NIS2: Sind Sie betroffen? Der Selbsttest in 5 Fragen

Das NIS2-Umsetzungsgesetz gilt seit Dezember 2025. Rund 29.500 Unternehmen sind betroffen – viele davon, ohne es zu wissen. So prüfen Sie in wenigen Minuten, ob Sie dazugehören.

Am 6. Dezember 2025 ist das NIS2-Umsetzungsgesetz in Kraft getreten, ohne Übergangsfrist, die dreimonatige Registrierungsfrist endete bereits am 6. März 2026. Damit hat sich der Kreis der regulierten Unternehmen schlagartig vervielfacht: Waren bislang rund 4.500 Organisationen durch das BSI-Gesetz erfasst, fallen jetzt etwa 29.500 Unternehmen unter die Aufsicht des Bundesamts für Sicherheit in der Informationstechnik (BSI).

Die größte Herausforderung dabei ist nicht die Umsetzung, sondern die Unsicherheit, überhaupt betroffen zu sein. Viele mittelständische Unternehmen gehen davon aus, dass NIS2 nur Konzerne und kritische Infrastrukturen betrifft. Das ist ein Irrtum. Dieser Selbsttest gibt Ihnen in fünf Fragen eine erste, ehrliche Einschätzung.

Kurz erklärt: Worum es bei NIS2 geht

NIS2 ist eine EU-Richtlinie zur Stärkung der Cybersicherheit, die Deutschland mit dem NIS2-Umsetzungsgesetz in nationales Recht überführt hat. Betroffene Unternehmen müssen ein angemessenes Risikomanagement für ihre IT-Sicherheit betreiben, Sicherheitsvorfälle innerhalb enger Fristen an das BSI melden und sich registrieren. Die Einordnung erfolgt in zwei Kategorien „besonders wichtige“ und „wichtige“ Einrichtungen, mit unterschiedlich strengen Sanktionen.

Der Selbsttest: 5 Fragen

  1. Unternehmensgröße: Beschäftigt Ihr Unternehmen mindestens 50 Mitarbeitende oder erzielt es mehr als 10 Millionen Euro Jahresumsatz? NIS2 orientiert sich in weiten Teilen an dieser Schwelle.
  2. Sektor: Sind Sie in einem der betroffenen Sektoren tätig? Dazu zählen unter anderem Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur und IT-Dienste, Produktion (u. a. Maschinenbau, Fahrzeuge, Chemie, Lebensmittel), Post- und Kurierdienste sowie Abfallwirtschaft. Die Liste ist deutlich breiter als bei den bisherigen KRITIS-Regelungen.
  3. Lieferkette: Beliefern Sie Kunden, die selbst unter NIS2 fallen? Auch wenn Sie nicht direkt reguliert sind, geraten Sie über die Anforderungen Ihrer Auftraggeber unter Zugzwang – regulierte Unternehmen müssen die Sicherheit ihrer Zulieferer nachweisen.
  4. Meldefähigkeit: Könnten Sie einen erheblichen Sicherheitsvorfall innerhalb von 24 Stunden melden? NIS2 verlangt eine Erstmeldung binnen 24 Stunden, eine Bestätigung binnen 72 Stunden und einen Abschlussbericht innerhalb eines Monats.
  5. Governance: Hat Ihre Geschäftsführung die Risikomanagement-Maßnahmen aktiv gebilligt und überwacht ihre Umsetzung? NIS2 macht dies zur ausdrücklichen Leitungsaufgabe.

Wie Sie Ihr Ergebnis einordnen

Wenn Sie die ersten beiden Fragen mit „ja“ beantworten, sind Sie mit hoher Wahrscheinlichkeit direkt betroffen. Aber selbst wenn nicht: Sobald Frage 3 auf Sie zutrifft, betrifft Sie NIS2 faktisch über die Lieferkette. Und die Fragen 4 und 5 zeigen unabhängig davon, ob Ihr Unternehmen auf einen Ernstfall vorbereitet ist – ein Prüfstein, der für jeden Betrieb sinnvoll ist.

Was, wenn Sie betroffen sind?

Betroffene Unternehmen müssen im Kern drei Dinge leisten: sich beim BSI registrieren, ein angemessenes Risikomanagement einführen (technische und organisatorische Maßnahmen) und Meldeprozesse für Sicherheitsvorfälle etablieren. Bei Verstößen drohen empfindliche Bußgelder, für besonders wichtige Einrichtungen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 %.

Die gute Nachricht: Wer strukturiert vorgeht, kann die Anforderungen mit überschaubarem Aufwand erfüllen, erst recht, wenn bereits ein Qualitätsmanagement nach ISO 9001 oder erste Sicherheitsprozesse vorhanden sind.

Wir begleiten Sie durch die NIS2 Registrierung oder unterstützen Sie bei der Dokumentation ihres Sicherheitssystems in der Lieferkette. Sprechen Sie uns einfach an.