> Bist du von NIS2 betroffen? Schnellcheck nach Sektor und Größe, Pflichten mit BSI-Quellen, Hilfe bei der Umsetzung. Orientierung, keine Rechtsberatung. # NIS2: Bist du betroffen, und was jetzt? NIS2 bringt Sicherheitspflichten für viele Unternehmen, die bisher nie etwas mit KRITIS zu tun hatten. Die gute Nachricht: Ob du dazugehörst, lässt sich in wenigen Minuten einschätzen. Was danach kommt, ist Arbeit, aber planbare. [NIS2-Umsetzung besprechen](https://mediabrandcast.com/kontakt/?anliegen=security) 150 € pro Stunde, pauschal für alles. Für Unternehmen, zzgl. USt. - [NIS2-Check starten](https://mediabrandcast.com/leistungen/cybersecurity/nis2/#check) Kurz gesagt NIS2 ist eine EU-Richtlinie für mehr Cybersicherheit, die in Deutschland mit dem NIS2-Umsetzungsgesetz gilt, seit dem 6. Dezember 2025. Betroffen sind Unternehmen bestimmter Sektoren ab einer bestimmten Größe, eingeteilt in „besonders wichtige“ und „wichtige“ Einrichtungen. Betroffene müssen sich beim BSI registrieren, Risikomanagement-Maßnahmen umsetzen und erhebliche Sicherheitsvorfälle melden. mediabrandcast bietet einen Betroffenheits-Check zur Orientierung und hilft bei der Umsetzung. Das ist keine Rechtsberatung. ## Was ist NIS2? NIS2 steht für die zweite Richtlinie der EU über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau, die Richtlinie (EU) 2022/2555. NIS2 ersetzt die erste NIS-Richtlinie und weitet den Kreis der verpflichteten Unternehmen deutlich aus. In Deutschland wird NIS2 durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz umgesetzt, das unter anderem das BSI-Gesetz neu fasst. Es ist im Bundesgesetzblatt (BGBl. 2025 I Nr. 301) verkündet und seit dem 6. Dezember 2025 in Kraft. Zuständige Behörde ist das Bundesamt für Sicherheit in der Informationstechnik (BSI). NIS2 ist Teil unserer Leistung [Cybersecurity für KMU](https://mediabrandcast.com/leistungen/cybersecurity/). Dort geht es um IT-Sicherheit allgemein, hier um die konkreten Pflichten aus dem Gesetz und den Weg dorthin. 29.500 Einrichtungen in Deutschland sind laut BSI rund betroffen (Pressemitteilung vom 05.12.2025) 2 Kategorien: besonders wichtige und wichtige Einrichtungen (§ 28 BSIG) 3 Monate Zeit für die Registrierung, nachdem eine Einrichtung erstmals als betroffen gilt (§ 33 BSIG) ## Kennst du das? NIS2 kommt selten als Gesetzestext auf den Tisch. Meist kommt es als Frage, auf die keiner eine schnelle Antwort hat. - Ein Großkunde schickt dir einen Fragebogen zur Informationssicherheit und will die Antworten bis Monatsende. - Du hast von NIS2 gehört, weißt aber nicht, ob dein Sektor dazugehört. - Die Geschäftsführung soll Maßnahmen umsetzen und überwachen, die noch keiner aufgeschrieben hat. - Backups, Zugänge und Dienstleister sind irgendwie geregelt, aber nirgends dokumentiert. - Die erste Registrierungsfrist ist laut BSI abgelaufen, und du weißt nicht, ob sie dich betraf. ## NIS2-Check: Bin ich betroffen? Unser Check fragt nach Sektor, Beschäftigten, Jahresumsatz, Jahresbilanzsumme und Sonderfällen. Am Ende steht eine von vier Einordnungen: vermutlich besonders wichtige Einrichtung, vermutlich wichtige Einrichtung, vermutlich nicht betroffen oder Sonderfall prüfen. Jede Einordnung verweist auf die offizielle Betroffenheitsprüfung des BSI. Unser Check ersetzt nicht die offizielle [Betroffenheitsprüfung des BSI](https://betroffenheitspruefung-nis-2.bsi.de/). Er hilft dir, schnell einzuschätzen, ob du dich genauer damit beschäftigen musst. Die Prüflogik steht rechts, damit du sie auch ohne Werkzeug durchgehen kannst. Orientierung, keine Rechtsberatung. Nichts wird gespeichert. Im Zweifel lass die Einordnung rechtlich prüfen. Die Prüflogik in fünf Fragen Sektor nach Anlage 1 oder 2 BSIG + Größe nach § 28 BSIG = vorläufige Einordnung Vereinfacht nach § 28 und den Anlagen 1 und 2 BSIG, Stand 13.11.2026 | Frage | Wenn ja | |---|---| | 1. Ist dein Unternehmen in einem Sektor der Anlagen 1 oder 2 des BSIG tätig? | Weiter mit Frage 2. Wenn nein: vermutlich nicht direkt betroffen, indirekt über Kundschaft aber möglich. | | 2. Gehörst du zu den Einrichtungen, die unabhängig von der Größe erfasst sind? | Sonderfall prüfen, am besten mit der BSI-Betroffenheitsprüfung. | | 3. Mindestens 250 Beschäftigte, oder über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme? | Vermutlich besonders wichtige Einrichtung. Die genaue Kategorie hängt auch davon ab, in welcher Anlage dein Sektor steht. | | 4. Mindestens 50 Beschäftigte, oder über 10 Mio. € Umsatz und über 10 Mio. € Bilanzsumme? | Vermutlich wichtige Einrichtung. | | 5. Nichts davon trifft zu? | Vermutlich nicht betroffen. Prüf trotzdem, was deine Kundschaft von dir verlangt. | Orientierung, keine Rechtsberatung. Verbindlich ist das Gesetz, die offizielle Prüfung macht das BSI. Der NIS2-Check braucht JavaScript. [Zum NIS2-Check](https://mediabrandcast.com/tools/nis2-check/) ## Wer ist von NIS2 betroffen? Ob ein Unternehmen betroffen ist, hängt von zwei Dingen ab: 1. Sektor: Die Richtlinie nennt Sektoren mit hoher Kritikalität (etwa Energie, Verkehr, Gesundheit, digitale Infrastruktur, bestimmte IT-Dienstleistungen) und sonstige kritische Sektoren (etwa Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Anbieter). Im deutschen Gesetz stehen sie in den Anlagen 1 und 2 des BSI-Gesetzes. 2. Größe: In der Regel sind mittlere und große Unternehmen erfasst, gemessen an Beschäftigten, Umsatz und Bilanzsumme. Für einige Einrichtungen gilt NIS2 unabhängig von der Größe. Wichtig: Auch wer selbst nicht betroffen ist, kann indirekt betroffen sein, weil Kundinnen und Kunden aus NIS2-Sektoren Sicherheitsanforderungen an ihre Lieferanten und Dienstleister weitergeben. Der Fragebogen vom Großkunden ist oft der erste Kontakt mit NIS2. Größenschwellen nach § 28 BSIG, jeweils in den Sektoren der Anlagen 1 und 2. Quelle: BSIG, Stand 13.11.2026 | Kategorie | Beschäftigte | oder Umsatz und Bilanzsumme | |---|---|---| | besonders wichtige Einrichtung | ab 250 | über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme | | wichtige Einrichtung | ab 50 | über 10 Mio. € Umsatz und über 10 Mio. € Bilanzsumme | | Sonderfälle | manche Einrichtungen unabhängig von der Größe | ## Welche Pflichten bringt NIS2? - Registrierung beim BSI innerhalb der gesetzlichen Frist: spätestens drei Monate, nachdem eine Einrichtung erstmals als besonders wichtige oder wichtige Einrichtung gilt (§ 33 BSIG). - Risikomanagement: technische und organisatorische Maßnahmen, etwa Konzepte zur Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Backup und Notfallmanagement, Sicherheit der Lieferkette, Zugriffskontrolle, Kryptografie, Schulungen. - Meldepflichten: erhebliche Sicherheitsvorfälle in mehreren Stufen an das BSI melden, beginnend mit einer frühen Erstmeldung. - Verantwortung der Geschäftsleitung: Die Geschäftsleitung ist verpflichtet, die Risikomanagementmaßnahmen nach § 30 „umzusetzen und ihre Umsetzung zu überwachen“ (§ 38 Abs. 1 BSIG). Verletzt sie diese Pflicht, haftet sie der Einrichtung für schuldhaft verursachte Schäden nach Gesellschaftsrecht (§ 38 Abs. 2). Und Geschäftsleitungen „müssen regelmäßig an Schulungen teilnehmen“ (§ 38 Abs. 3 BSIG). ### So läuft die Registrierung Laut BSI ist die erste Registrierungsfrist bereits abgelaufen. Wer jetzt feststellt, dass er betroffen ist, sollte die Registrierung nicht weiter schieben. Der Weg führt über zwei Stationen: Zuerst legst du ein Konto bei [Mein Unternehmenskonto](https://www.mein-unternehmenskonto.de) an, danach registrierst du die Einrichtung im [BSI-Portal](https://portal.bsi.bund.de). Orientierung, keine Rechtsberatung. Fristen und Pflichten im Einzelfall klärt deine Rechtsberatung. Fakten zu NIS2 in Deutschland - NIS2-Umsetzungsgesetz vom 2.12.2025, in Kraft seit 6.12.2025. Quelle: [BGBl. 2025 I Nr. 301](https://www.recht.bund.de/bgbl/1/2025/301/VO.html), Stand 13.11.2026 - Bußgelder bis 10 Mio. € für besonders wichtige und bis 7 Mio. € für wichtige Einrichtungen, bei über 500 Mio. € Umsatz bis 2 % bzw. 1,4 % des Jahresumsatzes. Versäumte Registrierung: bis 500.000 €. Quelle: [§ 65 BSIG](https://www.gesetze-im-internet.de/bsig_2025/), Stand 13.11.2026 - Registrierung spätestens drei Monate nach erstmaliger Betroffenheit, die erste Frist ist laut BSI abgelaufen. Quelle: [§ 33 BSIG](https://www.gesetze-im-internet.de/bsig_2025/); BSI, Stand 13.11.2026 - Geschäftsleitungen müssen die Maßnahmen umsetzen, ihre Umsetzung überwachen und „regelmäßig an Schulungen teilnehmen“. Quelle: [§ 38 Abs. 1 und 3 BSIG](https://www.gesetze-im-internet.de/bsig_2025/__38.html), abgerufen am 14.11.2026 - Rund 29.500 betroffene Einrichtungen. Quelle: BSI, Pressemitteilung vom 05.12.2025 ## Wie wir dich bei der Umsetzung unterstützen Für die rechtliche Bewertung, ob und wie NIS2 für dich gilt, ist eine Rechtsberatung zuständig. Wir sorgen dafür, dass die Technik und die Abläufe stimmen. ### Bestandsaufnahme Welche Systeme, Dienstleister und Daten gibt es, und wo liegen die größten Risiken? ### Maßnahmenplan Priorisiert nach Pflicht, Wirkung und Aufwand, mit Stundenschätzung je Punkt. ### Technische Umsetzung Härtung von Websites und Servern, Backups, Zugänge, Protokollierung. Mehr unter [Cybersecurity](https://mediabrandcast.com/leistungen/cybersecurity/) und [Hosting mit Backups und Überwachung](https://mediabrandcast.com/leistungen/hosting/). ### Notfall- und Meldeprozess Wer erkennt, wer bewertet, wer meldet, und in welcher Zeit? Aufgeschrieben, bevor es ernst wird. ### Schulungen Für Mitarbeitende und für die Geschäftsleitung, online live oder inhouse bei dir. Mehr unter [Schulungen für Team und Geschäftsleitung](https://mediabrandcast.com/leistungen/schulungen/). ### Dokumentation Damit du nachweisen kannst, was du getan hast. Dazu gehören Richtlinien, etwa zur Informationssicherheit oder eine [KI-Richtlinie für Unternehmen](https://mediabrandcast.com/wissen/ki-richtlinie/). ## Schulungspflicht für die Geschäftsleitung Ein Punkt wird oft übersehen: Das BSI-Gesetz verlangt nicht nur Technik, sondern auch Wissen an der Spitze. Nach § 38 Abs. 3 BSIG „müssen“ Geschäftsleitungen betroffener Einrichtungen „regelmäßig an Schulungen teilnehmen“. Das ist nur konsequent: Wer Maßnahmen umsetzen und ihre Umsetzung überwachen muss, muss sie auch beurteilen können. Wir schulen Geschäftsleitungen kompakt und ohne Fachchinesisch: Welche Pflichten hast du, welche Risiken sind in deinem Unternehmen realistisch, welche Fragen stellst du deinem Dienstleister? Online live oder inhouse bei dir. Jede Person bekommt ein Teilnahmezertifikat von mediabrandcast als Baustein der Dokumentation, wer wann wozu geschult wurde. Mehr unter [Schulungen für Team und Geschäftsleitung](https://mediabrandcast.com/leistungen/schulungen/). Fünf Fragen, die die Geschäftsleitung beantworten können sollte ### Sind wir betroffen? Und in welcher Kategorie? ### Sind wir registriert? Wer hält die Kontaktdaten aktuell? ### Wer meldet einen Vorfall? Und wer vertritt diese Person? ### Was setzen wir um? Und wie überwachen wir die Umsetzung? ### Wann war die letzte Schulung? Und wo ist sie dokumentiert? ## Die ersten fünf Schritte Danach geht es an die Maßnahmen, Schritt für Schritt nach Priorität. ### Betroffenheit klären Check machen, offizielle BSI-Betroffenheitsprüfung durchgehen, im Zweifel rechtlich prüfen lassen. ### Registrierung erledigen Zuständigkeiten und Kontaktdaten festlegen, Konto bei Mein Unternehmenskonto anlegen, Einrichtung im BSI-Portal registrieren. ### Verantwortung klären Wer in der Geschäftsleitung verantwortet Umsetzung und Überwachung der Maßnahmen? Wer erledigt die Arbeit? ### Bestand und Risiken erfassen Systeme, Dienstleister, Daten, Schwachstellen. ### Meldeweg einrichten Wer erkennt einen Vorfall, wer bewertet ihn, wer meldet ihn an das BSI? ## Wann du uns nicht brauchst Wenn die Frage ist, ob NIS2 rechtlich für dich gilt oder wie eine Pflicht im Einzelfall auszulegen ist, brauchst du eine Rechtsberatung, keine Agentur. Wir geben Orientierung und setzen um, wir beraten nicht rechtlich. Wenn du bereits ein Managementsystem für Informationssicherheit betreibst und ein Team hast, das Maßnahmen, Meldewege und Dokumentation im Griff hat, ist NIS2 für dich vor allem eine Lücken-Prüfung. Die schafft dein Team oft selbst, mit der BSI-Betroffenheitsprüfung und dem Gesetzestext. Und wenn dein Check „vermutlich nicht betroffen“ ergibt und deine Kundschaft nichts verlangt: Dann reichen gute Grundlagen. Die findest du unter [Cybersecurity für KMU](https://mediabrandcast.com/leistungen/cybersecurity/). 150 €/h pauschal für alles. Für Unternehmen, zzgl. USt. ## Was die NIS2-Umsetzung kostet Das hängt von deiner Ausgangslage ab. Wir rechnen wie immer im Servicevertrag ab: 150 € pro Stunde, pauschal für alles, für Unternehmen, zzgl. USt., monatlich nach Aufwand. Nach der Bestandsaufnahme bekommst du einen Maßnahmenplan mit Stundenschätzung je Punkt. Lizenzen für Werkzeuge geben wir transparent 1:1 weiter. [So läuft der Servicevertrag](https://mediabrandcast.com/servicevertrag/) ## NIS2 im Detail Du weißt, dass du betroffen bist? Dann helfen dir diese drei Ratgeber weiter: einer für die Arbeit, einer für den Gesetzestext, einer für den Weg zum BSI. ### [NIS2 umsetzen](https://mediabrandcast.com/leistungen/cybersecurity/nis2/nis2-umsetzung/) Die zehn Mindestmaßnahmen aus § 30 BSIG mit dem passenden Nachweis, die Meldefristen in drei Stufen und ein 90-Tage-Plan zum Abhaken. Zum Umsetzungsplan ### [NIS2-Richtlinie erklärt](https://mediabrandcast.com/leistungen/cybersecurity/nis2/nis2-richtlinien/) Welcher Artikel der EU-Richtlinie in welchem Paragrafen des BSI-Gesetzes steckt, als Navigator mit Checkliste. Ideal, wenn Kundschaft oder Prüfer nach Artikeln fragen. Zum Artikel-Navigator ### [BSI und NIS2](https://mediabrandcast.com/leistungen/cybersecurity/nis2/bsi-nis2/) Registrierung im BSI-Portal in fünf Schritten, welche Angaben § 33 BSIG verlangt und wie Meldungen laufen. Zur Registrierung ## Verwandte Leistungen NIS2 ist ein Gesetz. Umgesetzt wird es mit Technik, Abläufen und Wissen. ### [Cybersecurity für KMU](https://mediabrandcast.com/leistungen/cybersecurity/) Security-Schnellcheck, Härtung, Backups, Notfallplan. Zur Cybersecurity ### [Schulungen](https://mediabrandcast.com/leistungen/schulungen/) Für Team und Geschäftsleitung, mit Teilnahmezertifikat. Zu den Schulungen ### [Hosting](https://mediabrandcast.com/leistungen/hosting/) Betreut, überwacht und gesichert, auf Servern in der EU. Zum Hosting ## Häufige Fragen zu NIS2 ### Was ist NIS2 einfach erklärt? NIS2 ist eine EU-Richtlinie, die viele Unternehmen in wichtigen Branchen verpflichtet, ihre IT-Sicherheit zu verbessern, sich bei der Behörde zu registrieren und schwere Sicherheitsvorfälle zu melden. In Deutschland gilt sie über das NIS2-Umsetzungsgesetz seit dem 6. Dezember 2025, zuständig ist das BSI. ### Wie prüfe ich, ob mein Unternehmen von NIS2 betroffen ist? Entscheidend sind Sektor und Unternehmensgröße. Das BSI bietet eine offizielle Betroffenheitsprüfung an. Unser NIS2-Check gibt dir vorab eine schnelle Orientierung nach denselben Kriterien. Im Zweifel solltest du die Einordnung rechtlich prüfen lassen, besonders bei Sonderfällen, die unabhängig von der Größe erfasst sind. ### Was passiert, wenn ich die NIS2-Pflichten nicht erfülle? Das Gesetz sieht Aufsichtsmaßnahmen und Bußgelder vor: bis 10 Mio. € für besonders wichtige und bis 7 Mio. € für wichtige Einrichtungen, bei sehr großen Unternehmen umsatzabhängig. Eine versäumte Registrierung kann bis 500.000 € kosten. Außerdem muss die Geschäftsleitung die Maßnahmen überwachen. Orientierung, keine Rechtsberatung. ### Bis wann muss ich mich beim BSI registrieren? Spätestens drei Monate, nachdem deine Einrichtung erstmals als besonders wichtige oder wichtige Einrichtung gilt. Laut BSI ist die erste Frist bereits abgelaufen. Der Weg führt über ein Konto bei Mein Unternehmenskonto und danach über das BSI-Portal. Wer spät dran ist, sollte nicht weiter warten. ### Muss die Geschäftsleitung an einer NIS2-Schulung teilnehmen? Ja. Nach § 38 Abs. 3 BSIG müssen Geschäftsleitungen betroffener Einrichtungen regelmäßig an Schulungen teilnehmen. Wir schulen Geschäftsleitungen kompakt, online live oder inhouse, und stellen ein Teilnahmezertifikat aus, das du als Baustein deiner Dokumentation nutzen kannst. Orientierung, keine Rechtsberatung. ### Bin ich als kleines Unternehmen betroffen? In den meisten Fällen nicht direkt, weil NIS2 überwiegend mittlere und große Unternehmen erfasst. Es gibt aber Ausnahmen für bestimmte Einrichtungen, die unabhängig von der Größe gelten, und viele kleine Unternehmen sind als Dienstleister indirekt betroffen, weil ihre Kundschaft Sicherheitsanforderungen weitergibt. ## Quellen 1. [Richtlinie (EU) 2022/2555 (NIS2), EUR-Lex](https://eur-lex.europa.eu/eli/dir/2022/2555/oj), abgerufen am 13.11.2026. 2. [NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz vom 2.12.2025, BGBl. 2025 I Nr. 301](https://www.recht.bund.de/bgbl/1/2025/301/VO.html), abgerufen am 13.11.2026. 3. [BSI-Gesetz (BSIG) in der neuen Fassung, §§ 28, 33, 38, 65](https://www.gesetze-im-internet.de/bsig_2025/), abgerufen am 13.11.2026; [§ 38 BSIG (Umsetzungs-, Überwachungs- und Schulungspflicht)](https://www.gesetze-im-internet.de/bsig_2025/__38.html), abgerufen am 14.11.2026. 4. [BSI: NIS2-Betroffenheitsprüfung](https://betroffenheitspruefung-nis-2.bsi.de/), abgerufen am 13.11.2026. 5. [Mein Unternehmenskonto](https://www.mein-unternehmenskonto.de) und [BSI-Portal](https://portal.bsi.bund.de) (Registrierung), abgerufen am 13.11.2026. 6. BSI: Pressemitteilung vom 05.12.2025 (rund 29.500 betroffene Einrichtungen). Geschrieben von [Alexander Scharff](https://mediabrandcast.com/team/alexander-scharff/) Mitgründer von Juice 9, Marketing, IT und KI Marketing-Master (KI-Studie, Note 1,0), IT-Ausbildung, KI-Manager. Baut Websites, Software und KI-Automatisierungen, die im Live-Betrieb laufen. [Alexander Scharff auf LinkedIn](https://www.linkedin.com/in/alexander-scharff-de/) ## Erst Klarheit, dann Plan. Mach den Check. Wenn du betroffen bist, bauen wir mit dir den Maßnahmenplan. [NIS2-Umsetzung besprechen](https://mediabrandcast.com/kontakt/?anliegen=security) 150 € pro Stunde, pauschal für alles. Für Unternehmen, zzgl. USt. - [Cybersecurity](https://mediabrandcast.com/leistungen/cybersecurity/)