NIS2: Ist mein Unternehmen betroffen? Prüfung in fünf Schritten

Worum es geht

Die EU-Richtlinie NIS2 (EU 2022/2555) hebt das Mindestniveau der Cybersicherheit in der Union deutlich an. In Deutschland setzt sie das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) um, das am 6. Dezember 2025 in Kraft getreten ist. Kern ist ein neu gefasstes BSI-Gesetz (BSIG). Nach Schätzung der Bundesregierung sind knapp 30.000 Unternehmen erfasst – ein Vielfaches der bisherigen KRITIS-Betreiber.

Der wichtigste Unterschied zum bisherigen Recht: Es gibt keine behördliche Benennung. Jedes Unternehmen muss selbst prüfen, ob es unter das Gesetz fällt – und trägt das Risiko einer Fehleinschätzung. Übergangsfristen für die inhaltlichen Pflichten sieht das Gesetz nicht vor.

Schritt 1: Sektor bestimmen

Maßgeblich sind die Anlagen 1 und 2 des BSIG. Sie entsprechen den Anhängen I und II der Richtlinie:

Entscheidend ist die tatsächliche Geschäftstätigkeit, nicht der Eintrag im Handelsregister. Tätigkeiten, die im Verhältnis zur gesamten Geschäftstätigkeit vernachlässigbar sind, können bei der Zuordnung außer Betracht bleiben – diese Abwägung sollten Sie nachvollziehbar dokumentieren.

Schritt 2: Größe ermitteln

Die Schwellen orientieren sich an der KMU-Empfehlung der EU-Kommission (2003/361/EG). Wichtig: Partner- und verbundene Unternehmen werden mitgezählt. Eine kleine Tochter eines großen Konzerns ist daher selbst kein kleines Unternehmen.

• Mittleres Unternehmen: mindestens 50 Beschäftigte oder mehr als 10 Mio. € Jahresumsatz und mehr als 10 Mio. € Bilanzsumme.
• Großes Unternehmen: mindestens 250 Beschäftigte oder mehr als 50 Mio. € Jahresumsatz und mehr als 43 Mio. € Bilanzsumme.

Unabhängig von der Größe erfasst sind unter anderem Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries und DNS-Diensteanbieter sowie bestimmte Anbieter öffentlicher Telekommunikationsnetze und -dienste.

Schritt 3: Kategorie festlegen

Aus Sektor und Größe folgt die Kategorie – und damit die Intensität der Aufsicht und die Höhe möglicher Bußgelder:

Besonders wichtige Einrichtungen werden vom BSI anlassunabhängig beaufsichtigt, wichtige Einrichtungen in der Regel erst bei Hinweisen auf Verstöße. Die inhaltlichen Pflichten sind weitgehend gleich.

Schritt 4: Spezialrecht prüfen

NIS2 steht nicht allein. Für manche Branchen gehen speziellere Regeln vor oder ergänzen das BSIG:

• Finanzsektor: Für Banken, Versicherungen und Wertpapierfirmen gilt vorrangig die EU-Verordnung DORA. Mehr dazu in unserem Beitrag DORA für IKT-Dienstleister.
• Energie: Betreiber von Energieversorgungsnetzen und -anlagen folgen den IT-Sicherheitskatalogen der Bundesnetzagentur nach dem EnWG.
• Telekommunikation: ergänzende Pflichten aus dem TKG.
• Digitale Dienste wie Cloud, Rechenzentren, Managed Services und Managed Security Services: Die EU-Durchführungsverordnung 2024/2690 legt die technischen Anforderungen unmittelbar fest.

Schritt 5: Ergebnis dokumentieren und handeln

Halten Sie die Prüfung schriftlich fest – mit Sektor, Größenberechnung, Kategorie und Begründung. Diese Dokumentation ist Ihr Nachweis gegenüber BSI, Wirtschaftsprüfer und Geschäftsleitung. Fällt Ihr Unternehmen unter NIS2, folgen daraus vier Pflichtenblöcke:

1. RegistrierenRegistrierung im BSI-Portal mit Kontaktdaten, Sektor und IP-Adressbereichen. Die reguläre Frist ist im März 2026 abgelaufen – wer noch nicht registriert ist, sollte das unverzüglich nachholen.
2. Risiken managenAngemessene technische und organisatorische Maßnahmen nach § 30 BSIG: unter anderem Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Backup und Notfallmanagement, Sicherheit der Lieferkette, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung, Schulungen.
3. Vorfälle meldenErhebliche Sicherheitsvorfälle: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussmeldung nach einem Monat.
4. Leitung einbindenDie Geschäftsleitung billigt die Maßnahmen, überwacht die Umsetzung und nimmt regelmäßig an Schulungen teil. Bei Pflichtverletzungen kommt eine persönliche Haftung in Betracht.

Nicht betroffen? Dann vielleicht indirekt

Auch wenn Ihr Unternehmen selbst nicht unter NIS2 fällt: Ihre Kunden müssen die Sicherheit ihrer Lieferkette steuern. In der Praxis kommen deshalb Fragebögen, Vertragsklauseln zu Informationssicherheit und Meldepflichten, Audit-Rechte und Nachweisforderungen bei Zulieferern und IT-Dienstleistern an. Wer hier vorbereitet ist – etwa mit einem schlanken ISMS und klaren Ansprechpartnern –, gewinnt Ausschreibungen statt sie zu verlieren.

International tätig?

NIS2 wird in jedem EU-Land durch ein eigenes Gesetz umgesetzt. Gesellschaften im Ausland prüfen, registrieren und melden nach dem Recht ihres Landes – mit eigenen Behörden und Fristen. Wie Konzerne das mit einem Group-CISO zentral steuern, zeigt unser Beitrag NIS2 im europäischen Konzern.

Aus der Praxis: Was wir häufig sehen

• Konzernstrukturen werden unterschätzt. Die Größe wird oft je Gesellschaft gerechnet, obwohl verbundene Unternehmen zählen. In einem Projekt für einen europäischen Konzern haben wir die Betroffenheit für die deutschen und österreichischen Gesellschaften einzeln geklärt – mit einem eigenen Ergebnis je Gesellschaft.
• Sicherheitsmaßnahmen gibt es – Nachweise nicht. Firewalls und Backups sind vorhanden, aber kein Risikomanagement, das sie begründet, und keine Dokumentation, die sie belegt.
• Der Meldeweg ist nicht geübt. 24 Stunden sind kurz. Wer erst im Ernstfall klärt, wer meldet und was, verliert wertvolle Zeit.

Unser Ansatz: erst die Betroffenheit verbindlich klären, dann die Lücken nach Risiko priorisieren und ein ISMS aufbauen, das zur Größe des Unternehmens passt. Auf Wunsch übernehmen wir den laufenden Betrieb als Managed Service – bis hin zur Rolle als Ansprechpartner gegenüber dem BSI.

Häufige Fragen

Hinweis: Dieser Beitrag gibt einen fachlichen Überblick (Stand: Oktober 2026) und ersetzt keine Rechtsberatung. Für die verbindliche Einordnung Ihres Unternehmens arbeiten wir auf Wunsch mit Ihrer Rechtsberatung zusammen.