Werkzeug · NIS2
Fällt Ihr Unternehmen unter NIS2?
Drei Fragen zu Sonderfällen, Sektor und Größe. Danach wissen Sie, ob Sie voraussichtlich als wichtige oder besonders wichtige Einrichtung gelten – und was dann auf Sie zukommt. Ohne Anmeldung, nichts verlässt Ihren Browser.
Erklärung
So ordnet das BSIG Unternehmen ein.
Drei Dinge entscheiden: was Sie tun, wie groß Sie sind und ob ein Sonderfall vorliegt.
Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz. Es hat das BSI-Gesetz neu gefasst und den Kreis der erfassten Unternehmen stark erweitert. Vorher ging es im Wesentlichen um Betreiber kritischer Infrastrukturen. Heute zählen auch viele mittelständische Hersteller, Logistiker, Lebensmittelbetriebe und IT-Dienstleister dazu.
Erste Frage: Was tun Sie?
Das Gesetz listet in zwei Anlagen, welche Tätigkeiten erfasst sind. Anlage 1 umfasst Sektoren mit hoher Kritikalität: Energie, Transport und Verkehr, Banken und Finanzmarktinfrastruktur, Gesundheit, Wasser und Abwasser, digitale Infrastruktur, IT-Dienstleister mit Managed Services und Weltraum. Anlage 2 nennt weitere Sektoren: Post und Kurierdienste, Abfall, Chemie, Lebensmittel, Teile des verarbeitenden Gewerbes vom Maschinenbau bis zum Fahrzeugbau, digitale Dienste wie Online-Marktplätze und Forschung. Tätigkeiten, die im Verhältnis zum Gesamtgeschäft kaum ins Gewicht fallen, dürfen bei der Zuordnung unberücksichtigt bleiben.
Zweite Frage: Wie groß sind Sie?
Erfasst sind in der Regel nur mittlere und große Unternehmen. Als wichtige Einrichtung gilt, wer in einem Sektor der Anlage 1 oder 2 tätig ist und mindestens 50 Beschäftigte hat oder sowohl mehr als 10 Mio. € Jahresumsatz als auch mehr als 10 Mio. € Bilanzsumme. Besonders wichtig wird eine Einrichtung in Anlage 1 ab 250 Beschäftigten oder mit mehr als 50 Mio. € Umsatz und zugleich mehr als 43 Mio. € Bilanzsumme. Gezählt wird nach der EU-Empfehlung für kleine und mittlere Unternehmen, also einschließlich Partner- und verbundener Unternehmen. Das BSIG lässt diese Daten außen vor, wenn Ihre IT davon unabhängig ist.
Dritte Frage: Gibt es einen Sonderfall?
Manche Einrichtungen sind unabhängig von ihrer Größe erfasst. Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries und DNS-Anbieter gelten immer als besonders wichtig. Nicht qualifizierte Vertrauensdiensteanbieter gelten immer als wichtig. Für Telekommunikationsanbieter liegt die Schwelle zur besonders wichtigen Einrichtung schon bei 50 Beschäftigten oder mehr als 10 Mio. € Umsatz und Bilanzsumme. Für die Bundesverwaltung gelten eigene Regeln. Landes- und Kommunalverwaltungen regeln die Länder.
Was dann folgt
Betroffene Unternehmen müssen sich innerhalb von drei Monaten beim BSI registrieren. Sie setzen angemessene Risikomanagementmaßnahmen in den zehn Bereichen des § 30 um und dokumentieren sie. Erhebliche Sicherheitsvorfälle melden sie nach § 32 in drei Stufen: eine frühe Erstmeldung binnen 24 Stunden, eine Meldung mit erster Bewertung binnen 72 Stunden und eine Abschlussmeldung nach einem Monat. Die Geschäftsleitung muss die Maßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen (§ 38). Verstöße können teuer werden: bis zu 10 Mio. € bei besonders wichtigen und bis zu 7 Mio. € bei wichtigen Einrichtungen, bei großen Unternehmen auch ein Anteil am weltweiten Umsatz.
Und wenn Sie nicht betroffen sind?
Dann gilt das BSIG für Sie nicht unmittelbar. Ihre Kunden können trotzdem betroffen sein. Sie müssen die Sicherheit ihrer Lieferkette berücksichtigen und fragen deshalb bei Lieferanten und Dienstleistern nach. Wer seine Maßnahmen geordnet vorzeigen kann, gewinnt Zeit und Vertrauen.
Mehr zu den Pflichten im Einzelnen lesen Sie auf der Seite NIS2 umsetzen. Eine Arbeitsliste zum Abhaken finden Sie in der NIS2-Checkliste.
Wie verlässlich ist das Ergebnis des Checks?
Der Check bildet die Größen- und Sektorregeln aus § 28 BSIG vereinfacht ab. Er ersetzt keine rechtliche Prüfung. Grenzfälle entstehen vor allem bei Mischtätigkeiten, Konzernstrukturen und der Frage, ob eine Tätigkeit vernachlässigbar ist. Dort lohnt ein zweiter Blick mit einer Fachperson.
Zählen Mitarbeitende von Tochter- und Schwestergesellschaften mit?
Grundsätzlich ja. Maßgeblich ist die EU-Empfehlung zur Definition kleiner und mittlerer Unternehmen, die Partner- und verbundene Unternehmen einbezieht. Das BSIG lässt diese Daten außen vor, wenn Ihr Unternehmen bei seinen IT-Systemen, Komponenten und Prozessen unabhängig ist. Das muss sich belegen lassen.
Wir sind nicht betroffen. Müssen wir trotzdem etwas tun?
Rechtlich nicht nach dem BSIG. Praktisch oft schon: Betroffene Kunden müssen ihre Lieferkette absichern und geben Anforderungen per Vertrag, Fragebogen oder Audit weiter. Wer seine Maßnahmen nachweisen kann, beantwortet solche Anfragen schneller.
Bis wann müssen wir uns beim BSI registrieren?
Spätestens drei Monate, nachdem Ihr Unternehmen erstmals als wichtige oder besonders wichtige Einrichtung gilt. Für alle, die schon bei Inkrafttreten im Dezember 2025 betroffen waren, ist diese Frist im März 2026 abgelaufen. Änderungen an den gemeldeten Angaben sind innerhalb von zwei Wochen nachzutragen.
Wir sind ein Finanzunternehmen. Gilt NIS2 für uns?
Für Finanzunternehmen, die unter DORA fallen, gehen die DORA-Regeln zu Risikomanagement, Vorfallmeldungen und Leitungspflichten vor. Einzelne Pflichten aus dem BSIG, etwa die Registrierung, können dennoch bestehen. Klären Sie das mit Ihrer Aufsicht.
Werden meine Angaben gespeichert oder übertragen?
Nein. Die Auswertung läuft vollständig in Ihrem Browser. Wenn Sie das Ergebnis teilen, stehen Ihre Antworten nur im Link selbst, nach dem Zeichen #. Dieser Teil der Adresse wird nicht an unseren Server übertragen.
Betroffen? Dann zählt der Nachweis.
Sightadel führt Sie durch die zehn Maßnahmen nach § 30 BSIG, bereitet die Meldekette vor und hält den Beschluss der Geschäftsleitung fest. 14 Tage testen, ohne Zahlungsdaten.