So prüfen Sie, ob NIS2 für Ihren Betrieb gilt
NIS2 ist eine EU-Richtlinie für mehr Cybersicherheit. Deutschland hat sie mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz umgesetzt, Kern ist ein neu gefasstes BSI-Gesetz (BSIG). Es ist am 6. Dezember 2025 in Kraft getreten, eine allgemeine Übergangsfrist gibt es laut BSI nicht.
Das BSI stellt niemandem einen Bescheid aus, ob er betroffen ist. Die Prüfung liegt beim Betrieb. Für eine erste Einschätzung gibt es die NIS-2-Betroffenheitsprüfung auf der Website des BSI: ein anonymer Fragebogen, der in wenigen Minuten ein Ergebnis zeigt. Er ist unverbindlich und ersetzt keine eigene Prüfung. Im Kern geht es um drei Fragen:
- Gehört Ihre Tätigkeit zu einer Einrichtungsart aus Anlage 1 oder 2 des BSIG?
- Erreichen Sie die Größenschwelle bei Beschäftigten oder Umsatz und Bilanzsumme?
- Greift eine Sonderregel, etwa weil Sie unabhängig von der Größe erfasst sind oder als Finanzunternehmen unter eine eigene EU-Verordnung (DORA) fallen?
Frage 1: Ist Ihre Branche erfasst?
Das Gesetz zählt in zwei Anlagen auf, welche Einrichtungsarten erfasst sind. Entscheidend ist die genaue Tätigkeit, nicht der grobe Sektor. Beim verarbeitenden Gewerbe richtet sich das nach den Abteilungen der Wirtschaftszweig-Klassifikation (NACE). "Elektrische Ausrüstungen" meint zum Beispiel die Herstellung, nicht die Elektroinstallation durch einen Handwerksbetrieb.
Tätigkeiten, die gemessen an Ihrem Gesamtgeschäft vernachlässigbar sind, dürfen außer Betracht bleiben (§ 28 Abs. 3 BSIG). Einzelhandel, Handwerk, Kanzleien und Agenturen kommen in den Anlagen nicht vor und sind deshalb in der Regel nicht betroffen.
- Anlage 1: Energie, Transport und Verkehr, Banken und Finanzmarktinfrastruktur, Gesundheit, Trinkwasser und Abwasser, Weltraum
- Anlage 1, digitale Infrastruktur: unter anderem Cloud- und Rechenzentrumsdienste sowie IT-Dienstleister, die als Managed Service Provider die Systeme ihrer Kunden betreuen
- Anlage 2: Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel (Großhandel sowie industrielle Herstellung und Verarbeitung), Forschung
- Anlage 2, verarbeitendes Gewerbe: Medizinprodukte, Elektronik und Optik, elektrische Ausrüstungen, Maschinenbau, Kraftwagen und Teile, sonstiger Fahrzeugbau
- Anlage 2, digitale Dienste: Online-Marktplätze, Suchmaschinen und soziale Netzwerke
Frage 2: Ist Ihr Betrieb groß genug?
Wichtige Einrichtung ist, wer in einem dieser Bereiche mindestens 50 Beschäftigte hat oder mehr als 10 Mio. Euro Jahresumsatz und zugleich mehr als 10 Mio. Euro Bilanzsumme (§ 28 Abs. 2 BSIG). Ein hoher Umsatz allein reicht also nicht. Besonders wichtige Einrichtung ist, wer in einem Bereich aus Anlage 1 mindestens 250 Beschäftigte hat oder mehr als 50 Mio. Euro Umsatz und mehr als 43 Mio. Euro Bilanzsumme.
Gezählt wird nach der KMU-Empfehlung der EU, Teilzeitkräfte zählen anteilig. Zahlen von Partner- oder verbundenen Unternehmen werden nicht hinzugerechnet, wenn Ihr Betrieb bei der IT unabhängig von ihnen ist (§ 28 Abs. 4 BSIG). Einige Anbieter fallen unabhängig von der Größe darunter, etwa Vertrauensdienste, DNS-Dienste und Betreiber kritischer Anlagen.
Halten Sie das Ergebnis Ihrer Prüfung mit Datum schriftlich fest, auch wenn es "nicht betroffen" lautet. Prüfen Sie erneut, wenn Sie wachsen oder ein neues Geschäftsfeld beginnen.
Wenn Sie betroffen sind: diese Pflichten gelten
Registrieren Sie sich spätestens drei Monate, nachdem Sie betroffen sind, beim BSI (§ 33 BSIG): erst über "Mein Unternehmenskonto" mit ELSTER-Organisationszertifikat, dann im BSI-Portal. Für Betriebe, die seit Inkrafttreten betroffen sind, lief die Frist am 6. März 2026 ab. Wer das versäumt hat, holt es sofort nach, für fehlende Angaben sieht § 65 BSIG bis zu 500.000 Euro Bußgeld vor.
Erhebliche Sicherheitsvorfälle melden Sie an die Meldestelle von BSI und Bundesamt für Bevölkerungsschutz: erste Meldung binnen 24 Stunden, Bewertung binnen 72 Stunden, Abschlussbericht einen Monat danach (§ 32 BSIG). Die Geschäftsleitung muss die Maßnahmen umsetzen und überwachen, haftet bei schuldhaften Pflichtverletzungen nach Gesellschaftsrecht und muss regelmäßig an Schulungen teilnehmen (§ 38 BSIG).
Dazu kommt ein dokumentiertes Risikomanagement nach § 30 BSIG, angemessen zu Größe und Risiko. Fehlende Maßnahmen, Dokumentation oder Meldungen können bei wichtigen Einrichtungen bis zu 7 Mio. Euro Bußgeld kosten, bei besonders wichtigen bis zu 10 Mio. Euro (§ 65 BSIG). Das Gesetz nennt zehn Mindestmaßnahmen, darunter:
- Risikoanalyse, Sicherheitskonzept und Umgang mit Sicherheitsvorfällen
- Backups, Notfallwiederherstellung und Krisenmanagement
- Sicherheit der Lieferkette
- Schulung und Sensibilisierung
- Zugriffsrechte, Verschlüsselung und Mehr-Faktor-Anmeldung
Wenn Sie nicht betroffen sind: Ihre Kunden fragen trotzdem
Betroffene Betriebe müssen die Sicherheit ihrer Lieferkette bewerten, auch bei direkten Lieferanten und Dienstleistern (§ 30 Abs. 2 Nr. 4 BSIG). Das BSI nennt dafür vertragliche Vereinbarungen mit Zulieferern.
Für einen Zulieferer mit 20 Leuten heißt das: Der Kunde schickt einen Fragebogen, verlangt Nachweise oder schreibt Sicherheitsklauseln in den Rahmenvertrag. Das BSI empfiehlt nicht betroffenen Dienstleistern, die eigenen Maßnahmen an § 30 BSIG zu messen. Wer sauber antworten kann, behält den Auftrag leichter.
Und der Cyber Resilience Act?
Der Cyber Resilience Act (Verordnung (EU) 2024/2847) wird oft in einem Atemzug mit NIS2 genannt, trifft aber andere. Er regelt Produkte mit digitalen Elementen, also vernetzte Geräte und Software, und verpflichtet vor allem deren Hersteller, etwa den Maschinenbauer mit vernetzter Steuerung oder den Anbieter einer App. Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle binnen 24 Stunden bei der europäischen Meldeplattform anzeigen (Art. 14), ab dem 11. Dezember 2027 gelten alle Anforderungen.
Wer Produkte mit Software nur einkauft und nutzt, hat aus dem CRA keine eigenen Pflichten. Für die meisten Betriebe ist er deshalb kein Thema, für Hersteller sollte er eine eigene Prüfung bekommen.
Was jeder Betrieb mit 10 bis 50 Leuten tun sollte
Auch ohne gesetzliche Pflicht sind die folgenden Schritte die Grundlage, die Kunden, Versicherer und im Ernstfall Sie selbst erwarten. Die meisten kosten wenig, vor allem etwas Zeit.
Systeme, die wir für Kunden betreiben, laufen auf Servern in Deutschland (Hetzner), mit nächtlichen Sicherungen und einer Überwachung, die uns bei Ausfällen alarmiert. Ihre eigene Verantwortung ersetzt das nicht. Fallen Sie unter NIS2, sind wir ein Teil Ihrer Lieferkette, den Sie bewerten.
- Die BSI-Betroffenheitsprüfung machen und das Ergebnis mit Datum ablegen.
- Backups so anlegen, dass mindestens eine Kopie vom Netz getrennt oder unveränderbar ist. Die Wiederherstellung einmal im Jahr testen.
- Mehr-Faktor-Anmeldung für E-Mail, Fernzugang, Buchhaltung und alle Admin-Konten einschalten.
- Updates für Betriebssysteme, Router, Firewall und Software automatisch oder nach festem Plan einspielen.
- Einen Notfallplan auf einer Seite schreiben: wer entscheidet, wen man anruft, wie man ohne IT weiterarbeitet. Ausgedruckt aufbewahren.
- Mitarbeitende einmal im Jahr zu Phishing und sicheren Passwörtern schulen.