Kostenloser NIS2-Check: Ist Ihr Unternehmen betroffen?

NIS2 in Deutschland: das Wichtigste in Kürze

Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) ist seit dem 06.12.2025 in Kraft. Die Pflichten stehen im neu gefassten BSI-Gesetz (BSIG). Es unterscheidet besonders wichtige und wichtige Einrichtungen, je nach Sektor, Größe und einigen Sonderfällen.

So ordnet das BSIG Einrichtungen ein

Groß: mindestens 250 Beschäftigte oder mehr als 50 Mio. € Jahresumsatz und mehr als 43 Mio. € Bilanzsumme. Mittel: mindestens 50 Beschäftigte oder mehr als 10 Mio. € Umsatz und mehr als 10 Mio. € Bilanzsumme (§ 28 BSIG). Alles darunter ist klein.

Welche Sektoren erfasst sind

Anlage 1: Energie, Transport und Verkehr, Finanzwesen (Bankwesen, Finanzmarktinfrastrukturen), Gesundheitswesen, Trinkwasser, Abwasser, Digitale Infrastruktur (unter anderem Cloud-Computing, Rechenzentren, Content-Delivery-Netze, Internet-Knoten), Managed Services und Managed Security Services (IT-Betrieb für andere Unternehmen) und Weltraum.

Anlage 2: Post- und Kurierdienste, Abfallbewirtschaftung als Haupttätigkeit, Chemie, Lebensmittel (Großhandel, industrielle Produktion und Verarbeitung), Anbieter digitaler Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke), Forschungseinrichtungen und im verarbeitenden Gewerbe nur Medizinprodukte, Datenverarbeitungsgeräte sowie elektronische und optische Erzeugnisse, elektrische Ausrüstungen, Maschinenbau, Kraftwagen und -teile und sonstiger Fahrzeugbau.

Pflichten, Fristen und Bußgelder

• Registrierung beim BSI binnen drei Monaten (§ 33). Wer am 06.12.2025 schon erfasst war, hatte bis zum 06.03.2026 Zeit, diese Frist ist abgelaufen. Wer später erfasst wird, hat drei Monate ab diesem Zeitpunkt. So läuft die Registrierung.
• Risikomanagementmaßnahmen (§ 30).
• Meldepflichten (§ 32): Frühwarnung binnen 24 Stunden und Meldung binnen 72 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls, Abschlussmeldung spätestens einen Monat nach der Meldung.
• Die Geschäftsleitung muss die Maßnahmen umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1), haftet gegenüber der Einrichtung (Abs. 2) und lässt sich regelmäßig schulen (Abs. 3).
• Nachweise alle drei Jahre (§ 39) gelten nur für Betreiber kritischer Anlagen.
• Ausnahmen (§ 28 Abs. 5 und 6): Für Telekommunikationsanbieter, Betreiber von Energienetzen und -anlagen nach §§ 5c bis 5e EnWG, Finanzunternehmen unter DORA und Betreiber der Telematikinfrastruktur gelten §§ 30, 32 und 38 BSIG nicht. Es gelten Fachregeln, die Registrierung bleibt.

Bußgelder (§ 65): Für die schwersten Verstöße, etwa gegen §§ 30 und 32, bis zu 10 Mio. € bei besonders wichtigen Einrichtungen, bei mehr als 500 Mio. € Gesamtumsatz bis zu 2 % des weltweiten Jahresumsatzes. Bei wichtigen Einrichtungen bis zu 7 Mio. €, bei mehr als 500 Mio. € Gesamtumsatz bis zu 1,4 %.

Häufige Fragen zum NIS2-Check

Wer ist NIS2-pflichtig?

Besonders wichtige und wichtige Einrichtungen: Betreiber kritischer Anlagen, bestimmte Anbieter von Vertrauens-, Namens- und Telekommunikationsdiensten sowie Unternehmen der Anlagen 1 und 2 ab bestimmter Größe.

Bin ich von NIS2 betroffen?

Das hängt von Sektor, Größe und Sonderfällen ab. Der Selbsttest oben prüft diese Punkte in etwa zwei Minuten. Daten verbundener Unternehmen zählen grundsätzlich mit (§ 28 Abs. 4).

Was passiert, wenn ich mich nicht registriere?

Eine fehlende Registrierung beim BSI kann eine Ordnungswidrigkeit sein. Wer erfasst ist, sollte sie nachholen: Die Frist lief für bereits erfasste Einrichtungen am 06.03.2026 ab.

Gilt NIS2 auch für kleine Unternehmen?

Vor allem in den genannten Sonderfällen: kritische Anlagen, Vertrauensdienste, TLD-Name-Registries, DNS-Dienste sowie öffentliche Telekommunikationsnetze und -dienste. Sonst sind kleine Einrichtungen in der Regel nicht erfasst. Erfasste Kunden können trotzdem Nachweise verlangen.

Gelten für alle Einrichtungen dieselben Pflichten?

Nein. Für Telekommunikation, bestimmte Energienetze und -anlagen, Finanzunternehmen unter DORA und die Telematikinfrastruktur gelten Fachregeln statt der §§ 30, 32 und 38 BSIG.

Was kostet der NIS2-Check?

Nichts. Der Selbsttest ist kostenlos, braucht keine Anmeldung und läuft in Ihrem Browser. Ihre einzelnen Antworten werden nicht übertragen. Nur wenn Sie der Reichweitenmessung zustimmen, wird das Endergebnis (die Einstufung) ohne Ihre Einzelantworten gezählt.