> NIS2-Schnellcheck: Prüf in zwei Minuten, ob dein Unternehmen nach dem BSI-Gesetz betroffen ist, und wo deine IT-Sicherheit steht. Mit Ampel. # NIS2-Check: Bist du betroffen? Erst die Frage, die alle stellen: Fällt mein Unternehmen unter NIS2? Dann die, die danach kommt: Wie gut sind wir eigentlich aufgestellt? Zwei Teile, zwei Minuten, eine Ampel. Der Check braucht JavaScript. Die Schwellen und Sektoren stehen weiter unten, die offizielle Prüfung gibt es beim BSI: [NIS-2-Betroffenheitsprüfung](https://betroffenheitspruefung-nis-2.bsi.de/). Kurz gesagt NIS2 gilt in Deutschland seit dem 6. Dezember 2025 über das neu gefasste BSI-Gesetz (BSIG). Betroffen sind Unternehmen aus bestimmten Sektoren ab 50 Beschäftigten oder mehr als 10 Mio. € Umsatz und Bilanzsumme, einige Einrichtungen auch unabhängig von der Größe. Sie müssen sich beim BSI registrieren, zehn Mindestmaßnahmen zum Risikomanagement umsetzen und erhebliche Vorfälle binnen 24 Stunden erstmals melden. Der Check von mediabrandcast ordnet grob ein und zeigt per Ampel, wo deine Basis steht. Orientierung, keine Rechtsberatung. ## Wer betroffen ist: die Schwellen Maßgeblich ist § 28 BSIG. Es kommt auf zwei Dinge an: ob dein Unternehmen in einem Sektor aus Anlage 1 oder 2 tätig ist und wie groß es ist. Vereinfacht nach § 28 BSIG. Beschäftigte in Vollzeitäquivalenten, Umsatz ohne USt., Werte aus dem letzten Jahresabschluss. | Kategorie | Wer | Größe | |---|---|---| | Besonders wichtig | Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries, DNS-Diensteanbieter | unabhängig von der Größe | | Besonders wichtig | Sektoren aus Anlage 1 | ab 250 Beschäftigten oder über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme | | Besonders wichtig | Öffentliche Telekommunikationsnetze und -dienste | ab 50 Beschäftigten oder über 10 Mio. € Umsatz und Bilanzsumme | | Wichtig | Sektoren aus Anlage 1 und 2 | ab 50 Beschäftigten oder über 10 Mio. € Umsatz und Bilanzsumme | | Wichtig | Vertrauensdiensteanbieter (nicht qualifiziert), kleinere Telekommunikationsanbieter | unabhängig von der Größe | Anlage 1 (hohe Kritikalität): Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Trinkwasser und Abwasser, digitale Infrastruktur (etwa Rechenzentren, Cloud, DNS, Telekommunikation, Managed Services), Weltraum. Anlage 2 (sonstige kritische Sektoren): Post und Kurier, Abfall, Chemie, Lebensmittel, Teile des verarbeitenden Gewerbes (Elektronik, elektrische Ausrüstung, Maschinenbau, Fahrzeuge, Medizinprodukte), digitale Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke) und Forschung. Zwei Feinheiten, die der Check nur als Hinweis zeigt: Partner- und verbundene Unternehmen zählen nach der KMU-Empfehlung der EU mit, außer dein Unternehmen ist bei IT-Systemen und -Prozessen unabhängig (§ 28 Abs. 4). Und vernachlässigbare Nebentätigkeiten bleiben außen vor (§ 28 Abs. 3). In solchen Fällen hilft die offizielle [Betroffenheitsprüfung des BSI](https://betroffenheitspruefung-nis-2.bsi.de/), im Zweifel mit rechtlicher Beratung. ## Was dann gilt - Registrierung beim BSI innerhalb von drei Monaten nach Eintritt der Betroffenheit (§ 33). Für Unternehmen, die seit Inkrafttreten betroffen sind, ist die Frist abgelaufen. Die Registrierung läuft über das BSI-Portal. - Meldepflichten bei erheblichen Sicherheitsvorfällen: frühe Erstmeldung nach spätestens 24 Stunden, Meldung nach 72 Stunden, Abschlussmeldung nach einem Monat (§ 32). - Risikomanagement mit zehn Mindestmaßnahmen, von Risikoanalyse über Backups und Lieferkette bis Mehr-Faktor-Anmeldung, dazu Dokumentation (§ 30). - Geschäftsleitung: Sie muss die Maßnahmen umsetzen, die Umsetzung überwachen und regelmäßig an Schulungen teilnehmen (§ 38). - Bußgelder bis 10 Mio. € oder 2 % des weltweiten Umsatzes für besonders wichtige, bis 7 Mio. € oder 1,4 % für wichtige Einrichtungen (§ 65). ## Teil 2: die zehn Fragen Die zehn Fragen im zweiten Teil folgen den Mindestmaßnahmen aus § 30 Abs. 2 BSIG: Risikoanalyse, Umgang mit Vorfällen, Backups, Notfallplan, Lieferkette, Updates, Mehr-Faktor-Anmeldung, Verschlüsselung, Zugriffe und Inventar, Schulung. „Ja“ zählt zwei Punkte, „teilweise“ einen. Ab 16 von 20 Punkten zeigt die Ampel Grün, ab 9 Gelb, darunter Rot. Die offenen Punkte werden zu deinen nächsten Schritten, die wichtigsten zuerst. Auch wer nicht betroffen ist, profitiert: Kunden aus NIS2-Sektoren reichen ihre Anforderungen oft an Lieferanten und Dienstleister weiter. Bei der Umsetzung helfen wir dir technisch und organisatorisch, mehr unter [NIS2](https://mediabrandcast.com/leistungen/cybersecurity/nis2/) und [Cybersecurity](https://mediabrandcast.com/leistungen/cybersecurity/). ## Häufige Fragen zum NIS2-Check ### Ersetzt der Check die Betroffenheitsprüfung des BSI? Nein. Er ordnet grob ein, damit du weißt, ob du dich genauer damit beschäftigen musst. Verbindlich ist die Rechtslage, die offizielle Prüfung gibt es beim BSI. Orientierung, keine Rechtsberatung. ### Wie zähle ich meine Beschäftigten? In Vollzeitäquivalenten: Teilzeit und Saisonarbeit zählen anteilig, Auszubildende sowie Beschäftigte in Mutterschutz oder Elternzeit nicht. Grundlage ist die KMU-Empfehlung der EU, auf die § 28 BSIG verweist. ### Seit wann gilt NIS2 in Deutschland? Das NIS-2-Umsetzungsgesetz wurde am 5. Dezember 2025 verkündet (BGBl. 2025 I Nr. 301). Das neu gefasste BSI-Gesetz gilt seit dem 6. Dezember 2025. ### Wir sind nicht betroffen. Müssen wir trotzdem etwas tun? Rechtlich nach NIS2 nicht. Praktisch fragen Kunden aus NIS2-Sektoren immer öfter nach Sicherheitsmaßnahmen ihrer Lieferanten. Mit der Ampel aus Teil 2 weißt du, wo du stehst. ### Was passiert mit meinen Angaben? Nichts. Der Check läuft komplett in deinem Browser, nichts wird gesendet oder gespeichert. ## Quellen 1. Gesetz zur Umsetzung der NIS-2-Richtlinie vom 2.12.2025, BGBl. 2025 I Nr. 301, verkündet am 5.12.2025. [recht.bund.de](https://www.recht.bund.de/bgbl/1/2025/301/VO.html), abgerufen am 13.11.2026. 2. BSI-Gesetz (BSIG 2025), §§ 28, 30, 32, 33, 38, 65 und Anlagen 1 und 2, konsolidierte Fassung. [gesetze-im-internet.de](https://www.gesetze-im-internet.de/bsig_2025/), abgerufen am 13.11.2026. 3. Empfehlung 2003/361/EG der Kommission (KMU-Definition), Anhang Art. 3 bis 5. [eur-lex.europa.eu](https://eur-lex.europa.eu/eli/reco/2003/361/oj), abgerufen am 13.11.2026. 4. BSI: NIS-2-Betroffenheitsprüfung und Anleitung zur Registrierung. [bsi.bund.de](https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/BSI-Portal/NIS-2-Betroffenheitspruefung/nis-2-betroffenheitspruefung_node.html), abgerufen am 13.11.2026. Geschrieben von [Alexander Scharff](https://mediabrandcast.com/team/alexander-scharff/) Mitgründer von Juice 9, Marketing, IT und KI Marketing-Master (KI-Studie, Note 1,0), IT-Ausbildung, KI-Manager. Baut Websites, Software und KI-Automatisierungen, die im Live-Betrieb laufen. [Alexander Scharff auf LinkedIn](https://www.linkedin.com/in/alexander-scharff-de/) ## Gelb oder Rot? Lass uns das grün machen. Wir bringen Technik und Abläufe auf Stand, du behältst den Überblick. Abgerechnet in Stunden, nicht in Angst. [NIS2-Umsetzung besprechen](https://mediabrandcast.com/kontakt/?anliegen=security) 150 € pro Stunde, pauschal für alles. Für Unternehmen, zzgl. USt. - [NIS2](https://mediabrandcast.com/leistungen/cybersecurity/nis2/) - [Cybersecurity](https://mediabrandcast.com/leistungen/cybersecurity/)