NIS2: Ist mein Unternehmen betroffen?
Kostenlos und in zwei Minuten: Fünf Angaben genügen für eine vorläufige Einordnung nach dem BSI-Gesetz, das NIS2 seit dem 6. Dezember 2025 in Deutschland umsetzt.
Betroffenheit in fünf Angaben prüfen
Die Auswertung läuft in Ihrem Browser. Ihre Angaben werden nicht gesendet und nicht gespeichert.
Wählen Sie Branche und Beschäftigtenzahl, dann erscheint hier die vorläufige Einordnung.
Orientierung, keine Rechtsberatung. Sonderfälle wie Konzernverbund, Nebentätigkeiten und Ausnahmen nach § 28 Abs. 3 bis 8 BSIG sind nicht berücksichtigt – etwa, dass §§ 30 und 32 für Betreiber von Energieversorgungsnetzen und Energieanlagen nach dem Energiewirtschaftsgesetz sowie für Telekommunikationsanbieter nicht gelten (§ 28 Abs. 5 BSIG). Verbindlich prüft das BSI mit seiner eigenen Betroffenheitsprüfung.
So ordnet der Check ein
Als wichtige Einrichtung gilt, wer mindestens 50 Beschäftigte hat oder bei wem Jahresumsatz und Jahresbilanzsumme jeweils über 10 Mio. € liegen; als besonders wichtige Einrichtung ab 250 Beschäftigten oder bei über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme (§ 28 BSIG).
Die Einstufung als besonders wichtige Einrichtung nach Größe gilt nur für die Sektoren der Anlage 1. Unternehmen aus Anlage 2 – etwa Lebensmittelindustrie und Maschinenbau – sind ab 50 Beschäftigten wichtige Einrichtungen, auch mit 250 oder mehr Beschäftigten.
Unabhängig von der Größe erfasst sind unter anderem:
- Betreiber kritischer Anlagen (KRITIS): besonders wichtige Einrichtung (§ 28 Abs. 1 Nr. 1 BSIG)
- Qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries und DNS-Diensteanbieter: besonders wichtige Einrichtung (§ 28 Abs. 1 Nr. 2 BSIG)
- Sonstige Vertrauensdiensteanbieter: wichtige Einrichtung (§ 28 Abs. 2 Nr. 1 BSIG)
- Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze: wichtige Einrichtung, ab 50 Beschäftigten oder bei jeweils über 10 Mio. € Umsatz und Bilanzsumme besonders wichtige Einrichtung (§ 28 Abs. 1 Nr. 3, Abs. 2 Nr. 2 BSIG)
Für wichtige und besonders wichtige Einrichtungen gelten dieselben Pflichten nach § 30 BSIG – einschließlich der Sicherheit der Lieferkette. Die Maßnahmen müssen verhältnismäßig sein; Größe und Risiko des Unternehmens fließen in die Bewertung ein. Was das konkret bedeutet, steht auf der Seite NIS2-Pflichten und Umsetzung. Den vollständigen Abgleich mit DSGVO und BSI-Grundschutz bietet der Compliance-Check.
Weiterführende Informationen – BSI
Offizielle Informationen des Bundesamts für Sicherheit in der Informationstechnik (BSI):
Rechtsstand: – Die Inhalte dienen der Orientierung und ersetzen keine Rechtsberatung.
Häufige Fragen zum NIS2-Check
Nein. Der Check gibt eine vorläufige Orientierung nach § 28 BSIG und ist keine Rechtsberatung. Sonderfälle wie Konzernverbund oder Nebentätigkeiten bildet er nicht ab. Verbindlich prüft das BSI mit seiner Betroffenheitsprüfung.
Nein. Die Auswertung läuft vollständig in Ihrem Browser, es wird nichts an uns übertragen.
Möglicherweise. Kunden, die selbst unter NIS2 fallen, müssen die Sicherheit ihrer Lieferkette berücksichtigen und geben Anforderungen deshalb oft vertraglich an Zulieferer weiter.