Beratung anfragen

Ratgeber · IT-Sicherheit

NIS-2: Sind wir überhaupt betroffen?

Das NIS-2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten – ohne Übergangsfrist. Statt rund 4.500 Einrichtungen wie bisher sind jetzt etwa 29.500 Unternehmen erfasst. Die erste Frage lautet deshalb nicht, was zu tun ist, sondern ob es Sie überhaupt betrifft.

Von Dipl.-Ing. Mohamed Khater, Gründer und Geschäftsführer, seit 1992 · · 7 Minuten Lesezeit

Was seit Dezember 2025 gilt

Deutschland hat die europäische Richtlinie spät umgesetzt: Die Frist lief im Oktober 2024 ab, der erste Gesetzentwurf scheiterte am Bruch der Regierungskoalition, die EU-Kommission leitete ein Vertragsverletzungsverfahren ein. Beschlossen wurde das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz schließlich am 13. November 2025; in Kraft ist es seit dem 6. Dezember 2025.

Für Unternehmen ist eine Einzelheit dabei entscheidend: Es gibt keine Übergangsfrist. Wer erfasst ist, war vom ersten Tag an verpflichtet. Die Registrierung beim BSI war innerhalb von drei Monaten fällig, also bis zum 6. März 2026, mit einer verlängerten Nachfrist bis zum 31. Juli 2026. Beide Termine sind inzwischen verstrichen.

Zur Größenordnung des Versäumnisses: Von rund 29.500 betroffenen Unternehmen hatten sich bis zum Ablauf der ersten Frist nur etwa 11.500 registriert – knapp vier von zehn. Wer bis heute nichts unternommen hat, ist damit nicht allein, aber auch nicht entschuldigt.

Die Systematik

Drei Fragen entscheiden über die Einstufung

Die Betroffenheit müssen Unternehmen selbst feststellen – es gibt keinen Bescheid, der ins Haus flattert. Geprüft wird in dieser Reihenfolge.

  • Sektor. Fällt Ihre tatsächliche Tätigkeit in einen der 18 erfassten Bereiche? Maßgeblich ist, was Sie tun, nicht was im Handelsregister steht.
  • Größe. Ab 50 Beschäftigten oder mehr als 10 Millionen Euro Umsatz gilt ein Unternehmen im erfassten Sektor als wichtige Einrichtung. Ab 250 Beschäftigten oder mehr als 50 Millionen Euro Umsatz in einem Bereich hoher Kritikalität als besonders wichtige Einrichtung, mit strengerer Aufsicht.
  • Lieferkette. Auch wer die Schwellen nicht erreicht, bleibt selten unberührt: Erfasste Unternehmen müssen nach § 30 BSIG die Sicherheit ihrer Lieferkette absichern und reichen die Anforderungen vertraglich weiter.

Werkzeug

Betroffenheitsprüfung in drei Schritten

Eine erste Einordnung in unter einer Minute. Die Auswertung läuft in Ihrem Browser – es wird nichts übertragen und nichts gespeichert.

1 In welchem Bereich ist Ihr Unternehmen tätig?

Maßgeblich ist die tatsächliche Tätigkeit, nicht der Eintrag im Handelsregister.

2 Wie groß ist Ihr Unternehmen?

Beschäftigte einschließlich Teilzeit. Umsatz und Bilanzsumme des letzten abgeschlossenen Geschäftsjahres.

3 Beliefern Sie Unternehmen, die selbst unter NIS-2 fallen?

Zum Beispiel Energieversorger, Krankenhäuser, Banken, größere Industriebetriebe oder öffentliche Stellen – als Zulieferer oder als Dienstleister.

Ergebnis

Beantworten Sie die drei Fragen, um eine erste Einordnung zu erhalten.

Diese Prüfung ist eine Orientierung, keine Rechtsberatung. Die Einstufung hängt an Einzelheiten, die kein Formular abfragen kann – etwa an Tochtergesellschaften, Konzernstrukturen oder besonderen Regelungen für kritische Anlagen. Verbindlich ist die Betroffenheitsprüfung des BSI.

Amtliche Prüfung beim BSI

Wenn Sie betroffen sind: was jetzt zu tun ist

Die Pflichten aus § 30 BSIG sind kein Katalog für die Schublade – sie müssen nachweisbar umgesetzt sein. Diese Reihenfolge hat sich bewährt.

  • Registrierung beim BSI nachholen. Die Frist ist verstrichen; eine verspätete Registrierung ist trotzdem besser als keine.
  • Verantwortung in der Geschäftsleitung festhalten. Das Gesetz nimmt die Leitung ausdrücklich in die Pflicht – Delegation an die IT entbindet nicht.
  • Bestandsaufnahme der Risiken. Welche Systeme tragen das Geschäft, was passiert bei Ausfall, wo liegen die Daten?
  • Meldewege einrichten. Erhebliche Sicherheitsvorfälle sind binnen 24 Stunden zu melden. Das lässt sich nicht improvisieren, während der Betrieb steht.
  • Backup und Wiederherstellung nachweisbar machen. Nicht die Sicherung zählt, sondern der dokumentierte Test der Rückspielung.
  • Lieferanten einbeziehen. Auch Ihre Dienstleister werden Teil Ihrer Nachweispflicht – einschließlich Ihres IT-Betreuers.

Häufige Fragen

Was uns dazu oft gefragt wird

Wir haben 30 Mitarbeiter. Betrifft uns NIS-2?
Unmittelbar in aller Regel nicht – die Schwelle liegt bei 50 Beschäftigten oder 10 Millionen Euro Umsatz. Mittelbar aber sehr wohl, wenn Sie erfasste Unternehmen beliefern oder betreuen. In der Praxis kommt die Anforderung dann nicht vom BSI, sondern von Ihrem größten Kunden – als Fragebogen oder als neue Vertragsklausel.
Was passiert, wenn wir die Registrierung versäumt haben?
Die Registrierungspflicht besteht fort. Bußgelder sind möglich, aber eine nachgeholte Registrierung ist in jedem Fall die bessere Ausgangslage als eine unterlassene. Für die konkrete Bewertung Ihres Falls ist eine rechtliche Einschätzung der richtige Weg – wir sind IT-Dienstleister, keine Kanzlei.
Reicht es, wenn unser IT-Dienstleister das übernimmt?
Nein. Die Verantwortung bleibt bei der Geschäftsleitung, das sagt das Gesetz ausdrücklich. Ein Dienstleister kann die Maßnahmen umsetzen und dokumentieren – die Pflicht abnehmen kann er nicht. Wir liefern die technische Umsetzung und die Nachweise; die Entscheidung und die Verantwortung bleiben bei Ihnen.
Gilt das auch für Arztpraxen und Kliniken?
Das Gesundheitswesen gehört zu den Bereichen hoher Kritikalität. Entscheidend bleibt aber die Größe: Eine Praxis mit acht Beschäftigten erreicht die Schwelle nicht, eine Klinik in aller Regel schon. Für Praxen gelten unabhängig davon die Anforderungen aus dem Sozialgesetzbuch und dem Datenschutz weiter.
Wir sind nicht betroffen. Können wir das Thema abhaken?
Rechtlich ja, praktisch nein. Die Maßnahmen aus NIS-2 sind keine Erfindung des Gesetzgebers, sondern das, was einen Ransomware-Vorfall überstehbar macht: geprüfte Backups, getrennte Berechtigungen, ein Notfallplan und Menschen, die wissen, wen sie anrufen. Das ist auch ohne Pflicht sinnvoll investiert.

Dipl.-Ing. Mohamed Khater

Dipl.-Ing. Mohamed Khater hat die INFONET Computer GmbH 1992 in Köln gegründet und führt sie bis heute als Inhaber. INFONET begleitet mittelständische Unternehmen im Rheinland bei der technischen Umsetzung der Anforderungen – von der Bestandsaufnahme bis zum dokumentierten Wiederherstellungstest.

Weiterlesen

Kostenloser Sicherheits-Check

Wo stehen Sie wirklich?

In rund 60 Minuten prüfen wir Firewall, Backups, Endpoint-Schutz, Berechtigungen und Patch-Stand – und sagen Ihnen, wo Ihre drei größten Risiken liegen. Ohne Kosten und ohne Verpflichtung.

Anfrage senden 0221 984300-0 anrufen

0221 984300-0Zentrale und Support-Hotline

[email protected]Antwort innerhalb von 4 Stunden an Werktagen

Robert-Perthel-Straße 7250739 Köln – Bilderstöckchen

Mo–Fr 09:00–18:00 UhrNotfallsupport nach Vereinbarung auch außerhalb