Die Faustregel: Sektor plus Größe
Betroffen sind Unternehmen, die in einem der 18 NIS2-Sektoren tätig sind und mindestens 50 Mitarbeitende oder mehr als 10 Mio. EUR Jahresumsatz haben. Beide Kriterien müssen zusammenkommen: Ein großes Unternehmen außerhalb der Sektoren ist in der Regel nicht direkt betroffen, ein kleines Unternehmen innerhalb eines Sektors meist auch nicht.
Schritt 1: Gehören Sie zu einem NIS2-Sektor?
- Klassische kritische Bereiche wie Energie, Transport, Gesundheit, Wasser und digitale Infrastruktur.
- Weitere Sektoren, die oft unterschätzt werden – etwa verarbeitendes Gewerbe, Lebensmittelproduktion, Abfallwirtschaft, Chemie oder digitale Dienste.
- Maßgeblich ist die tatsächliche Tätigkeit, nicht die Branchenbezeichnung im Handelsregister.
Schritt 2: Überschreiten Sie die Größenschwelle?
- Ab 50 Mitarbeitenden oder 10 Mio. EUR Jahresumsatz greift NIS2 in den betroffenen Sektoren.
- Je nach Größe und Sektor unterscheidet das Gesetz „wichtige“ und „besonders wichtige“ Einrichtungen – mit unterschiedlichen Bußgeldrahmen.
- Bei Unternehmensgruppen kann die Zurechnung verbundener Unternehmen eine Rolle spielen – das sollte im Einzelfall geprüft werden.
Schritt 3: Der Lieferketten-Effekt
Auch wer nicht selbst betroffen ist, spürt NIS2: Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette steuern und geben Anforderungen vertraglich an Dienstleister und Zulieferer weiter. Fragebögen, Nachweise und Audit-Rechte in Verträgen sind die Folge.
Was bei Betroffenheit auf Sie zukommt
- Registrierung beim BSI – die Registrierungsfrist endete bereits im März 2026.
- Risikomanagement-Maßnahmen nach Art. 21, von Richtlinien über Backup und Notfallplanung bis zur Lieferkettensicherheit.
- Meldepflichten bei erheblichen Sicherheitsvorfällen: Frühwarnung innerhalb von 24 Stunden, Bericht nach 72 Stunden, Abschlussbericht nach einem Monat.
- Verantwortung der Geschäftsleitung: Sie muss Maßnahmen billigen, ihre Umsetzung überwachen und sich schulen lassen – und haftet persönlich.
Merksatz: Klären Sie die Betroffenheit zuerst – sie entscheidet über Registrierung, Pflichten und Prioritäten. Unklare Fälle sollten dokumentiert eingeordnet werden.
NIS2 Quick-Check zum FestpreisWelche Bußgelder drohen?
Für besonders wichtige Einrichtungen bis 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis 7 Mio. EUR oder 1,4 %. Hinzu kommt die persönliche Haftung der Geschäftsleitung.
Hinweis: Dieser Text gibt einen allgemeinen Überblick und stellt keine Rechtsberatung dar.
Kostenlose Risiko-Triage
In 30 Minuten klären wir, wo Sie stehen und was als Nächstes sinnvoll ist.
Termin buchen