Um eine NIS2-Betroffenheitsprüfung durchzuführen, ordnen Sie Ihre Geschäftstätigkeit den Sektoren in Anhang 1 und 2 des BSIG zu, berechnen Sie Mitarbeiterzahl und Umsatz einschließlich verbundener Unternehmen, und stufen Sie sich als besonders wichtige oder wichtige Einrichtung ein. Das BSI stellt dafür einen anonymen Online-Fragebogen bereit. Dieser Leitfaden führt Sie Schritt für Schritt durch den gesamten Ablauf, sodass Sie die Prüfung eigenständig abschließen können.

Was ist die NIS2-Betroffenheitsprüfung und warum ist sie jetzt dringend?

Die NIS2-Betroffenheitsprüfung ist das strukturierte Verfahren, mit dem ein Unternehmen feststellt, ob es unter die Pflichten des novellierten BSI-Gesetzes (BSIG) fällt. Das BSIG setzt die europäische NIS-2-Richtlinie in deutsches Recht um. Betroffene Einrichtungen müssen Sicherheitsmaßnahmen umsetzen, Vorfälle melden und sich beim BSI registrieren.

Die Zahlen zeigen, wie groß der Nachholbedarf ist. Eine Kertos-Studie mit 51 deutschen Unternehmen ergab, dass 49 % entweder noch nicht mit der NIS2-Umsetzung begonnen hatten oder noch prüften, ob sie überhaupt betroffen sind. Kurz nach Ablauf der Durchsetzungsfrist im Juli 2026 waren laut derselben Kertos-Studie nur 27 % der befragten Einrichtungen beim BSI registriert.

Das BSI schätzt, dass rund 29.000 Unternehmen in Deutschland unter die NIS2-Regulierung fallen. Nach dem Dezember 2025 gibt es keine weiteren Übergangsfristen. Wer die Prüfung jetzt noch nicht abgeschlossen hat, riskiert Bußgelder und behördliche Maßnahmen.

Dieser Leitfaden führt Sie in fünf Schritten durch die Prüfung: von der richtigen Rechtseinheit über die Sektorzuordnung und Schwellenwertberechnung bis zur finalen Einstufung und BSI-Registrierung.

Schritt 1: Welche Rechtseinheit erbringt die Leistung?

Die Betroffenheitsprüfung beginnt nicht mit der Unternehmensgruppe, der Marke oder dem Konzern, sondern mit der konkreten juristischen Person, die Leistungen oder Waren gegen Entgelt erbringt.

Das bedeutet konkret: Wenn ein Konzern aus drei GmbHs besteht, führt jede GmbH die Prüfung eigenständig durch. Entscheidend ist, welche Rechtsperson die regulierte Tätigkeit ausübt, also beispielsweise Strom liefert, Trinkwasser aufbereitet oder digitale Infrastruktur betreibt. Eine Holding, die selbst keine operativen Leistungen erbringt, ist in der Regel kein Prüfungssubjekt.

Prüfen Sie deshalb zunächst:

Welche juristische Person (GmbH, AG, GbR, Einzelunternehmen) erbringt die Leistung?
Handelt es sich um eine entgeltliche Tätigkeit am Markt?
Ist diese Einheit in Deutschland ansässig oder erbringt sie Leistungen für Empfänger in Deutschland?

Erst wenn diese Fragen beantwortet sind, gehen Sie zu Schritt 2 über. Eine falsche Zuordnung zu Beginn führt zu einem falschen Ergebnis, auch wenn alle späteren Schritte korrekt durchgeführt werden.

Für Unternehmen mit komplexen Konzernstrukturen gilt: Jede operative Tochtergesellschaft prüft ihre eigene Betroffenheit. Die Ergebnisse der einzelnen Einheiten werden nicht zusammengeführt, sondern separat bewertet.

Schritt 2: Welche Sektoren und Anlagentypen gelten laut BSIG Anhang 1 und 2?

Das BSIG unterscheidet zwischen Anhang 1 und Anhang 2. Beide Anhänge listen Sektoren und die darin enthaltenen Anlagentypen auf. Die Zuordnung zu einem dieser Anhänge bestimmt, ob ein Unternehmen als besonders wichtige oder als wichtige Einrichtung eingestuft werden kann.

Anhang 1 umfasst Sektoren mit besonders hoher Kritikalität:

Energie (Strom, Gas, Fernwärme, Öl, Wasserstoff)
Verkehr (Luft, Schiene, Wasser, Straße)
Bankwesen
Finanzmarktinfrastrukturen
Gesundheitswesen
Trinkwasser
Abwasser
Digitale Infrastruktur (u. a. Internet-Knoten, DNS-Dienste, TLD-Registries)
Verwaltung von IKT-Diensten (B2B)
Öffentliche Verwaltung
Weltraum

Anhang 2 enthält Sektoren mit erhöhter Kritikalität:

Post- und Kurierdienste
Abfallbewirtschaftung
Produktion, Herstellung und Handel mit chemischen Stoffen
Produktion, Verarbeitung und Vertrieb von Lebensmitteln
Verarbeitendes Gewerbe (u. a. Medizinprodukte, Datenverarbeitungsgeräte, Maschinenbau, Kraftfahrzeuge)
Digitale Dienste (Online-Marktplätze, Online-Suchmaschinen, soziale Netzwerke)
Forschung

Ordnen Sie Ihre Hauptgeschäftstätigkeit einem dieser Sektoren zu. Entscheidend ist dabei nicht die Branchenbezeichnung, sondern der konkrete Anlagentyp innerhalb des Sektors. Ein Maschinenbauunternehmen mit 80 Arbeitsplätzen fällt beispielsweise unter Anhang 2, Sektor „Verarbeitendes Gewerbe", wenn es Maschinen im Sinne des dort definierten Anlagentyps herstellt.

Wenn Ihre Tätigkeit in keinem der 18 Sektoren abgebildet ist, sind Sie nach aktuellem Stand nicht von NIS2 betroffen. Führen Sie die Prüfung dennoch vollständig durch, da der nis2-umsetzungsgesetz-Rahmen Anlagentypen teils eng definiert und eine Zuordnung auf den ersten Blick nicht immer eindeutig ist.

Schritt 3: Wie berechnet man Mitarbeiterzahl und Umsatz richtig, inklusive Konzernstrukturen?

Die Schwellenwerte für die NIS2-Einstufung knüpfen an Mitarbeiterzahl, Jahresumsatz und Jahresbilanzsumme an. Wer diese Werte nur für die eigene juristische Person berechnet, ohne verbundene Unternehmen einzubeziehen, riskiert ein falsches Ergebnis.

Grundlage ist die EU-Definition für kleine und mittlere Unternehmen. Eine mittlere Einrichtung beschäftigt mindestens 50 und weniger als 250 Mitarbeiter oder überschreitet bestimmte Umsatz- bzw. Bilanzschwellen. Kleine Einrichtungen liegen darunter. Unternehmen, die diese Schwellen nicht erreichen, fallen in der Regel nicht unter NIS2, es sei denn, eine größenunabhängige Kategorie greift (dazu in Schritt 4).

Partnerunternehmen und verbundene Unternehmen

Gehört Ihre juristische Person zu einer Unternehmensgruppe, dürfen Sie die eigenen Zahlen nicht isoliert betrachten. Das Regelwerk unterscheidet zwei Kategorien:

Partnerunternehmen sind Unternehmen, an denen eine Beteiligung zwischen 25 % und 50 % besteht. Deren Mitarbeiterzahl und Finanzkennzahlen werden anteilig einbezogen.
Verbundene Unternehmen liegen vor, wenn eine Beteiligung von mehr als 50 % besteht oder ein beherrschender Einfluss ausgeübt wird. Hier werden die Werte vollständig addiert.

Das nennt sich die sogenannte „Size-Cap-Rule". Sie verhindert, dass ein Großkonzern seine NIS2-Pflichten durch Ausgründung kleiner Tochtergesellschaften umgeht.

Praktisches Vorgehen

Ermitteln Sie für jede beteiligte Einheit die aktuellen Werte aus dem letzten Jahresabschluss. Addieren Sie die Mitarbeiterzahlen und Umsatzzahlen nach den oben genannten Regeln. Liegt das Ergebnis über den Schwellenwerten für mittlere Unternehmen, gilt Ihre Einheit als mittelgroß oder groß, unabhängig davon, wie viele Mitarbeiter sie selbst beschäftigt.

Eine Ausnahme gilt für nachgelagerte Tätigkeiten, die im Verhältnis zur Haupttätigkeit nur eine untergeordnete Rolle spielen. Solche Nebenaktivitäten können unter bestimmten Bedingungen aus der Betrachtung herausfallen. Die genauen Kriterien dafür sind im BSIG und in den zugehörigen Durchführungsbestimmungen geregelt. Im Zweifel empfehlen wir, die vollständige Konsolidierung durchzuführen und die Ausnahme nicht ohne rechtliche Prüfung anzuwenden.

Schritt 4: Gibt es eine größenunabhängige Betroffenheit?

Für bestimmte Einrichtungen gilt NIS2 unabhängig von Mitarbeiterzahl oder Umsatz. Wenn Ihr Unternehmen in eine dieser Kategorien fällt, ist die Größenberechnung aus Schritt 3 für die Frage der Betroffenheit nicht ausschlaggebend.

Die wichtigsten größenunabhängigen Kategorien sind:

Betreiber kritischer Anlagen im Sinne des KRITIS-Dachgesetzes, also Einrichtungen, die Infrastruktur in Sektoren wie Energie, Wasser oder Gesundheit betreiben und dabei definierte Versorgungsschwellen überschreiten.
Anbieter von DNS-Diensten, TLD-Registries und Internet-Austauschknoten, unabhängig von ihrer Unternehmensgröße.
Qualifizierte Vertrauensdiensteanbieter und Top-Level-Domain-Registrare nach EU-Recht.
Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste, sofern sie nicht als Kleinstunternehmen einzustufen sind.

Das Stichwort „openkritis nis2" taucht in diesem Zusammenhang häufig auf, weil Informationen zur KRITIS-Regulierung in Deutschland öffentlich zugänglich sind und Unternehmen bei der Einordnung helfen können.

Prüfen Sie für jede dieser Kategorien, ob Ihre Einrichtung die jeweiligen Kriterien erfüllt. Trifft eine Kategorie zu, sind Sie betroffen und gehen direkt zu Schritt 5. Trifft keine zu und haben Sie in Schritt 3 festgestellt, dass Sie die Größenschwellen nicht erreichen, sind Sie nach aktuellem Stand nicht von NIS2 betroffen. Dokumentieren Sie dieses Ergebnis schriftlich, damit Sie es bei einer späteren Prüfung nachweisen können.

Schritt 5: Einstufung als besonders wichtige oder wichtige Einrichtung

Das BSIG teilt betroffene Unternehmen in zwei Klassen ein: besonders wichtige Einrichtungen (bwE) und wichtige Einrichtungen (wE). Die Einstufung bestimmt, welche Pflichten gelten und wie intensiv das BSI die Compliance überwacht.

Besonders wichtige Einrichtungen (bwE)

Als bwE gilt eine Einrichtung, wenn sie einem Sektor aus Anhang 1 zuzuordnen ist und die Schwellenwerte für große Unternehmen erreicht, also mindestens 250 Mitarbeiter oder entsprechende Umsatz- und Bilanzschwellen. Auch Einrichtungen, die größenunabhängig betroffen sind, werden in der Regel als bwE eingestuft. Für bwE gelten strengere Überwachungspflichten, höhere Bußgeldrahmen und proaktive BSI-Kontrollen.

Wichtige Einrichtungen (wE)

Als wE gilt eine Einrichtung, die einem Sektor aus Anhang 1 zuzuordnen ist, aber nur mittlere Größe erreicht, sowie alle mittleren und großen Unternehmen in Anhang-2-Sektoren. Die Pflichten sind vergleichbar mit denen der bwE, die Überwachung erfolgt jedoch reaktiv, also in der Regel erst nach einem gemeldeten Vorfall.

Ergebnis mit dem BSI-Tool bestätigen

Nach den ersten vier Schritten haben Sie ein vorläufiges Ergebnis. Zur Absicherung stellt das BSI den anonymen Online-Fragebogen „BSI NIS-2-Betroffenheitsprüfung" bereit. Das Tool führt Sie per Entscheidungsbaum durch die gleichen Prüfschritte und gibt eine Einschätzung aus, ob und als welche Einrichtungsklasse Sie betroffen sind. Die Ergebnisse sind rechtlich nicht bindend und dienen als Orientierungshilfe, wie das BSI selbst angibt. Behörden und staatliche Stellen sind vom Tool ausdrücklich ausgenommen.

Das Tool läuft im Browser, erfordert keine Installation und speichert keine Daten. Nutzen Sie es, um Ihre manuelle Prüfung zu überprüfen, bevor Sie mit der BSI-Registrierung fortfahren.

Wie melde ich mein Unternehmen beim BSI an?

Wer nach den fünf Schritten festgestellt hat, dass er betroffen ist, muss sich beim BSI registrieren. Die Registrierung erfolgt über das BSI-Portal „MELDEPLATTFORM" unter meldeplattform.bsi.bund.de. Das Portal läuft im Browser und erfordert keine Software-Installation.

Halten Sie folgende Angaben bereit, bevor Sie das Portal öffnen:

Name und Rechtsform der juristischen Person
Handelsregisternummer und zuständiges Registergericht
Anschrift und Kontaktdaten des Unternehmens
Zugeordneter Sektor und Anlagentyp nach BSIG Anhang 1 oder 2
Einstufung als bwE oder wE
Name und Kontaktdaten einer Ansprechperson für das BSI
Angaben zu einer etwaigen Konzernzugehörigkeit

Die Registrierung ist keine einmalige Formalität. Ändern sich Unternehmensgröße, Sektor oder Einstufung, muss die Meldung aktualisiert werden. Das BSI schätzt, dass rund 29.500 Einrichtungen registrierungspflichtig sind. Laut einem Bericht von BREiHOF iT haben sich davon bislang etwa 18.500 registriert, rund 11.000 stehen noch aus.

Nach dem Dezember 2025 gibt es keine Übergangsfristen mehr. Wer die Registrierung versäumt, riskiert Bußgelder und kann bei Sicherheitsvorfällen keine behördliche Unterstützung in Anspruch nehmen.

Wann lohnt sich professionelle Unterstützung bei der NIS2-Umsetzung?

Die Betroffenheitsprüfung selbst lässt sich mit diesem Leitfaden eigenständig durchführen. Schwieriger wird es bei der anschließenden Umsetzung: Sicherheitsmaßnahmen dokumentieren, Meldeprozesse einrichten, Lieferketten bewerten und die technische Infrastruktur auf NIS2-Niveau bringen. Genau dort entstehen für viele KMU die eigentlichen Lücken.

Professionelle Unterstützung lohnt sich, wenn die Schwellenwertberechnung durch Konzernbeteiligungen komplex wird, wenn die Einstufung als bwE noch keine dokumentierten Sicherheitsprozesse vorfindet, oder wenn technische Maßnahmen wie Endpunktschutz oder Backup intern nicht abgebildet werden können.

BREiHOF iT GmbH ist ein Managed IT Service Provider mit Sitz in Heidelberg, der Unternehmen bei NIS2-Compliance-Dokumentation, Firewall-Management, Endpunktschutz und Backup-Lösungen unterstützt.

Wenn Sie unsicher sind, ob Ihre Einstufung korrekt ist oder welche Maßnahmen als nächstes anstehen, kann eine strukturierte NIS2-Checkliste für KMU ein sinnvoller nächster Schritt sein.

Was gehört zur NIS2-Umsetzung nach der Registrierung?

Nach der Registrierung beim BSI beginnt die eigentliche Umsetzungsarbeit. Das BSIG verlangt von betroffenen Einrichtungen, geeignete technische und organisatorische Maßnahmen zu ergreifen, um Risiken für die Sicherheit ihrer Netz- und Informationssysteme zu beherrschen. Dazu gehören unter anderem Konzepte zur Risikoanalyse, Maßnahmen zur Aufrechterhaltung des Betriebs (Business Continuity), Verfahren zur Sicherung und Wiederherstellung von Daten sowie die Absicherung der Lieferkette.

Für die Meldepflicht gilt: Erhebliche Sicherheitsvorfälle müssen dem BSI innerhalb von 24 Stunden nach Bekanntwerden gemeldet werden. Eine detailliertere Meldung folgt innerhalb von 72 Stunden. Diese Fristen gelten für beide Einrichtungsklassen. Wer noch keine internen Meldeprozesse eingerichtet hat, sollte das vor dem nächsten Vorfall nachholen, nicht danach.

Prices and plan limits verified as of October 2026.

FAQs

Sind wir als reiner Zulieferer von NIS2 betroffen?

Als Zulieferer sind Sie direkt betroffen, wenn Ihre eigene Tätigkeit einem der 18 Sektoren in BSIG Anhang 1 oder 2 zuzuordnen ist und Sie die Größenschwellen erreichen. Allein die Tatsache, dass Ihr Kunde eine NIS2-pflichtige Einrichtung ist, macht Sie nicht automatisch betroffen. Ihr Kunde kann jedoch vertraglich Sicherheitsanforderungen an Sie stellen, die faktisch NIS2-Niveau entsprechen. Prüfen Sie deshalb beide Seiten: Ihre eigene Betroffenheit und die vertraglichen Anforderungen Ihrer Auftraggeber.

Was passiert, wenn ein Unternehmen die NIS2-Registrierung versäumt?

Wer die Registrierungspflicht versäumt, riskiert Bußgelder nach BSIG. Für wichtige Einrichtungen liegen die Bußgeldrahmen deutlich höher als nach altem Recht. Hinzu kommt, dass das BSI bei einem Sicherheitsvorfall keine koordinierte Unterstützung leisten kann, wenn die Einrichtung nicht registriert ist. Behörden können außerdem Nachweise über die durchgeführte Betroffenheitsprüfung anfordern. Wer keine Dokumentation vorlegen kann, steht schlechter da als jemand, der die Prüfung abgeschlossen und das Ergebnis festgehalten hat.

Gilt NIS2 auch für gemeinnützige Organisationen und Vereine?

NIS2 knüpft an die Erbringung von Leistungen oder Waren gegen Entgelt in einem der regulierten Sektoren an. Gemeinnützige Organisationen und Vereine, die keine entgeltlichen Leistungen in diesen Sektoren erbringen, fallen in der Regel nicht unter die Pflichten. Sobald jedoch eine wirtschaftliche Tätigkeit vorliegt, etwa der Betrieb einer Wasserversorgung oder einer digitalen Infrastruktur, gilt die Prüfpflicht unabhängig vom Rechtsform-Status. Im Zweifel empfehlen wir eine rechtliche Einschätzung.

Was ist der Unterschied zwischen NIS2 und der BSI-Grundschutz-Zertifizierung?

NIS2 ist eine gesetzliche Pflicht: Betroffene Einrichtungen müssen Sicherheitsmaßnahmen umsetzen, Vorfälle melden und sich registrieren. Der BSI-Grundschutz ist ein freiwilliger Methodenrahmen des BSI für IT-Sicherheit, der als Zertifizierung abgeschlossen werden kann, aber nicht muss. Eine BSI-Grundschutz-Zertifizierung kann helfen, NIS2-Anforderungen zu erfüllen, ersetzt aber die gesetzliche Registrierung und Meldepflicht nicht. Beide Themen sind verwandt, aber rechtlich unabhängig voneinander.

Wie oft muss die Betroffenheitsprüfung wiederholt werden?

Es gibt keine gesetzlich festgelegte Wiederholungsfrist. Die Prüfung muss jedoch erneut durchgeführt werden, wenn sich relevante Umstände ändern: Unternehmensgröße, Beteiligungsstruktur, Geschäftstätigkeit oder Sektorzuordnung. Empfehlenswert ist eine jährliche Überprüfung, zum Beispiel im Rahmen des Jahresabschlusses. Wer wächst und dabei die Schwellenwerte für mittlere oder große Unternehmen überschreitet, muss die neue Einstufung beim BSI melden, sobald die Änderung feststeht.

Fazit

Die NIS2-Betroffenheitsprüfung folgt einem klaren Ablauf: Rechtseinheit bestimmen, Sektor zuordnen, Größe korrekt berechnen, größenunabhängige Kategorien prüfen und das Ergebnis einstufen. Wer diese fünf Schritte dokumentiert und mit dem anonymen BSI-Tool abgleicht, hat eine belastbare Grundlage für die anschließende Registrierung.

Starten Sie mit Schritt 1 und halten Sie die Ergebnisse jedes Schritts schriftlich fest. Wenn die Prüfung ergibt, dass Sie betroffen sind, öffnen Sie das BSI-Registrierungsportal unter meldeplattform.bsi.bund.de und legen Sie die in diesem Artikel aufgelisteten Angaben bereit. Die Dokumentation jedes Schritts schützt Sie außerdem, wenn Behörden später einen Nachweis über die durchgeführte Prüfung anfordern.