Kostenlose Betroffenheitsprüfung

NIS‑2 Check: Ist Ihr Unternehmen betroffen?

Zwei Fragen, ein klares Ergebnis. Sie erfahren in zwei Minuten, ob das neue IT-Sicherheitsgesetz für Ihre Firma gilt, was dann auf Sie zukommt und welche Frist Sie vielleicht schon verpasst haben.

2 Minuten Kostenlos Keine Speicherung

Der NIS‑2-Check

Zwei Fragen, ein klares Ergebnis. Ihre Antworten werden nicht gespeichert.

In welcher Branche ist Ihr Unternehmen tätig?

Wie groß ist Ihr Unternehmen?

Ihr Ergebnis

Ihr Unternehmen ist voraussichtlich eine „besonders wichtige Einrichtung“

Für Sie gelten die strengsten Anforderungen des Gesetzes, inklusive Registrierungspflicht, Meldepflichten und Bußgeldern von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes. Die Geschäftsführung ist persönlich in der Pflicht (§ 38 BSIG).

Jetzt Erstgespräch vereinbaren

Ihr Unternehmen ist voraussichtlich eine „wichtige Einrichtung“

Sie fallen voraussichtlich unter NIS-2, mit Registrierungspflicht, Meldepflichten und Bußgeldern von bis zu 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes. Die Geschäftsführung ist persönlich in der Pflicht (§ 38 BSIG).

Jetzt Erstgespräch vereinbaren

Ihr Unternehmen fällt voraussichtlich nicht direkt unter das Gesetz. Nutzen Sie das als Chance

Gute Nachricht: keine unmittelbare gesetzliche Pflicht. Aber: Der Gesetzgeber hat mit NIS-2 erstmals klar definiert, was ein solides Grundlevel an IT-Sicherheit ausmacht. Wer sich freiwillig daran orientiert, bekommt genau die Sicherheit, die wirklich nötig ist, ohne sich immer neue Technik verkaufen zu lassen. Zudem verlangen große Kunden diese Standards zunehmend von ihren Lieferanten.

Basisschutz-Gespräch vereinbaren

Diese Ersteinschätzung ist unverbindlich und ersetzt keine Rechtsberatung und keine verbindliche Einstufung. Ob das Gesetz wirklich für Sie gilt, hängt von Ihrer genauen Tätigkeit und weiteren gesetzlichen Kriterien ab. Genau das klären wir im Erstgespräch.

Wer ist betroffen?

Zwei Fragen entscheiden

Das Gesetz heißt in Deutschland BSIG, umgangssprachlich NIS-2. Es gilt seit dem 6. Dezember 2025. Ob es Ihre Firma trifft, entscheiden zwei Fragen. Beide müssen mit Ja beantwortet werden.

1

Ihre Branche steht im Gesetz

Das Gesetz nennt zwei Listen. In der ersten stehen zum Beispiel Energie, Wasser, Gesundheit, Verkehr und digitale Infrastruktur. In der zweiten stehen unter anderem Chemie, Lebensmittel, das verarbeitende Gewerbe (Maschinenbau, Elektrotechnik, Elektronik, Optik, Medizinprodukte, Fahrzeugbau), Post- und Kurierdienste, Abfallwirtschaft und digitale Dienste.

2

Ihre Firma ist groß genug

Ab 50 Mitarbeitern sind Sie dabei, unabhängig vom Umsatz. Mit weniger Mitarbeitern ebenfalls, wenn Sie mehr als 10 Mio. € Umsatz und zugleich mehr als 10 Mio. € Bilanzsumme haben. Gezählt wird das ganze Unternehmen, nicht der einzelne Standort.

Zwei Stufen

Wichtig oder besonders wichtig?

Das Gesetz kennt zwei Stufen. Für den Mittelstand zählt fast immer die erste.

Wichtige Einrichtung

Firmen aus beiden Listen ab 50 Mitarbeitern oder ab 10 Mio. € Umsatz und Bilanzsumme. Bußgelder bis zu 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes, es gilt der höhere Betrag. Das BSI prüft hier meist bei Verdacht oder nach einem Vorfall.

Besonders wichtige Einrichtung

Nur Firmen aus der ersten Liste (etwa Energie, Verkehr, Gesundheit) ab 250 Mitarbeitern oder ab 50 Mio. € Umsatz und 43 Mio. € Bilanzsumme. Strengere Aufsicht, Bußgelder bis zu 10 Mio. € oder 2 % des Umsatzes. Ein Maschinenbauer oder Lebensmittelhersteller landet hier nicht, egal wie groß er ist.

Was dann gilt

Vier Pflichten für jede betroffene Firma

Sind Sie betroffen, verlangt das Gesetz vier Dinge. Keines davon kann Ihre IT-Abteilung oder Ihr Systemhaus allein für Sie erledigen.

1

Registrieren

Jede betroffene Firma muss sich beim BSI anmelden. Die Frist dafür ist am 6. März 2026 abgelaufen. Wer sich jetzt anmeldet, ist zu spät, aber besser spät als gar nicht: Nicht registriert zu sein ist der erste Punkt, den eine Prüfung findet.

2

Schützen

§ 30 nennt zehn Pflichtmaßnahmen, von der Risikoanalyse über getestete Backups und verschlüsselte Daten bis zur zweiten Anmeldestufe für alle wichtigen Zugänge. Jede Maßnahme muss umgesetzt und schriftlich belegt sein.

3

Melden

Ein erheblicher Sicherheitsvorfall muss innerhalb von 24 Stunden an das BSI gemeldet werden, auch an Heiligabend. Nach 72 Stunden folgt eine zweite Meldung, nach einem Monat der Abschlussbericht. Dafür braucht es einen festen Ablauf und jemanden, der ihn kennt.

4

Der Chef in der Pflicht

§ 38 macht die Geschäftsführung persönlich verantwortlich. Sie muss die Maßnahmen freigeben, ihre Wirkung überwachen und sich selbst schulen lassen. Diese Pflicht lässt sich nicht delegieren. Wer sie verletzt, haftet seiner Firma gegenüber für den Schaden.

Drei Irrtümer

Drei Sätze, die wir fast jede Woche hören

„Das kommt doch erst noch.“

Nein. Das Gesetz gilt seit Dezember 2025, die Registrierungsfrist ist seit März 2026 vorbei. Wer heute anfängt, holt auf, er ist nicht früh dran.

„Mein Systemhaus kümmert sich darum.“

Ihr Systemhaus hält die Technik am Laufen. Das Gesetz verlangt aber, dass Sie als Geschäftsführer die Maßnahmen freigeben, überwachen und belegen können. Das kann Ihnen niemand abnehmen, auch kein Dienstleister.

„Wir haben eine Cyberversicherung.“

Gut. Lesen Sie das Kleingedruckte: Die meisten Versicherer verlangen, dass gesetzliche Pflichten erfüllt sind. Fehlt der Nachweis, kann die Versicherung im Schadensfall kürzen oder ablehnen.

Häufige Fragen zur NIS-2-Betroffenheit

Wer ist von NIS-2 betroffen?

Unternehmen, deren Branche in einer der beiden Listen des Gesetzes steht und die mindestens 50 Mitarbeiter haben oder mehr als 10 Mio. € Umsatz und zugleich mehr als 10 Mio. € Bilanzsumme. Für den Mittelstand sind das vor allem Chemie, Lebensmittel, Maschinenbau, Elektrotechnik, Elektronik, Medizinprodukte, Fahrzeugbau und Logistik.

Wir haben weniger als 50 Mitarbeiter. Sind wir raus?

Nur, wenn Sie auch unter 10 Mio. € Umsatz oder unter 10 Mio. € Bilanzsumme liegen. Und selbst dann fragen Ihre großen Kunden bald nach, denn sie müssen ihre Lieferkette absichern. Viele kleinere Firmen lassen deshalb freiwillig prüfen, wo sie stehen.

Was ist der Unterschied zwischen wichtig und besonders wichtig?

Besonders wichtige Einrichtungen sind große Firmen aus der ersten Liste, etwa Energie, Verkehr oder Gesundheit, mit strengerer Aufsicht und höheren Bußgeldern. Der produzierende Mittelstand ist eine wichtige Einrichtung, auch mit 300 Mitarbeitern.

Ist das Ergebnis des Checks verbindlich?

Nein. Der Check ist eine Ersteinschätzung nach Branche und Größe. Ob das Gesetz wirklich für Sie gilt, hängt von Ihrer genauen Tätigkeit ab. Das klären wir mit Ihnen im kostenlosen Erstgespräch in 15 Minuten.

Was passiert, wenn ich nichts tue?

Solange niemand hinsieht, nichts. Nach einem Vorfall, bei einer Beschwerde oder einer Nachfrage Ihres Großkunden wird geprüft. Dann zählt nur, was Sie schriftlich belegen können. Fehlt der Nachweis, drohen Bußgelder bis zu 7 Mio. € oder 1,4 % des Umsatzes, und Sie haften als Geschäftsführer persönlich gegenüber Ihrer Firma.

Wie geht es nach dem Check weiter?

Wenn Sie wollen, prüfen wir in einem Tag bei Ihnen vor Ort, welche der zehn Pflichtmaßnahmen erfüllt sind und welche fehlen. Sie bekommen das Ergebnis innerhalb von zwei Wochen schwarz auf weiß, in einer Sprache, die Sie verstehen.

Ergebnis unklar? Wir schaffen Klarheit.

Im kostenlosen Erstgespräch prüfen wir Schritt für Schritt, ob das Gesetz wirklich für Sie gilt, und was das konkret bedeutet. 15 Minuten, kein Verkaufsgespräch.

Kostenloses Erstgespräch vereinbaren