 BSIG
- Eine Übung des Meldewegs im Jahr
Was ihr danach in der Hand habt
Eine klare Antwort, ob und wie ihr betroffen seid, die erledigte Registrierung und eine Mappe, in der für jeden der zehn Bereiche steht, was gilt. Dazu einen Meldeweg, den jemand kennt, bevor er gebraucht wird.
Wo KI-Systeme bei euch laufen, etwa an der Annahme oder im Kundenservice, binden wir sie in dieselbe Ordnung ein: Freigaben, Protokolle und Updates prüfen wir mit der Update-Schleuse, Angriffe auf Chatbots und Agenten mit dem KI-Pentest.
Was wir nicht machen
- Rechtsberatung. Wir ordnen ein und nennen die Quelle. Die Prüfung eures Einzelfalls gehört zu einer Anwältin oder einem Anwalt.
- Zertifizierung. Eine NIS2-Zertifizierung gibt es nicht. Für ISO 27001 braucht ihr eine akkreditierte Zertifizierungsstelle.
- Rundum-Sicherheitsbetrieb. Ein Sicherheitszentrum rund um die Uhr betreiben wir nicht. Wenn ihr eines braucht, helfen wir bei der Auswahl.
Klingt nach eurem Fall? In 30 Minuten wisst ihr, ob NIS2 für Entsorger und Recyclingbetriebe: betroffen, registriert, nachweisbar passt.
Termin aussuchenHäufige Fragen
Sind Entsorger wirklich von NIS2 betroffen?
Ja, wenn die Abfallbewirtschaftung ihre Hauptwirtschaftstätigkeit ist. Anlage 2 des BSI-Gesetzes nennt als Sektor Nr. 2 die Abfallbewirtschaftung: Unternehmen nach § 3 Absatz 14 KrWG, also Sammlung, Beförderung, Verwertung und Beseitigung von Abfällen einschließlich Sortierung, dazu Händler und Makler. Wichtige Einrichtung ist nach § 28 Absatz 2 BSIG, wer mindestens 50 Beschäftigte hat oder mehr als 10 Mio. € Jahresumsatz und Jahresbilanzsumme. Besonders wichtige Einrichtung seid ihr nach § 28 Absatz 1 BSIG nur in zwei Fällen: wenn ihr eine kritische Anlage betreibt, etwa ein Müllheizkraftwerk oder eine große Sortieranlage über den Schwellen der BSI-Kritisverordnung, oder wenn ihr in einem Sektor aus Anlage 1 tätig seid, zum Beispiel als Einspeiser von Strom oder Fernwärme. Beides klären wir im Erstgespräch mit.
Wir haben uns noch nicht beim BSI registriert. Was jetzt?
Nachholen, und zwar bald. Nach § 33 BSIG gilt eine Frist von drei Monaten ab dem Zeitpunkt, an dem ihr als wichtige Einrichtung geltet. Für alle, die das schon bei Inkrafttreten waren, lief sie am 6. März 2026 ab, die Nachfrist des BSI am 31. Juli 2026. Die Registrierung bleibt möglich. Wer sie nicht, nicht vollständig oder nicht rechtzeitig vornimmt, handelt nach § 65 Absatz 2 Nr. 6 BSIG ordnungswidrig, das Bußgeld kann bis zu 500.000 € betragen. Für die Registrierung braucht ihr Name und Rechtsform, Kontaktdaten einschließlich öffentlicher IP-Adressbereiche, Sektor, die Länder, in denen ihr tätig seid, und die zuständigen Aufsichtsbehörden.
Was müssen wir nach § 30 BSIG konkret umsetzen?
Geeignete, verhältnismäßige und wirksame Maßnahmen in mindestens zehn Bereichen: Risikoanalyse und IT-Sicherheitskonzept, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs mit Backup, Wiederherstellung und Krisenmanagement, Sicherheit der Lieferkette, Sicherheit bei Beschaffung, Entwicklung und Wartung einschließlich Schwachstellen, Prüfung der Wirksamkeit, Schulung, Kryptografie, Personalsicherheit und Zugriffskontrolle, Mehr-Faktor-Anmeldung und gesicherte Kommunikation. Die Einhaltung müsst ihr dokumentieren. Verhältnismäßig heißt: Ein Containerdienst mit 60 Leuten braucht kein Sicherheitszentrum, aber einen Plan.
Was kostet es, wenn wir nichts tun?
Je nach Verstoß sieht § 65 BSIG für wichtige Einrichtungen Bußgelder bis zu 7 Mio. € vor, bei mehr als 500 Mio. € Gesamtumsatz bis zu 1,4 Prozent des weltweiten Umsatzes. Für eine fehlende Registrierung sind es bis zu 500.000 €. Wichtiger für die meisten Betriebe: Die Geschäftsleitung muss die Maßnahmen nach § 38 BSIG umsetzen und überwachen und haftet bei schuldhafter Verletzung nach den Regeln ihrer Rechtsform. Sie muss außerdem regelmäßig an Schulungen teilnehmen.
Seid ihr Rechtsberater oder Zertifizierer?
Nein. Wir sind eine KI- und Automatisierungsagentur mit Schwerpunkt Kreislaufwirtschaft und kennen die Technik in euren Betrieben, von der Waage bis zur Wärmebildkamera am Bunker. Wir ordnen ein, bauen um und dokumentieren. Die rechtliche Prüfung im Einzelfall gehört zu einer Anwältin oder einem Anwalt. Eine NIS2-Zertifizierung gibt es nicht; wer eine ISO-27001-Zertifizierung anstrebt, braucht dafür eine akkreditierte Zertifizierungsstelle.
Ist unser Müllheizkraftwerk oder unsere Sortieranlage KRITIS?
Möglich, die Schwellen sind nicht hoch. Nach Anhang 8 der BSI-Kritisverordnung ist eine Anlage zur thermischen, mechanisch-biologischen oder mechanischen Behandlung oder zur Sortierung von Siedlungsabfällen kritisch ab 79.500 Tonnen genehmigter Kapazität an Rest- oder gemischtem Gewerbeabfall im Jahr, Sortieranlagen für Leichtverpackungen und Kunststoffe ab 18.500 Tonnen, Bioabfallbehandlung ab 33.500 Tonnen. Für die Disposition von Sammlung und Beförderung gelten 500.000 angeschlossene Einwohner oder Mengen wie 79.500 Tonnen Restabfall. Betreiber kritischer Anlagen sind besonders wichtige Einrichtungen, müssen Systeme zur Angriffserkennung einsetzen (§ 31 BSIG) und ihre Maßnahmen alle drei Jahre nachweisen (§ 39 BSIG). Dazu kommt das KRITIS-Dachgesetz mit Pflichten zur physischen Resilienz.
Passt das zu eurem Projekt?
30-Minuten-Erstgespräch — wir hören eurem Use-Case zu und sagen klar, ob NIS2 für Entsorger und Recyclingbetriebe: betroffen, registriert, nachweisbar der richtige Hebel ist oder etwas anderes besser passt.
Termin aussuchen