Bin ich von NIS-2 betroffen? Selbstprüfung 2026

Bin ich von NIS-2 betroffen? Die 5-Schritte-Selbstprüfung

Die kurze Antwort: Sie sind wahrscheinlich betroffen, wenn Ihr Unternehmen mindestens 50 Beschäftigte oder 10 Mio. Euro Jahresumsatz hat und in einem der von NIS-2 regulierten Sektoren tätig ist. In Deutschland fallen darunter rund 29.000 Unternehmen — weit mehr als die klassischen KRITIS-Betreiber.

Die folgende Selbstprüfung klärt Ihre Betroffenheit in fünf Schritten. Sie ersetzt keine Rechtsberatung, gibt aber eine belastbare erste Einordnung auf Grundlage von NIS2-Umsetzungsgesetz und KRITIS-Dachgesetz.

Schritt 1: Bin ich in einem regulierten Sektor?

NIS-2 unterscheidet wesentliche (essential) und wichtige (important) Einrichtungen. Prüfen Sie, ob Ihre Tätigkeit in einen dieser Sektoren fällt:

Sektorgruppe	Beispiele
Energie	Strom, Gas, Öl, Fernwärme, Wasserstoff
Transport	Luft, Schiene, Wasser, Straße
Bankwesen & Finanzmarkt	Kreditinstitute, Handelsplätze
Gesundheit	Kliniken, Labore, Arzneimittelhersteller
Trinkwasser & Abwasser	Wasserwerke, Kläranlagen
Digitale Infrastruktur	Rechenzentren, DNS, Cloud, TK-Anbieter
Öffentliche Verwaltung	Behörden (teilweise)
Weltraum	Bodeninfrastruktur
Post & Kurier	Zustelldienste
Abfallwirtschaft	Entsorgung, Verwertung
Chemie	Herstellung, Handel, Vertrieb
Lebensmittel	Produktion, Verarbeitung, Großhandel
Verarbeitendes Gewerbe	Medizinprodukte, Elektronik, Maschinen, Kfz
Digitale Dienste	Online-Marktplätze, Suchmaschinen, soziale Netzwerke
Forschung	Forschungseinrichtungen

Sind Sie in keinem dieser Sektoren tätig, endet die Prüfung meist hier.

Schritt 2: Überschreite ich die Schwellenwerte?

Größenklasse	Beschäftigte	Umsatz / Bilanzsumme	Regelfolge
Wesentliche Einrichtung	≥ 250	> 50 Mio. € / > 43 Mio. €	volle Pflichten, strengere Aufsicht
Wichtige Einrichtung	≥ 50	> 10 Mio. €	volle Pflichten, reaktive Aufsicht
Unterhalb	< 50	< 10 Mio. €	i. d. R. nicht betroffen*

*Ausnahme: Bestimmte Betreiber (z. B. qualifizierte Vertrauensdiensteanbieter, DNS, TK) sind größenunabhängig betroffen.

Schritt 3: Bin ich zusätzlich KRITIS-Betreiber?

Wer definierte Schwellenwerte der KRITIS-Verordnung überschreitet (Versorgung großer Bevölkerungsteile), ist zusätzlich KRITIS-Betreiber nach dem KRITIS-Dachgesetz — mit Registrierungspflicht beim BSI und der ausdrücklichen Pflicht zu Objektschutz, Überwachung und Zutrittskontrolle. Zur Größenordnung: Das BSI zählte zum 31.12.2025 1.211 registrierte KRITIS-Betreiber in Deutschland.

Schritt 4: Welche Pflichten greifen bei Betroffenheit?

Pflicht	Frist / Rhythmus
Registrierung beim BSI	binnen 3 Monaten ab Betroffenheit
Risikomanagement (Art. 21)	fortlaufend, technisch und physisch
Meldung von Sicherheitsvorfällen	Erstmeldung binnen 24 Stunden
Geschäftsleitung: Billigung & Schulung	fortlaufend, persönliche Haftung
Nachweis „Stand der Technik"	fortlaufend, dokumentiert

Details zu den Maßnahmen unter NIS-2 und KRITIS-Anforderungen.

Schritt 5: Was kostet Nicht-Handeln?

Bußgelder bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes, dazu persönliche Haftung der Geschäftsleitung. Die Pflicht ist nicht an die IT-Abteilung delegierbar — sie liegt beim Vorstand.

Ergebnis der Selbstprüfung

• Sektor + Schwelle erfüllt → betroffen. Handlungsbedarf: Registrierung, Risikomanagement, physische Maßnahmen.
• Sektor ja, Schwelle knapp darunter → beobachten. Wachstum kann Betroffenheit auslösen.
• Kein regulierter Sektor → i. d. R. nicht betroffen, aber Lieferkettenanforderungen betroffener Kunden möglich.

Bei bestätigter Betroffenheit ist die physische Perimeter- und Anlagensicherung meist der aufwändigste offene Punkt. Eine robotergestützte Dauerüberwachung im RaaS-Modell lässt sich binnen 48 Stunden pilotieren und liefert den „Stand-der-Technik"-Nachweis aus dem Realbetrieb.

Häufige Fragen

Bin ich von NIS-2 betroffen, wenn ich unter 50 Mitarbeiter habe? In der Regel nein — außer Sie sind ein größenunabhängig regulierter Betreiber (DNS, TK, Vertrauensdienste) oder KRITIS-Schwellenbetreiber.

Was ist der Unterschied zwischen NIS-2 und KRITIS? KRITIS erfasst die systemkritischsten Betreiber mit Registrierungspflicht und expliziter Objektschutzpflicht; NIS-2 erweitert den Kreis auf rund 29.000 Unternehmen mit Risikomanagement- und Meldepflichten. Überschneidungen sind die Regel.

Wie schnell muss ich handeln? Registrierung binnen 3 Monaten ab Betroffenheit, Vorfallmeldung binnen 24 Stunden. Die Nachweispflichten gelten fortlaufend.

---

Grundlage: Dr. Raphael Nagel (LL.M.) / Marcus Köhnlein, „KRITIS – Die verborgene Macht Europas" (2026). Keine Rechtsberatung. Individuelle Betroffenheitsbewertung über Kontakt.