Bin ich von NIS2 betroffen? So prüfen Sie es

Von NIS2 betroffen ist Ihr Unternehmen, wenn es in einem Sektor aus Anlage 1 oder 2 des BSIG tätig ist und mindestens 50 Mitarbeiter beschäftigt oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro hat. Zu diesen Sektoren gehören unter anderem Energie, Transport und Verkehr, Gesundheit, Wasser, digitale Infrastruktur, Lebensmittel und das verarbeitende Gewerbe. Unabhängig von der Größe betroffen sind Betreiber kritischer Anlagen, Vertrauensdiensteanbieter, TLD-Registries und DNS-Diensteanbieter (§28 Abs. 1 und 2 BSIG). In Deutschland trifft das rund 29.500 Einrichtungen; die Pflichten gelten seit Dezember 2025 ohne Übergangsfrist. Ob Ihr Unternehmen dazugehört, klärt die kostenlose NIS2-Betroffenheitsprüfung in unter einer Minute, ohne Registrierung. Wie Sie danach vorgehen, beschreibt die Seite NIS2 für Einsteiger.

Wer ist von NIS2 betroffen?

Das NIS2UmsuCG definiert in §28 BSIG, welche Unternehmen als „besonders wichtige" oder „wichtige" Einrichtungen gelten. Maßgeblich sind der Sektor (Anlage 1 und 2 des BSIG) und die Unternehmensgröße. Im Vergleich zum bisherigen IT-Sicherheitsgesetz steigt die Zahl regulierter Einrichtungen von rund 4.500 auf 29.500 — ein Anstieg um über 550 Prozent.

Warum gibt es ein eigenes deutsches Gesetz?

Die EU-Richtlinie NIS2 (2022/2555) verpflichtet alle Mitgliedstaaten, nationale Umsetzungsgesetze zu erlassen. In Deutschland ist das Ergebnis das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG). Es wurde am 13. November 2025 vom Bundestag verabschiedet und trat am 6. Dezember 2025 in Kraft (BGBl. I Nr. 301).

Das Gesetz sieht keine Übergangsfrist vor. Alle Pflichten gelten seit Inkrafttreten sofort.

Welche Norm bestimmt, ob ein Unternehmen betroffen ist?

Die zentrale Vorschrift ist §28 BSIG. Dort wird geregelt, welche Einrichtungen als „besonders wichtig" (Absatz 1) und welche als „wichtig" (Absatz 2) eingestuft werden. Die Zuordnung hängt von zwei Kriterien ab:

• Sektorzugehörigkeit: Das Unternehmen muss in einem der 14 Sektoren aus Anlage 1 oder Anlage 2 des BSIG tätig sein.
• Unternehmensgröße: Es gelten die EU-Schwellenwerte für mittlere Unternehmen: mindestens 50 Mitarbeiter oder ein Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro.

Viele KMU unterschätzen ihre Betroffenheit, weil sie nur auf die Mitarbeiterzahl schauen. Ein Unternehmen mit 30 Mitarbeitern fällt bereits unter NIS2, wenn Jahresumsatz und Jahresbilanzsumme jeweils über 10 Millionen Euro liegen.

Wie groß ist der Sprung gegenüber dem alten IT-Sicherheitsgesetz?

Unter dem bisherigen IT-Sicherheitsgesetz 2.0 waren rund 4.500 Einrichtungen reguliert — überwiegend Betreiber kritischer Infrastrukturen. Das NIS2UmsuCG erfasst nun etwa 29.500 Einrichtungen. Dieser Anstieg um über 550 Prozent betrifft vor allem mittelständische Unternehmen, die bisher keiner Cybersicherheitsregulierung unterlagen.

Die BSI-Registrierungsfrist lief am 6. März 2026 ab. Unternehmen, die sich noch nicht registriert haben, riskieren bereits Bußgelder. Der NIS2 Guide von NIS2Compass führt Schritt für Schritt durch den gesamten Umsetzungsprozess, von der Betroffenheitsprüfung bis zur BSI-Registrierung. Die Phasen der Eigenumsetzung beschreibt die Anleitung NIS2 ohne Berater umsetzen.

Welche Sektoren sind von NIS2 betroffen?

Das BSIG erfasst 14 Sektoren in zwei Anlagen. Anlage 1 nennt 7 Sektoren, darunter Energie, Gesundheit und digitale Infrastruktur. Anlage 2 nennt 7 weitere Sektoren wie das verarbeitende Gewerbe, Post- und Kurierdienste und die Lebensmittelproduktion. Die EU-Richtlinie gliedert feiner und kommt auf 18 Sektoren. Die öffentliche Verwaltung, die dort ein eigener Sektor ist, steht nicht in den BSIG-Anlagen: Für Einrichtungen der Bundesverwaltung gilt §29 BSIG.

Innerhalb der Sektoren unterscheidet das BSIG 67 Einrichtungsarten (53 in Anlage 1, 14 in Anlage 2). Maßgeblich ist, welche Waren oder Dienstleistungen Ihr Unternehmen tatsächlich anbietet. Im verarbeitenden Gewerbe und in der Chemie verweist das Gesetz dafür auf Abteilungen der NACE-Systematik, etwa Abteilung 28 für den Maschinenbau.

Welche Sektoren haben hohe Kritikalität?

Anlage 1 des BSIG definiert 7 Sektoren, deren Einrichtungen je nach Größe als besonders wichtig oder wichtig gelten:

• Energie — Stromversorgung, Fernwärme und Fernkälte, Kraftstoff- und Heizölversorgung, Gasversorgung einschließlich Wasserstoff
• Transport und Verkehr — Luftverkehr, Schienenverkehr, Schifffahrt, Straßenverkehr
• Finanzwesen — Bankwesen (Kreditinstitute) und Finanzmarktinfrastrukturen (Handelsplätze, zentrale Gegenparteien)
• Gesundheit — Gesundheitsdienstleister wie Krankenhäuser, EU-Referenzlaboratorien, Arzneimittelforschung und Pharmaherstellung, Hersteller kritischer Medizinprodukte
• Wasser — Trinkwasserversorgung und Abwasserbeseitigung
• Digitale Infrastruktur — unter anderem Internet Exchange Points, DNS-Dienste, TLD-Registries, Cloud- und Rechenzentrumsdienste, CDNs, Vertrauensdienste, Telekommunikation sowie Managed Service Provider und Managed Security Service Provider
• Weltraum — Betreiber von Bodeninfrastrukturen

Welche sonstigen kritischen Sektoren gibt es?

Anlage 2 des BSIG umfasst 7 weitere Sektoren:

• Post- und Kurierdienste — Anbieter von Postdienstleistungen einschließlich Kurierdiensten
• Abfallbewirtschaftung — Unternehmen, deren Hauptwirtschaftstätigkeit die Abfallbewirtschaftung ist
• Chemie — Herstellung, Einfuhr und Handel chemischer Stoffe
• Lebensmittel — Lebensmittelunternehmen im Großhandel sowie in der industriellen Produktion und Verarbeitung
• Verarbeitendes Gewerbe — 6 Branchen: Medizinprodukte und In-vitro-Diagnostika, Datenverarbeitungsgeräte und elektronische Erzeugnisse, elektrische Ausrüstungen, Maschinenbau, Kraftwagen, sonstiger Fahrzeugbau
• Anbieter digitaler Dienste — Online-Marktplätze, Online-Suchmaschinen, soziale Netzwerke
• Forschung — Forschungseinrichtungen

Was gilt bei mehreren Geschäftsfeldern?

Viele Unternehmen sind in mehreren Bereichen tätig. Maßgeblich ist jede Geschäftstätigkeit in einem regulierten Sektor, auch wenn sie nicht zum Kerngeschäft gehört: Die NIS2-Pflicht kann trotzdem greifen. Nur Tätigkeiten, die im Verhältnis zur gesamten Geschäftstätigkeit vernachlässigbar sind, bleiben nach §28 Abs. 3 BSIG unberücksichtigt. Ein Maschinenbauunternehmen mit eigener Logistiksparte fällt beispielsweise potenziell unter zwei Sektoren gleichzeitig.

Die vollständige Sektorenzuordnung erfordert eine sorgfältige Analyse Ihrer Geschäftstätigkeit. Im Knowledge Hub von NIS2Compass finden Sie detaillierte Erläuterungen zu den einzelnen Sektoren und deren Teilbereichen. Ob Sie als Zulieferer betroffen sind, beleuchtet die Seite NIS2 in der Lieferkette.

Ab welcher Größe gilt NIS2 für mein Unternehmen?

NIS2 gilt grundsätzlich ab 50 Mitarbeitern oder einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Mio. EUR. Diese Size-Cap-Regel basiert auf der EU-Empfehlung 2003/361/EG. Für bestimmte Einrichtungsarten gelten die Schwellenwerte nicht — sie fallen größenunabhängig unter die Regulierung.

Welche Schwellenwerte definiert §28 BSIG?

Das NIS2-Umsetzungsgesetz unterscheidet zwei Kategorien mit unterschiedlichen Schwellenwerten. Die Einstufung bestimmt den Umfang der Pflichten und die Höhe möglicher Bußgelder.

Besonders wichtige Einrichtungen (§28 Abs. 1 Nr. 4 BSIG): Unternehmen aus Anlage-1-Sektoren ab 250 Mitarbeitern oder mit einem Jahresumsatz über 50 Mio. EUR und einer Jahresbilanzsumme über 43 Mio. EUR.

Wichtige Einrichtungen (§28 Abs. 2 Nr. 3 BSIG): Unternehmen aus Anlage-1- und Anlage-2-Sektoren ab 50 Mitarbeitern oder mit einem Jahresumsatz über 10 Mio. EUR und einer Jahresbilanzsumme über 10 Mio. EUR.

Warum ist die ODER-Verknüpfung so entscheidend?

Viele Unternehmen prüfen nur die Mitarbeiterzahl. Dabei genügt es schon, wenn Jahresumsatz und Jahresbilanzsumme beide über 10 Millionen Euro liegen. Ein Unternehmen mit 30 Mitarbeitern, 15 Mio. EUR Umsatz und 12 Mio. EUR Bilanzsumme fällt unter NIS2.

Umgekehrt gilt: Ab 50 Mitarbeitern greift NIS2 auch bei niedrigem Umsatz. Die Mitarbeiterzahl wird dabei nach Vollzeitäquivalenten berechnet. Teilzeitkräfte zählen anteilig.

Werden verbundene Unternehmen mitgezählt?

Ja. Nach §28 Abs. 4 BSIG müssen Partner- und verbundene Unternehmen bei der Berechnung berücksichtigt werden. Gehört Ihr Unternehmen zu einer Unternehmensgruppe, werden Mitarbeiterzahl, Umsatz und Bilanzsumme auf Gruppenebene betrachtet. Ein eigenständig kleines Tochterunternehmen kann dadurch die Schwellenwerte überschreiten.

Laut Gesetzentwurf (BT-Drs. 20/13184) kalkuliert der Gesetzgeber mit durchschnittlich 86.900 EUR Compliance-Kosten pro betroffener Einrichtung. Was diese Kosten konkret umfassen, analysiert der Artikel NIS2-Berater oder selbst umsetzen? Ein Kostenvergleich.

Wie sieht die Betroffenheitsprüfung in der Praxis aus?

Ein mittelständischer Maschinenbauer beschäftigt 80 Mitarbeiter bei 18 Mio. EUR Jahresumsatz und 12 Mio. EUR Bilanzsumme. Das Unternehmen gehört zum Sektor „Verarbeitendes Gewerbe/Herstellung von Waren" — ein Anlage-2-Sektor des NIS2-Umsetzungsgesetzes.

Die Prüfung ergibt: Mit 80 Mitarbeitern überschreitet das Unternehmen den Schwellenwert von 50 Beschäftigten. Es handelt sich um eine wichtige Einrichtung nach §28 Abs. 2 Nr. 3 BSIG. Selbst wenn die Mitarbeiterzahl knapp unter 50 läge, würden Umsatz und Bilanzsumme die finanziellen Schwellenwerte überschreiten.

In vielen KMU trägt der IT-Leiter die Verantwortung für Cybersicherheit allein, einen dedizierten Informationssicherheitsbeauftragten gibt es nicht. Für diese Situation bietet der NIS2 Guide von NIS2Compass einen strukturierten Umsetzungspfad, von der Bestandsaufnahme bis zur BSI-Registrierung. Wie die Umsetzung in Eigenregie abläuft, zeigt die Anleitung zur NIS2-Umsetzung ohne Berater.

Besonders wichtig vs. wichtig — was ist der Unterschied?

Das NIS2UmsuCG unterscheidet zwischen „besonders wichtigen" und „wichtigen" Einrichtungen. Besonders wichtige Einrichtungen unterliegen strengerer Aufsicht (proaktive Prüfungen durch das BSI) und höheren Bußgeldgrenzen (bis 10 Mio. EUR statt 7 Mio. EUR).

Wer gilt als besonders wichtige Einrichtung?

Das Gesetz definiert in §28 BSIG klar, welche Organisationen als „besonders wichtig" eingestuft werden. Die Kategorie umfasst mehrere Gruppen:

• KRITIS-Betreiber — unabhängig von der Unternehmensgröße immer besonders wichtig
• Qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Diensteanbieter — ebenfalls größenunabhängig
• TK-Anbieter ab 50 Mitarbeitern — Telekommunikation ist hochkritische Infrastruktur
• Anlage-1-Einrichtungen ab 250 Mitarbeitern oder über 50 Mio. EUR Umsatz und über 43 Mio. EUR Bilanzsumme — die klassische Großunternehmensschwelle

Wer gilt als wichtige Einrichtung?

Wichtige Einrichtungen bilden die breitere Kategorie. Hierzu zählen Anlage-1- und Anlage-2-Einrichtungen ab 50 Mitarbeitern, nicht-qualifizierte Vertrauensdiensteanbieter sowie TK-Anbieter unter 50 Mitarbeitern. Die Schwelle liegt deutlich niedriger; viele mittelständische Unternehmen fallen in diese Gruppe.

Wo liegen die konkreten Unterschiede?

Die Risikomanagementpflichten nach §30 BSIG gelten für beide Kategorien identisch. Auch die Geschäftsführerhaftung nach §38 BSIG trifft beide gleichermaßen. Die Unterschiede betreffen Aufsicht und Sanktionen:

• Aufsichtsregime: Besonders wichtige Einrichtungen unterliegen proaktiven Prüfungen durch das BSI (§61 BSIG). Wichtige Einrichtungen werden nur reaktiv beaufsichtigt, also nach einem Vorfall oder bei konkretem Verdacht (§62 BSIG).
• Bußgeldrahmen: Für besonders wichtige Einrichtungen drohen laut §65 BSIG bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes. Für wichtige Einrichtungen liegt die Grenze bei 7 Mio. EUR oder 1,4 % des Umsatzes. Wie sich diese Obergrenzen auf das eigene Unternehmen herunterbrechen, zeigt der NIS2-Bußgeldrechner.

KRITIS-Betreiber haben einen Sonderstatus: Sie gelten immer als besonders wichtig und müssen zusätzliche Anforderungen nach §31 und §39 BSIG erfüllen. Welche Bußgelder im Detail drohen, erklärt der Artikel NIS2-Bußgelder: Welche Strafen drohen bei Verstößen?.

Welche Ausnahmen und Sonderfälle gibt es?

Nicht alle Unternehmen in regulierten Sektoren sind automatisch betroffen, und einige fallen auch unterhalb der Größenschwellen unter das Gesetz. Das NIS2UmsuCG kennt größenunabhängige Betroffenheit, Ausnahmebescheide und sektorspezifische Sonderregeln.

Welche Unternehmen sind größenunabhängig betroffen?

Bestimmte Einrichtungen fallen unabhängig von Mitarbeiterzahl und Umsatz unter das NIS2UmsuCG. Laut §28 Abs. 1 BSIG sind das unter anderem KRITIS-Betreiber, qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Diensteanbieter. Diese gelten stets als besonders wichtige Einrichtungen (bwE) — mit den strengsten Pflichten.

Hinzu kommt die Nebentätigkeitsregel nach §28 Abs. 3 BSIG: Erbringt ein Unternehmen nur einen geringen Teil seiner Leistungen in einem regulierten Sektor, kann die Einstufung entfallen. Die Schwelle ist jedoch eng gefasst und erfordert eine sorgfältige Prüfung.

Welche Sonderregeln gelten für bestimmte Sektoren?

Drei Branchen unterliegen teilweise abweichenden Regelungen:

• Telekommunikationsanbieter: §28 Abs. 5 BSIG verweist auf das Telekommunikationsgesetz (TKG), das eigene Sicherheitspflichten vorsieht.
• Finanzunternehmen: §28 Abs. 6 BSIG stellt klar, dass die DORA-Verordnung (EU 2022/2554) Vorrang hat. Banken und Versicherer erfüllen NIS2-Pflichten primär über DORA.
• Energiesektor: Das Energiewirtschaftsgesetz (EnWG) enthält eigene IT-Sicherheitsanforderungen, die teilweise Vorrang genießen.

Zusätzlich kann das Bundesinnenministerium nach §37 BSIG einen Ausnahmebescheid erteilen — etwa wenn nationale Sicherheit oder Verteidigung betroffen sind. In der Praxis kommt das selten vor.

Wie wird ein IT-Dienstleister eingestuft?

Ein mittelständischer Managed-Service-Provider (MSP) beschäftigt 60 Mitarbeiter bei 8 Mio. EUR Umsatz und 6 Mio. EUR Bilanzsumme. Obwohl die finanziellen Kennzahlen unter den Schwellenwerten liegen, reicht die Mitarbeiterzahl ab 50 Beschäftigten für die Einstufung als wichtige Einrichtung (wE). Die Mitarbeiterschwelle steht alternativ neben den finanziellen Kriterien. Wer 50 Mitarbeiter erreicht, ist unabhängig von Umsatz und Bilanzsumme betroffen.

MSPs sind in Anlage 1 des BSIG (Sektor 6: Digitale Infrastruktur) als eigene Einrichtungsart explizit aufgeführt. Das bedeutet eine doppelte Betroffenheit: direkt durch die eigenen NIS2-Pflichten und indirekt durch die Lieferketten-Anforderungen ihrer Kunden.

Die Sektorzuordnung ist der häufigste Stolperstein bei der Betroffenheitsprüfung. Der Vor-Check von NIS2Compass hilft, die eigene Einordnung systematisch zu klären, in wenigen Minuten statt Wochen interner Recherche. Was er abdeckt, erklärt die Seite NIS2-Einstieg mit dem Vor-Check.

Wie prüfe ich meine NIS2-Betroffenheit Schritt für Schritt?

Die Betroffenheitsprüfung folgt einem klaren Entscheidungsbaum: Zuerst Sonderstatus prüfen (KRITIS, TK, Vertrauensdienste), dann Sektorzugehörigkeit feststellen, anschließend Größenschwellen abgleichen. Das BSI stellt dafür ein Online-Tool bereit. Sektor, Größe und KRITIS-Status fragt die NIS2-Betroffenheitsprüfung von NIS2Compass ab und liefert sofort eine Ersteinschätzung. NIS2Compass' Vor-Check geht einen Schritt weiter und zeigt auch die konkreten Handlungsbedarfe. Wie Vor-Check und Umsetzungspfad zusammenspielen, zeigt der Use Case NIS2-Einstieg.

Gibt es einen Sonderstatus, der die Größenschwellen aushebelt?

Einige Einrichtungen fallen unabhängig von ihrer Größe unter das NIS2-Umsetzungsgesetz. Dazu gehören KRITIS-Betreiber, Vertrauensdiensteanbieter, TLD-Registrierungsstellen, DNS-Diensteanbieter und Telekommunikationsanbieter. Prüfen Sie zuerst, ob Ihr Unternehmen zu einer dieser Kategorien gehört. Falls ja, ist die Betroffenheit bereits festgestellt.

In welchem Sektor ist mein Unternehmen tätig?

§28 BSIG definiert die betroffenen Sektoren in zwei Anlagen. Anlage 1 listet Sektoren mit hoher Kritikalität (Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur, Weltraum). Anlage 2 umfasst sonstige kritische Sektoren (Post, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste, Forschung). Ordnen Sie Ihre Haupttätigkeit einem dieser Sektoren zu.

Überschreitet mein Unternehmen die Größenschwellen?

Als wichtige Einrichtung gelten Sie ab 50 Mitarbeitern oder wenn Jahresumsatz und Jahresbilanzsumme jeweils über 10 Millionen Euro liegen. Die Mitarbeiterzahl genügt für sich allein, die beiden finanziellen Werte zählen nur zusammen. Für besonders wichtige Einrichtungen liegt die Schwelle bei 250 Mitarbeitern oder bei über 50 Millionen Euro Umsatz und über 43 Millionen Euro Bilanzsumme.

Welche Pflichten ergeben sich aus der Kategorie?

Im letzten Schritt identifizieren Sie Ihre konkreten Pflichten: §33 BSIG (BSI-Registrierung), §32 BSIG (Meldepflichten bei Sicherheitsvorfällen), §30 BSIG (Risikomanagementmaßnahmen) und §38 BSIG (Geschäftsführerhaftung). Das BSI-Registrierungsportal wurde am 6. Januar 2026 freigeschaltet — die 3-Monats-Frist lief am 6. März 2026 ab. Der NIS2 Guide von NIS2Compass führt Sie durch alle Pflichten in 8 strukturierten Kapiteln; die Phasen der Eigenumsetzung beschreibt die Anleitung NIS2 ohne Berater umsetzen. Als kostenlosen ersten Schritt bietet sich die NIS2-Checkliste (Excel, kostenlos) an, um die zehn Mindestmaßnahmen strukturiert festzuhalten.

Was sind die nächsten Schritte, wenn ich betroffen bin?

Betroffene Unternehmen müssen sich beim BSI registrieren, 10 Risikomanagementmaßnahmen nach §30 BSIG umsetzen, Meldeprozesse aufbauen und die Geschäftsleitung einbinden. NIS2Compass begleitet diesen Prozess in 8 Kapiteln mit fertigen Vorlagen und einem strukturierten NIS2-Umsetzungspfad. Wie Sie die Umsetzung selbst angehen, beschreibt die Anleitung NIS2 ohne Berater umsetzen.

Ist die BSI-Registrierung noch möglich?

Die Registrierungsfrist nach §33 BSIG ist am 6. März 2026 abgelaufen; die Pflicht besteht weiterhin. Unternehmen, die sich noch nicht registriert haben, sollten dies umgehend nachholen. Bei Verstoß drohen Bußgelder bis zu 500.000 Euro. Die Registrierung erfolgt über das BSI-Portal und erfordert Angaben zu Kontaktdaten, Sektor und IT-Infrastruktur.

Welche Maßnahmen verlangt das Risikomanagement?

§30 BSIG definiert 10 Maßnahmenbereiche, darunter Risikoanalyse, Vorfallsbewältigung, Business Continuity, Lieferkettensicherheit, Kryptographie und Zugangskontrollen. Diese Maßnahmen müssen dem Stand der Technik entsprechen und verhältnismäßig sein. NIS2Compass deckt alle 10 Bereiche mit konkreten Schritten und über 20 fertigen Vorlagen ab. Welche Struktur dafür nötig ist, klärt der Artikel Brauche ich ein ISMS für NIS2?

Wie funktionieren die Meldepflichten?

§32 BSIG schreibt ein dreistufiges Meldeverfahren vor. Innerhalb von 24 Stunden ist eine Erstmeldung an das BSI erforderlich. Nach 72 Stunden folgt eine aktualisierte Meldung mit erster Bewertung. Spätestens nach einem Monat muss ein Abschlussbericht vorliegen. Wer keinen Meldeprozess etabliert hat, riskiert nicht nur Bußgelder, sondern auch verspätete Reaktionen bei echten Vorfällen.

Warum betrifft NIS2 auch die Geschäftsleitung persönlich?

Die Geschäftsführerhaftung nach §38 BSIG ist nicht delegierbar. Geschäftsführer und Vorstände müssen die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Bei Pflichtverletzung haften sie persönlich. Dieses Thema erfordert frühzeitige Einbindung — der Artikel zu NIS2 und ISMS zeigt, welche Lücken bestehende Managementsysteme typischerweise haben.

Häufig gestellte Fragen

Gilt NIS2 auch für Unternehmen unter 50 Mitarbeitern?

Grundsätzlich nicht — die Size-Cap-Regel greift ab 50 Mitarbeitern oder ab jeweils über 10 Mio. EUR Jahresumsatz und Jahresbilanzsumme. Der Gesetzgeber hat jedoch Ausnahmen definiert: Qualifizierte Vertrauensdiensteanbieter, TLD-Registries, DNS-Diensteanbieter und KRITIS-Betreiber fallen unabhängig von ihrer Größe unter das NIS2UmsuCG. Zusätzlich kann eine indirekte Betroffenheit über Lieferketten-Anforderungen entstehen, wenn regulierte Kunden Sicherheitsnachweise verlangen.

Muss ich mich beim BSI registrieren?

Ja — besonders wichtige und wichtige Einrichtungen sind zur Registrierung beim BSI verpflichtet (§33 BSIG). Die Frist ist am 6. März 2026 abgelaufen. Eine verspätete Registrierung bleibt dennoch Pflicht. Das BSI-Portal ist seit dem 6. Januar 2026 freigeschaltet. Bei Nicht-Registrierung drohen Bußgelder bis zu 500.000 EUR. Der NIS2 Guide von NIS2Compass führt Schritt für Schritt durch den Registrierungsprozess; die übrigen Umsetzungsschritte beschreibt die Anleitung für KMU ohne Berater.

Was ist der Unterschied zwischen NIS2 und dem IT-Sicherheitsgesetz?

Das NIS2UmsuCG löst das IT-Sicherheitsgesetz 2.0 ab. Die wichtigste Änderung: Der Kreis betroffener Unternehmen wächst von rund 4.500 auf etwa 29.500 Einrichtungen. Das Gesetz erfasst nun 14 Sektoren in zwei Anlagen. Die Größenschwellen sinken deutlich. Neu ist die persönliche Haftung der Geschäftsführung bei Pflichtverletzungen. Bisherige KRITIS-Betreiber bleiben als Teilmenge weiterhin reguliert.

Zählen verbundene Unternehmen bei der Größenprüfung mit?

Grundsätzlich ja. Nach §28 Abs. 4 BSIG in Verbindung mit der EU-Empfehlung 2003/361/EG werden Mitarbeiterzahl, Umsatz und Bilanzsumme verbundener Unternehmen zusammengerechnet. Eine Ausnahme besteht, wenn die IT-Systeme nachweislich unabhängig voneinander betrieben werden. Der Vor-Check von NIS2Compass hilft bei der ersten Einschätzung Ihrer Betroffenheit; mehr dazu auf der Seite NIS2 für Einsteiger.

Kann ich einen Ausnahmebescheid beantragen?

§37 BSIG ermöglicht dem BMI Befreiungen in drei Fällen: nationale Sicherheit, Verteidigung oder Strafverfolgung. Voraussetzung ist, dass gleichwertige Sicherheitsvorgaben bereits gelten. Für typische KMU im Privatsektor ist dieser Weg nicht relevant. Stattdessen empfiehlt sich die strukturierte Umsetzung der NIS2-Anforderungen — der NIS2 Guide von NIS2Compass bietet dafür einen klaren Umsetzungspfad, und die Anleitung zur NIS2-Umsetzung ohne Berater beschreibt die einzelnen Phasen.

Weitere Antworten zu Sektoreinteilung, Schwellenwerten und Sonderfällen finden Sie in der offiziellen BSI-FAQ zu NIS-2.