NIS-2-Betroffenheit prüfen
Das NIS-2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten. Nach Angaben des BSI treffen die neuen Pflichten rund 29.500 Einrichtungen in Deutschland. Ob Ihr Unternehmen dazugehört, erfahren Sie nicht durch einen Bescheid – die Prüfung müssen Sie selbst durchführen.
Wer nach NIS-2 betroffen ist
Zwei Bedingungen müssen zusammenkommen. Fehlt eine, besteht keine Betroffenheit – und damit auch keine Registrierungs- und Nachweispflicht. Zu prüfen ist deshalb zuerst die Einrichtungsart, dann die Größe.
- Einrichtungsart. Fällt Ihr Unternehmen unter eine der in den Anlagen 1 und 2 des BSIG genannten Einrichtungsarten – also unter einen der dort aufgeführten Sektoren und Tätigkeiten? Maßgeblich ist die Tätigkeit, die das Unternehmen tatsächlich erbringt, nicht die Branche, in der es sich selbst verortet.
- Größenschwellen (Size-Cap). Nach § 28 Abs. 1 und 2 BSIG entscheidet zusätzlich die Unternehmensgröße über Beschäftigtenzahl, Jahresumsatz und Jahresbilanzsumme. Bei verbundenen Unternehmen werden die Kennzahlen zusammengerechnet – auch für verbundene Unternehmen außerhalb der EU.
- Unabhängig von der Größe. Einzelne Dienste sind ohne Schwellenwert erfasst: Anbieter öffentlicher Telekommunikationsnetze und -dienste, Vertrauensdienste- anbieter sowie TLD-Registries und DNS-Diensteanbieter.
- Kritische Anlagen. Ob Sie als Betreiber einer kritischen Anlage gelten – eine Teilmenge der besonders wichtigen Einrichtungen – wird wie bisher anhand der BSI-Kritisverordnung geprüft.
Wichtig für die Praxis: Das BSI teilt die Betroffenheit nicht mit. Die Prüfung liegt bei Ihnen. Das BSI stellt dafür eine NIS-2-Betroffenheitsprüfung mit Fragenkatalog und einen Entscheidungsbaum bereit – beides ist eine automatisierte Ersteinschätzung und rechtlich nicht bindend. Der Unterschied zwischen „wir glauben, nicht betroffen zu sein“ und „wir können zeigen, dass wir es geprüft haben“ ist genau der Punkt, an dem es später eng wird.
Was aus der Betroffenheit folgt
Registrierung
Zweistufig über „Mein Unternehmenskonto“ und das BSI-Portal – spätestens drei Monate nach erstmaliger oder erneuter Betroffenheit; Änderungen unverzüglich, spätestens nach zwei Wochen.
Risikomanagement
Geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen sind zu ergreifen und zu dokumentieren. § 30 Abs. 2 BSIG nennt zehn Mindestmaßnahmen.
Verantwortung der Geschäftsleitung
Die Verantwortung für Umsetzung und Überwachung liegt nach dem BSIG bei der Geschäftsleitung – nicht bei der IT-Abteilung. Dazu gehört die regelmäßige Schulung nach § 38 Abs. 3 BSIG.
Meldepflichten
Erhebliche Sicherheitsvorfälle sind gestuft zu melden: 24 Stunden für die Erstmeldung, 72 Stunden für die Meldung, 30 Tage für die Abschlussmeldung.
Lieferkette
Sicherheitsbezogene Aspekte in den Beziehungen zu unmittelbaren Anbietern und Diensteanbietern gehören ausdrücklich zum Maßnahmenkatalog – der Punkt, an dem sich KMU und ihre IT-Dienstleister gegenseitig befragen.
Nachweise
Nach BSI-Angaben sind Nachweise zur Einhaltung des Gesetzes spätestens fünf Jahre nach Inkrafttreten zu erbringen, danach regelmäßig. Wer erst dann anfängt, dokumentiert rückwirkend.
Drei Punkte, an denen es in kleineren Unternehmen hängt
- Die Betroffenheit wird geschätzt statt geprüft. Die Einrichtungsart hängt an der tatsächlich erbrachten Tätigkeit, nicht an der Selbsteinschätzung. Ein Unternehmen, das einen Teil seiner Leistung in einem erfassten Sektor erbringt, ist nicht deshalb außen vor, weil es sich als Handwerksbetrieb versteht. Und wer nicht betroffen ist, sollte das dokumentiert haben.
- Die Registrierung wird verschoben. Drei Monate klingen großzügig. Sie laufen aber ab dem Zeitpunkt der Betroffenheit – und der Weg über „Mein Unternehmenskonto“ und BSI-Portal braucht Angaben, die erst zusammengetragen werden müssen: Kontaktstelle, Kontaktperson, Sektor, Einrichtungsart, Aufsichtsbehörden, Größenkennzahlen und öffentliche IP-Adressbereiche.
- Es fehlt die Dokumentation, nicht die Maßnahme. Backup, Mehrfaktor- Anmeldung und ein Notfallplan sind in vielen Betrieben vorhanden. Was fehlt, ist die Belegbarkeit: Wer hat was entschieden, welche Fassung gilt, wann wurde zuletzt geprüft. Genau darauf zielen die Nachweise – und genau dort wird’s bei einer Nachfrage eng.
Wer die drei Punkte abarbeitet, hat am Ende etwas, das auch für Kundenfragebögen, Ausschreibungen und Versicherer passt. Das ist der eigentliche Nebeneffekt: Der Aufwand für NIS-2 und der Aufwand für eine ISO-27001-Vorbereitung sind zu großen Teilen derselbe.
Was diese Seite nicht ist
- Keine Rechtsberatung. Ob und in welchem Umfang Ihr Unternehmen betroffen ist, ist eine rechtliche Bewertung des Einzelfalls. Beschrieben werden hier die Pflichten und Verfahren nach dem BSIG.
- Kein Ersatz für die Prüfung. Der Fragenkatalog des BSI liefert eine Ersteinschätzung auf Basis Ihrer eigenen Angaben – geprüft wird er nicht. Für die Größenkennzahlen verbundener Unternehmen und für die Einordnung der Tätigkeit braucht es einen Blick auf die tatsächlichen Verhältnisse.
- Keine Zertifizierung. Eine NIS-2-Registrierung ist kein Siegel, und eine ISO-27001-Zertifizierung ersetzt die Betroffenheitsprüfung nicht – sie kann aber die Nachweise tragen.
- Kein einmaliger Akt. Registrierungsangaben ändern sich, Maßnahmen müssen wirksam bleiben und die Geschäftsleitung muss regelmäßig geschult werden. NIS-2 ist eine laufende Aufgabe, wie der Datenschutz.
Für die laufende Betreuung der Datenschutzorganisation ist der externe Datenschutzbeauftragte zuständig; die technische Seite – Netzsegmentierung, Mehrfaktor-Anmeldung, Sicherungen – liegt bei IT-Infrastruktur und IT-Security.
Häufige Fragen zu NIS-2
Sind wir von NIS-2 betroffen?
Das entscheiden zwei Fragen: Fällt Ihr Unternehmen unter eine Einrichtungsart der Anlagen 1 und 2 des BSIG, und erreichen Sie die Größenschwellen des § 28 Abs. 1 und 2 BSIG (Beschäftigte, Umsatz, Bilanzsumme)? Nur wenn beides zutrifft, sind Sie wichtige oder besonders wichtige Einrichtung. Einzelne Dienste wie Vertrauensdienste, TLD-Registries und DNS-Diensteanbieter sind unabhängig von der Größe erfasst.
Meldet das BSI uns, dass wir betroffen sind?
Nein. Die Prüfung ist von den möglicherweise Betroffenen selbst durchzuführen; eine Mitteilung des BSI erfolgt nicht. Das BSI stellt eine NIS-2-Betroffenheitsprüfung mit Fragenkatalog und einen Entscheidungsbaum bereit — das Ergebnis ist eine automatisierte Ersteinschätzung und ausdrücklich nicht bindend.
Wie lange haben wir für die Registrierung?
Spätestens drei Monate, nachdem Sie erstmals oder erneut betroffen sind (§ 33 Abs. 1 BSIG) — zweistufig über „Mein Unternehmenskonto“ und danach im BSI-Portal. Änderungen sind unverzüglich, spätestens nach zwei Wochen zu übermitteln.
Was müssen wir nach der Registrierung nachweisen?
Ein dokumentiertes Risikomanagement mit geeigneten, verhältnismäßigen und wirksamen technischen und organisatorischen Maßnahmen, verantwortet von der Geschäftsleitung. § 30 Abs. 2 BSIG nennt zehn Mindestmaßnahmen — von Risikoanalyse und Incident Response über Lieferkettensicherheit und Schulungen bis zu Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung.
Muss die Geschäftsleitung geschult werden?
Ja, nach § 38 Abs. 3 BSIG regelmäßig; nach der Gesetzesbegründung mindestens alle drei Jahre. Das BSI weist darauf hin, dass die dem Gesetz zugrunde gelegte Annahme von vier Stunden in den meisten Fällen nicht ausreichen wird.
Welche Fristen gelten bei einem Sicherheitsvorfall?
Für erhebliche Sicherheitsvorfälle: 24 Stunden für die frühe Erstmeldung, 72 Stunden für die Meldung und 30 Tage für die Abschlussmeldung — jeweils nach Kenntniserlangung, mit Bewertung von Schweregrad und Auswirkungen.
Was kostet die Begleitung einer NIS-2-Betroffenheitsprüfung?
Der Aufwand hängt an Zahl und Art der betroffenen Dienste, an der Frage verbundener Unternehmen bei den Größenkennzahlen und daran, wie viel bereits dokumentiert ist. Deshalb gibt es keinen Pauschalpreis, sondern nach einem kurzen Erstgespräch einen konkreten Rahmen.
Fachlich benachbart
IT-Security
Sicherheit, die Sie belegen können: Reifegrade, Maßnahmen, Notfallplan und Nachweise bis zur Auditfähigkeit.
Zur IT-SecurityExterner Datenschutzbeauftragter
Die laufende Betreuung von Datenschutzorganisation, Verzeichnis, Auftragsverarbeitung und Meldepflichten.
Zur ÜbersichtIT-Projektsteuerung
Wenn aus dem Befund ein Vorhaben wird: Planung, Steuerung und Nachverfolgung bis zur Abnahme.
Zur ProjektsteuerungDatenschutz-Audit
Sieben Prüfbereiche, Befund mit Reihenfolge — wenn zuerst der eigene Stand geklärt werden soll.
Audit ansehenErst prüfen, dann registrieren
Ob Sie betroffen sind und welche Nachweise daraus folgen, klären wir in einem kostenlosen Erstgespräch — mit Blick auf die Einrichtungsart und die Kennzahlen Ihres Unternehmens.