NIS2 betroffene Unternehmen: Bin ich betroffen?
Das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) ist seit dem 2025-12-06 in Kraft. Ob Ihr Unternehmen unter das Gesetz fällt, bestimmt sich nach einer klaren Drei-Schritt-Logik gemäß §28 BSIG.
Prüflogik nach §28 BSIG
Drei Schritte zur Feststellung der Betroffenheit
Sektor — Gehört Ihr Unternehmen zu einem der 18 erfassten Sektoren?
Anlage 1 — Besonders wichtige Sektoren (11)
- Energie
- Verkehr
- Bankwesen
- Finanzmarktinfrastrukturen
- Gesundheitswesen
- Trinkwasser
- Abwasser
- Digitale Infrastrukturen
- IKT-Dienstleistungsmanagement (B2B)
- Öffentliche Verwaltung
- Weltraum
Anlage 2 — Wichtige Sektoren (7)
- Post- und Kurierdienste
- Abfallbewirtschaftung
- Chemie
- Lebensmittel
- Verarbeitendes Gewerbe
- Anbieter digitaler Dienste
- Forschung
Kein passender Sektor → Ihr Unternehmen ist nicht betroffen. Andernfalls weiter zu Schritt 2.
Größe — Überschreiten Sie die Schwellenwerte?
Mittlere Einrichtung
≥ 50 Mitarbeitende
oder
≥ 10 Mio. € Jahresumsatz
und ≥ 10 Mio. € Bilanzsumme
Große Einrichtung
≥ 250 Mitarbeitende
oder
≥ 50 Mio. € Jahresumsatz
Ausnahme: Betreiber kritischer Anlagen und bestimmte besonders wichtige Einrichtungen fallen unabhängig von der Größe unter NIS2UmsuCG.
Einstufung — Besonders wichtig oder wichtig?
Besonders wichtige Einrichtung
- Große Einrichtungen in Anlage-1-Sektoren
- Qualifizierte Vertrauensdiensteanbieter
- TLD-Registries, DNS-Dienste
Bußgeld (§65 BSIG): bis zu
10.000.000 € / 2% Umsatz
Wichtige Einrichtung
- Mittlere Einrichtungen in Anlage-1-Sektoren
- Alle Einrichtungen in Anlage-2-Sektoren
Bußgeld (§65 BSIG): bis zu
7.000.000 € / 1.4% Umsatz
Was gilt nach der Einstufung?
Registrierung beim BSI
Pflicht zur Registrierung im MUK-Portal (Meldungs- und Informationsportal für Unternehmen und Kommunen). Frist: 2026-03-06 — bereits abgelaufen.
Risikomanagement (§30 BSIG)
10 Maßnahmenbereiche gemäß §30 BSIG müssen umgesetzt werden, darunter BCM, Kryptographie und MFA.
Meldepflichten (§32 BSIG)
Erhebliche Sicherheitsvorfälle melden: Erstmeldung 24 Stunden, Folgemeldung 72 Stunden, Abschlussbericht 1 Monat.
Persönliche Haftung der Geschäftsleitung (§38 BSIG)
§38 BSIG verpflichtet die Geschäftsleitung zur Billigung, Überwachung und Umsetzung der Risikomanagementmaßnahmen. Verstöße können zu persönlicher Haftbarkeit führen — nicht nur zu Bußgeldern gegen das Unternehmen. Bei besonders wichtigen Einrichtungen kann das BSI zudem ein vorübergehendes Tätigkeitsverbot für Führungspersonen aussprechen.
Zur HaftungsseiteUnsicher, ob Ihr Unternehmen betroffen ist?
Der kostenlose NIS2-Checker führt Sie in 5 Fragen durch die Prüflogik und zeigt Ihre Einstufung sowie die relevanten Maßnahmen.
NIS2-Checker — kostenlos startenDieser Inhalt dient ausschließlich der Information. Er stellt keine Rechtsberatung dar und ersetzt nicht die Prüfung durch einen qualifizierten Rechts- oder Compliance-Berater. Maßgeblich ist das NIS2UmsuCG in seiner jeweils gültigen Fassung.