Kostenlose Betroffenheitsprüfung
Zwei Fragen, ein klares Ergebnis. Sie erfahren in zwei Minuten, ob das neue IT-Sicherheitsgesetz für Ihre Firma gilt, was dann auf Sie zukommt und welche Frist Sie vielleicht schon verpasst haben.
Zwei Fragen, ein klares Ergebnis. Ihre Antworten werden nicht gespeichert.
Für Sie gelten die strengsten Anforderungen des Gesetzes, inklusive Registrierungspflicht, Meldepflichten und Bußgeldern von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes. Die Geschäftsführung ist persönlich in der Pflicht (§ 38 BSIG).
Jetzt Erstgespräch vereinbarenSie fallen voraussichtlich unter NIS-2, mit Registrierungspflicht, Meldepflichten und Bußgeldern von bis zu 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes. Die Geschäftsführung ist persönlich in der Pflicht (§ 38 BSIG).
Jetzt Erstgespräch vereinbarenGute Nachricht: keine unmittelbare gesetzliche Pflicht. Aber: Der Gesetzgeber hat mit NIS-2 erstmals klar definiert, was ein solides Grundlevel an IT-Sicherheit ausmacht. Wer sich freiwillig daran orientiert, bekommt genau die Sicherheit, die wirklich nötig ist, ohne sich immer neue Technik verkaufen zu lassen. Zudem verlangen große Kunden diese Standards zunehmend von ihren Lieferanten.
Basisschutz-Gespräch vereinbarenDiese Ersteinschätzung ist unverbindlich und ersetzt keine Rechtsberatung und keine verbindliche Einstufung. Ob das Gesetz wirklich für Sie gilt, hängt von Ihrer genauen Tätigkeit und weiteren gesetzlichen Kriterien ab. Genau das klären wir im Erstgespräch.
Wer ist betroffen?
Das Gesetz heißt in Deutschland BSIG, umgangssprachlich NIS-2. Es gilt seit dem 6. Dezember 2025. Ob es Ihre Firma trifft, entscheiden zwei Fragen. Beide müssen mit Ja beantwortet werden.
Das Gesetz nennt zwei Listen. In der ersten stehen zum Beispiel Energie, Wasser, Gesundheit, Verkehr und digitale Infrastruktur. In der zweiten stehen unter anderem Chemie, Lebensmittel, das verarbeitende Gewerbe (Maschinenbau, Elektrotechnik, Elektronik, Optik, Medizinprodukte, Fahrzeugbau), Post- und Kurierdienste, Abfallwirtschaft und digitale Dienste.
Ab 50 Mitarbeitern sind Sie dabei, unabhängig vom Umsatz. Mit weniger Mitarbeitern ebenfalls, wenn Sie mehr als 10 Mio. € Umsatz und zugleich mehr als 10 Mio. € Bilanzsumme haben. Gezählt wird das ganze Unternehmen, nicht der einzelne Standort.
Zwei Stufen
Das Gesetz kennt zwei Stufen. Für den Mittelstand zählt fast immer die erste.
Firmen aus beiden Listen ab 50 Mitarbeitern oder ab 10 Mio. € Umsatz und Bilanzsumme. Bußgelder bis zu 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes, es gilt der höhere Betrag. Das BSI prüft hier meist bei Verdacht oder nach einem Vorfall.
Nur Firmen aus der ersten Liste (etwa Energie, Verkehr, Gesundheit) ab 250 Mitarbeitern oder ab 50 Mio. € Umsatz und 43 Mio. € Bilanzsumme. Strengere Aufsicht, Bußgelder bis zu 10 Mio. € oder 2 % des Umsatzes. Ein Maschinenbauer oder Lebensmittelhersteller landet hier nicht, egal wie groß er ist.
Was dann gilt
Sind Sie betroffen, verlangt das Gesetz vier Dinge. Keines davon kann Ihre IT-Abteilung oder Ihr Systemhaus allein für Sie erledigen.
Jede betroffene Firma muss sich beim BSI anmelden. Die Frist dafür ist am 6. März 2026 abgelaufen. Wer sich jetzt anmeldet, ist zu spät, aber besser spät als gar nicht: Nicht registriert zu sein ist der erste Punkt, den eine Prüfung findet.
§ 30 nennt zehn Pflichtmaßnahmen, von der Risikoanalyse über getestete Backups und verschlüsselte Daten bis zur zweiten Anmeldestufe für alle wichtigen Zugänge. Jede Maßnahme muss umgesetzt und schriftlich belegt sein.
Ein erheblicher Sicherheitsvorfall muss innerhalb von 24 Stunden an das BSI gemeldet werden, auch an Heiligabend. Nach 72 Stunden folgt eine zweite Meldung, nach einem Monat der Abschlussbericht. Dafür braucht es einen festen Ablauf und jemanden, der ihn kennt.
§ 38 macht die Geschäftsführung persönlich verantwortlich. Sie muss die Maßnahmen freigeben, ihre Wirkung überwachen und sich selbst schulen lassen. Diese Pflicht lässt sich nicht delegieren. Wer sie verletzt, haftet seiner Firma gegenüber für den Schaden.
Drei Irrtümer
Nein. Das Gesetz gilt seit Dezember 2025, die Registrierungsfrist ist seit März 2026 vorbei. Wer heute anfängt, holt auf, er ist nicht früh dran.
Ihr Systemhaus hält die Technik am Laufen. Das Gesetz verlangt aber, dass Sie als Geschäftsführer die Maßnahmen freigeben, überwachen und belegen können. Das kann Ihnen niemand abnehmen, auch kein Dienstleister.
Gut. Lesen Sie das Kleingedruckte: Die meisten Versicherer verlangen, dass gesetzliche Pflichten erfüllt sind. Fehlt der Nachweis, kann die Versicherung im Schadensfall kürzen oder ablehnen.
Gelernt bei PwC und KPMG, zu Hause in Ostwestfalen. Vom ersten Gespräch bis zur Umsetzung haben Sie einen festen Ansprechpartner.
Wer hinter Peak Value stehtDer Report für Geschäftsführer, Oktober 2026
Sind Sie beim BSI registriert? Wer meldet einen Angriff innerhalb von 24 Stunden? Können Sie es schwarz auf weiß beweisen? Acht Seiten, sechs Minuten Lesezeit.
Report kostenlos lesenUnternehmen, deren Branche in einer der beiden Listen des Gesetzes steht und die mindestens 50 Mitarbeiter haben oder mehr als 10 Mio. € Umsatz und zugleich mehr als 10 Mio. € Bilanzsumme. Für den Mittelstand sind das vor allem Chemie, Lebensmittel, Maschinenbau, Elektrotechnik, Elektronik, Medizinprodukte, Fahrzeugbau und Logistik.
Nur, wenn Sie auch unter 10 Mio. € Umsatz oder unter 10 Mio. € Bilanzsumme liegen. Und selbst dann fragen Ihre großen Kunden bald nach, denn sie müssen ihre Lieferkette absichern. Viele kleinere Firmen lassen deshalb freiwillig prüfen, wo sie stehen.
Besonders wichtige Einrichtungen sind große Firmen aus der ersten Liste, etwa Energie, Verkehr oder Gesundheit, mit strengerer Aufsicht und höheren Bußgeldern. Der produzierende Mittelstand ist eine wichtige Einrichtung, auch mit 300 Mitarbeitern.
Nein. Der Check ist eine Ersteinschätzung nach Branche und Größe. Ob das Gesetz wirklich für Sie gilt, hängt von Ihrer genauen Tätigkeit ab. Das klären wir mit Ihnen im kostenlosen Erstgespräch in 15 Minuten.
Solange niemand hinsieht, nichts. Nach einem Vorfall, bei einer Beschwerde oder einer Nachfrage Ihres Großkunden wird geprüft. Dann zählt nur, was Sie schriftlich belegen können. Fehlt der Nachweis, drohen Bußgelder bis zu 7 Mio. € oder 1,4 % des Umsatzes, und Sie haften als Geschäftsführer persönlich gegenüber Ihrer Firma.
Wenn Sie wollen, prüfen wir in einem Tag bei Ihnen vor Ort, welche der zehn Pflichtmaßnahmen erfüllt sind und welche fehlen. Sie bekommen das Ergebnis innerhalb von zwei Wochen schwarz auf weiß, in einer Sprache, die Sie verstehen.
Im kostenlosen Erstgespräch prüfen wir Schritt für Schritt, ob das Gesetz wirklich für Sie gilt, und was das konkret bedeutet. 15 Minuten, kein Verkaufsgespräch.
Kostenloses Erstgespräch vereinbarenSie wollen wissen, wie sicher Ihre IT wirklich ist, mit oder ohne Gesetz? So prüfen wir.