So prüfen Sie Ihre NIS2-Betroffenheit in 5 Schritten

Am Ende dieses Leitfadens haben Sie eine begründete Einschätzung, ob Ihre Organisation von NIS2 betroffen ist und wenn ja, als welcher Einrichtungstyp. Das ist die Grundlage für jeden weiteren Umsetzungsschritt.

Seit dem 6. Dezember 2025 gilt das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in Deutschland. Betroffen sind nach Schätzungen der Bundesregierung rund 29.000 bis 30.000 Einrichtungen. Viele von ihnen wissen das noch nicht.

Wichtig: Die Betroffenheitsprüfung müssen Sie selbst initiieren. Das BSI verschickt keine Benachrichtigungen. Wer sich nicht registriert, obwohl betroffen, riskiert Bußgelder bis zu 500.000 Euro nach § 65 Abs. 5 Nr. 5 BSIG.

Schritt 1: Sektor prüfen, Anlage 1 oder Anlage 2?

Das BSIG 2025 erfasst ausschließlich Einrichtungen in definierten Sektoren. Prüfen Sie, ob Ihre Haupttätigkeit in einen der gelisteten Sektoren fällt.

Anlage 1: hochkritische Sektoren

Unternehmen in Anlage-1-Sektoren können je nach Größe als besonders wichtige (bwE) oder wichtige Einrichtung (wE) eingestuft werden:

• Energie: Strom, Fernwärme und Fernkälte, Erdöl und Kraftstoff, Gas, Wasserstoff
• Transport und Verkehr: Luftfahrt, Bahn, Schifffahrt, Straßenverkehr
• Finanzwesen: Kreditinstitute, Handelsplätze, Zentrale Gegenparteien
• Gesundheit: Erbringer von Gesundheitsdienstleistungen nach Richtlinie 2011/24/EU (einschließlich Krankenhäusern), EU-Referenzlabore, pharmazeutische Hersteller, Arzneimittel-Forschung und -Entwicklung
• Wasser: Trinkwasserversorgung, Abwasserunternehmen
• Digitale Infrastruktur: Cloud-Anbieter, Rechenzentren, DNS-Dienste, TLD-Register, IXPs, CDNs, MSPs, MSSPs, Vertrauensdiensteanbieter, öffentliche Telekommunikationsnetze
• Weltraum: Betreiber von Bodeninfrastrukturen für weltraumgestützte Dienste

Anlage 2: sonstige kritische Sektoren

Unternehmen in Anlage-2-Sektoren können nur als wichtige Einrichtung (wE) eingestuft werden:

• Post- und Kurierdienste
• Abfallbewirtschaftung
• Chemische Stoffe (Herstellung und Vertrieb nach REACH)
• Lebensmittel (Großhandel und industrielle Produktion oder Verarbeitung, nicht Einzelhandel)
• Verarbeitendes Gewerbe: Medizinprodukte, Computer und Elektronik (NACE 26), elektrische Ausrüstungen (NACE 27), Maschinenbau (NACE 28), Kraftfahrzeuge und -teile (NACE 29), sonstiger Fahrzeugbau (NACE 30)
• Anbieter digitaler Dienste: Online-Marktplätze, Online-Suchmaschinen, soziale Netzwerke
• Forschungseinrichtungen

Entscheidend ist Ihre Haupttätigkeit, nicht die Branche Ihrer IT-Systeme. Ein Maschinenbauunternehmen fällt unter Anlage 2 „Verarbeitendes Gewerbe", auch wenn es keine IT-Dienstleistungen erbringt. Ein Lebensmittelhersteller mit starker IT-Abteilung fällt unter Anlage 2 „Lebensmittel" und nicht unter Digitale Infrastruktur.

Ist Ihre Haupttätigkeit in keinem dieser Sektoren, sind Sie nicht direkt von NIS2 betroffen, vorbehaltlich der Ausnahmen in Schritt 3. Beachten Sie jedoch: Liefern Sie kritische Dienste an betroffene Einrichtungen, können Sicherheitsanforderungen über die Lieferkette vertraglich auf Sie durchgereicht werden. Details dazu im Artikel Lieferkettensicherheit unter NIS2.

Schritt 2: Größenschwellenwerte prüfen

Sektorzugehörigkeit allein genügt nicht. Das BSIG 2025 nutzt die EU-Unternehmensgrößendefinitionen nach Empfehlung 2003/361/EG der EU-Kommission.

Schwellenwerte für besonders wichtige Einrichtungen (bwE)

Sie erfüllen das Größenkriterium für bwE, wenn:

• mindestens 250 Mitarbeiter (Jahresdurchschnitt, Vollzeitäquivalente), ODER
• Jahresumsatz über 50 Mio. Euro UND Bilanzsumme über 43 Mio. Euro

Schwellenwerte für wichtige Einrichtungen (wE)

Sie erfüllen das Größenkriterium für wE, wenn:

• mindestens 50 Mitarbeiter (Jahresdurchschnitt, Vollzeitäquivalente), ODER
• Jahresumsatz über 10 Mio. Euro UND Bilanzsumme über 10 Mio. Euro

Drei typische Fehler bei der Größenprüfung

Fehler 1, die OR-Logik zwischen Mitarbeitern und Finanzkennzahlen wird übersehen: Mitarbeiterzahl und Finanzkennzahlen sind OR-verknüpft. 60 Mitarbeiter und 7 Mio. Euro Umsatz: betroffen (Mitarbeiterschwelle überschritten). 40 Mitarbeiter, 12 Mio. Euro Umsatz und 11 Mio. Euro Bilanzsumme: betroffen (Umsatz- und Bilanzschwelle überschritten). Umsatz und Bilanzsumme sind dagegen untereinander AND-verknüpft.

Fehler 2, Konzernkonsolidierung wird ignoriert: Bei verbundenen Unternehmen (Mehrheitsbeteiligungen) werden die Kennzahlen aller Konzerngesellschaften grundsätzlich konsolidiert. Eine Tochtergesellschaft mit 30 eigenen Mitarbeitern kann durch Konzernkonsolidierung die 250-Mitarbeiter-Schwelle überschreiten. Eine Ausnahme nach § 28 Abs. 4 Satz 2 BSIG greift nur dann, wenn das Unternehmen mit Blick auf seine IT-Systeme, Komponenten und Prozesse nachweisbar unabhängig von Partner- oder verbundenen Unternehmen ist. Die Inanspruchnahme erfordert dokumentierte IT-Unabhängigkeit.

Fehler 3, nur die Eigenrechnung betrachtet: Prüfen Sie sowohl Ihre eigene Einheit als auch die konsolidierte Konzernperspektive. Dokumentieren Sie das Ergebnis mit Datum. Dieses Dokument ist der Nachweis für den Fristbeginn.

Ausnahme: Kleinsteinrichtungen können trotzdem betroffen sein

Bestimmte Einrichtungen fallen unabhängig von ihrer Größe unter NIS2, direkt als bwE:

• Betreiber kritischer Anlagen nach BSI-KritisV (typischerweise Versorgungseinrichtungen für mindestens 500.000 Personen)
• Qualifizierte Vertrauensdiensteanbieter (eIDAS-Verordnung)
• TLD-Registrierungsstellen (zum Beispiel DENIC für .de)
• DNS-Dienstanbieter (außer Root-Nameserver)

Schritt 3: Ausnahmen und Lex-Specialis-Regeln prüfen

Selbst wenn Sektor und Größe zutreffen, kann Ihre Einrichtung ausgenommen sein.

Kategorische Ausnahmen

Einrichtungen, die ausschließlich für nationale Sicherheit, Landesverteidigung, öffentliche Sicherheit oder Strafverfolgung tätig sind, sind ausgenommen. Das gilt für entsprechende Behörden, nicht für private Unternehmen, die gelegentlich Aufträge in diesen Bereichen ausführen.

Finanzsektor: DORA hat Vorrang

Die Verordnung (EU) 2022/2554 (DORA) gilt seit dem 17. Januar 2025 und verdrängt für Finanzunternehmen die NIS2-Kernpflichten. § 28 Abs. 6 BSIG stellt klar: Für Finanzunternehmen nach Art. 2 Abs. 2 DORA gelten die §§ 30, 31, 32, 35, 36, 38 und 39 BSIG nicht. Zuständige Aufsichtsbehörde für DORA-Pflichten ist die BaFin. Die BSI-Registrierungspflicht nach § 33 BSIG bleibt jedoch bestehen: Auch DORA-regulierte Finanzunternehmen müssen sich beim BSI registrieren.

Vernachlässigbarkeitsausnahme (§ 28 Abs. 3 BSIG)

Bei der Zuordnung zu einer Einrichtungsart nach Anlage 1 oder 2 können Geschäftstätigkeiten außer Betracht bleiben, die im Verhältnis zur gesamten Geschäftstätigkeit der Einrichtung vernachlässigbar sind. Der Begriff „vernachlässigbar" ist nicht legaldefiniert. Wer sich auf diese Ausnahme beruft, muss die Entscheidung sorgfältig dokumentieren.

Schritt 4: Einrichtungstyp bestimmen, bwE oder wE?

Wer nach den ersten drei Schritten betroffen ist, muss noch bestimmen, als welcher Typ. Das hat Auswirkungen auf die Aufsichtsintensität, nicht auf die inhaltlichen Sicherheitspflichten: die sind für beide Typen identisch.

Besonders wichtige Einrichtung (bwE)

• Große Unternehmen (≥ 250 MA oder Umsatz > 50 Mio. Euro UND Bilanzsumme > 43 Mio. Euro) in Anlage-1-Sektoren
• Qualifizierte Vertrauensdiensteanbieter, TLD-Register, DNS-Dienste, öffentliche Telekommunikationsnetze (größenunabhängig)
• Betreiber kritischer Anlagen nach BSI-KritisV (größenunabhängig, mit zusätzlichen Pflichten)

Wichtige Einrichtung (wE)

• Mittlere Unternehmen (≥ 50 MA oder Umsatz > 10 Mio. Euro UND Bilanzsumme > 10 Mio. Euro) in Anlage-1-Sektoren, die keine bwE sind
• Mittlere und große Unternehmen in Anlage-2-Sektoren

Was sich unterscheidet

BSI-Aufsicht: bwE werden proaktiv und anlassunabhängig beaufsichtigt (ex ante, § 61 BSIG). wE werden nur bei begründetem Anlass geprüft (ex post, § 62 BSIG).

Bußgeldrahmen (§ 65 BSIG): Bei schweren Verstößen gegen §§ 30, 32 BSIG können bwE mit bis zu 10 Mio. Euro und wE mit bis zu 7 Mio. Euro belegt werden. Für Konzerne mit Gesamtumsatz über 500 Mio. Euro gelten zusätzlich Umsatzobergrenzen: 2 Prozent (bwE) bzw. 1,4 Prozent (wE) des weltweiten Jahresumsatzes.

Sicherheitspflichten (§ 30 BSIG): identisch für beide Typen. Alle 10 Mindestmaßnahmen aus § 30 Abs. 2 Nr. 1 bis 10 BSIG gelten vollumfänglich.

Schritt 5: Registrierungsfrist ableiten und einplanen

Mit der Betroffenheitseinschätzung steht die nächste Pflicht fest: die Registrierung beim BSI nach § 33 BSIG.

Fristen

• Einrichtungen, die am 6. Dezember 2025 betroffen waren: Registrierungsfrist war der 6. März 2026, drei Monate nach Inkrafttreten (§ 33 Abs. 1 BSIG). Die Frist ist abgelaufen; wer noch nicht registriert ist, sollte das umgehend nachholen.
• Einrichtungen, die später betroffen werden (zum Beispiel durch Wachstum über die Schwellenwerte): Registrierungspflicht binnen drei Monaten, nachdem die Einrichtung erstmals oder erneut als bwE oder wE gilt (§ 33 Abs. 1 BSIG).

Was Sie vorbereiten müssen

• Handelsregisterauszug (nicht älter als 3 Monate)
• ELSTER-Unternehmenskonto, Aktivierungscode per Post, Vorlaufzeit 1 bis 2 Wochen einplanen
• Primären Ansprechpartner und Stellvertreter für das BSI benennen (Funktionspostfach empfohlen)
• Sektorzuordnung (Anlage 1 oder 2 BSIG) dokumentieren

Ergebnis, das Sie nach diesem Leitfaden haben

• Sektor (Anlage 1, Anlage 2 oder nicht betroffen) ist bestimmt und dokumentiert
• Größenschwelle ist geprüft, Mitarbeiterzahl, Umsatz und Bilanzsumme mit Datum festgehalten
• Lex-Specialis-Regeln (DORA, sektorspezifische Regime) sind geprüft
• Einrichtungstyp (bwE oder wE) ist festgelegt
• Registrierungsfrist ist berechnet und im Projektplan eingetragen

Nutzen Sie für diesen Prozess die Betroffenheits-Checkliste aus der Template Library oder starten Sie mit dem Vor-Check, einer 18-Screen-Gap-Analyse, die Ihre Betroffenheitseinschätzung mit ISO 27001 und BSI IT-Grundschutz abgleicht.

Wie geht es weiter?

Mit der abgeschlossenen Betroffenheitseinschätzung folgt als nächstes die BSI-Registrierung. Der Artikel BSI-Registrierung Schritt für Schritt führt Sie durch den gesamten MUK-Prozess einschließlich ELSTER-Verifizierung.

Für die rechtlichen Hintergründe, insbesondere Grenzfälle bei Konzernstrukturen, der IT-Unabhängigkeitsausnahme und gemischten Tätigkeiten, lesen Sie Artikel § 28 BSIG: Welche Einrichtungen wirklich betroffen sind. Für die anschließende Umsetzung der zehn Mindestmaßnahmen nach § 30 BSIG siehe Die 10 Mindestmaßnahmen nach § 30 Abs. 2 BSIG im Detail. Der NIS2 Guide führt Sie strukturiert durch alle acht Umsetzungskapitel.

Dieser Artikel ersetzt keine Rechtsberatung. Für Fragen zur konkreten rechtlichen Einordnung Ihrer Situation, insbesondere bei Konzernstrukturen, gemischten Tätigkeiten oder Lex-Specialis-Konstellationen, wenden Sie sich an einen auf IT-Recht spezialisierten Anwalt.