NIS2 wer ist betroffen: Sektoren & Kriterien

NIS2 wer ist betroffen: Sektoren, Kriterien und Selbstcheck für Ihr Unternehmen

NIS2 wer ist betroffen? Betroffen sind Unternehmen aus 18 definierten Sektoren wie Energie, Gesundheit, Verkehr oder verarbeitendem Gewerbe, sobald sie mindestens 50 Mitarbeitende oder über 10 Millionen Euro Jahresumsatz beziehungsweise Bilanzsumme haben. Auch kleinere Zulieferer sind oft indirekt betroffen, wenn NIS2-pflichtige Kunden Sicherheitsnachweise fordern. In Deutschland wächst die Zahl NIS2-pflichtiger Unternehmen von 4.500 auf rund 30.000. Fünf Schritte der Betroffenheitsprüfung zeigen, ob auch Sie betroffen sind.

NIS2 wer ist betroffen: warum diese Frage jetzt drängt

Mit Schulterzucken kommen Sie hier nicht mehr durch. Wer bisher davon ausging, dass Cybersicherheits-Regulierung nur Energiekonzerne und große Banken trifft, muss jetzt umdenken, denn die Reichweite von NIS2 ist deutlich größer als vermutet.

Kurz zur Einordnung: Die NIS2-Richtlinie ist eine EU-Richtlinie zur Cybersicherheit, die seit dem 17. Oktober 2024 EU-weit gilt und einheitlich höhere NIS2-Anforderungen für kritische und wichtige Wirtschaftsbereiche festlegt (IHK Lippe-Detmold).

Was viele übersehen: Eine EU-Richtlinie greift nicht direkt bei Ihnen im Unternehmen. Was zählt, ist die deutsche Umsetzung, also das NIS2-Umsetzungsgesetz (NIS2UmsuCG) beziehungsweise das BSIG 2025. Ohne Übergangsfrist, ohne Wenn und Aber – dieses Gesetz entscheidet, ob Sie betroffen sind.

Warum das dringend ist? Betroffene Unternehmen müssen sich beim BSI registrieren - die reguläre Frist ist am 06.03.2026 abgelaufen. Wer betroffen ist und noch nicht registriert, holt das unverzüglich nach. Eine fehlende oder verspätete Registrierung ist übrigens ein eigener Bußgeldtatbestand nach §65 NIS2UmsuCG (WBS Legal). Bußgeld kassiert, bevor überhaupt etwas passiert ist. Nur weil die Meldung fehlte.

Erst mal die naheliegende Frage klären: Sind Sie überhaupt betroffen?

EU-Richtlinie oder deutsches Gesetz: was gilt eigentlich für mein Unternehmen?

Brüssel hat entschieden – reicht das schon? Nein. Erst mal bindet eine EU-Richtlinie nur die Mitgliedstaaten - Ihr Unternehmen nicht. Verbindlich wird das Ganze in Deutschland erst durch das nationale NIS2-Umsetzungsgesetz (NIS2UmsuCG), das das BSIG 2025 anpasst.

Und genau da wird es unangenehm.

Denn das deutsche Gesetz setzt NIS2 ohne Übergangsfrist um. Seit dem 17. Oktober 2024 gelten in der EU die erhöhten Anforderungen (IHK Lippe-Detmold). Keine Schonzeit, kein Warmlaufen. Wer die Kriterien erfüllt, ist pflichtig, Punkt.

Ansprechpartner, Aufsichtsbehörde, Meldestelle - das BSI ist alles davon in einem. Betroffene Einrichtungen müssen sich dort registrieren - die Frist dafür ist am 06.03.2026 abgelaufen (WBS Legal). Wer das verpasst hat, registriert sich trotzdem so schnell wie möglich nach. Besser spät als gar nicht.

Jetzt kommt ein Denkfehler, der in Beratungsgesprächen häufig auftaucht: "Solange ich nicht registriert bin, bin ich auch nicht betroffen." Nein, so läuft das eigentlich nicht. Die Pflicht entsteht in dem Moment, in dem Sie die Kriterien erfüllen, nicht erst mit dem Eintrag beim BSI. Keine behördliche Einladung, sondern Ihre Bringschuld - so funktioniert die Registrierung.

Heißt konkret: Sie können längst unter das Gesetz fallen, ohne je ein Schreiben vom BSI bekommen zu haben. Und fehlt die Meldung, gibt es dafür einen eigenen Bußgeldtatbestand - hatten wir ja schon.

Merken Sie sich also zwei Daten: den 17.10.2024 als EU-Stichtag und den 06.03.2026 als inzwischen abgelaufene Registrierungsfrist. Nicht das BSI ist für den Rest zuständig, sondern Sie.

Die 18 NIS2-Sektoren im Überblick: gehört meine Branche dazu?

Erste Filterstufe: Ihre Branche. Bevor Sie über Mitarbeiterzahlen und Umsatz nachdenken, klären Sie erst mal, ob Ihr Geschäft überhaupt in einen der erfassten Sektoren fällt. Wenn nein, sind Sie in den meisten Fällen raus. Wenn ja, geht die Prüfung erst richtig los.

Deutschland erfasst 18 Sektoren, aufgeteilt in zwei Kategorien: Sektoren mit hoher Kritikalität und sonstige kritische Sektoren (IHK Lippe-Detmold).

Hohe Kritikalität, das sind die üblichen Verdächtigen:

• Energie: Strom, Gas, Fernwärme, Wasserstoff
• Verkehr: Luft, Schiene, Straße, Wasser
• Bankwesen und Finanzmärkte
• Gesundheitswesen: auch Labore und Hersteller kritischer Produkte
• Trinkwasser und Abwasser
• Digitale Infrastruktur: Rechenzentren, DNS-Dienste, Cloud

Auf den ersten Blick wirkt das nach klassischer Großindustrie. Kommt aber noch die zweite Kategorie.

Sonstige kritische Sektoren:

• Chemie: Herstellung, Handel, Vertrieb
• Ernährung: Produktion und Großhandel von Lebensmitteln
• Verarbeitendes Gewerbe: hier steckt der Maschinenbau drin
• Post- und Kurierdienste
• Digitale Dienste: Online-Marktplätze, Suchmaschinen, SaaS-Anbieter

Und da wird es interessant für den klassischen Mittelstand. Der Maschinenbauer mit 80 Leuten? Verarbeitendes Gewerbe. Der Lebensmittelproduzent aus der Region? Ernährung. Ihr Logistik-Dienstleister? Verkehr. Der SaaS-Anbieter, der Software im Abo verkauft? Digitale Dienste.

Jetzt die wichtige Einschränkung, sonst laufen Sie in die falsche Richtung: Die Sektorzugehörigkeit ist notwendig, aber nicht hinreichend. Heißt, in der Branche zu sein reicht allein nicht. Die Größe zählt mit (IHK Erfurt). Der Ein-Mann-Betrieb im Maschinenbau ist eben etwas anderes als der Zulieferer mit 200 Beschäftigten. Dazu gleich mehr.

Ein Sonderfall noch: Mischkonzerne. Wenn Sie mehrere Geschäftsbereiche haben, etwa Produktion plus eigenes Rechenzentrum plus Logistikarm, dann prüfen Sie jeden Bereich einzeln. Schon ein einziger betroffener Teilbereich reicht aus, damit die Pflichten greifen. Machen Sie sich also nicht die Rechnung, dass ein kleiner kritischer Bereich im großen Konzern schon durchrutscht. Tut er meistens nicht.

Wichtige vs. besonders wichtige Einrichtung: welche Schwellenwerte gelten?

Wie groß muss Ihr Unternehmen sein, damit NIS2 überhaupt greift? Zwei Zahlen genügen: 50 und 250. Der Rest ist Detail.

Die Grundschwelle zuerst: Sie fallen erst unter NIS2, wenn Sie mindestens 50 Mitarbeitende haben oder einen Jahresumsatz beziehungsweise eine Jahresbilanzsumme von über 10 Mio. Euro erzielen (IHK Erfurt). Eine der beiden Bedingungen reicht schon - genau deshalb ist das "oder" hier so wichtig.

Ab da wird zwischen zwei Klassen unterschieden, und die Klasse bestimmt später Pflichtenumfang und Bußgeldhöhe.

Besonders wichtige Einrichtungen: ab 250 Mitarbeitenden oder Umsatz über 50 Mio. Euro und Bilanzsumme über 43 Mio. Euro.

Wichtige Einrichtungen: ab 50 Mitarbeitenden oder Umsatz beziehungsweise Bilanzsumme über 10 Mio. Euro (WBS Legal).

Warum das nicht egal ist? Geld. Für besonders wichtige Einrichtungen drohen Bußgelder bis zu 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu 7 Mio. Euro oder 1,4 Prozent (WBS Legal). Also ja, die Einstufung lohnt sich zu prüfen.

Jetzt der Haken für die Kleinen: Auch unterhalb der 50-Mitarbeiter- und 10-Mio.-Grenze können Sie erfasst sein, wenn Sie kritische Dienste erbringen oder von nationaler Bedeutung sind, etwa als qualifizierter Vertrauensdiensteanbieter, DNS-Diensteanbieter oder TLD-Registry (SoSafe). Betreibt der Fünf-Personen-Betrieb eine DNS-Infrastruktur? Dann gibt es keinen Freibrief.

Und die Startup-Frage, die uns öfter gestellt wird: Wie zählen Sie bei schwankender Mitarbeiterzahl? Faustregel: Jahresdurchschnitt zählt, nicht der Peak einer einzelnen Woche. Wer über zwölf Monate im Schnitt bei 47 liegt, aber im Dezember mal auf 60 hochfährt, argumentiert anders als jemand, der dauerhaft 55 Leute beschäftigt. Im Grenzbereich gilt: Dokumentieren Sie Ihre Berechnung sauber, das ist im Zweifel Ihr Nachweis.

Bin ich als Zulieferer betroffen, auch wenn ich formal nicht unter NIS2 falle?

Sagen wir, Sie sind ein IT-Dienstleister mit zwölf Leuten. Der Sektor passt nicht sauber, 50 Mitarbeitende sind weit weg. Sie lehnen sich zurück. Und dann kommt die E-Mail von Ihrem größten Kunden, einem KRITIS-Betreiber, der plötzlich Sicherheitsnachweise sehen will.

Willkommen in der indirekten Betroffenheit.

Der Punkt ist eben: NIS2-pflichtige Unternehmen müssen ihre Lieferkette absichern. Also geben sie die Anforderungen weiter, an Sie. Zulieferer und Dienstleister für NIS2-pflichtige Einrichtungen müssen häufig Sicherheitsnachweise und vertragliche Sicherheitszusagen liefern, obwohl sie selbst formal nicht direkt unter das Gesetz fallen (grasp GRC).

"Formal nicht betroffen" heißt eben nicht "keine Handlungspflicht" - das ist der entscheidende Unterschied. Ihr Auftraggeber setzt Ihnen die Pflicht per Vertrag vor die Nase, und wenn Sie die nicht erfüllen, sind Sie eben raus, beim nächsten Vertrag oder der nächsten Ausschreibung.

Der kleine Komponentenlieferant, der einen Energieversorger beliefert? Ganz ohne eigenen BSI-Eintrag betroffen — sobald der Versorger seine Kette prüft.

Jetzt drehen wir das mal um: Wer die Nachweise früh liefern kann, gewinnt. Sicherheitszusagen werden zum Filter bei Ausschreibungen, und wer sie schon in der Schublade hat, ist ausschreibungsfähig, während der Wettbewerb noch sucht. Das ist kein Bürokratie-Ballast, das ist ein Verkaufsargument. Wer solche Nachweise nicht nur intern nutzt, sondern auch nach außen sichtbar machen will, sollte parallel dazu einen SEO Freelancer finden, um die eigene Sicherheits-Expertise auch in der Google-Suche zu positionieren.

Wie Sie diese Anforderungen technisch sauber aufsetzen, ohne sich in Tools zu verlieren, klären wir gern, auch im Rahmen unserer KI-Beratung für den Mittelstand.

In 5 Schritten zum Ergebnis: die NIS2-Betroffenheitsprüfung

Genug Theorie. Jetzt arbeiten wir das strukturiert durch: fünf Schritte, unter 15 Minuten, kein Anwaltstermin nötig.

Schritt 1: Sektor prüfen

Fällt Ihr Geschäft in einen der 18 Sektoren? Ja oder nein. Bei Nein sind Sie in den meisten Fällen raus, springen aber trotzdem zu Schritt 3.

Schritt 2: Größe ermitteln

Zählen Sie Mitarbeitende (Jahresdurchschnitt), Umsatz und Bilanzsumme. Über 50 oder über 10 Mio. Euro? Dann geht es weiter mit der Einstufung.

Schritt 3: Sonderfälle und Lieferkette

Erbringen Sie kritische Dienste, obwohl Sie klein sind? Oder beliefern Sie einen NIS2-pflichtigen Kunden, der Sicherheitsnachweise verlangt? Beides kann Sie erfassen, unabhängig von Ihrer Größe (grasp GRC).

Schritt 4: Einstufung bestimmen

Besonders wichtige oder wichtige Einrichtung? Das entscheidet über Ihre NIS2-Pflichten und den Bußgeldrahmen.

Schritt 5: Ergebnis dokumentieren

Und zwar auch dann, wenn "nicht betroffen" herauskommt. Halten Sie Ihre Berechnung nachvollziehbar fest, das ist im Zweifel Ihr Nachweis gegenüber dem BSI.

Wer macht eigentlich was? Die Geschäftsführung trägt die Verantwortung und haftet, also klärt sie, wer die Prüfung fährt. IT-Security liefert die technische Einschätzung zu Diensten und Infrastruktur. Verträge und Lieferkettenklauseln checkt Legal, die Dokumentation macht Compliance. In kleineren Firmen sind das oft nur zwei Personen — nicht vier. Auch okay, Hauptsache, es ist zugeordnet.

Zur Absicherung: Das BSI stellt eine offizielle NIS-2-Betroffenheitsprüfung bereit, basierend auf Sektor, Mitarbeiterzahl, Umsatz und Bilanzsumme (IHK Erfurt). Als zweite Meinung nach Ihrem Selbstcheck? Nutzen Sie den ruhig.

Und wann brauchen Sie doch externe Hilfe? Mischkonzerne, unklare Konzernstruktur, oder Sie liegen im Grenzbereich der Schwellenwerte. Da lohnt sich eine saubere rechtliche Einordnung. Wie sieht so ein Selbstcheck strukturiert aus? Zeigen wir übrigens auch beim EU-AI-Act-Selbstcheck.

Was folgt aus der Einstufung? NIS2-Pflichten, Fristen und Bußgelder

Angenommen, der Selbstcheck sagt: betroffen. Was jetzt?

Drei NIS2-Pflichten landen auf Ihrem Tisch. Erstens die Registrierung beim BSI - die Frist endete am 06.03.2026, falls noch offen also sofort nachholen (WBS Legal). Zweitens ein funktionierendes Risikomanagement, technische und organisatorische Maßnahmen, dokumentiert und nicht nur behauptet. Drittens Meldepflichten bei Sicherheitsvorfällen, und zwar mit engen Zeitfenstern.

Jetzt zum Geld, weil das die Frage ist, die im Zweifel den Vorstandstisch bewegt.

Für besonders wichtige Einrichtungen drohen bis zu 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes. Für wichtige Einrichtungen bis zu 7 Mio. Euro oder 1,4 Prozent (WBS Legal). Und die fehlende Registrierung ist, wie schon gesagt, ein eigener Bußgeldtatbestand nach §65 NIS2UmsuCG. Gehackt wurde nie etwas. Zahlen können Sie trotzdem.

Klingt nach Panikmache? Ist es nicht. Der realistische Aufwand liegt woanders. Der durchschnittliche Umsetzungsaufwand für eine wichtige Einrichtung liegt laut Orbit bei rund 86.900 Euro (Orbit). Kein Bußgeld. Der Umsetzungsaufwand, das ist es. Nichtstun ersetzt die Kosten also nicht, es verschiebt sie nur nach hinten und packt ein Bußgeldrisiko obendrauf.

Gute Nachricht: Bei null fangen Sie selten an. Wer schon ISO 27001, TISAX oder BSI-Grundschutz fährt, kann viele Anforderungen mappen statt neu bauen. Das senkt den Aufwand spürbar. Software-gestützte Prüfung, keine Rechtsberatung — genau da setzen unsere Compliance-Produkte an.

Ein Punkt, den die Geschäftsleitung ungern hört: Verantwortung ist Chefsache. Oben liegen Governance-Pflichten und Haftung — nicht in der IT-Abteilung. Delegieren und dann wegschauen? Gehaftet wird trotzdem. Wo sich Meldeketten und Nachweise sinnvoll automatisieren lassen, sparen Sie sich später den Papierkram im Ernstfall.

Ihr Fahrplan: nächste Schritte je nach Betroffenheit

Drei mögliche Ergebnisse, drei Wege. Was aber nicht geht: nichts tun.

Direkt betroffen. Sie fahren auf Kante, denn die Registrierungsfrist ist seit dem 06.03.2026 abgelaufen (WBS Legal). Priorität eins: Registrierung sofort nachholen. Risikomanagement aufsetzen, Meldeketten definieren — beides parallel, nicht nacheinander.

Indirekt betroffen (Lieferkette). Eine BSI-Frist haben Sie nicht. Aber einen Kunden, der Nachweise verlangt. Ihr Fahrplan richtet sich nach dessen Timing. Ruhig aktiv nachfragen, bevor die E-Mail kommt. Wer die Zusagen fertig in der Schublade hat, ist ausschreibungsfähig, während der Wettbewerb noch sucht.

Voraussichtlich nicht betroffen. Dokumentieren Sie Ihr Ergebnis trotzdem sauber und wiederholen Sie die Prüfung jährlich oder bei Wachstum. Wer von 45 auf 55 Leute klettert, rutscht rein, ohne es zu merken.

Und ganz ehrlich: NIS2 ist nur der Anfang. Dieselbe Logik (Sektor, Rolle, Nachweispflicht) kommt beim EU AI Act wieder auf Sie zu, Stichwort KI-Schulungspflicht. Compliance wird zum Dauerthema, nicht zum Einmalprojekt.

Wenn Sie im Grenzbereich liegen, eine Konzernstruktur haben oder einfach eine zweite Meinung wollen: Wir prüfen das mit Ihnen durch, Software-gestützt, keine Rechtsberatung.

Unverbindliches Erstgespräch buchen und Ihren Fahrplan festzurren, bevor das BSI schneller nachfragt, als Ihnen lieb ist.

Der Beitrag „NIS2 wer ist betroffen: Sektoren & Kriterien“ entstand mit KI-Unterstützung bei Recherche und Text. Christopher Kohn hat ihn redaktionell geprüft und verantwortet die Inhalte.