NIS2-Betroffenheit ist für viele Unternehmen eine offene Frage, seit am 6. Dezember 2025 das NIS2-Umsetzungsgesetz in Kraft getreten ist. Kleine Betriebe mit weniger als 50 Beschäftigten sind meist nicht direkt betroffen – prüfen sollten Sie es trotzdem. Hier lesen Sie, wie das geht, was Betroffene tun müssen und warum Grundschutz auch allen anderen nützt.
Was das NIS2-Umsetzungsgesetz verlangt
Mit dem Gesetz setzt Deutschland die EU-Richtlinie NIS2 um. Kern ist das neu gefasste BSI-Gesetz (BSIG): Es verpflichtet Unternehmen bestimmter Branchen ab einer gewissen Größe, ihre IT nach festgelegten Mindestanforderungen abzusichern, sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) zu registrieren und erhebliche Sicherheitsvorfälle zu melden.
- 29.500Einrichtungen fallen nach Schätzung des BSI unter NIS2 – bisher waren es nach dem BSI-Gesetz rund 4.500.Quelle: BSI, 5.12.2025
- 24 Std.haben Betroffene höchstens Zeit für die frühe Erstmeldung eines erheblichen Sicherheitsvorfalls.Quelle: BSI
NIS2-Betroffenheit: Branche und Größe entscheiden
Ob das Gesetz direkt für Sie gilt, hängt von zwei Fragen ab. Nur wenn Sie beide mit „Ja“ beantworten, sind Sie in der Regel betroffen – Ausnahmen gelten für Betreiber kritischer Anlagen und einige Dienste (siehe Kasten).
Frage 1: Gehört Ihre Branche dazu?
Das BSI-Gesetz zählt die Branchen in zwei Anlagen auf (§ 28 BSIG). Anlage 1 nennt Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur und Weltraum. Zur digitalen Infrastruktur zählen etwa Cloud-Anbieter, Rechenzentren und IT-Dienstleister, die die IT ihrer Kunden betreuen.
Anlage 2 ergänzt Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel (Großhandel und industrielle Herstellung), Teile des verarbeitenden Gewerbes – etwa Maschinenbau, Fahrzeugbau, Medizinprodukte sowie elektrische und elektronische Geräte –, außerdem Online-Marktplätze, Suchmaschinen, soziale Netzwerke und Forschungseinrichtungen.
Arzt- und Zahnarztpraxen können als Erbringer von Gesundheitsdienstleistungen zum Sektor Gesundheit zählen. Erfasst sind sie aber nur, wenn sie auch die Größenschwelle erreichen. Rechts- und Steuerkanzleien stehen in keiner der beiden Listen. Tätigkeiten, die gemessen am gesamten Geschäft kaum ins Gewicht fallen, können bei der Zuordnung außen vor bleiben.
Frage 2: Erreichen Sie die Größenschwelle?
Unternehmen dieser Branchen fallen unter das Gesetz, wenn sie mindestens 50 Beschäftigte haben oder Jahresumsatz und Jahresbilanzsumme jeweils über 10 Mio. € liegen. Dann gelten sie als „wichtige Einrichtung“. Ab 250 Beschäftigten oder mehr als 50 Mio. € Umsatz und zugleich mehr als 43 Mio. € Bilanzsumme werden Unternehmen aus Anlage 1 zur „besonders wichtigen Einrichtung“ – mit strengerer Aufsicht und höheren Bußgeldern.
Gezählt wird nach der EU-Empfehlung für kleine und mittlere Unternehmen (KMU): Teilzeitkräfte anteilig, Auszubildende sowie Zeiten in Mutterschutz und Elternzeit nicht. Gehört Ihr Betrieb zu einer Unternehmensgruppe, können die Zahlen von Partner- und verbundenen Unternehmen mitzählen (BSI-FAQ zu NIS2).
| Einordnung | Wer gehört dazu | Schwelle |
|---|---|---|
| Besonders wichtige Einrichtung | Betreiber kritischer Anlagen, Unternehmen aus Anlage 1 | kritische Anlagen: unabhängig von der Unternehmensgröße; Anlage 1: ab 250 Beschäftigten oder über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme |
| Wichtige Einrichtung | Unternehmen aus Anlage 1 oder 2 | ab 50 Beschäftigten oder jeweils über 10 Mio. € Umsatz und Bilanzsumme |
| Ohne Größenschwelle | Vertrauensdiensteanbieter, DNS-Dienste, Top-Level-Domain-Registries, öffentliche Telekommunikation | keine – immer erfasst |
| Nicht direkt betroffen | Unternehmen außerhalb der Anlagen oder unterhalb der Schwellen | keine Pflichten nach dem BSI-Gesetz, unter Umständen aber Anforderungen von Auftraggebern |
Gut zu wissen: Manche Dienste zählen immer
Vertrauensdienste (etwa für elektronische Signaturen), DNS-Dienste, Top-Level-Domain-Registries sowie öffentliche Telekommunikationsnetze und -dienste fallen unabhängig von der Unternehmensgröße unter das Gesetz. Das kann auch sehr kleine Firmen treffen, etwa regionale Internetanbieter.
Ihre NIS2-Betroffenheit mit dem BSI-Test prüfen
Am schnellsten kommen Sie mit der NIS-2-Betroffenheitsprüfung des BSI zu einer Einschätzung. Der Online-Fragebogen fragt in wenigen Schritten Branche, Tätigkeit und Größe ab, läuft anonym und nennt am Ende die Pflichten, die sich aus dem Ergebnis ergeben.
Wichtig: Das Ergebnis ist laut BSI eine Orientierungshilfe auf Grundlage Ihrer eigenen Angaben und nicht rechtlich bindend. Halten Sie Beschäftigtenzahl, Umsatz und Bilanzsumme des letzten abgeschlossenen Geschäftsjahres bereit. Ist das Ergebnis knapp oder unklar, lassen Sie Ihre NIS2-Betroffenheit rechtlich prüfen.
Wenn Sie betroffen sind: Diese Pflichten gelten
Für wichtige und besonders wichtige Einrichtungen gelten vor allem diese Pflichten (Übersicht des BSI):
- Registrieren: spätestens drei Monate, nachdem ein Unternehmen betroffen ist. Das geht in zwei Schritten: zuerst die Anmeldung bei „Mein Unternehmenskonto“ mit einem ELSTER-Organisationszertifikat, dann die Registrierung im BSI-Portal. Für alle, die schon seit Dezember 2025 betroffen sind, ist die Frist abgelaufen.
- Absichern: geeignete technische und organisatorische Maßnahmen ergreifen und dokumentieren (§ 30 BSIG). Dazu gehören unter anderem Risikoanalyse, Umgang mit Sicherheitsvorfällen, Datensicherung und Notfallplanung, Sicherheit in der Lieferkette, Verschlüsselung, Zugriffsregeln und Mehr-Faktor-Anmeldung.
- Melden: erhebliche Sicherheitsvorfälle an das BSI – unverzüglich, spätestens 24 Stunden nach Kenntnis eine frühe Erstmeldung, binnen 72 Stunden eine Meldung mit erster Bewertung und spätestens einen Monat danach eine Abschlussmeldung.
- Chefsache: Die Geschäftsleitung muss die Maßnahmen umsetzen und ihre Umsetzung überwachen; verletzt sie diese Pflicht, haftet sie dem Unternehmen für schuldhaft verursachte Schäden. Außerdem muss sie regelmäßig an Schulungen teilnehmen (§ 38 BSIG).
Für die Meldungen gilt laut BSI „Schnelligkeit vor Vollständigkeit“: Fehlende Angaben werden in Folgemeldungen ergänzt.
Bei Verstößen gegen die Pflichten zu Absicherung, Dokumentation und Meldung sind Bußgelder bis zu 7 Mio. € (wichtige Einrichtungen) bzw. 10 Mio. € (besonders wichtige Einrichtungen) möglich; bei mehr als 500 Mio. € Gesamtumsatz richtet sich der Höchstbetrag nach dem Umsatz. Wer sich nicht registriert, riskiert bis zu 500.000 €.
Nicht betroffen? Warum sich Grundschutz trotzdem lohnt
Auch wer nicht unter das Gesetz fällt, kann NIS2 über seine Kunden zu spüren bekommen. Betroffene Unternehmen müssen nämlich die Sicherheit ihrer Lieferkette berücksichtigen – also auch die ihrer Zulieferer und Dienstleister. Laut BSI kann es sich für solche Dienstleister deshalb anbieten, ihre eigenen Maßnahmen mit Blick auf Vereinbarungen mit Auftraggebern an § 30 BSIG zu messen (BSI-FAQ).
Das kann ein Fragebogen, eine Vertragsklausel oder die Bitte um einen Nachweis sein. Wer Updates, Datensicherung und Zugriffsschutz geregelt und dokumentiert hat, antwortet schnell.
Ähnlich ist es bei Cyberversicherungen: Der unverbindliche Muster-Fragebogen des Versicherungsverbands GDV für kleine und mittlere Unternehmen fragt unter anderem nach mindestens wöchentlicher Datensicherung, getrennt aufbewahrten Sicherungen, zeitnahen Sicherheitsupdates und Schutz gegen Schadsoftware. Und ganz ohne Gesetz gilt: Grundschutz entscheidet mit darüber, ob Ihr Betrieb nach einem Angriff schnell weiterarbeiten kann.
Hier setzen wir an – technisch, nicht rechtlich: Wir halten Updates aktuell, schützen Rechner mit Virenschutz und Firewall in der Cloud auf Basis von Bitdefender GravityZone, richten die Mehr-Faktor-Anmeldung ein, sorgen für geprüfte Datensicherungen und einen Notfallplan und dokumentieren die technischen Maßnahmen. Mehr dazu auf unserer Seite IT-Sicherheit.
Was Sie jetzt tun sollten
- NIS2-Betroffenheit prüfen: Machen Sie den BSI-Test und heben Sie das Ergebnis auf. Im Zweifel holen Sie rechtlichen Rat ein.
- Wenn betroffen, registrieren: Holen Sie die Registrierung im BSI-Portal umgehend nach, falls noch nicht geschehen, und legen Sie den Meldeweg für Vorfälle fest.
- Bestand aufnehmen: Welche Systeme und Zugänge gibt es, wo fehlen Updates, wann wurde die Datensicherung zuletzt geprüft? Für Server, Microsoft 365, Firewall und Datensicherung zeigt das unser IT-Sicherheits-Check zum Festpreis.
- Grundschutz umsetzen: Updates, Virenschutz und Firewall, Mehr-Faktor-Anmeldung, Datensicherung mit Wiederherstellungstest und ein schriftlicher Notfallplan.
- Dokumentieren und Kunden im Blick behalten: Halten Sie fest, was umgesetzt ist, und klären Sie, welche Anforderungen Ihre Auftraggeber und Ihre Versicherung stellen.
Ihre IT-Sicherheit auf solide Füße stellen
Im Erstgespräch besprechen wir, wo Ihr Betrieb steht und was technisch sinnvoll ist. Auf Wunsch folgt der IT-Sicherheits-Check: Wir prüfen Server, Microsoft 365, Firewall und Datensicherung nach 20 Punkten und erstellen einen Bericht mit Festpreis je Maßnahme.
Häufige Fragen
Gilt NIS2 auch für Unternehmen mit weniger als 50 Beschäftigten?
In der Regel nur, wenn Ihre Branche im Gesetz genannt ist und Jahresumsatz und Jahresbilanzsumme jeweils über 10 Mio. € liegen. Ohne Größenschwelle gilt es nur in wenigen Fällen, etwa für Betreiber kritischer Anlagen, Vertrauensdienste, DNS-Dienste oder öffentliche Telekommunikation.
Wir sind nicht betroffen. Müssen wir trotzdem etwas tun?
Gegenüber dem BSI in der Regel nicht: Registrieren und melden müssen nur betroffene Einrichtungen. Auftraggeber, die selbst unter NIS2 fallen, können aber vertraglich Sicherheitsmaßnahmen von Ihnen verlangen.
Wie oft muss sich die Geschäftsleitung schulen lassen?
Das Gesetz verlangt in § 38 BSIG eine „regelmäßige“ Teilnahme an Schulungen, nennt aber keinen festen Rhythmus. Die Schulungen sollen der Leitung helfen, Risiken für die IT-Sicherheit zu erkennen und zu bewerten.
Kann Dare Solutions unsere NIS2-Betroffenheit feststellen?
Nein – das ist eine rechtliche Frage. Eine erste Orientierung gibt die BSI-Betroffenheitsprüfung, im Zweifel klärt es eine Rechtsberatung. Wir kümmern uns um die Technik: Bestandsaufnahme im IT-Sicherheits-Check und Umsetzung der technischen Maßnahmen – egal, ob Sie betroffen sind oder nicht.
Stand: 1. Oktober 2026. Dieser Beitrag gibt einen allgemeinen Überblick und ist keine Rechtsberatung – Ihre NIS2-Betroffenheit hängt vom Einzelfall ab. Maßgeblich sind das BSI-Gesetz in der jeweils aktuellen Fassung und die Hinweise des BSI.