NIS2-Check: Ist mein Unternehmen betroffen?
NIS2 einfach erklärt: Betroffenheits-Check nach Mitarbeiterzahl und Sektor, die wichtigsten Pflichten, Geschäftsführerhaftung und was der Mittelstand jetzt tun sollte.
- NIS2 ist die EU-Richtlinie für Cybersicherheit; in Deutschland ist das NIS2-Umsetzungsgesetz seit dem 6. Dezember 2025 in Kraft und novelliert das BSI-Gesetz (BSIG).
- Betroffen sind Unternehmen ab 50 Mitarbeitenden oder 10 Mio. € Jahresumsatz, die in einem der regulierten Sektoren tätig sind – Schätzungen zufolge rund 29.500 Organisationen in Deutschland.
- Zu den Pflichten zählen Risikomanagement, Meldung erheblicher Sicherheitsvorfälle, Registrierung beim BSI und der Nachweis technischer und organisatorischer Maßnahmen.
- Die Geschäftsführung haftet nach § 38 BSIG persönlich für die Umsetzung; Bußgelder reichen bis zu 10 Mio. €.
- Auch nicht direkt betroffene Mittelständler spüren NIS2 über die Lieferkette, wenn große Kunden Sicherheitsnachweise verlangen.
Seit dem NIS2-Umsetzungsgesetz erreichen viele Geschäftsführungen im Mittelstand die gleiche Frage: „Betrifft uns das überhaupt?” Die Verunsicherung ist berechtigt, denn NIS2 vergrößert den Kreis der regulierten Unternehmen erheblich – und knüpft die Verantwortung ausdrücklich an die Geschäftsleitung. Dieser Check hilft Ihnen, in wenigen Minuten einzuordnen, ob und wie stark Ihr Unternehmen betroffen ist. Er ersetzt keine Rechtsberatung, gibt Ihnen aber eine belastbare Grundlage für das Gespräch mit Ihrem IT-Partner.
Unser interaktiver NIS2-Betroffenheits-Check bringt Sie in acht Fragen zu einem Ampel-Ergebnis mit konkreten Handlungsempfehlungen – kostenlos und ohne Anmeldung.
NIS2-Check starten →Was ist NIS2?
NIS2 (kurz für „Network and Information Security”, oft auch NIS-2 geschrieben) ist eine EU-weit geltende Richtlinie, die einheitliche Mindeststandards für Cybersicherheit in wichtigen Wirtschaftsbereichen vorschreibt und die Verantwortung dafür bei der Unternehmensleitung verankert. Ziel ist ein hohes gemeinsames Schutzniveau und mehr Resilienz gegenüber Cyberangriffen – eine Reaktion auf die stark gestiegenen Schäden durch Cyberangriffe in der Wirtschaft. Die NIS2-Richtlinie löst die bisherige NIS-Richtlinie von 2016 ab und weitet den Kreis der regulierten Sektoren und Einrichtungen deutlich aus.
Die zugrunde liegende EU-Richtlinie wurde 2022 verabschiedet; die Frist, sie in nationales Recht zu überführen, lief bereits im Oktober 2024 ab. Deutschland hat das mit dem NIS2-Umsetzungsgesetz nachgeholt, das seit dem 6. Dezember 2025 in Kraft ist und das BSI-Gesetz novelliert. Es regelt die Sicherheit der Netz- und Informationssysteme betroffener Einrichtungen verbindlich.
Ist mein Unternehmen von NIS2 betroffen?
Welche Unternehmen unter NIS2 fallen, entscheidet sich an zwei Fragen gleichzeitig: Größe und Sektor. Beide Bedingungen müssen zutreffen.
1. Erreichen Sie die Größenschwelle? Grundregel ist die Einordnung ab mittlerer Unternehmensgröße: Betroffen sind in der Regel mittelständische und große Unternehmen mit mindestens 50 Mitarbeitenden oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme. Für einzelne, besonders kritische Bereiche gelten niedrigere Schwellen.
2. Gehören Sie zu einem regulierten Sektor? NIS2 erfasst laut BSI deutlich mehr Bereiche als die alte KRITIS-Regulierung – unter anderem:
- Energie, Transport und Verkehr, Wasser und Abwasser
- Bankwesen und Finanzmarktinfrastrukturen
- Gesundheitswesen und Pharma
- Digitale Infrastruktur, digitale Dienste, IT-Dienstleister und verwaltete Dienste
- Öffentliche Verwaltung
- Post- und Kurierdienste, Abfallwirtschaft
- Chemie, Lebensmittel und verarbeitendes Gewerbe
NIS2 teilt die Betroffenen in zwei Klassen: wesentliche (besonders wichtige) und wichtige Einrichtungen. Der Unterschied liegt vor allem in der Aufsicht – wesentliche Einrichtungen werden proaktiv kontrolliert, wichtige anlassbezogen. Eine Übersicht der betroffenen Branchen führt auch die IHK.
Die wichtigsten Pflichten auf einen Blick
Fällt Ihr Unternehmen unter NIS2, gelten im Kern vier Pflichtenbereiche:
- Risikomanagement: technische und organisatorische Maßnahmen nach dem Stand der Technik – von Zugriffskontrolle und Verschlüsselung über Backup und Notfallkonzepte bis zu Lieferkettensicherheit.
- Meldepflicht: erhebliche Sicherheitsvorfälle müssen dem BSI gemeldet werden – eine erste Frühwarnung innerhalb von 24 Stunden, eine ausführlichere Meldung innerhalb von 72 Stunden und ein Abschlussbericht binnen eines Monats.
- Registrierung: betroffene Einrichtungen müssen sich beim BSI registrieren.
- Nachweis und Dokumentation: die getroffenen Maßnahmen müssen belegbar sein – prüffähig, nicht nur behauptet.
Gerade der letzte Punkt trifft den Mittelstand hart: Viele Unternehmen tun bereits einiges für ihre Sicherheit, können es aber nicht dokumentieren. Wer seine IT sauber verwaltet und lückenlos dokumentiert – etwa über ein zentrales Portal mit nachvollziehbarem Inventar und Rechtevergabe –, hat hier einen echten Vorsprung. Wie kjello IT-Betrieb und Dokumentation zusammenführt, zeigt die Produktseite.
Welche Risikomanagement-Maßnahmen NIS2 konkret verlangt
Hinter dem Stichwort Risikomanagement steht ein konkreter Maßnahmenkatalog. Artikel 21 der NIS-2-Richtlinie – für Deutschland verbindlich im novellierten BSI-Gesetz verankert – beschreibt, welche technischen und organisatorischen Maßnahmen betroffene Einrichtungen nach dem Stand der Technik ergreifen müssen. Die wichtigsten Bausteine:
- Risikoanalyse und Sicherheitskonzepte: eine dokumentierte Bewertung der eigenen Risiken als Grundlage aller weiteren Maßnahmen.
- Vorfallsbehandlung: definierte Abläufe, um Sicherheitsvorfälle zu erkennen, einzudämmen und – im meldepflichtigen Fall – fristgerecht an das BSI zu melden.
- Backup und Notfallmanagement: Datensicherung, Wiederherstellung und Krisenmanagement, damit der Betrieb nach einem Angriff schnell wieder anläuft (Business Continuity) – festgehalten in einem IT-Notfallplan.
- Lieferkettensicherheit: die Sicherheit von Dienstleistern und Zulieferern bewerten und vertraglich absichern.
- Sichere Beschaffung und Schwachstellenmanagement: Sicherheit über den gesamten Lebenszyklus der Systeme, inklusive geregeltem Umgang mit Schwachstellen und Updates.
- Zugriffskontrolle und Asset-Management: klar geregelte Berechtigungen nach dem Minimalprinzip, ein aktuelles Inventar aller Systeme und Personalsicherheit.
- Verschlüsselung: Vorgaben zum Einsatz von Kryptografie und Verschlüsselung dort, wo sie angemessen ist.
- Multi-Faktor-Authentifizierung: ein zusätzlicher Anmeldefaktor als Basisschutz gegen kompromittierte Passwörter.
- Cyberhygiene und Schulungen: grundlegende Sicherheitsroutinen und regelmäßige Schulungen der Mitarbeiter – ausdrücklich auch der Geschäftsführung.
Diese Maßnahmen müssen nicht nur vorhanden, sondern nachweisbar und wirksam sein: NIS2 verlangt ausdrücklich, ihre Wirksamkeit regelmäßig zu überprüfen. Für ein mittleres Unternehmen ohne eigene Sicherheitsabteilung ist das viel – aber machbar, wenn die Punkte strukturiert und mit klaren Verantwortlichkeiten abgearbeitet werden.
Die Geschäftsführung haftet persönlich
Der schärfste Hebel von NIS2 ist die Verantwortung an der Spitze. Nach § 38 BSIG haftet die Geschäftsführung persönlich für die Umsetzung und Überwachung der Sicherheitsmaßnahmen – die Aufgabe lässt sich nicht vollständig delegieren. Verstöße können mit Bußgeldern von bis zu 10 Mio. € oder einem Prozentsatz des weltweiten Jahresumsatzes geahndet werden – je nachdem, welcher Betrag höher ist. Damit ist Cybersicherheit endgültig kein reines IT-Thema mehr, sondern Chefsache.
So prüfen Sie Ihre Betroffenheit
Der erste Schritt ist eine strukturierte Betroffenheitsprüfung: Erfüllt Ihr Unternehmen die Größenschwelle, und ist Ihr Sektor erfasst? Kommt die Prüfung zu dem Ergebnis, dass NIS2 gilt, folgt eine Gap-Analyse – ein Soll-Ist-Vergleich, der zeigt, welche Sicherheitsmaßnahmen bereits vorhanden sind und wo Lücken bestehen. Als Orientierung für den Stand der Technik dient anerkannte Normung wie ISO 27001; wer sich daran ausrichtet, deckt einen großen Teil der NIS2-Anforderungen an das Risikomanagement bereits ab und kann die geforderten Nachweise leichter erbringen. Ein guter Einstieg in den Selbstcheck ist unsere IT-Sicherheits-Checkliste für den Mittelstand. So lässt sich NIS2 auch im Mittelstand mit überschaubarem Aufwand umsetzen.
Was jetzt zu tun ist
Auch ohne Panik lässt sich strukturiert vorgehen:
- Betroffenheit klären – Größe und Sektor prüfen, im Zweifel fachkundig bewerten lassen.
- Ist-Zustand aufnehmen – welche Maßnahmen existieren, wo sind Lücken, was ist dokumentiert?
- Registrierung und Meldewege einrichten, sofern betroffen.
- Maßnahmen umsetzen und nachweisbar machen – Technik, Prozesse, Verantwortlichkeiten.
Wenn im Haus die Kapazität für diese Aufgaben fehlt – ein häufiges Problem bei überlasteten IT-Teams, wie wir im Ratgeber „IT-Verantwortlicher überlastet” beschrieben haben –, übernimmt ein externer Partner die Umsetzung und liefert die Nachweise gleich mit.
Auch wenn NIS2 Sie (noch) nicht betrifft
Viele Mittelständler liegen unter der Schwelle – und spüren NIS2 trotzdem. Denn Lieferkettensicherheit ist Teil des Gesetzes: Betroffene Unternehmen müssen ihre Dienstleister und Zulieferer in die Pflicht nehmen. In der Praxis heißt das, dass große Kunden zunehmend Sicherheitsnachweise von ihren Lieferanten verlangen – unabhängig davon, ob diese selbst reguliert sind.
Wer also für ein NIS2-pflichtiges Unternehmen arbeitet, wird die Anforderungen früher oder später weitergereicht bekommen. Ein solider Sicherheits- und Compliance-Stand ist damit für praktisch jeden Mittelständler relevant – nicht nur für die 29.500 direkt Betroffenen. Steigende Sicherheitsanforderungen zählen ohnehin zu den IT-Trends, die den Mittelstand 2027 prägen; NIS2 ist ihr sichtbarster Treiber. Wie kjello Endpoint-Schutz, Backup, Monitoring und nachweisbare Verwaltung zu einem betreuten Service bündelt, lesen Sie auf der Seite IT-Sicherheit & Compliance.
Geschrieben von
Jens Hagel
Gründer & Geschäftsführer
Jens Hagel gründete 2004 das Systemhaus hinter kjello und betreut mit seinem Team über 150 mittelständische Unternehmen. Er schreibt über das, was er in echten Firmen erlebt – praxisnah, ehrlich und ohne Fachchinesisch.
Häufige Fragen
Ab welcher Größe ist mein Unternehmen von NIS2 betroffen?
Welche Sektoren fallen unter NIS2?
Seit wann gilt NIS2 in Deutschland?
Was passiert, wenn wir NIS2 nicht umsetzen?
Was ist der Unterschied zwischen wesentlichen und wichtigen Einrichtungen?
Welche Fristen gelten für die Meldung von Sicherheitsvorfällen?
Wie prüfe ich, ob mein Unternehmen unter NIS2 fällt?
Reicht eine ISO-27001-Zertifizierung, um NIS2 zu erfüllen?
IT-Sicherheit & Compliance mit kjello
Von Endpoint-Schutz bis Backup und Monitoring: kjello bringt Ihre Sicherheitsmaßnahmen auf einen nachweisbaren Stand – als betreuter Service.
