Kurz erklärt
Betroffen ist, wer in einem kritischen Sektor tätig ist und die Größenschwelle erreicht. Die Schwelle liegt bei 50 Mitarbeitenden oder mehr als 10 Mio. € Jahresumsatz und Jahresbilanzsumme.
Seit dem 6. Dezember 2025 ist das NIS2-Umsetzungsgesetz (NIS2UmsuCG) in Kraft. Die Pflichten stehen im neuen BSI-Gesetz (BSIG). Es setzt die Richtlinie (EU) 2022/2555 in deutsches Recht um.
Unternehmen müssen ihre Betroffenheit selbst prüfen. Eine Mitteilung der Behörde gibt es nicht. Wer betroffen ist, muss sich beim BSI registrieren und Sicherheitsmaßnahmen umsetzen.
Tätigkeit in einem Sektor der Anlage 1 (hohe Kritikalität) oder Anlage 2 (sonstige kritische Sektoren) zum BSIG.
Ab 50 Mitarbeitenden kann ein Unternehmen wichtig sein, ab 250 besonders wichtig (Anlage 1).
Mehr als 10 Mio. € Umsatz und Bilanzsumme. Für besonders wichtig: über 50 Mio. € Umsatz und über 43 Mio. € Bilanz.
Wer betroffene Unternehmen beliefert, ist mittelbar betroffen und bekommt Anforderungen vertraglich weitergereicht.
Selbstcheck
Beantworten Sie alle Fragen. Das Ergebnis erscheint direkt unter dem Formular.
0 von 6 Fragen beantwortet. Das Ergebnis erscheint, sobald alle Fragen beantwortet sind.
Kategorien
Die Pflichten sind weitgehend gleich. Unterschiede gibt es bei der Aufsicht und bei der Höhe möglicher Bußgelder.
Vereinfachte Darstellung, keine Rechtsberatung. Verbindliche Prüfung: NIS-2-Betroffenheitsprüfung des BSI
Unser Angebot
Der Selbstcheck ersetzt keine Einzelfallprüfung. Wir ordnen Ihre Tätigkeiten den Sektoren zu und dokumentieren das Ergebnis nachvollziehbar.
30-minütiges Erstgespräch mit Einschätzung, ob und in welcher Kategorie Ihr Unternehmen unter NIS2 fällt.
Dokumentierte Einordnung nach Sektor, Größe und Lieferkettenrolle – als Nachweis gegenüber Geschäftsführung, Kunden und Prüfern.
Weiterführend
FAQ
Entscheidend sind drei Fragen: Sind Sie in einem Sektor der Anlage 1 oder 2 zum BSIG tätig? Erreichen Sie die Größenschwelle von 50 Mitarbeitenden oder mehr als 10 Mio. € Umsatz und Bilanzsumme? Und erbringen Sie einen Dienst, für den NIS2 unabhängig von der Größe gilt? Eine erste Einschätzung gibt unser Selbstcheck, verbindlich ist die Prüfung mit dem Werkzeug des BSI.
Wichtige Einrichtung kann sein, wer in einem betroffenen Sektor mindestens 50 Mitarbeitende hat oder mehr als 10 Mio. € Jahresumsatz und mehr als 10 Mio. € Jahresbilanzsumme. Besonders wichtig sind Einrichtungen aus Anlage 1 ab 250 Mitarbeitenden oder mit mehr als 50 Mio. € Umsatz und mehr als 43 Mio. € Bilanzsumme.
Ja. Qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries und DNS-Diensteanbieter fallen unabhängig von der Größe unter NIS2. Auch Betreiber öffentlicher Telekommunikationsnetze und Anbieter öffentlich zugänglicher TK-Dienste sowie Betreiber kritischer Anlagen sind gesondert geregelt.
Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette steuern. Sie geben deshalb Anforderungen an ihre Lieferanten weiter, etwa per Vertrag, Fragebogen oder Audit. Auch wenn Sie selbst nicht unter NIS2 fallen, müssen Sie dann nachweisen, dass Ihre IT angemessen geschützt ist.
Nein. Der Selbstcheck ist eine vereinfachte Ersteinschätzung und keine Rechtsberatung. Sonderfälle wie verbundene Unternehmen oder vernachlässigbare Nebentätigkeiten bildet er nicht ab. Ihre Antworten werden nicht übertragen und nicht gespeichert.
Das Erstgespräch mit Einschätzung ist kostenlos. Für eine schriftliche Betroffenheitsanalyse als Nachweis für Geschäftsführung, Kunden und Prüfer erhalten Sie nach dem Erstgespräch ein Festpreisangebot, da der Aufwand etwa von der Zahl der Tätigkeiten und verbundenen Unternehmen abhängt.
Zuerst registrieren Sie sich beim BSI. Danach folgen eine Gap-Analyse, ein Maßnahmenplan und die Umsetzung der Risikomanagementmaßnahmen. Parallel richten Sie die Meldewege für erhebliche Sicherheitsvorfälle ein.