Kostenloses Werkzeug · 2 Min.

NIS2-Check: Ist meine Firma betroffen?

Der kostenlose NIS2-Check von arbeitswolke gibt in 6 Fragen eine erste Orientierung, ob eine Firma unter das deutsche NIS2-Umsetzungsgesetz fällt, und nennt die nächsten Schritte.

Orientierung in 6 Fragen nach dem deutschen NIS2-Umsetzungsgesetz – mit klaren nächsten Schritten. Ohne Anmeldung.

Rechtsstand: NIS2-Umsetzungsgesetz, in Kraft seit 6. Dezember 2025 · Seite geprüft im Oktober 2026 · Orientierung, keine Rechtsberatung

NIS2 in Deutschland: Was kleine und mittlere Firmen wissen müssen

NIS2 ist eine EU-Richtlinie für mehr Cybersicherheit. In Deutschland wurde sie mit dem NIS2-Umsetzungsgesetz umgesetzt. Es wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet und gilt seit dem 6. Dezember 2025 – ohne Übergangsfrist. Kern ist ein neu gefasstes BSI-Gesetz (BSIG). Das BSI geht von rund 29.500 betroffenen Unternehmen in Deutschland aus. Viele davon hatten vorher nichts mit IT-Sicherheitsgesetzen zu tun.

Wer ist betroffen?

Entscheidend sind zwei Dinge: Ihre Branche (die Sektoren stehen in Anlage 1 und 2 des BSIG) und Ihre Größe. Vereinfacht gilt nach § 28 BSIG:

Einstufung	Branche	Größe
Besonders wichtige Einrichtung	Anlage 1 (z. B. Energie, Verkehr, Banken, Gesundheit, Wasser, digitale Infrastruktur, IT-Dienstleister für Firmen)	ab 250 Mitarbeitende oder über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme
Wichtige Einrichtung	Anlage 1 oder 2 (zusätzlich z. B. Post, Abfall, Chemie, Lebensmittel, bestimmte Industrie, Online-Marktplätze, Forschung)	ab 50 Mitarbeitende oder über 10 Mio. € Umsatz und über 10 Mio. € Bilanzsumme

Einige Firmen sind unabhängig von ihrer Größe erfasst, zum Beispiel Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, DNS-Diensteanbieter und Top-Level-Domain-Registries. Bei Mitarbeitenden und Umsatz zählen verbundene Unternehmen grundsätzlich mit. Nebentätigkeiten, die im Verhältnis zur gesamten Geschäftstätigkeit vernachlässigbar sind, bleiben außen vor.

Was müssen betroffene Firmen tun?

Registrieren: Beim BSI, spätestens drei Monate nachdem man betroffen ist. Für alle, die schon bei Inkrafttreten betroffen waren, endete die Frist am 6. März 2026. Das BSI hat Nachmeldungen bis 31. Juli 2026 geduldet. Wer sich noch nicht registriert hat, sollte das sofort nachholen. Der Weg führt über „Mein Unternehmenskonto“ (mit ELSTER-Organisationszertifikat) ins BSI-Portal.
Risikomanagement: Angemessene technische und organisatorische Maßnahmen nach § 30 BSIG – etwa Zugangskontrolle, Zwei-Faktor-Anmeldung, Backup und Wiederherstellung, Notfallplanung, Schulungen und Sicherheit in der Lieferkette.
Melden: Erhebliche Sicherheitsvorfälle innerhalb von 24 Stunden als erste Meldung an das BSI, nach 72 Stunden eine Bewertung, nach einem Monat einen Abschlussbericht.
Geschäftsleitung in der Pflicht: Die Geschäftsführung muss die Maßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen (§ 38 BSIG).

Was davon Ihre Google- oder Microsoft-Umgebung schon abdeckt, prüfen wir in der Gap-Analyse (Google Workspace · Microsoft 365).

Verstöße können teuer werden: Für besonders wichtige Einrichtungen sieht das Gesetz Bußgelder bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes vor, für wichtige Einrichtungen bis 7 Mio. € oder 1,4 %.

Nicht betroffen – und trotzdem betroffen?

Viele kleine Firmen fallen nicht direkt unter NIS2. Indirekt aber schon: Betroffene Unternehmen müssen auch die Sicherheit ihrer Lieferkette im Blick behalten. Sind Sie Zulieferer, IT-Dienstleister oder Partner einer betroffenen Firma, kommen Fragebögen, Vertragsklauseln und Nachweise auf Sie zu. Wer dann Zwei-Faktor-Anmeldung, Backup und einen Notfallplan vorweisen kann, ist klar im Vorteil.

Wie verlässlich ist dieser Check?

Dieser Check vereinfacht. Die Zuordnung zu einem Sektor ist im Einzelfall oft knifflig, und es gibt Sonderregeln. Für eine verbindliche Einschätzung nutzen Sie die offizielle NIS-2-Betroffenheitsprüfung des BSI und sprechen mit Ihrer Rechtsberatung.