NIS2: Wer ist betroffen? Pruefung in 5 Minuten 2026
Im Unterschied zur alten NIS-Richtlinie (die 2.000 Unternehmen in DE erfasste) umfasst NIS2 etwa 29.000 deutsche Unternehmen. Die grosse Frage bei jedem Gespraech: "Sind wir betroffen?". Dieser Artikel gibt die konkrete Antwort mit Sektorenliste, Schwellenwerten und interaktivem Check.
Schnell-Check: die drei Kategorien
| Kategorie | Kriterien | Pflichten |
|---|---|---|
| Wesentliche Einrichtung | Grossunternehmen (>= 250 MA ODER >= 50 Mio. Umsatz) in bestimmten Sektoren | Volle NIS2-Pflichten + proaktive Aufsicht |
| Wichtige Einrichtung | Mittlere Unternehmen (50-249 MA ODER 10-50 Mio. Umsatz) in erweiterten Sektoren | Volle NIS2-Pflichten + reaktive Aufsicht |
| Nicht betroffen | Unternehmen unterhalb der Schwellenwerte oder ausserhalb der Sektoren | Keine direkten NIS2-Pflichten (aber ggf. mittelbar ueber Lieferkette) |
Achtung: Einige Einrichtungen fallen unabhaengig von der Groesse unter NIS2 — siehe Sonderfaelle weiter unten.
Schritt 1: Sektor pruefen
NIS2 unterscheidet Anhang I (Sektoren mit hoher Kritikalitaet) und Anhang II (weitere kritische Sektoren).
Anhang I — Sektoren mit hoher Kritikalitaet
In diesen Sektoren fallen Grossunternehmen automatisch als "wesentliche Einrichtung", mittlere als "wichtige Einrichtung":
- Energie — Strom, Fernwaerme, Oel, Gas, Wasserstoff
- Verkehr — Luftfahrt, Schienenverkehr, Schifffahrt, Strassenverkehr
- Bankwesen — Kreditinstitute
- Finanzmarktinfrastruktur — Handelsplaetze, zentrale Gegenparteien
- Gesundheitswesen — Gesundheitsdienstleister, EU-Referenzlaboratorien, Pharma-Forschung, kritische Medizinprodukte-Hersteller
- Trinkwasser
- Abwasser
- Digitale Infrastruktur — IXP, DNS-Anbieter, TLD-Registries, Cloud-Anbieter, Rechenzentren, CDN, Vertrauensdiensteanbieter, elektronische Kommunikationsnetze
- IKT-Service-Management (B2B) — Managed Services Provider, Managed Security Services Provider
- Oeffentliche Verwaltung — Zentralregierung, ggf. regionale Verwaltung
- Weltraum
Anhang II — Weitere kritische Sektoren
In diesen Sektoren fallen mittlere und grosse Unternehmen als "wichtige Einrichtungen":
- Post und Kurier
- Abfallwirtschaft
- Produktion und Handel mit chemischen Stoffen
- Produktion, Verarbeitung und Vertrieb von Lebensmitteln
- Herstellung von:
- Medizinprodukten und In-vitro-Diagnostika
- Datenverarbeitungsgeraeten, elektronischen und optischen Erzeugnissen
- elektrischen Ausruestungen
- Maschinen
- Kraftwagen und Kraftwagenteilen
- sonstigen Fahrzeugen
- Anbieter digitaler Dienste — Online-Marktplaetze, Suchmaschinen, Social Networks
- Forschung
Nicht in diesen Sektoren? Sie sind voraussichtlich nicht betroffen — aber pruefen Sie die Sonderfaelle.
Schritt 2: Groessenschwelle pruefen
Wesentliche Einrichtung
- Mindestens 250 Mitarbeitende ODER
- Mindestens 50 Mio. EUR Jahresumsatz UND
- Bilanzsumme mindestens 43 Mio. EUR
Alternativ: Unternehmen in Anhang I Sektoren 9 (IKT-Service-Management B2B) und 10 (oeffentliche Verwaltung) koennen auch mit kleinerer Groesse wesentlich sein.
Wichtige Einrichtung
- Mindestens 50 Mitarbeitende ODER
- Mindestens 10 Mio. EUR Jahresumsatz UND
- Bilanzsumme mindestens 10 Mio. EUR
Kleinstunternehmen
- Unter 10 Mitarbeitende UND unter 2 Mio. EUR Umsatz
- Nicht von NIS2 erfasst — ausser Sonderfaelle
Sonderfaelle: immer betroffen, unabhaengig von Groesse
Einige Einrichtungstypen fallen unabhaengig von Mitarbeiterzahl und Umsatz unter NIS2:
- Vertrauensdiensteanbieter (eIDAS) — egal wie klein
- TLD-Registries (z.B. DENIC fuer .de) — unabhaengig von Groesse
- Bestimmte oeffentliche Einrichtungen — Zentralregierung, ggf. Laender
- Anbieter oeffentlicher elektronischer Kommunikationsnetze
- Anbieter oeffentlicher elektronischer Kommunikationsdienste
- Als KRITIS-Betreiber nach deutscher KritisV eingestufte Unternehmen
- Einzige Anbieter eines wesentlichen Dienstes in einem Mitgliedstaat
- Stoerung wuerde erhebliche Auswirkungen auf oeffentliche Sicherheit, Gesundheit, Ordnung haben
Sonderfaelle in Deutschland
Das NIS2UmsuCG (deutsches Umsetzungsgesetz) geht teilweise ueber die EU-Richtlinie hinaus:
- Bundesverwaltung und bestimmte Landesverwaltungen sind explizit erfasst
- KRITIS-Sektoren werden in NIS2 ueberfuehrt und erweitert
- Bestimmte Finanzdienstleister werden erfasst, die unter DORA fallen
Bei Ueberlappung mit DORA gilt: DORA ist lex specialis — fuer Finanzinstitute gehen DORA-Pflichten vor, NIS2 gilt subsidiär.
Praxisbeispiele
Beispiel 1: IT-Dienstleister, 80 MA, Managed Services fuer Mittelstand
- Sektor: IKT-Service-Management (Anhang I)
- Groesse: >= 50 MA
- Ergebnis: wichtige Einrichtung (nicht wesentlich, da < 250 MA und < 50 Mio. Umsatz)
Beispiel 2: Mittelstaendischer Maschinenbauer, 350 MA, 80 Mio. Umsatz
- Sektor: Herstellung Maschinen (Anhang II)
- Groesse: >= 250 MA UND >= 50 Mio. Umsatz
- Ergebnis: wichtige Einrichtung (da Anhang II, nicht wesentlich)
Beispiel 3: Cloud-Anbieter, 500 MA, 150 Mio. Umsatz
- Sektor: Digitale Infrastruktur (Anhang I)
- Groesse: >= 250 MA UND >= 50 Mio. Umsatz
- Ergebnis: wesentliche Einrichtung
Beispiel 4: Online-Shop, 30 MA, 8 Mio. Umsatz (Fashion)
- Sektor: Nicht in Anhang I oder II (Einzelhandel nicht erfasst)
- Ergebnis: nicht direkt betroffen — aber Lieferkettenpflichten eines betroffenen Kunden koennen indirekt gelten
Beispiel 5: Startup, 12 MA, 1,8 Mio. Umsatz, Anbieter eines IAM-SaaS
- Sektor: Digitale Infrastruktur (Anhang I)
- Groesse: unter Schwellenwert
- Ergebnis: nicht direkt betroffen — aber Kunden koennen vertraglich NIS2-Niveau fordern
Beispiel 6: DENIC eG, TLD-Registry fuer .de
- Sektor: Digitale Infrastruktur, TLD-Registry
- Groesse: unabhaengig (Sonderfall)
- Ergebnis: wesentliche Einrichtung (unabhaengig von Groesse)
Lieferkettenpflicht — auch wenn Sie nicht direkt betroffen sind
Betroffene Einrichtungen muessen die Sicherheit ihrer Lieferkette sicherstellen (NIS2 Art. 21 Abs. 2 lit. d). In der Praxis:
- Sie werden als Lieferant eines NIS2-pflichtigen Unternehmens aufgefordert, Sicherheitsnachweise zu erbringen
- Ihr Kunde verlangt ISO 27001, SOC 2 oder NIS2-Konformitaetsnachweis
- Sie muessen bei Audits Ihres Kunden mitwirken
- Das gilt selbst, wenn Sie selbst nicht direkt unter NIS2 fallen
Fazit: auch Nicht-Betroffene sollten NIS2-nahe Sicherheitsmassnahmen umsetzen, sonst verlieren sie Kunden.
Mehr: NIS2 Lieferkette und Lieferantenmanagement.
Was tun, wenn Sie betroffen sind?
- Konkrete Einstufung klaeren — wesentlich oder wichtig? Unterschied relevant fuer Bussgeldhoehe und Aufsicht
- Betroffenheit dokumentieren — fuer interne Transparenz und BSI-Registrierung
- Readiness-Assessment durchfuehren — wo stehen Sie, was fehlt?
- 10 Massnahmen-Programm aufsetzen — NIS2 Umsetzungsleitfaden
- Registrierung beim BSI vorbereiten
- Geschaeftsleitung briefen — persoenliche Haftung, Schulungspflicht
- Budget planen: Tooling, externe Beratung, Pentest, Schulung
Der schnellste Weg zur Klarheit
Matproof bietet einen kostenlosen NIS2-Betroffenheitscheck:
- 5 Minuten, 8 Fragen
- Ergebnis: wesentlich, wichtig oder nicht betroffen
- PDF-Bericht mit konkreter Einstufung und Massnahmenempfehlung
- Keine Registrierung vorab, nur Ergebnis-E-Mail
NIS2-Betroffenheitscheck starten