NIS2-Betroffenheitsprüfung: Sind Sie verpflichtet?

Seit dem 6. Dezember 2025 gilt das NIS2-Umsetzungsgesetz unmittelbar. Viele Geschäftsführungen wissen bis heute nicht, ob ihr Unternehmen dazugehört. Dieser Beitrag führt Sie in einer festen Reihenfolge durch die Prüfung, damit Sie am Ende eine belastbare Aussage haben.

Warum die Frage jetzt beantwortet werden muss

Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet und ist am 6. Dezember 2025 in Kraft getreten. Es hat das BSI-Gesetz grundlegend neu gefasst. Eine allgemeine Übergangsfrist gibt es nicht: Die Pflichten gelten seit dem Inkrafttreten mit den Fristen, die das Gesetz selbst nennt, etwa drei Monate für die Registrierung.

Das BSI rechnet mit rund 29.500 Einrichtungen, die es nach dem neuen Gesetz beaufsichtigt. Diese Zahl ist eine Erwartung des BSI und keine Liste. Für Ihr Unternehmen zählt allein die Einzelprüfung anhand von Sektor, Tätigkeit und Größe.

Die gesetzliche Frist zur Registrierung beim BSI (drei Monate, § 33 Abs. 1 BSIG) endete für bereits betroffene Einrichtungen am 6. März 2026, die vom BSI genannte Nachfrist am 31. Juli 2026. Wer sich bis heute nicht registriert hat, ist säumig. Die Registrierungspflicht besteht fort, das Versäumnis wird durch Zeitablauf nicht geheilt.

Schritt 1: Fällt Ihre Tätigkeit unter Anlage 1 oder 2 des BSIG?

Die Betroffenheit beginnt nicht bei der Unternehmensgröße, sondern beim Sektor. Prüfen Sie zuerst, ob Ihre tatsächliche Geschäftstätigkeit einer der im BSIG aufgeführten Sektorkategorien zugeordnet werden kann. Maßgeblich ist, was Sie tun, nicht wie Ihre Handelsregistereintragung lautet.

Anlage 1 des BSIG nennt die Sektoren Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, Digitale Infrastruktur und Weltraum. Anlage 2 nennt Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, das verarbeitende Gewerbe in bestimmten Branchen (etwa Maschinenbau, elektrische Ausrüstungen, Fahrzeugbau, Medizinprodukte), Anbieter digitaler Dienste sowie Forschung. Die öffentliche Verwaltung gehört nicht zu diesen Anlagen; Einrichtungen der Bundesverwaltung regelt das Gesetz gesondert. Tätigkeiten, die im Verhältnis zur gesamten Geschäftstätigkeit vernachlässigbar sind, können bei der Zuordnung unberücksichtigt bleiben (§ 28 Abs. 3 BSIG).

Führen Sie diese Zuordnung schriftlich durch und dokumentieren Sie das Ergebnis. Wenn Ihre Tätigkeit in keiner Sektorbeschreibung vorkommt, ist die Prüfung an dieser Stelle beendet. Kommt Ihre Tätigkeit vor oder ist die Zuordnung strittig, geht es mit Schritt 2 weiter.

Schritt 2: Erreichen Sie die Größenschwellen?

Die Schwellen stehen in § 28 BSIG; gezählt wird nach der Empfehlung 2003/361/EG der Europäischen Kommission, also in Jahresarbeitseinheiten: Teilzeitkräfte zählen anteilig, Auszubildende nicht. Häufiger Fehler: Nur die Mitarbeiterzahl wird betrachtet, obwohl auch ein kleineres Unternehmen über Umsatz und Bilanzsumme erfasst sein kann.

Mittleres Unternehmen: ab 50 Beschäftigte ODER (Jahresumsatz UND Bilanzsumme jeweils über 10 Mio. Euro), § 28 Abs. 2 Nr. 3 BSIG. Großes Unternehmen: ab 250 Beschäftigte ODER (Jahresumsatz über 50 Mio. Euro UND Bilanzsumme über 43 Mio. Euro). Die Verknüpfung der Kriterien ist zwingend zu berücksichtigen.

Die Daten von Partner- und verbundenen Unternehmen werden grundsätzlich hinzugerechnet, auch die von Gesellschaften außerhalb der EU. Ein Tochterunternehmen mit 30 Beschäftigten kann so über die Schwelle rutschen. Ausnahme nach § 28 Abs. 4 Satz 2 BSIG: Ist das Unternehmen mit Blick auf seine IT-Systeme, Komponenten und Prozesse rechtlich, wirtschaftlich und tatsächlich unabhängig von den verbundenen Unternehmen, wird nicht hinzugerechnet. Prüfen Sie deshalb Beteiligungsverhältnisse und IT-Verflechtung, bevor Sie die Größe bestimmen.

Mittleres Unternehmen: ab 50 Beschäftigte ODER (Umsatz UND Bilanz jeweils über 10 Mio. Euro)
Großes Unternehmen: ab 250 Beschäftigte ODER (Umsatz über 50 Mio. Euro UND Bilanz über 43 Mio. Euro)
Partner- und verbundene Unternehmen: grundsätzlich hinzurechnen, außer bei IT-Unabhängigkeit (§ 28 Abs. 4 Satz 2 BSIG)
Stichtag ist der letzte abgeschlossene Jahresabschluss

Schritt 3: Besonders wichtige oder wichtige Einrichtung?

Das Gesetz unterscheidet zwei Klassen: besonders wichtige Einrichtungen und wichtige Einrichtungen. Die inhaltlichen Anforderungen an das Risikomanagement sind weitgehend gleich. Unterschiede bestehen bei der Aufsichtsintensität, die proaktiv gegenüber anlassbezogen ausfällt, und beim Sanktionsrahmen.

Vereinfacht: Große Unternehmen in Sektoren mit hoher Kritikalität landen in der Regel bei den besonders wichtigen Einrichtungen. Mittlere Unternehmen in diesen Sektoren und Unternehmen aus den sonstigen kritischen Sektoren landen typischerweise bei den wichtigen Einrichtungen. Für die operative Umsetzung ist die Einstufung zweitrangig, für die aufsichtsrechtliche Perspektive jedoch bedeutsam.

Sonderfälle, die die Prüfung verändern

Es gibt Konstellationen, in denen ein Unternehmen unabhängig von der Größe betroffen ist. Dazu gehören Betreiber kritischer Anlagen, qualifizierte und sonstige Vertrauensdiensteanbieter, Top Level Domain Name Registries, DNS-Diensteanbieter sowie Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze (§ 28 Abs. 1 Nr. 1 bis 3 und Abs. 2 Nr. 1 und 2 BSIG). Wenn Sie in einer dieser Rollen tätig sind, ist die Größenschwelle unerheblich. Diese Aufzählung beruht auf einer abschließenden gesetzlichen Aufzählung und darf nicht analog auf ähnliche Konstellationen ausgeweitet werden.

Prüfen Sie zudem, ob Sie Betreiber kritischer Anlagen im Sinne des BSIG sind: In diesem Fall greifen zusätzliche, weitergehende Pflichten.

Konzernstrukturen verdienen besondere Aufmerksamkeit. Eine Holding kann nicht betroffen sein, während eine operative Tochter es ist. Umgekehrt kann eine kleine Servicegesellschaft durch die Zurechnung der Konzerndaten in die Pflicht rutschen, sofern sie bei ihrer IT nicht nach § 28 Abs. 4 Satz 2 BSIG unabhängig ist. Als Faustregel führen Sie die Prüfung je juristischer Person durch und rechnen dabei die Kennzahlen verbundener Unternehmen nach der KMU-Empfehlung hinzu, soweit die Ausnahme nicht greift.

Was gilt, wenn die Prüfung Ja ergibt

Sind Sie betroffen, greifen die Pflichten unmittelbar. Sie müssen sich beim BSI registrieren, ein angemessenes Risikomanagement einrichten, Ihre Lieferkette sicherheitsseitig bewerten und Vorfälle in der vorgesehenen Kaskade melden. Die Geschäftsleitung ist persönlich in der Verantwortung, die Maßnahmen umzusetzen und ihre Umsetzung zu überwachen (§ 38 Abs. 1 BSIG).

Die Meldepflicht nach § 32 BSIG ist gestuft: eine frühe Erstmeldung unverzüglich, spätestens 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall; eine Meldung mit erster Bewertung unverzüglich, spätestens nach 72 Stunden; eine Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung, bei andauerndem Vorfall zunächst eine Fortschrittsmeldung. Adressat ist die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe, erreichbar über das BSI-Portal.

Wichtig für die Praxis: Die Frist beginnt mit der Kenntniserlangung. Laut BSI ist das der Zeitpunkt, zu dem eine Mitarbeiterin oder ein Mitarbeiter der Einrichtung während der Arbeitszeit von dem erheblichen Sicherheitsvorfall erfährt. Es kommt also nicht darauf an, wann die Geschäftsleitung informiert wird. Wer intern erst Stunden später eskaliert, hat einen Teil der Frist bereits verbraucht.

Sind personenbezogene Daten betroffen, bestehen zwei getrennte Meldepflichten nebeneinander: die frühe Erstmeldung nach § 32 BSIG binnen 24 Stunden und die Meldung an die Datenschutzaufsicht nach Art. 33 DSGVO, die unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden zu erfolgen hat. Die Fristen laufen unabhängig voneinander und dürfen nicht gegeneinander verrechnet werden.

Was gilt, wenn die Prüfung Nein ergibt

Ein negatives Ergebnis ist ebenfalls ein Ergebnis, das dokumentiert werden sollte. Halten Sie die geprüften Kriterien schriftlich fest: Sektorzuordnung, Kennzahlen zum Stichtag, Beteiligungsverhältnisse. So können Sie bei einer späteren Nachfrage von Kunden, Auftraggebern oder Versicherern belegen, dass Sie geprüft haben.

Beachten Sie zwei Punkte: Erstens ändert sich Ihre Einstufung mit wachsendem Unternehmen oder verändertem Geschäftszweck. Aus praktischer Sicht empfiehlt es sich, die Prüfung jährlich sowie nach jeder wesentlichen Änderung zu wiederholen. Das BSIG schreibt einen solchen Rhythmus nicht vor, es handelt sich um eine Praxisempfehlung. Zweitens werden Sie faktisch häufig durch die Lieferkette Ihrer Kunden erfasst: Diese müssen ihre Zulieferer bewerten und geben Anforderungen vertraglich weiter.

Fazit

Die Prüfung folgt einer klaren Reihenfolge: Sektor, Größe, Sonderfälle. Führen Sie sie strukturiert durch und halten Sie das Ergebnis schriftlich fest, unabhängig davon, ob es positiv oder negativ ausfällt. Ist Ihr Unternehmen betroffen, priorisieren Sie die Registrierung beim BSI und ein tragfähiges Meldeverfahren, bevor Sie an weitere Anforderungen gehen.

Wenn Sie die Prüfung strukturiert durchgehen möchten, steht Ihnen der kostenlose NIS2-Betroffenheits-Check zur Verfügung: Er stellt die richtigen Fragen in der richtigen Reihenfolge und liefert Ihnen ein dokumentierbares Ergebnis.Zum kostenlosen NIS2-Check