---
title: "NIS2: Wer ist betroffen? Checkliste in 12 Schritten | n-komm"
description: "Wer ist von NIS2 betroffen? Sektoren, Größenschwellen und Sonderfälle verständlich erklärt. Mit 12 Schritten: prüfen, umsetzen oder als Lieferant vorbereiten."
url: https://n-komm.de/wissen/nis2-betroffenheit-pruefen/
---

[Wissen](https://n-komm.de/wissen/) · Ratgeber

# Bin ich von NIS2 betroffen? Die Betroffenheit in 12 Schritten prüfen

NIS2 verpflichtet Unternehmen bestimmter Sektoren und Größen zu mehr Cybersicherheit. Doch wer genau fällt darunter? Dieser Ratgeber erklärt die Kriterien verständlich und zeigt in 12 Schritten, wie Sie Ihre Betroffenheit prüfen und was danach zu tun ist, ob Sie betroffen sind oder nicht.

Von Alexander Kühn, Geschäftsführer der n-komm GmbH · Stand: 6\. November 2026

Kurz erklärt

## Was ist NIS2?

NIS2 ist eine europäische Richtlinie für mehr Cybersicherheit. In Deutschland setzt das NIS2-Umsetzungsgesetz sie um. Ob sie Ihr Unternehmen betrifft, hängt im Kern von zwei Fragen ab: Gehört Ihr Unternehmen zu einem der Sektoren, die das Gesetz nennt? Und erreicht es eine bestimmte Größe? Treffen beide zu, gilt es als „wichtige“ oder „besonders wichtige Einrichtung“ und muss die Pflichten aus NIS2 erfüllen.

Sektor

## Welche Sektoren nennt das Gesetz?

Das BSI-Gesetz (BSIG) listet die Sektoren in zwei Anlagen auf. Entscheidend ist, was Ihr Unternehmen tatsächlich tut, nicht wie es sich selbst bezeichnet.

- Sehr hohe Kritikalität ([Anlage 1 BSIG (öffnet in neuem Tab)](https://www.gesetze-im-internet.de/bsig_2025/anlage_1.html)): Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur und Weltraum. Zur digitalen Infrastruktur zählen auch Managed Service Provider, Managed Security Services Provider sowie Anbieter von Cloud- und Rechenzentrumsdiensten.
- Sonstige kritische Sektoren ([Anlage 2 BSIG (öffnet in neuem Tab)](https://www.gesetze-im-internet.de/bsig_2025/anlage_2.html)): Transport und Verkehr (Post- und Kurierdienste), Abfallbewirtschaftung, Produktion, Herstellung und Handel mit chemischen Stoffen, Produktion, Verarbeitung und Vertrieb von Lebensmitteln, verarbeitendes Gewerbe (Medizinprodukte und In-vitro-Diagnostika, Datenverarbeitungsgeräte sowie elektronische und optische Erzeugnisse, elektrische Ausrüstungen, Maschinenbau, Kraftwagen und Kraftwagenteile, sonstiger Fahrzeugbau), Anbieter digitaler Dienste und Forschung.

Größe

## Wann gilt Ihr Unternehmen als wichtige oder besonders wichtige Einrichtung?

Vereinfachte Übersicht nach § 28 BSIG. Diese Übersicht ersetzt keine Rechtsberatung.

|  | Besonders wichtige Einrichtung | Wichtige Einrichtung |
| --- | --- | --- |
| Sektor | Anlage 1 | Anlage 1 oder Anlage 2 |
| Beschäftigte | mindestens 250 | mindestens 50 |
| oder Umsatz und Bilanzsumme | Jahresumsatz über 50 Mio. € und Bilanzsumme über 43 Mio. € | Jahresumsatz und Bilanzsumme jeweils über 10 Mio. € |
| Unabhängig von der Größe | z. B. Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, DNS-Diensteanbieter | z. B. Vertrauensdiensteanbieter |

Es reicht, wenn entweder die Zahl der Beschäftigten oder die Finanzkennzahlen erreicht sind. Beschäftigte zählen als Vollzeitäquivalente, maßgeblich ist der letzte Jahresabschluss. Für Telekommunikationsanbieter gelten eigene Schwellen. Und Kommunen? Ob und wie NIS2 für Landesbehörden und Kommunen gilt, regeln die Länder. Das BSI fasst die Fragen in seinen [FAQ für Land und Kommune (öffnet in neuem Tab)](https://www.bsi.bund.de/DE/Themen/Oeffentliche-Verwaltung/Sicherheitsberatung/NIS-2-Verwaltung/Land/nis-2-land_node.html) zusammen.

Checkliste

## Checkliste: 5 Fragen zur NIS2-Betroffenheit

Beantworten Sie diese Fragen mit Ja oder Nein. Ist Frage 1 ein Ja und dazu Frage 2 oder 3, ist Ihr Unternehmen in der Regel betroffen. Bei Frage 4 gilt das unabhängig von der Größe, bei Frage 5 lohnt ein genauer Blick. Die Checkliste ersetzt keine Rechtsberatung.

- 1\. Ist eine Ihrer Tätigkeiten in Anlage 1 oder Anlage 2 des BSIG genannt?
- 2\. Beschäftigen Sie mindestens 50 Personen, gerechnet in Vollzeitstellen?
- 3\. Liegen Jahresumsatz und Bilanzsumme jeweils über 10 Mio. €?
- 4\. Gehört Ihr Unternehmen zu den Einrichtungen, die unabhängig von der Größe erfasst sind, etwa als Betreiber einer kritischen Anlage?
- 5\. Gehört Ihr Unternehmen zu einer Gruppe, deren Zahlen mitzählen können?

## Phase 1: Betroffenheit prüfen

1.  ### Den Sektor bestimmen
    
    Prüfen Sie, ob eine Ihrer Tätigkeiten in Anlage 1 oder Anlage 2 des BSIG genannt ist. Schauen Sie dabei auf das, was Sie tatsächlich tun, und nicht nur auf Ihre Branche. Ein Maschinenbauer kann ebenso betroffen sein wie ein IT-Dienstleister.
    
2.  ### Die Größe ermitteln
    
    Ermitteln Sie die Zahl Ihrer Beschäftigten als Vollzeitäquivalente sowie Jahresumsatz und Bilanzsumme aus dem letzten Jahresabschluss. Vergleichen Sie die Werte mit den Schwellen in der Tabelle oben. Die Checkliste fasst alles in fünf Fragen zusammen. Es reicht, wenn eine der beiden Bedingungen erfüllt ist.
    
3.  ### Sonderfälle und Unternehmensgruppe beachten
    
    Manche Einrichtungen sind unabhängig von ihrer Größe erfasst, etwa Betreiber kritischer Anlagen. Gehört Ihr Unternehmen zu einer Gruppe, können die Zahlen verbundener Unternehmen eine Rolle spielen. Hier lohnt sich ein genauer Blick.
    
4.  ### Das Ergebnis festhalten
    
    Eine erste Orientierung gibt die [Betroffenheitsprüfung des BSI (öffnet in neuem Tab)](https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/BSI-Portal/NIS-2-Betroffenheitspruefung/nis-2-betroffenheitspruefung_node.html). Halten Sie Ihr Ergebnis und die Begründung schriftlich fest, auch wenn Sie nicht betroffen sind. Bei Zweifeln klären Sie die Frage mit Ihrer Rechtsberatung.
    

## Phase 2: Wenn Sie betroffen sind

5.  ### Beim BSI registrieren
    
    Betroffene Unternehmen müssen sich beim BSI registrieren. Wer betroffen ist und sich noch nicht registriert hat, sollte das zügig angehen. Die Registrierung ist aber nur der erste Schritt.
    
6.  ### Die Geschäftsleitung in die Pflicht nehmen
    
    Die Geschäftsleitung muss die Maßnahmen billigen, ihre Umsetzung überwachen und selbst an Schulungen teilnehmen. NIS2 macht IT-Sicherheit damit zur Chefsache. Planen Sie die Schulung früh ein, und denken Sie auch an Ihre Beschäftigten: [Security Awareness Trainings](https://n-komm.de/cyber-security/security-awareness/) machen das ganze Team aufmerksamer.
    
7.  ### Den Stand erheben
    
    Vergleichen Sie Ihre heutige Sicherheit mit den Anforderungen aus NIS2. Eine solche Gap-Analyse zeigt, was schon da ist und was fehlt. Ordnen Sie die Lücken nach Risiko und Aufwand.
    
8.  ### Maßnahmen umsetzen und Meldewege klären
    
    Erfassen Sie Ihre Risiken systematisch und setzen Sie geeignete Maßnahmen um, etwa Zugriffskontrollen, Datensicherung, Verschlüsselung und die Absicherung der Lieferkette. Erhebliche Sicherheitsvorfälle müssen Sie dem BSI melden, in mehreren Stufen und unter Zeitdruck. Legen Sie die Abläufe dafür fest, bevor etwas passiert. Betrieb und Überwachung können Sie auch an [Managed Security](https://n-komm.de/managed-it-services/managed-security/) abgeben.
    

## Phase 3: Wenn Sie nicht betroffen sind

9.  ### Die Lieferkette im Blick behalten
    
    Auch wer selbst nicht betroffen ist, spürt NIS2 oft als Lieferant. Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette prüfen. Fragen Sie sich: Welche Ihrer Kunden fallen unter NIS2?
    
10.  ### Auf Anfragen von Kunden vorbereitet sein
     
     Kunden schicken Fragebögen zur IT-Sicherheit oder verlangen Nachweise. Sammeln Sie die Antworten an einer Stelle und halten Sie sie aktuell. Ein Zertifikat nach [ISO 27001](https://n-komm.de/cyber-security/compliance/#iso-27001) zeigt, dass Sie Informationssicherheit systematisch steuern. Berichte aus [Penetrationstests](https://n-komm.de/cyber-security/penetrationstest/) belegen, wie gut Ihre Systeme Angriffen standhalten.
     
11.  ### Die Grundlagen trotzdem umsetzen
     
     Angreifer fragen nicht, ob ein Gesetz für Sie gilt. Aktuelle Updates, eine geschützte Datensicherung, Mehr-Faktor-Anmeldung und ein [geschultes Team](https://n-komm.de/wissen/security-awareness-training/) schützen Sie auch ohne Pflicht. Viele dieser Maßnahmen verlangt NIS2 ohnehin.
     
12.  ### Regelmäßig neu prüfen
     
     Ihre Betroffenheit kann sich ändern. Prüfen Sie erneut, wenn Ihr Unternehmen wächst, ein neues Geschäftsfeld dazukommt oder sich Ihre Unternehmensgruppe ändert. Passen Sie dann Ihre schriftliche Einschätzung an.
     

So läuft es bei n-komm

## Von der ersten Frage bis zur umgesetzten Maßnahme

Im kostenlosen Erstgespräch klären wir mit Ihnen, ob NIS2 Sie betrifft. In der Gap-Analyse vergleichen wir Ihren Stand mit den Anforderungen und priorisieren die Lücken nach Risiko und Aufwand. Wir helfen bei der Registrierung beim BSI, schulen Ihre Geschäftsleitung und setzen die technischen Maßnahmen mit unserem eigenen Cyber-Security-Team um. Für rechtliche Fragen empfehlen wir zusätzlich eine Rechtsberatung. Mehr dazu auf der Seite [Compliance-Beratung](https://n-komm.de/cyber-security/compliance/).

## Häufige Fragen zur NIS2-Betroffenheit

Ihre Frage ist nicht dabei? [Schreiben Sie uns.](https://n-komm.de/kontakt/)

### Wer ist von NIS2 betroffen?

Betroffen sind Unternehmen, die in einem der Sektoren aus Anlage 1 oder 2 des BSIG tätig sind und eine bestimmte Größe erreichen: in der Regel mindestens 50 Beschäftigte oder mehr als 10 Mio. € Jahresumsatz und Bilanzsumme. Einige Einrichtungen sind unabhängig von ihrer Größe erfasst. Diese Übersicht ersetzt keine Rechtsberatung.

### Wie prüfe ich, ob mein Unternehmen betroffen ist?

Bestimmen Sie Ihren Sektor, ermitteln Sie Beschäftigte, Umsatz und Bilanzsumme und prüfen Sie Sonderfälle. Eine erste Orientierung gibt die [Betroffenheitsprüfung des BSI (öffnet in neuem Tab)](https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/BSI-Portal/NIS-2-Betroffenheitspruefung/nis-2-betroffenheitspruefung_node.html). Im Erstgespräch prüfen wir die Betroffenheit gern gemeinsam mit Ihnen.

### Was gilt für Unternehmen unter den Schwellenwerten?

Sie sind in der Regel nicht selbst verpflichtet, außer sie gehören zu den Einrichtungen, die unabhängig von der Größe erfasst sind. Als Lieferant betroffener Unternehmen erhalten Sie aber oft Fragen zu Ihrer IT-Sicherheit. Wer vorbereitet ist, beantwortet sie schnell.

### Gilt NIS2 auch für IT-Dienstleister?

Häufig ja. Managed Service Provider und Managed Security Services Provider zählen nach Anlage 1 BSIG zur digitalen Infrastruktur, ebenso Anbieter von Cloud- und Rechenzentrumsdiensten. Erreichen sie die Größenschwellen, gelten die Pflichten aus NIS2 auch für sie.

### Gilt NIS2 auch für Kommunen?

Ob und wie NIS2 für Landesbehörden und Kommunen gilt, regeln die Länder. Erste Ansprechpartnerin ist die zuständige Landesbehörde. Einen guten Einstieg bietet der [BSI IT-Grundschutz](https://n-komm.de/cyber-security/compliance/#grundschutz) mit der Basis-Absicherung.

### Was muss ich tun, wenn mein Unternehmen betroffen ist?

Registrieren Sie sich beim BSI, binden Sie die Geschäftsleitung ein und erheben Sie in einer Gap-Analyse Ihren Stand. Danach setzen Sie die fehlenden Maßnahmen um und legen Meldewege für Sicherheitsvorfälle fest. Die Registrierung allein reicht nicht.

### Hilft ein ISO-27001-Zertifikat bei NIS2?

Ja. Ein Managementsystem für Informationssicherheit nach ISO 27001 deckt viele Anforderungen von NIS2 bereits ab, etwa Risikomanagement und klare Verantwortlichkeiten. Das Zertifikat ersetzt die Pflichten aus NIS2 aber nicht, zum Beispiel die Registrierung beim BSI.

## Gilt NIS2 für Ihr Unternehmen?

Im kostenlosen Erstgespräch prüfen wir in 30 Minuten gemeinsam Ihre Betroffenheit und zeigen Ihnen die nächsten Schritte. Per Teams oder Telefon, unverbindlich.

[Erstgespräch vereinbaren](https://n-komm.de/kontakt/)

Lieber direkt sprechen? [+49 721 35 46 00](tel:+49721354600)