Bin ich von NIS2 betroffen? Der Schnelltest für KMU
Seit Dezember 2025 gilt das NIS2-Umsetzungsgesetz in Deutschland. Rund 29.500 Unternehmen müssen sich beim BSI registrieren, aber die meisten Geschäftsführer wissen nicht sicher, ob ihr Betrieb dazugehört. Zwei Fragen genügen für eine erste Einschätzung.
Am 6. Dezember 2025 ist das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in Kraft getreten. Seit dem 6. Januar 2026 können betroffene Unternehmen sich über ein neues Portal beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren. Nach Angaben des BSI betrifft das Gesetz erstmals rund 29.500 "wichtige" und "besonders wichtige" Einrichtungen in Deutschland, viele davon kleine und mittlere Unternehmen, die bisher noch nie mit einer IT-Sicherheitsbehörde zu tun hatten.
Das führt zu echter Verunsicherung. Die Sektorliste ist lang, die Formulierungen sind juristisch, und die EU-Kommission hat im Januar 2026 bereits vorgeschlagen, den Kreis der Betroffenen wieder zu verkleinern. Dieser Artikel ersetzt keine Rechtsberatung, gibt Ihnen aber in zwei Fragen eine erste, belastbare Einschätzung.
Frage 1: Arbeitet Ihr Unternehmen in einem der NIS2-Sektoren?
NIS2 gilt nicht branchenübergreifend, sondern nur für Unternehmen aus einer festgelegten Liste von Sektoren (Anlagen 1 und 2 des BSI-Gesetzes). Die wichtigsten Beispiele:
- Besonders kritisch: Energie, Transport und Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur (Rechenzentren, Cloud-Anbieter, DNS-Dienste, TLD-Registries), ICT- Dienstleistungsmanagement, öffentliche Verwaltung und Raumfahrt.
- Sonstige kritische Sektoren: Post- und Kurierdienste, Abfallbewirtschaftung, Produktion, Herstellung und Handel mit Chemikalien, Lebensmittelproduktion und -vertrieb, verarbeitendes Gewerbe (u.a. Medizinprodukte, Elektronik, Maschinenbau, Fahrzeugbau), digitale Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke) und Forschung.
Gehört Ihr Geschäftsmodell zu keinem dieser Sektoren, sind Sie nach heutigem Stand in der Regel nicht direkt NIS2-pflichtig, unabhängig von der Unternehmensgröße. Gehört es dazu, entscheidet die zweite Frage.
Frage 2: Erreicht Ihr Unternehmen die Größenschwelle?
Innerhalb eines betroffenen Sektors gilt grundsätzlich die Größe des Unternehmens:
- Wichtige Einrichtung: ab 50 Mitarbeitenden oder ab 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme.
- Besonders wichtige Einrichtung: ab 250 Mitarbeitenden oder mehr als 50 Millionen Euro Jahresumsatz beziehungsweise mehr als 43 Millionen Euro Jahresbilanzsumme. Bestimmte Rollen gelten unabhängig von der Größe immer als besonders wichtig: Betreiber kritischer Anlagen (KRITIS), qualifizierte Vertrauensdiensteanbieter, TLD-Name-Registries, DNS-Diensteanbieter sowie Anbieter öffentlicher Telekommunikationsnetze oder -dienste ab 50 Mitarbeitenden.
Liegt Ihr Unternehmen unter diesen Schwellen, sind Sie aktuell in der Regel von der direkten Registrierungspflicht ausgenommen, auch wenn Ihr Sektor betroffen ist. Für eine verbindliche Einschätzung bietet das BSI einen offiziellen Entscheidungsbaum an.
Was müssen betroffene Unternehmen konkret tun?
- Registrieren. Spätestens drei Monate nach Erstbetroffenheit über das BSI-Portal, mit einem ELSTER-Organisationszertifikat und einem "Mein Unternehmenskonto".
- Risikomanagementmaßnahmen umsetzen. Dazu zählen unter anderem eine dokumentierte Risikoanalyse, ein Incident-Handling-Prozess, Business-Continuity- Planung, Grundschutz wie Mehrfaktor-Authentifizierung und Verschlüsselung, sowie die Bewertung der Sicherheit der eigenen Lieferkette.
- Vorfälle melden. Erhebliche Sicherheitsvorfälle müssen innerhalb von 24 Stunden erstgemeldet werden, mit einer vollständigen Meldung innerhalb eines Monats.
- Haftung ernst nehmen. Bei besonders wichtigen Einrichtungen haftet die Geschäftsleitung persönlich für die Umsetzung der Risikomanagementpflichten.
Und wenn ich nicht direkt betroffen bin?
Zwei Gründe, warum das Thema trotzdem relevant bleibt. Erstens: NIS2-regulierte Unternehmen sind gesetzlich verpflichtet, die Sicherheit ihrer eigenen Lieferkette zu bewerten. Liefern Sie an eine größere, regulierte Organisation, werden Sicherheitsfragen und Nachweise in den kommenden Monaten Teil des normalen Einkaufsprozesses, auch ohne eigene Registrierungspflicht. Zweitens: die EU-Kommission hat am 20. Januar 2026 Änderungen vorgeschlagen, die den Kreis der Betroffenen weiter anpassen sollen. Die Regeln sind noch in Bewegung, eine erneute Prüfung in einigen Monaten lohnt sich.
Unabhängig vom rechtlichen Status bleibt die zugrunde liegende Realität unverändert: nach dem Hiscox Cyber Readiness Report 2026 wurden 31 Prozent der deutschen KMU bereits erfolgreich angegriffen oder haben einen Angriffsversuch festgestellt, 33 Prozent sahen dadurch ihre Existenz gefährdet, der Betrieb stand im Schnitt 41,7 Stunden still, und 29 Prozent hatten keinerlei Versicherungsschutz. NIS2 oder nicht, die Angriffsfläche ist real.
Der pragmatische erste Schritt
Egal ob Sie registrierungspflichtig sind oder nicht: ein aktueller Überblick über die eigene externe Angriffsfläche ist der sinnvollste Startpunkt. Noroshi überwacht automatisch die Punkte, die sowohl bei einer NIS2-Risikobewertung als auch bei einem echten Angriff zuerst zählen: HTTP-Sicherheits-Header, TLS-Zertifikate, E-Mail- Authentifizierung (SPF, DKIM, DMARC), offene Ports, veraltete Software und Lookalike-Domains, die für Phishing gegen Ihre Marke genutzt werden könnten.
Erstellen Sie ein kostenloses Konto, fügen Sie Ihre Domain hinzu und sehen Sie Ihren aktuellen Sicherheits-Score in wenigen Minuten. Kostenloser Plan, keine Kreditkarte erforderlich.
Geschrieben von David Hildering, dem Entwickler hinter Noroshi. Mehr über Noroshi.