Bestandsaufnahme
Welche Systeme, Dienstleister und Daten gibt es, und wo liegen die größten Risiken?
NIS2: Bist du betroffen, und was jetzt?
NIS2 bringt Sicherheitspflichten für viele Unternehmen, die bisher nie etwas mit KRITIS zu tun hatten. Die gute Nachricht: Ob du dazugehörst, lässt sich in wenigen Minuten einschätzen. Was danach kommt, ist Arbeit, aber planbare.
150 € pro Stunde, pauschal für alles. Für Unternehmen, zzgl. USt.
Was ist NIS2?
NIS2 steht für die zweite Richtlinie der EU über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau, die Richtlinie (EU) 2022/2555. NIS2 ersetzt die erste NIS-Richtlinie und weitet den Kreis der verpflichteten Unternehmen deutlich aus.
In Deutschland wird NIS2 durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz umgesetzt, das unter anderem das BSI-Gesetz neu fasst. Es ist im Bundesgesetzblatt (BGBl. 2025 I Nr. 301) verkündet und seit dem 6. Dezember 2025 in Kraft. Zuständige Behörde ist das Bundesamt für Sicherheit in der Informationstechnik (BSI).
NIS2 ist Teil unserer Leistung Cybersecurity für KMU. Dort geht es um IT-Sicherheit allgemein, hier um die konkreten Pflichten aus dem Gesetz und den Weg dorthin.
29.500Einrichtungen in Deutschland sind laut BSI rund betroffen (Pressemitteilung vom 05.12.2025)
2Kategorien: besonders wichtige und wichtige Einrichtungen (§ 28 BSIG)
3 MonateZeit für die Registrierung, nachdem eine Einrichtung erstmals als betroffen gilt (§ 33 BSIG)
Kennst du das?
NIS2 kommt selten als Gesetzestext auf den Tisch. Meist kommt es als Frage, auf die keiner eine schnelle Antwort hat.
- Ein Großkunde schickt dir einen Fragebogen zur Informationssicherheit und will die Antworten bis Monatsende.
- Du hast von NIS2 gehört, weißt aber nicht, ob dein Sektor dazugehört.
- Die Geschäftsführung soll Maßnahmen umsetzen und überwachen, die noch keiner aufgeschrieben hat.
- Backups, Zugänge und Dienstleister sind irgendwie geregelt, aber nirgends dokumentiert.
- Die erste Registrierungsfrist ist laut BSI abgelaufen, und du weißt nicht, ob sie dich betraf.
NIS2-Check: Bin ich betroffen?
Unser Check fragt nach Sektor, Beschäftigten, Jahresumsatz, Jahresbilanzsumme und Sonderfällen. Am Ende steht eine von vier Einordnungen: vermutlich besonders wichtige Einrichtung, vermutlich wichtige Einrichtung, vermutlich nicht betroffen oder Sonderfall prüfen. Jede Einordnung verweist auf die offizielle Betroffenheitsprüfung des BSI.
Unser Check ersetzt nicht die offizielle Betroffenheitsprüfung des BSI. Er hilft dir, schnell einzuschätzen, ob du dich genauer damit beschäftigen musst. Die Prüflogik steht rechts, damit du sie auch ohne Werkzeug durchgehen kannst.
Orientierung, keine Rechtsberatung. Nichts wird gespeichert. Im Zweifel lass die Einordnung rechtlich prüfen.
Die Prüflogik in fünf Fragen
Sektor nach Anlage 1 oder 2 BSIG + Größe nach § 28 BSIG = vorläufige Einordnung
| Frage | Wenn ja |
|---|---|
| 1. Ist dein Unternehmen in einem Sektor der Anlagen 1 oder 2 des BSIG tätig? | Weiter mit Frage 2. Wenn nein: vermutlich nicht direkt betroffen, indirekt über Kundschaft aber möglich. |
| 2. Gehörst du zu den Einrichtungen, die unabhängig von der Größe erfasst sind? | Sonderfall prüfen, am besten mit der BSI-Betroffenheitsprüfung. |
| 3. Mindestens 250 Beschäftigte, oder über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme? | Vermutlich besonders wichtige Einrichtung. Die genaue Kategorie hängt auch davon ab, in welcher Anlage dein Sektor steht. |
| 4. Mindestens 50 Beschäftigte, oder über 10 Mio. € Umsatz und über 10 Mio. € Bilanzsumme? | Vermutlich wichtige Einrichtung. |
| 5. Nichts davon trifft zu? | Vermutlich nicht betroffen. Prüf trotzdem, was deine Kundschaft von dir verlangt. |
Orientierung, keine Rechtsberatung. Verbindlich ist das Gesetz, die offizielle Prüfung macht das BSI.
Der NIS2-Check braucht JavaScript. Zum NIS2-Check
Wer ist von NIS2 betroffen?
Ob ein Unternehmen betroffen ist, hängt von zwei Dingen ab:
- Sektor: Die Richtlinie nennt Sektoren mit hoher Kritikalität (etwa Energie, Verkehr, Gesundheit, digitale Infrastruktur, bestimmte IT-Dienstleistungen) und sonstige kritische Sektoren (etwa Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Anbieter). Im deutschen Gesetz stehen sie in den Anlagen 1 und 2 des BSI-Gesetzes.
- Größe: In der Regel sind mittlere und große Unternehmen erfasst, gemessen an Beschäftigten, Umsatz und Bilanzsumme. Für einige Einrichtungen gilt NIS2 unabhängig von der Größe.
Wichtig: Auch wer selbst nicht betroffen ist, kann indirekt betroffen sein, weil Kundinnen und Kunden aus NIS2-Sektoren Sicherheitsanforderungen an ihre Lieferanten und Dienstleister weitergeben. Der Fragebogen vom Großkunden ist oft der erste Kontakt mit NIS2.
| Kategorie | Beschäftigte | oder Umsatz und Bilanzsumme |
|---|---|---|
| besonders wichtige Einrichtung | ab 250 | über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme |
| wichtige Einrichtung | ab 50 | über 10 Mio. € Umsatz und über 10 Mio. € Bilanzsumme |
| Sonderfälle | manche Einrichtungen unabhängig von der Größe | |
Welche Pflichten bringt NIS2?
- Registrierung beim BSI innerhalb der gesetzlichen Frist: spätestens drei Monate, nachdem eine Einrichtung erstmals als besonders wichtige oder wichtige Einrichtung gilt (§ 33 BSIG).
- Risikomanagement: technische und organisatorische Maßnahmen, etwa Konzepte zur Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Backup und Notfallmanagement, Sicherheit der Lieferkette, Zugriffskontrolle, Kryptografie, Schulungen.
- Meldepflichten: erhebliche Sicherheitsvorfälle in mehreren Stufen an das BSI melden, beginnend mit einer frühen Erstmeldung.
- Verantwortung der Geschäftsleitung: Die Geschäftsleitung ist verpflichtet, die Risikomanagementmaßnahmen nach § 30 „umzusetzen und ihre Umsetzung zu überwachen“ (§ 38 Abs. 1 BSIG). Verletzt sie diese Pflicht, haftet sie der Einrichtung für schuldhaft verursachte Schäden nach Gesellschaftsrecht (§ 38 Abs. 2). Und Geschäftsleitungen „müssen regelmäßig an Schulungen teilnehmen“ (§ 38 Abs. 3 BSIG).
So läuft die Registrierung
Laut BSI ist die erste Registrierungsfrist bereits abgelaufen. Wer jetzt feststellt, dass er betroffen ist, sollte die Registrierung nicht weiter schieben. Der Weg führt über zwei Stationen: Zuerst legst du ein Konto bei Mein Unternehmenskonto an, danach registrierst du die Einrichtung im BSI-Portal.
Orientierung, keine Rechtsberatung. Fristen und Pflichten im Einzelfall klärt deine Rechtsberatung.
Wie wir dich bei der Umsetzung unterstützen
Für die rechtliche Bewertung, ob und wie NIS2 für dich gilt, ist eine Rechtsberatung zuständig. Wir sorgen dafür, dass die Technik und die Abläufe stimmen.
Maßnahmenplan
Priorisiert nach Pflicht, Wirkung und Aufwand, mit Stundenschätzung je Punkt.
Technische Umsetzung
Härtung von Websites und Servern, Backups, Zugänge, Protokollierung. Mehr unter Cybersecurity und Hosting mit Backups und Überwachung.
Notfall- und Meldeprozess
Wer erkennt, wer bewertet, wer meldet, und in welcher Zeit? Aufgeschrieben, bevor es ernst wird.
Schulungen
Für Mitarbeitende und für die Geschäftsleitung, online live oder inhouse bei dir. Mehr unter Schulungen für Team und Geschäftsleitung.
Dokumentation
Damit du nachweisen kannst, was du getan hast. Dazu gehören Richtlinien, etwa zur Informationssicherheit oder eine KI-Richtlinie für Unternehmen.
Schulungspflicht für die Geschäftsleitung
Ein Punkt wird oft übersehen: Das BSI-Gesetz verlangt nicht nur Technik, sondern auch Wissen an der Spitze. Nach § 38 Abs. 3 BSIG „müssen“ Geschäftsleitungen betroffener Einrichtungen „regelmäßig an Schulungen teilnehmen“. Das ist nur konsequent: Wer Maßnahmen umsetzen und ihre Umsetzung überwachen muss, muss sie auch beurteilen können.
Wir schulen Geschäftsleitungen kompakt und ohne Fachchinesisch: Welche Pflichten hast du, welche Risiken sind in deinem Unternehmen realistisch, welche Fragen stellst du deinem Dienstleister? Online live oder inhouse bei dir. Jede Person bekommt ein Teilnahmezertifikat von mediabrandcast als Baustein der Dokumentation, wer wann wozu geschult wurde. Mehr unter Schulungen für Team und Geschäftsleitung.
Fünf Fragen, die die Geschäftsleitung beantworten können sollte
Sind wir betroffen?
Und in welcher Kategorie?
Sind wir registriert?
Wer hält die Kontaktdaten aktuell?
Wer meldet einen Vorfall?
Und wer vertritt diese Person?
Was setzen wir um?
Und wie überwachen wir die Umsetzung?
Wann war die letzte Schulung?
Und wo ist sie dokumentiert?
Die ersten fünf Schritte
Danach geht es an die Maßnahmen, Schritt für Schritt nach Priorität.
Betroffenheit klären
Check machen, offizielle BSI-Betroffenheitsprüfung durchgehen, im Zweifel rechtlich prüfen lassen.
Registrierung erledigen
Zuständigkeiten und Kontaktdaten festlegen, Konto bei Mein Unternehmenskonto anlegen, Einrichtung im BSI-Portal registrieren.
Verantwortung klären
Wer in der Geschäftsleitung verantwortet Umsetzung und Überwachung der Maßnahmen? Wer erledigt die Arbeit?
Bestand und Risiken erfassen
Systeme, Dienstleister, Daten, Schwachstellen.
Meldeweg einrichten
Wer erkennt einen Vorfall, wer bewertet ihn, wer meldet ihn an das BSI?
Wann du uns nicht brauchst
Wenn die Frage ist, ob NIS2 rechtlich für dich gilt oder wie eine Pflicht im Einzelfall auszulegen ist, brauchst du eine Rechtsberatung, keine Agentur. Wir geben Orientierung und setzen um, wir beraten nicht rechtlich.
Wenn du bereits ein Managementsystem für Informationssicherheit betreibst und ein Team hast, das Maßnahmen, Meldewege und Dokumentation im Griff hat, ist NIS2 für dich vor allem eine Lücken-Prüfung. Die schafft dein Team oft selbst, mit der BSI-Betroffenheitsprüfung und dem Gesetzestext.
Und wenn dein Check „vermutlich nicht betroffen“ ergibt und deine Kundschaft nichts verlangt: Dann reichen gute Grundlagen. Die findest du unter Cybersecurity für KMU.
150 €/h
pauschal für alles. Für Unternehmen, zzgl. USt.
Was die NIS2-Umsetzung kostet
Das hängt von deiner Ausgangslage ab. Wir rechnen wie immer im Servicevertrag ab: 150 € pro Stunde, pauschal für alles, für Unternehmen, zzgl. USt., monatlich nach Aufwand. Nach der Bestandsaufnahme bekommst du einen Maßnahmenplan mit Stundenschätzung je Punkt. Lizenzen für Werkzeuge geben wir transparent 1:1 weiter.
NIS2 im Detail
Du weißt, dass du betroffen bist? Dann helfen dir diese drei Ratgeber weiter: einer für die Arbeit, einer für den Gesetzestext, einer für den Weg zum BSI.
NIS2 umsetzen
Die zehn Mindestmaßnahmen aus § 30 BSIG mit dem passenden Nachweis, die Meldefristen in drei Stufen und ein 90-Tage-Plan zum Abhaken.
Zum UmsetzungsplanNIS2-Richtlinie erklärt
Welcher Artikel der EU-Richtlinie in welchem Paragrafen des BSI-Gesetzes steckt, als Navigator mit Checkliste. Ideal, wenn Kundschaft oder Prüfer nach Artikeln fragen.
Zum Artikel-NavigatorBSI und NIS2
Registrierung im BSI-Portal in fünf Schritten, welche Angaben § 33 BSIG verlangt und wie Meldungen laufen.
Zur RegistrierungVerwandte Leistungen
NIS2 ist ein Gesetz. Umgesetzt wird es mit Technik, Abläufen und Wissen.
Häufige Fragen zu NIS2
Was ist NIS2 einfach erklärt?
NIS2 ist eine EU-Richtlinie, die viele Unternehmen in wichtigen Branchen verpflichtet, ihre IT-Sicherheit zu verbessern, sich bei der Behörde zu registrieren und schwere Sicherheitsvorfälle zu melden. In Deutschland gilt sie über das NIS2-Umsetzungsgesetz seit dem 6. Dezember 2025, zuständig ist das BSI.
Wie prüfe ich, ob mein Unternehmen von NIS2 betroffen ist?
Entscheidend sind Sektor und Unternehmensgröße. Das BSI bietet eine offizielle Betroffenheitsprüfung an. Unser NIS2-Check gibt dir vorab eine schnelle Orientierung nach denselben Kriterien. Im Zweifel solltest du die Einordnung rechtlich prüfen lassen, besonders bei Sonderfällen, die unabhängig von der Größe erfasst sind.
Was passiert, wenn ich die NIS2-Pflichten nicht erfülle?
Das Gesetz sieht Aufsichtsmaßnahmen und Bußgelder vor: bis 10 Mio. € für besonders wichtige und bis 7 Mio. € für wichtige Einrichtungen, bei sehr großen Unternehmen umsatzabhängig. Eine versäumte Registrierung kann bis 500.000 € kosten. Außerdem muss die Geschäftsleitung die Maßnahmen überwachen. Orientierung, keine Rechtsberatung.
Bis wann muss ich mich beim BSI registrieren?
Spätestens drei Monate, nachdem deine Einrichtung erstmals als besonders wichtige oder wichtige Einrichtung gilt. Laut BSI ist die erste Frist bereits abgelaufen. Der Weg führt über ein Konto bei Mein Unternehmenskonto und danach über das BSI-Portal. Wer spät dran ist, sollte nicht weiter warten.
Muss die Geschäftsleitung an einer NIS2-Schulung teilnehmen?
Ja. Nach § 38 Abs. 3 BSIG müssen Geschäftsleitungen betroffener Einrichtungen regelmäßig an Schulungen teilnehmen. Wir schulen Geschäftsleitungen kompakt, online live oder inhouse, und stellen ein Teilnahmezertifikat aus, das du als Baustein deiner Dokumentation nutzen kannst. Orientierung, keine Rechtsberatung.
Bin ich als kleines Unternehmen betroffen?
In den meisten Fällen nicht direkt, weil NIS2 überwiegend mittlere und große Unternehmen erfasst. Es gibt aber Ausnahmen für bestimmte Einrichtungen, die unabhängig von der Größe gelten, und viele kleine Unternehmen sind als Dienstleister indirekt betroffen, weil ihre Kundschaft Sicherheitsanforderungen weitergibt.
Quellen
- Richtlinie (EU) 2022/2555 (NIS2), EUR-Lex, abgerufen am 13.11.2026.
- NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz vom 2.12.2025, BGBl. 2025 I Nr. 301, abgerufen am 13.11.2026.
- BSI-Gesetz (BSIG) in der neuen Fassung, §§ 28, 33, 38, 65, abgerufen am 13.11.2026; § 38 BSIG (Umsetzungs-, Überwachungs- und Schulungspflicht), abgerufen am 14.11.2026.
- BSI: NIS2-Betroffenheitsprüfung, abgerufen am 13.11.2026.
- Mein Unternehmenskonto und BSI-Portal (Registrierung), abgerufen am 13.11.2026.
- BSI: Pressemitteilung vom 05.12.2025 (rund 29.500 betroffene Einrichtungen).
Erst Klarheit, dann Plan.
Mach den Check. Wenn du betroffen bist, bauen wir mit dir den Maßnahmenplan.
150 € pro Stunde, pauschal für alles. Für Unternehmen, zzgl. USt.