NIS2: Sind Sie betroffen? Prüfung in 10 Minuten

Was gilt seit dem NIS-2-Umsetzungsgesetz?

Die EU-Richtlinie NIS2 soll die Cybersicherheit in wichtigen Wirtschaftszweigen erhöhen. In Deutschland ist sie durch das NIS-2-Umsetzungsgesetz umgesetzt, amtlich „Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung“, verkündet am 5. Dezember 2025 im Bundesgesetzblatt (BGBl. 2025 I Nr. 301). Sein Kern ist ein neu gefasstes BSI-Gesetz (BSIG), das seit dem 6. Dezember 2025 in Kraft ist.

Das BSIG unterscheidet zwei Gruppen: besonders wichtige Einrichtungen und wichtige Einrichtungen. Beide müssen sich beim BSI registrieren, Sicherheitsvorfälle melden und Risikomanagementmaßnahmen umsetzen. Für die Registrierung nennt § 33 BSIG keinen festen Stichtag, sondern eine Frist: spätestens drei Monate, nachdem ein Betrieb erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gilt. Für Betriebe, die schon mit dem Inkrafttreten am 6. Dezember 2025 als Einrichtung galten, begann die Frist an diesem Tag.

Wie prüfen Sie, ob Ihr Betrieb unter NIS2 fällt?

Die Prüfung der NIS2-Betroffenheit folgt immer derselben Logik: erst die Art der Tätigkeit, dann die Größe, dann die Sonderfälle. Mit diesen fünf Schritten kommen Sie in wenigen Minuten zu einer belastbaren ersten Einschätzung:

1. 01

   Einrichtungsart bestimmen

   Prüfen Sie, ob Ihr Betrieb eine der Einrichtungsarten aus Anlage 1 oder 2 des BSIG ausübt und diese Waren oder Dienstleistungen entgeltlich anbietet. Geschäftstätigkeiten, die im Verhältnis zum Gesamtgeschäft vernachlässigbar sind, dürfen dabei unberücksichtigt bleiben.

2. 02

   Größe ermitteln

   Maßgeblich sind Mitarbeiterzahl, Jahresumsatz und Jahresbilanzsumme des gesamten Unternehmens einschließlich verbundener Unternehmen. Die untere Schwelle: mindestens 50 Mitarbeiter oder Jahresumsatz und Jahresbilanzsumme jeweils über 10 Millionen Euro.

3. 03

   Sonderfälle prüfen

   Einige Einrichtungen sind unabhängig von der Größe erfasst, zum Beispiel Betreiber kritischer Anlagen, Vertrauensdiensteanbieter und DNS-Diensteanbieter.

4. 04

   Einstufen

   Aus Einrichtungsart und Größe ergibt sich, ob Ihr Betrieb wichtige Einrichtung, besonders wichtige Einrichtung oder keines von beidem ist.

5. 05

   Gegenprüfen und registrieren

   Gleichen Sie Ihr Ergebnis mit der NIS-2-Betroffenheitsprüfung des BSI ab. Sind Sie betroffen, registrieren Sie sich im BSI-Portal.

Dieser Artikel ist eine technisch-praktische Orientierung und ersetzt keine Rechtsberatung. Auch die Online-Prüfung des BSI ist nur eine Orientierungshilfe. Bleiben Zweifel, etwa bei Unternehmensgruppen oder gemischten Geschäftsfeldern, empfiehlt das BSI juristische Unterstützung — in der Praxis also die Prüfung durch einen Rechtsanwalt.

Welche Sektoren erfasst NIS2?

Welche Tätigkeiten erfasst sind, legen die Anlagen 1 und 2 des BSIG abschließend fest. Einrichtungsarten aus Anlage 1 können wichtige oder besonders wichtige Einrichtung sein, Einrichtungsarten aus Anlage 2 nur wichtige Einrichtung. Die vollständigen Listen stehen in Anlage 1 und Anlage 2 des BSIG.

Einzelhandel, Bau- und Ausbaugewerbe, Beratung oder Gastronomie kommen in den Anlagen nicht vor. Ein Betrieb, der ausschließlich in solchen Bereichen tätig ist, ist nicht unmittelbar betroffen, egal wie groß er ist — sofern kein Sonderfall vorliegt. Genau hinsehen sollten dagegen Hersteller im verarbeitenden Gewerbe, Lebensmittelbetriebe in Großhandel und industrieller Verarbeitung, Entsorger und Kurierdienste.

Ein Sonderfall für die eigene Branche: IT-Dienstleister, die Systeme ihrer Kunden verwalten, können als Managed Services Provider unter Anlage 1 fallen. Wer dagegen nur Anwendersupport ohne technischen Zugriff auf Anwendungs- oder Systemebene leistet, ist nach den FAQ des BSI kein Managed Services Provider.

Welche Schwellenwerte gelten für Beschäftigte, Umsatz und Bilanzsumme?

Gezählt wird nicht nach Köpfen, sondern nach Jahresarbeitseinheiten. So gibt es die KMU-Empfehlung der EU-Kommission (2003/361/EG) vor, auf die § 28 Abs. 4 BSIG verweist. Das BSI erläutert in seinen FAQ: Teilzeitkräfte und Saisonarbeit zählen anteilig, Auszubildende zählen nicht, Zeiten von Mutterschutz und Elternzeit ebenfalls nicht. Mitarbeitende Eigentümer zählen mit.

Rechenbeispiel mit Annahmen: Ein Maschinenbaubetrieb ohne Unternehmensgruppe hat das ganze Jahr über 40 Vollzeitkräfte, 16 Teilzeitkräfte mit halber Stelle und 6 Auszubildende. Das ergibt 40 + 16 × 0,5 = 48 Jahresarbeitseinheiten; die Auszubildenden zählen nicht. Obwohl 62 Personen im Betrieb arbeiten, liegt er damit unter der Schwelle von 50. Betroffen wäre er dann nur, wenn Jahresumsatz und Jahresbilanzsumme beide über 10 Millionen Euro liegen. Setzen Sie Ihre eigenen Werte ein.

Zwei weitere Regeln können das Ergebnis verschieben. Erstens werden die Zahlen von Partner- und verbundenen Unternehmen im Sinne der KMU-Empfehlung hinzugerechnet, verbundene Unternehmen auch dann, wenn sie außerhalb der EU sitzen; eine Ausnahme gilt nur, wenn Ihr Betrieb bei Beschaffenheit und Betrieb seiner IT von ihnen unabhängig ist. Zweitens ändert ein einzelnes starkes oder schwaches Geschäftsjahr die Einstufung nicht: Die Größenklasse wechselt nach der KMU-Empfehlung erst, wenn die Schwelle in zwei aufeinanderfolgenden Geschäftsjahren über- oder unterschritten wird.

Welche Einrichtungen sind unabhängig von der Größe betroffen?

Für einige Geschäftsmodelle spielt die Größe keine oder eine eigene Rolle. § 28 BSIG nennt:

• Betreiber kritischer Anlagen: immer besonders wichtige Einrichtung.
• Qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries und DNS-Diensteanbieter: immer besonders wichtige Einrichtung.
• Andere Vertrauensdiensteanbieter: immer wichtige Einrichtung.
• Öffentliche Telekommunikation: Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze sind ab 50 Mitarbeitern oder jeweils über 10 Millionen Euro Umsatz und Bilanzsumme besonders wichtig, darunter wichtig.

Diese Sonderfälle betreffen spezielle Geschäftsmodelle. Wer etwa DNS-Dienste für Dritte anbietet oder ein öffentliches Telekommunikationsnetz betreibt, ist erfasst, auch wenn er nur wenige Mitarbeiter hat.

Welche Pflichten haben betroffene Einrichtungen?

• Registrierung (§ 33 BSIG): spätestens drei Monate, nachdem der Betrieb erstmals oder erneut als Einrichtung gilt. Anzugeben sind unter anderem Name, Rechtsform, Kontaktdaten, öffentliche IP-Adressbereiche und Sektor; Änderungen sind unverzüglich, spätestens binnen zwei Wochen mitzuteilen. Registriert wird im BSI-Portal mit einem ELSTER-Organisationszertifikat aus „Mein Unternehmenskonto“.
• Risikomanagementmaßnahmen (§ 30 BSIG): mindestens zehn Bereiche, darunter Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Backup-Management und Wiederherstellung, Sicherheit der Lieferkette, Schulungen, Zugriffskontrolle und Multi-Faktor-Authentifizierung. Die Umsetzung muss dokumentiert werden.
• Meldepflichten (§ 32 BSIG): ein erheblicher Sicherheitsvorfall als frühe Erstmeldung spätestens 24 Stunden nach Kenntnis, als Meldung spätestens nach 72 Stunden und als Abschlussmeldung spätestens einen Monat danach.
• Geschäftsleitung (§ 38 BSIG): Sie muss die Maßnahmen umsetzen und ihre Umsetzung überwachen, haftet bei schuldhafter Pflichtverletzung nach Gesellschaftsrecht und muss regelmäßig an Schulungen teilnehmen.

Verstöße sind bußgeldbewehrt. Wer die Registrierung versäumt, riskiert nach § 65 BSIG eine Geldbuße bis zu 500.000 €. Bei Verstößen gegen die Pflichten zu Risikomanagement, Dokumentation und Meldung reicht der Rahmen bis zu 7 Millionen € für wichtige und bis zu 10 Millionen € für besonders wichtige Einrichtungen, bei Unternehmen mit mehr als 500 Millionen € weltweitem Gesamtumsatz bis zu 1,4 beziehungsweise 2 Prozent dieses Umsatzes.

Als Nachweis nennt das BSI in seinen FAQ unter anderem interne Dokumentation und Berichte, Zertifizierungen nach ISO/IEC 27001 oder IT-Grundschutz, Schulungsnachweise und Auditberichte. Zwei der zehn Pflichtbereiche beschreiben der Ratgeber zum Backup-Konzept nach 3-2-1 und der Notfallplan für die ersten 24 Stunden nach einem Ransomware-Angriff. Wie wir Betriebe mit solchen Nachweispflichten technisch betreuen, steht auf der Seite zur IT-Betreuung.

Was bedeutet NIS2 für Betriebe, die nicht selbst betroffen sind?

Auch wer nicht unter NIS2 fällt, kann die Anforderungen über Kunden zu spüren bekommen. Betroffene Einrichtungen müssen nach § 30 BSIG die Sicherheit ihrer Lieferkette sicherstellen, einschließlich der Beziehungen zu unmittelbaren Anbietern und Dienstleistern. Das BSI weist in seinen FAQ ausdrücklich darauf hin, dass sich das mittelbar auf nicht betroffene Unternehmen auswirken kann. Die Gesetzesbegründung nennt als Beispiel vertragliche Vereinbarungen mit Zulieferern und Dienstleistern zu Risikomanagementmaßnahmen und zur Bewältigung von Sicherheitsvorfällen.

Praktisch zeigt sich das in Fragebögen zur IT-Sicherheit, in Vertragsklauseln zu Meldewegen und in der Bitte um Nachweise zu Datensicherung und Zugangsschutz. Für kleinere Zulieferer kann dieser mittelbare Effekt wichtiger sein als das Gesetz selbst. Wer eine Cyberversicherung abgeschlossen hat, kennt viele dieser Fragen bereits aus dem Antrag; welche das sind, beschreibt der Ratgeber Cyberversicherung: Welche IT-Maßnahmen Versicherer voraussetzen.