Sind wir von NIS2 betroffen? Die Prüfung in fünf Fragen

Seit dem 6. Dezember 2025 gilt das neue BSIG. Eine Übergangsfrist gibt es nicht. Wer betroffen ist, war es ab dem ersten Tag – mit Registrierungspflicht, Risikomanagement, Meldewesen und persönlicher Verantwortung der Geschäftsleitung.

In der Praxis scheitert die Umsetzung selten an der Technik. Sie scheitert daran, dass niemand im Unternehmen die Frage „Sind wir betroffen?" schriftlich und nachvollziehbar beantwortet hat. Fünf Fragen reichen dafür meistens aus.

Frage 1: Fallen wir in einen der Sektoren der Anlagen 1 und 2?

Das BSIG arbeitet mit zwei Listen. Anlage 1 enthält die Sektoren mit hoher Kritikalität – Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, öffentliche Verwaltung und Weltraum. Anlage 2 ergänzt weitere kritische Sektoren, darunter Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste und Forschung.

Der häufigste Fehler an dieser Stelle: Unternehmen prüfen nur ihre Hauptbranche. Maßgeblich ist aber die konkrete Tätigkeit. Ein Maschinenbauer, der Medizinprodukte fertigt, sitzt in zwei Sektoren gleichzeitig. Ein Industriebetrieb mit eigenem Rechenzentrum, das auch Konzerngesellschaften bedient, kann als Anbieter von verwalteten IKT-Diensten erfasst sein.

Halten Sie deshalb fest, welche Tätigkeit welchen Sektoreintrag auslöst – nicht nur, ob überhaupt einer zutrifft.

Frage 2: Erreichen wir die Schwellenwerte?

Das BSIG kennt zwei Klassen:

Für die Berechnung gilt die Logik der KMU-Empfehlung der EU-Kommission. Das heißt: Partnerunternehmen und verbundene Unternehmen werden anteilig oder vollständig hinzugerechnet. Eine 40-Personen-Tochter eines Konzerns liegt damit regelmäßig über der Schwelle, obwohl sie für sich genommen darunter läge.

Wer die Schwellenwerte auf Basis der Einzelgesellschaft prüft, unterschätzt seine Betroffenheit fast immer.

Frage 3: Sind wir unabhängig von der Größe erfasst?

Für bestimmte Einrichtungen gelten die Schwellenwerte nicht. Betreiber kritischer Anlagen sind unabhängig von ihrer Größe besonders wichtige Einrichtungen. Dasselbe gilt unter anderem für qualifizierte Vertrauensdiensteanbieter, TLD-Namenregistrierungen, DNS-Dienstanbieter und Anbieter öffentlicher Telekommunikationsnetze.

Auch die öffentliche Verwaltung folgt eigenen Regeln. Wenn Sie in einem dieser Bereiche tätig sind, endet die Größenprüfung hier – und Sie sind betroffen.

Frage 4: Werden wir über die Lieferkette hineingezogen?

Diese Frage entscheidet in der Praxis über die meisten Projekte. Betroffene Einrichtungen müssen nach § 30 BSIG die Sicherheit ihrer Lieferkette steuern. Sie geben ihre Anforderungen deshalb vertraglich weiter: Sicherheitsklauseln, Auditrechte, Meldefristen, Nachweispflichten.

Formal sind Sie dadurch nicht selbst NIS2-pflichtig. Wirtschaftlich macht es keinen Unterschied. Wenn drei Ihrer größten Kunden ein ISMS-Nachweisdokument verlangen, brauchen Sie eines – unabhängig davon, was im Gesetz steht.

Prüfen Sie deshalb parallel: Welche unserer Kunden sind erkennbar betroffene Einrichtungen? Was steht bereits in den bestehenden Verträgen? Was kommt bei der nächsten Verlängerung?

Frage 5: Was folgt daraus konkret?

Wenn die ersten vier Fragen ein „Ja" ergeben, stehen vier Pflichtenblöcke an:

1. Registrierung nach § 33 BSIG. Innerhalb von drei Monaten ab Eintritt der Registrierungspflicht, über das Portal des BSI. Für Einrichtungen, die seit Inkrafttreten betroffen sind, lief die Frist am 6. März 2026 ab.
2. Risikomanagement nach § 30 BSIG. Zehn Maßnahmenbereiche, von Risikoanalyse über Business Continuity und Lieferkettensicherheit bis Kryptografie und Zugriffskontrolle. Verhältnismäßig zur Risikolage, aber nachweisbar.
3. Meldewesen nach § 32 BSIG. Erhebliche Sicherheitsvorfälle sind mehrstufig zu melden: Erstmeldung unverzüglich, spätestens innerhalb von 24 Stunden, Folgemeldung innerhalb von 72 Stunden, Abschlussmeldung innerhalb eines Monats. Das lässt sich nicht improvisieren – die Fristen müssen als Prozess hinterlegt sein.
4. Pflichten der Geschäftsleitung nach § 38 BSIG. Die Leitung muss die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen, sich regelmäßig schulen lassen und haftet bei Pflichtverletzung.

Das Ergebnis muss ein Dokument sein

Der eigentliche Punkt der Betroffenheitsanalyse ist nicht das Ja oder Nein. Es ist die schriftliche Begründung.

Wenn Sie zu dem Ergebnis kommen, nicht betroffen zu sein, brauchen Sie ein Dokument, das diese Einschätzung trägt: geprüfte Sektoren, Berechnung der Schwellenwerte inklusive verbundener Unternehmen, Datum, Verantwortlicher, Wiedervorlage. Kommen Sie zu dem Ergebnis, betroffen zu sein, ist genau dieses Dokument die Grundlage für die Registrierung und für alles Weitere.

Beides ist in einer strukturierten Sitzung machbar, wenn die Zahlen vorliegen. Ohne Dokument haben Sie die Prüfung aus Sicht einer Aufsicht nicht durchgeführt.