Sind wir von NIS2 betroffen?
Etwa 48 Prozent der Unternehmen schätzen ihre eigene regulatorische Betroffenheit zu niedrig ein. Das ist keine Nachlässigkeit, sondern eine Folge der Konstruktion: Es gibt keinen Bescheid und keine Liste, auf der man stünde — die Einstufung ist eine Selbsteinschätzung, und wer sie unterlässt, hat sie faktisch trotzdem getroffen. Diese Prüfung führt in drei Schritten zu einer belastbaren Antwort.
Drei Schritte. In dieser Reihenfolge.
Die Schritte bauen aufeinander auf: Ohne Sektor keine Betroffenheit — mit Sektor entscheidet die Größe, und über beidem stehen die Sonderfälle.
Sektor
Ist Ihre tatsächliche Tätigkeit einem der 18 Sektoren zuzuordnen? Maßgeblich ist, was Sie tun — nicht, wie Sie sich nennen.
Größe
Beschäftigte, Umsatz und Bilanzsumme — einschließlich verbundener Unternehmen. Hier entstehen die meisten Fehleinschätzungen.
Sonderfall
Einige Einrichtungen sind unabhängig von ihrer Größe erfasst. Diese Prüfung überspringt Schritt 2 vollständig.
Lieferkette
Auch ein klares „nein“ endet hier noch nicht: Über Kundenverträge kommen die Anforderungen trotzdem an.
Die 18 Sektoren.
Anlage 1 des BSIG führt elf Sektoren hoher Kritikalität, Anlage 2 sieben weitere kritische Sektoren. Die Zuordnung erfolgt nach der ausgeübten Tätigkeit.
| Sektoren hoher Kritikalität (Anlage 1) | Sonstige kritische Sektoren (Anlage 2) | |
|---|---|---|
| Versorgung | Energie · Trinkwasser · Abwasser | Abfallbewirtschaftung |
| Verkehr & Logistik | Transport und Verkehr · Weltraum | Post- und Kurierdienste |
| Finanzen | Bankwesen · Finanzmarktinfrastrukturen | — |
| Gesundheit & Staat | Gesundheitswesen · Öffentliche Verwaltung | Forschung |
| IT & Digitales | Digitale Infrastruktur · Verwaltung von IKT-Diensten (B2B) | Anbieter digitaler Dienste |
| Industrie | — | Chemie · Lebensmittel · Verarbeitendes Gewerbe |
Zwei Zeilen verdienen besondere Aufmerksamkeit: Verwaltung von IKT-Diensten (B2B) erfasst Managed Service Provider und Managed Security Service Provider ausdrücklich — die IT-Dienstleistungsbranche ist damit erstmals selbst reguliert. Und verarbeitendes Gewerbe ist weiter, als es klingt: Es umfasst unter anderem Kraftfahrzeugbau, Maschinenbau, Elektrotechnik sowie Medizin- und Datenverarbeitungsgeräte.
Die Schwellenwerte — und wie man sich an ihnen verrechnet.
Gerechnet wird nach der KMU-Definition der EU. Eine der beiden Bedingungen genügt, damit die Schwelle erreicht ist.
| Einstufung | Beschäftigte | Umsatz und Bilanzsumme | Folge |
|---|---|---|---|
| Besonders wichtig | ab 250 | oder über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme | Proaktive Aufsicht, bis 10 Mio. € oder 2 % Umsatz |
| Wichtig | ab 50 | oder über 10 Mio. € Umsatz und Bilanzsumme | Reaktive Aufsicht, bis 7 Mio. € oder 1,4 % Umsatz |
| Unterhalb der Schwellen | unter 50 | und darunter | Keine direkte Pflicht — Lieferkette prüfen |
Der häufigste Rechenfehler: Verbundene Unternehmen werden mitgezählt. Wer Partner- oder Konzernunternehmen hat, addiert deren Beschäftigte und Umsätze anteilig oder vollständig hinzu. Eine Gesellschaft mit zwölf Mitarbeitenden kann über die Muttergesellschaft in den Anwendungsbereich rutschen — und weiß es meist nicht.
Wenn Größe keine Rolle spielt.
Für bestimmte Einrichtungen ist die Größenschwelle irrelevant. Wer hierunter fällt, ist mit einem einzigen Mitarbeitenden erfasst.
Vertrauensdienste und Namensinfrastruktur
Qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries und DNS-Diensteanbieter sind unabhängig von ihrer Größe erfasst — sie tragen Funktionen, deren Ausfall weit über das eigene Unternehmen hinaus wirkt.
Telekommunikation
Anbieter öffentlich zugänglicher Telekommunikationsnetze und -dienste unterliegen eigenen, größenunabhängigen Regeln — hier greift zusätzlich das Telekommunikationsrecht.
Kritische Infrastrukturen und Bund
KRITIS-Betreiber und Einrichtungen der Bundesverwaltung fallen unabhängig von Schwellenwerten unter das Gesetz — für sie gelten zusätzlich verschärfte Anforderungen.
Alleinstellung in der Region
Wer als einziger Anbieter eine für Gesellschaft oder Wirtschaft wesentliche Leistung erbringt, kann auch unterhalb der Schwellen erfasst sein. Diese Auffangregel wird regelmäßig übersehen.
„Nicht betroffen“ ist selten das Ende der Geschichte.
Selbst wenn alle drei Schritte zu einem klaren Nein führen, ist die Prüfung nicht abgeschlossen. § 30 BSIG verpflichtet regulierte Unternehmen ausdrücklich, die Sicherheit ihrer Lieferkette zu steuern — und der einzige Weg dorthin führt über Anforderungen an ihre Dienstleister.
- Beliefern Sie Unternehmen aus einem der 18 Sektoren?
- Haben Sie Zugriff auf deren Systeme, Daten oder unveröffentlichtes Material?
- Enthalten Ihre Verträge bereits Sicherheits-, Melde- oder Auditklauseln?
- Wurde Ihnen in den letzten Monaten ein Sicherheitsfragebogen geschickt?
Die vier häufigsten Fehleinschätzungen.
Jede von ihnen führt zu demselben Ergebnis: Ein Unternehmen hält sich für nicht betroffen und ist es doch.
„Wir sind zu klein.“
Die Schwelle liegt bei 50 Beschäftigten, nicht bei 250 — und verbundene Unternehmen zählen mit. Viele Mittelständler unterschätzen beides gleichzeitig.
„Wir sind doch keine kritische Infrastruktur.“
NIS2 hat den KRITIS-Begriff hinter sich gelassen. Die Schwellen liegen um ein Vielfaches niedriger, und mit dem verarbeitenden Gewerbe ist ein ganzer Wirtschaftszweig neu hinzugekommen.
„Wir haben nichts vom BSI gehört.“
Es gibt keine Benachrichtigung. Die Einstufung ist eine Selbsteinschätzung, die Registrierung eine Bringschuld — Schweigen der Behörde ist kein Freibrief, sondern nur Schweigen.
„Das prüfen wir, wenn es so weit ist.“
Es ist so weit. Das Gesetz gilt seit Dezember 2025 ohne Übergangsfrist, und beide Registrierungsfristen sind verstrichen. Jeder weitere Monat ohne Prüfung ist ein Monat im Blindflug.
Fragen zur Betroffenheitsprüfung.
Stand: August 2026.
Zählen Werkstudenten, Teilzeitkräfte und Freelancer zur Beschäftigtenzahl?
Gerechnet wird in Jahresarbeitseinheiten nach der KMU-Definition der EU. Teilzeitkräfte und unterjährig Beschäftigte gehen anteilig ein, klassische Selbständige mit eigenem Auftragsrisiko in der Regel nicht. Wichtiger als die Feinheiten ist der zweite Schritt: Bei verbundenen Unternehmen werden die Werte der Partner- und verbundenen Unternehmen anteilig oder vollständig hinzugerechnet. Genau hier verrechnen sich Unternehmen am häufigsten — eine Tochtergesellschaft mit zwölf Mitarbeitenden kann über die Konzernmutter sehr wohl in den Anwendungsbereich fallen.
Wir sind ein IT-Dienstleister. Sind wir automatisch betroffen?
Nicht automatisch, aber deutlich wahrscheinlicher als früher. Die Verwaltung von IKT-Diensten im Geschäftskundenbereich — also Managed Service Provider und Managed Security Service Provider — ist im BSIG ausdrücklich als Sektor hoher Kritikalität genannt. Erreichen Sie zusätzlich die Größenschwellen, sind Sie erfasst. Bleiben Sie darunter, greift die Regulierung nicht direkt, dafür aber praktisch sicher über Ihre Kundenverträge: Ihre regulierten Kunden müssen die Sicherheit ihrer IT-Dienstleister steuern und geben die Anforderungen weiter.
Unsere Agentur arbeitet für einen Automobilkonzern. Fällt uns NIS2 auf die Füße?
Direkt fast nie — Marketing, Design und Filmproduktion sind keine NIS2-Sektoren. Mittelbar sehr wohl: Ihr Auftraggeber ist verpflichtet, die Sicherheit seiner Lieferkette zu bewerten, und reicht das über Fragebögen und Vertragsklauseln weiter. In der Automobilbranche kommt das selten allein — dort ist TISAX® ohnehin die etablierte Form dieses Nachweises. Für Agenturen mit Zugriff auf unveröffentlichtes OEM-Material laufen beide Anforderungen praktisch auf dasselbe hinaus: ein belegbares Sicherheitsniveau.
Was passiert, wenn wir uns falsch einschätzen?
Die Einstufung ist eine Selbsteinschätzung — es gibt keinen Bescheid, der Ihnen die Betroffenheit bestätigt oder abspricht. Genau das macht sie riskant: Wer sich für nicht betroffen hält und falsch liegt, hat weder registriert noch gemeldet noch Maßnahmen umgesetzt, und alle drei Versäumnisse sind eigenständig bußgeldbewehrt. Deshalb gehört auch das Ergebnis „nicht betroffen“ schriftlich dokumentiert, mit Datum, Sektorprüfung und Zahlen. Ändert sich Ihre Größe oder Ihr Geschäftsmodell, wird neu geprüft.
Gilt NIS2 auch in Österreich und der Schweiz?
Österreich setzt die NIS2-Richtlinie als EU-Mitgliedstaat in nationales Recht um; die Systematik aus Sektoren, Größenschwellen, Registrierung und Meldepflichten entspricht der deutschen, Fristen und Zuständigkeiten unterscheiden sich. Die Schweiz ist als Nicht-EU-Staat nicht an die Richtlinie gebunden, kennt aber seit 2025 eine eigene Meldepflicht für Cyberangriffe auf kritische Infrastrukturen. Für Schweizer Unternehmen wird NIS2 vor allem dann relevant, wenn sie EU-Kunden beliefern und deren Lieferkettenanforderungen erfüllen müssen.
Passend dazu
NIS2-Beratung
Registrierung, Gap-Analyse gegen § 30 BSIG und Nachweisführung.
Externer Informationssicherheitsbeauftragter
Wer die Umsetzung trägt, wenn niemand im Haus die Rolle übernehmen kann.
ISO-27001-Checkliste
Das ISMS, das den Großteil der NIS2-Anforderungen bereits abdeckt.
TISAX®-Checkliste
Der Nachweis, den die Automobilbranche statt eines Fragebogens verlangt.