Bin ich von NIS2 betroffen?

Ja, wenn Ihr Unternehmen in einem Sektor aus Anlage 1 oder 2 des BSIG tätig ist (zum Beispiel Energie, Gesundheit, Transport, digitale Infrastruktur, Herstellung, Lebensmittel) und mindestens 50 Beschäftigte hat oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. € (§ 28 Abs. 2 BSIG). Qualifizierte Vertrauensdiensteanbieter, TLD-Registries, DNS-Diensteanbieter und Betreiber kritischer Anlagen sind unabhängig von der Größe erfasst (§ 28 Abs. 1 BSIG).

Besonders wichtig ist eine Einrichtung in einem Sektor aus Anlage 1 mit mindestens 250 Beschäftigten oder mehr als 50 Mio. € Jahresumsatz und mehr als 43 Mio. € Jahresbilanzsumme (§ 28 Abs. 1 BSIG). Wichtig ist eine Einrichtung aus Anlage 1 oder 2 ab 50 Beschäftigten oder mit jeweils über 10 Mio. € Umsatz und Bilanzsumme (§ 28 Abs. 2 BSIG). Die EU-Richtlinie nennt die erste Gruppe wesentliche Einrichtungen. Bußgelder: bis 10 Mio. € oder 2 % des weltweiten Umsatzes für besonders wichtige, bis 7 Mio. € oder 1,4 % für wichtige Einrichtungen (§ 65 BSIG).

Ja. Besonders wichtige und wichtige Einrichtungen müssen sich spätestens drei Monate, nachdem sie erstmals als solche gelten, beim BSI registrieren (§ 33 BSIG). Die Registrierung läuft über das BSI-Portal und braucht ein ELSTER-Organisationszertifikat über Mein Unternehmenskonto. Das BSI schreibt, dass die gesetzliche Frist für bereits Betroffene abgelaufen ist; wer noch nicht registriert ist, soll das umgehend nachholen.

Seit dem 6. Dezember 2025. Der Bundestag hat das Gesetz am 13. November 2025 beschlossen, der Bundesrat am 21. November 2025. Es wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet (BGBl. 2025 I Nr. 301).

Das BSI beaufsichtigt nach eigenen Angaben rund 29.500 Einrichtungen, vorher waren es etwa 4.500. Bis zum 30. September 2026 gab es 20.373 NIS-2-Registrierungen im BSI-Portal (BSI, NIS-2 in Zahlen).

Nach der EU-Empfehlung 2003/361/EG. Beschäftigte zählen als Jahresarbeitseinheiten, nicht als Köpfe. Laut BSI ändert sich der Status in der Regel erst, wenn ein Schwellenwert in zwei aufeinanderfolgenden Geschäftsjahren über- oder unterschritten wird.

Sie können über Ihre Kunden betroffen sein. Betroffene Einrichtungen müssen die Sicherheit ihrer Lieferkette sicherstellen (§ 30 Abs. 2 Nr. 4 BSIG) und schreiben das oft in Verträge mit Zulieferern und Dienstleistern. Behalten Sie außerdem die Schwellenwerte im Blick, wenn Ihr Unternehmen wächst.

Nein. Die Prüfung ist eine Einschätzung auf Basis Ihrer Angaben und keine Rechtsberatung. Auch die Betroffenheitsprüfung des BSI ist nicht rechtsverbindlich; die Pflicht zur Selbsteinschätzung liegt beim Unternehmen.