NIS2: Betroffenheit in acht Fragen

NIS2 gilt in Deutschland seit dem 6. Dezember 2025

Das Gesetz zur Umsetzung der NIS-2-Richtlinie (NIS2UmsuCG) wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet (BGBl. 2025 I Nr. 301) und ist am Tag danach, dem 6. Dezember 2025, in Kraft getreten. Kern ist das neu gefasste BSI-Gesetz (BSIG). Es nennt zwei Gruppen von Unternehmen: besonders wichtige Einrichtungen und wichtige Einrichtungen. Wer dazu gehört, muss sich beim BSI registrieren, Risikomanagementmaßnahmen umsetzen und erhebliche Sicherheitsvorfälle melden. Die Geschäftsleitung trägt die Verantwortung persönlich.

Ob ein Unternehmen betroffen ist, entscheidet sich in zwei Schritten: Erstens muss es einer Einrichtungsart aus Anlage 1 oder Anlage 2 des BSIG zuzuordnen sein. Zweitens muss es die Größenschwellen des § 28 BSIG erreichen. Einige Einrichtungsarten sind unabhängig von der Größe erfasst, etwa Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter und DNS-Diensteanbieter.

Schritt 1: Gehört Ihre Tätigkeit zu einem erfassten Sektor?

Anlage 1 BSIG (Sektoren besonders wichtiger und wichtiger Einrichtungen) umfasst Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser (Trinkwasser und Abwasser), digitale Infrastruktur und Weltraum. Anlage 2 (Sektoren wichtiger Einrichtungen) umfasst Post- und Kurierdienste, Abfallbewirtschaftung, chemische Stoffe, Lebensmittel, das verarbeitende Gewerbe (unter anderem Medizinprodukte, Elektronik und Optik, elektrische Ausrüstungen, Maschinenbau, Fahrzeugbau), Anbieter digitaler Dienste und Forschung. Entscheidend ist die konkrete Einrichtungsart in der Anlage, nicht die Branchenbezeichnung im Handelsregister. Tätigkeiten, die im Verhältnis zum Gesamtgeschäft vernachlässigbar sind, bleiben nach § 28 Absatz 3 BSIG außer Betracht.

Schritt 2: Erreichen Sie die Größenschwellen?

• Wichtige Einrichtung (§ 28 Absatz 2 BSIG): Einrichtungsart aus Anlage 1 oder 2 und mindestens 50 Mitarbeitende, oder Jahresumsatz und Jahresbilanzsumme jeweils über 10 Millionen Euro.
• Besonders wichtige Einrichtung (§ 28 Absatz 1 BSIG): Einrichtungsart aus Anlage 1 und mindestens 250 Mitarbeitende, oder Jahresumsatz über 50 Millionen Euro und zugleich Jahresbilanzsumme über 43 Millionen Euro.
• Verbundene Unternehmen: Mitarbeitende, Umsatz und Bilanzsumme werden nach der EU-KMU-Empfehlung 2003/361/EG ermittelt. Partner- und verbundene Unternehmen zählen mit, es sei denn, Ihre IT ist von ihnen unabhängig (§ 28 Absatz 4 BSIG). Eine Tochtergesellschaft mit 30 Mitarbeitenden kann deshalb betroffen sein.

Der Selbsttest: Acht Fragen

Beantworten Sie jede Frage mit Ja oder Nein und zählen Sie die Ja-Antworten.

1. Erbringt Ihr Unternehmen Leistungen in einem der oben genannten Sektoren aus Anlage 1 oder Anlage 2 des BSIG, und zwar als nennenswerter Teil des Geschäfts?
2. Beschäftigt Ihr Unternehmen mindestens 50 Mitarbeitende (Vollzeitäquivalente, einschließlich verbundener Unternehmen mit gemeinsamer IT)?
3. Liegen Jahresumsatz und Jahresbilanzsumme jeweils über 10 Millionen Euro?
4. Gehört Ihr Unternehmen zu einem Konzern oder einer Gruppe, mit der Sie IT-Systeme, Netzwerke oder Administratoren teilen?
5. Betreiben Sie eine Anlage, die nach der BSI-Kritisverordnung als kritische Anlage gilt (zum Beispiel in Energie, Wasser, Gesundheit, Ernährung, Transport)?
6. Bieten Sie digitale Dienste für andere Unternehmen an, etwa Rechenzentrums-, Cloud-, Managed-Service- oder Managed-Security-Leistungen, Online-Marktplätze oder Suchmaschinen?
7. Haben Kunden, Versicherer oder Banken Sie in den letzten zwölf Monaten nach NIS2, ISO 27001 oder Sicherheitsnachweisen gefragt?
8. Erbringen Sie Dienste in mehreren EU-Mitgliedstaaten oder haben Sie dort Niederlassungen?

So lesen Sie das Ergebnis

• Frage 1 mit Ja und dazu Frage 2 oder 3 mit Ja: Ihr Unternehmen ist wahrscheinlich eine wichtige oder besonders wichtige Einrichtung. Lassen Sie die Einordnung prüfen und planen Sie die Registrierung.
• Frage 5 oder 6 mit Ja: Für diese Einrichtungsarten gelten teilweise eigene Regeln ohne oder mit abweichenden Größenschwellen. Eine Prüfung ist auch unterhalb von 50 Mitarbeitenden sinnvoll.
• Frage 1 mit Nein, aber Frage 4 oder 7 mit Ja: Sie sind möglicherweise mittelbar betroffen, als Teil einer Gruppe oder als Lieferant einer regulierten Einrichtung, die nach § 30 Absatz 2 Nummer 4 BSIG ihre Lieferkette absichern muss. Rechnen Sie mit Nachweisanforderungen Ihrer Kunden.
• Alle Fragen mit Nein: Eine Betroffenheit ist nach den Grundregeln unwahrscheinlich. Ausnahmen bestehen für einzelne Einrichtungsarten.

Der Selbsttest ist eine Orientierung, keine rechtliche Einordnung. Das BSIG kennt Ausnahmen (zum Beispiel für Telekommunikation, Energieversorgungsnetze, Finanzunternehmen unter DORA und die Telematikinfrastruktur, § 28 Absatz 5 und 6 BSIG) und Sonderfälle bei verbundenen Unternehmen. Auch das BSI bezeichnet seine eigene Online-Betroffenheitsprüfung als unverbindlich.

Welche Pflichten gelten, wenn Sie betroffen sind

• Registrierung (§ 33 BSIG): spätestens drei Monate, nachdem das Unternehmen erstmals als Einrichtung gilt, über das BSI-Portal mit ELSTER-Organisationszertifikat. Für Unternehmen, die seit dem 6. Dezember 2025 betroffen sind, ist diese Frist abgelaufen; das BSI ruft dazu auf, die Registrierung umgehend nachzuholen.
• Risikomanagementmaßnahmen (§ 30 BSIG): geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, dokumentiert, mit mindestens zehn Themenfeldern, darunter Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Backup und Wiederherstellung, Sicherheit der Lieferkette, Schwachstellenmanagement, Schulungen, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung.
• Meldepflichten (§ 32 BSIG): erhebliche Sicherheitsvorfälle an das BSI, frühe Erstmeldung innerhalb von 24 Stunden, Meldung mit Bewertung innerhalb von 72 Stunden, Abschlussmeldung spätestens einen Monat später.
• Pflichten der Geschäftsleitung (§ 38 BSIG): Die Geschäftsleitung muss die Maßnahmen umsetzen und überwachen, haftet der Einrichtung bei schuldhafter Pflichtverletzung nach den Regeln des Gesellschaftsrechts und muss regelmäßig an Schulungen teilnehmen.
• Bußgelder (§ 65 BSIG): bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Umsatzes bei besonders wichtigen Einrichtungen, bis zu 7 Millionen Euro oder 1,4 Prozent bei wichtigen Einrichtungen.

Was Sie jetzt tun sollten

1. Einordnung schriftlich festhalten: Einrichtungsart, Kennzahlen der letzten zwei Geschäftsjahre, verbundene Unternehmen. Das Ergebnis brauchen Sie auch dann, wenn Sie nicht betroffen sind, weil Kunden danach fragen.
2. Wenn wahrscheinlich betroffen: Registrierung beim BSI vorbereiten und die Geschäftsleitung informieren.
3. Den Ist-Zustand gegen die zehn Themenfelder des § 30 BSIG prüfen und die Lücken nach Risiko ordnen.
4. Meldewege festlegen: Wer erkennt einen Vorfall, wer entscheidet, wer meldet innerhalb von 24 Stunden?

Unser Angebot: In der NIS2-Gap-Analyse (ab 2.490 EUR netto) prüfen wir Ihre Betroffenheit, bewerten den Ist-Zustand gegen § 30 BSIG und liefern einen priorisierten Maßnahmenplan. Vorab klären wir in einem unverbindlichen Erstgespräch, ob die Analyse für Sie sinnvoll ist. Telefon Mo bis Fr 8 bis 18 Uhr: 069 66366630.

Rechtsstand 18.10.2026. Quellen: BGBl. 2025 I Nr. 301 (recht.bund.de), BSIG in der Fassung vom 2. Dezember 2025 (gesetze-im-internet.de/bsig_2025), BSI-Seiten zu NIS-2 (bsi.bund.de). Dieser Beitrag ist keine Rechtsberatung.