Das NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft. In Deutschland fallen dadurch rund 30.000 Unternehmen unter Pflichten, die vorher nur für einen kleinen Kreis von KRITIS-Betreibern galten – und viele davon wissen bis heute nicht, dass sie dazugehören. Der Check unten ordnet deine Organisation nach § 28 BSIG ein: besonders wichtige Einrichtung, wichtige Einrichtung oder nicht betroffen.
Wichtig zum Zeitpunkt: Die Registrierung beim BSI läuft seit Januar 2026, die reguläre Frist endete im März 2026, die vom BSI eingeräumte Nachfrist Ende Juli 2026. Wer betroffen ist und sich noch nicht registriert hat, ist bereits säumig – das ändert aber nichts daran, dass die Registrierung nachzuholen ist. Aufschieben verschlechtert die Lage nur.
NIS2-Betroffenheit prüfen
Nach § 28 BSIG. Der Check läuft vollständig in deinem Browser – es werden keine Angaben übertragen oder gespeichert.
Dieser Check ist eine Orientierungshilfe, keine Rechtsberatung. Maßgeblich ist die konkrete Einrichtungsart nach Anlage 1 oder 2 BSIG; bei verbundenen Unternehmen und Konzernstrukturen kann die Zuordnung abweichen.
Die beiden Kategorien
Das deutsche Recht kennt zwei Stufen. Beide haben inhaltlich weitgehend dieselben Pflichten – der Unterschied liegt vor allem in der Aufsicht: Besonders wichtige Einrichtungen unterliegen einer proaktiven Kontrolle durch das BSI, wichtige Einrichtungen werden anlassbezogen geprüft.
| Besonders wichtige Einrichtung | Wichtige Einrichtung | |
|---|---|---|
| Sektoren | Anlage 1 (hohe Kritikalität) | Anlage 1 und Anlage 2 |
| Schwelle | ab 250 Beschäftigten oder Umsatz über 50 Mio. € und Bilanzsumme über 43 Mio. € | ab 50 Beschäftigten oder Umsatz und Bilanzsumme jeweils über 10 Mio. € |
| Ohne Größenschwelle | Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, TLD-Registries, DNS-Anbieter | Vertrauensdiensteanbieter |
| Aufsicht | proaktiv durch das BSI | anlassbezogen |
Auf das „und“ in der Größenschwelle kommt es an: Umsatz und Bilanzsumme müssen die Grenze gemeinsam überschreiten. Ein Unternehmen mit 40 Beschäftigten, 12 Mio. € Umsatz und 6 Mio. € Bilanzsumme ist damit nicht erfasst – bei 12 Mio. € Bilanzsumme dagegen schon. Die genaue Formulierung steht in § 28 BSIG.
Was zu tun ist, wenn du betroffen bist
- Registrieren. Über das Meldeportal des BSI. Das ist der formale Akt, der am schnellsten erledigt ist – und der am ehesten auffällt, wenn er fehlt.
- Risikomanagement aufsetzen. § 30 BSIG verlangt angemessene technische und organisatorische Maßnahmen: Risikoanalyse und Sicherheitskonzepte, Vorfallbehandlung, Business Continuity und Backup, Sicherheit der Lieferkette, Sicherheit bei Beschaffung und Entwicklung, Wirksamkeitsbewertung, Cyberhygiene und Schulungen, Kryptografie, Personalsicherheit und Zugriffskontrolle sowie Mehr-Faktor-Authentifizierung.
- Meldewege einrichten. Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen eines Monats. Mustertext für den internen Meldeprozess.
- Geschäftsleitung einbinden. Die Leitung muss die Maßnahmen billigen, ihre Umsetzung überwachen und sich selbst schulen lassen. Diese Pflicht ist nicht delegierbar – anders als die Umsetzung.
Wer die Liste unter Punkt 2 mit dem Aufbau eines ISMS nach ISO 27001 vergleicht, findet fast nur Bekanntes. Das ist die gute Nachricht: NIS2 erfindet keine neuen Sicherheitsmaßnahmen, sondern macht verbindlich, was ohnehin Stand der Praxis ist. Ein bestehendes ISMS deckt den größten Teil der Anforderungen bereits ab.
Aus der Praxis: Der häufigste Fehler ist, mit den technischen Maßnahmen anzufangen, weil sie greifbar wirken. Tatsächlich ist die Registrierung der einzige Punkt mit einem harten Datum, und die Einbindung der Geschäftsleitung der einzige, der sich nicht nachträglich reparieren lässt. Beides kostet Stunden, nicht Monate – und beides wird regelmäßig zuletzt gemacht.
Häufige Fragen
Wir sind nicht betroffen – ist das Thema damit erledigt?
Nein. Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette steuern und geben die Anforderungen vertraglich weiter. In der Praxis kommt NIS2 bei kleineren Zulieferern als Fragebogen, als Klausel im Rahmenvertrag oder als Nachweisforderung an. Ein begründetes „nicht betroffen“ schriftlich festzuhalten, hilft genau in diesen Gesprächen.
Zählen Konzernstrukturen zusammen?
Bei verbundenen Unternehmen kann die Zuordnung von der reinen Einzelbetrachtung abweichen. Der Check oben rechnet mit den Zahlen, die du eingibst – bei Konzernzugehörigkeit lohnt sich eine gesonderte Prüfung.
Brauchen wir eine ISO-27001-Zertifizierung?
Nein, NIS2 verlangt kein Zertifikat. Ein Zertifikat erleichtert allerdings den Nachweis erheblich, weil es die geforderte Wirksamkeitsbewertung bereits dokumentiert. Ob sich die Zertifizierung lohnt, ist eine wirtschaftliche Frage, keine regulatorische.
Was passiert bei Verstößen?
Das BSIG sieht Bußgelder vor, deren Höhe sich nach Kategorie und Umsatz richtet. Praktisch relevanter ist für die meisten Organisationen die persönliche Verantwortung der Geschäftsleitung für Billigung und Überwachung der Maßnahmen.
Nächste Schritte
- Risikobewertung – die Grundlage für angemessene Maßnahmen nach § 30 BSIG
- Meldeprozess für Sicherheitsvorfälle – mit den Fristen 24 h, 72 h und ein Monat
- Richtlinien-Bibliothek – die Dokumente, die § 30 BSIG voraussetzt
- ISMS einführen – Aufwand, Kosten und typische Fehler
- BSI: Informationen für NIS-2-regulierte Unternehmen – die maßgebliche Quelle inklusive Meldeportal