Assets erfassen
IT-Assets mit ihrem Schutzbedarf für Vertraulichkeit, Integrität und Verfügbarkeit inventarisieren.
NIS2-Assistent für Ihr Risikomanagement.
Assets erfassen, Risiken bewerten und den Überblick über Ihre Sicherheitsaufgaben behalten.
Was das Basisprodukt kann
Risiken bewerten
Risiken in einer Matrix aus Eintrittswahrscheinlichkeit und Auswirkung bewerten.
Überblick behalten
Ein Dashboard bündelt den Überblick über den Bearbeitungsstand Ihrer Sicherheitsaufgaben.
So passen wir es an
Organisation und Abläufe klären
Wir besprechen Ihre Organisation, vorhandene Unterlagen und Verantwortlichkeiten.
Inventar und Risikomatrix anpassen
Wir richten die Asset-Erfassung und Risikobewertung auf Ihre Abläufe aus.
Gemeinsam durchgehen
Wir gehen den eingerichteten Ablauf mit Ihrem Team durch und stimmen den weiteren Umfang ab.
NIS2
Informationsseite zu Betroffenheit und Pflichten in Deutschland
Einordnung und Betroffenheit prüfen
Allgemeine Information, keine Rechtsberatung. Fachlich geprüft am . Für die erste Orientierung nutzen Sie die NIS-2-Betroffenheitsprüfung des BSI. Ihr Ergebnis ist rechtlich nicht bindend und ersetzt die Selbstidentifizierung nicht. Einrichtungen der Bundes-, Landes- und Kommunalverwaltung betrachtet diese Prüfung nicht.
Quelle: BSI-Betroffenheitsprüfung · Abruf: 04.11.2026.
Fragen und Antworten
Wer ist nach der allgemeinen Größenregel betroffen?
Entscheidend sind die Einrichtungsart und die Größe gemeinsam. Wer anderen natürlichen oder juristischen Personen entgeltlich Waren oder Dienstleistungen anbietet und einer Einrichtungsart der Anlagen 1 oder 2 zuzuordnen ist, gilt grundsätzlich als wichtige Einrichtung bei mindestens 50 Mitarbeitenden ODER bei einem Jahresumsatz UND einer Jahresbilanzsumme von jeweils über 10 Mio. €. Für besonders wichtige Einrichtungen gilt bei Einrichtungsarten der Anlage 1: mindestens 250 Mitarbeitende ODER ein Jahresumsatz von über 50 Mio. € UND eine Jahresbilanzsumme von über 43 Mio. €. Besonders wichtige Einrichtungen werden nicht zusätzlich als wichtige Einrichtungen eingeordnet. Die Sonderfälle und Ausnahmen sind ebenfalls zu prüfen.
Quellen: § 28 Abs. 1 Satz 1 Nr. 4 und Abs. 2 BSIG; Anlage 1 BSIG; Anlage 2 BSIG · Abruf: 04.11.2026.
Welche Sonderfälle gelten unabhängig von der Größe?
Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries und DNS-Diensteanbieter gelten unabhängig von der Größe als besonders wichtige Einrichtungen. Bis zum Inkrafttreten der in § 66 BSIG bezeichneten Verordnung gelten § 2 Nr. 22 und 24 sowie § 33 Abs. 2 in der bis 16.03.2026 geltenden Fassung weiter; die Bestimmung kritischer Anlagen erfolgt weiterhin über die BSI-KritisV (zuletzt geändert durch Gesetz vom 15.05.2026, § 12). Nach dieser fortgeltenden Fassung übermitteln Betreiber kritischer Anlagen zusätzliche Anlagenangaben und halten eine jederzeit erreichbare Kontaktstelle vor. Zum Prüfstand 04.11.2026 meldet das BSI, dass die neue Kritisverordnung noch in Abstimmung ist. Sonstige Vertrauensdiensteanbieter sind unabhängig von der Größe wichtige Einrichtungen. Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze sind besonders wichtig bei mindestens 50 Mitarbeitenden ODER bei Jahresumsatz UND Jahresbilanzsumme von jeweils über 10 Mio. €. Unterhalb dieser Schwelle sind sie wichtig: weniger als 50 Mitarbeitende und mindestens eine der beiden Finanzkennzahlen (Jahresumsatz oder Jahresbilanzsumme) höchstens 10 Mio. €. Für Einrichtungen der Bundesverwaltung gelten die gesonderten Regeln des § 29 BSIG; sie sind von § 28 Abs. 1 ausgenommen, sofern sie nicht zugleich Betreiber kritischer Anlagen sind, und von § 28 Abs. 2 ausgenommen.
Quellen: § 28 Abs. 1 und 2 BSIG; § 29 BSIG; § 66 BSIG; Frühere §§ 2 und 33 BSIG: BGBl. 2025 I Nr. 301, S. 6 und 25; BSI-KritisV: Stand und § 12; BSI: Stand zum KRITIS-Dachgesetz · Abruf: 04.11.2026.
Wie werden Größe und Tätigkeiten bestimmt?
Für Mitarbeitendenzahl, Jahresumsatz und Jahresbilanzsumme verweist § 28 Abs. 4 BSIG auf die Empfehlung 2003/361/EG, mit Ausnahme von Artikel 3 Abs. 4 ihres Anhangs. Dies gilt nicht für rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft. Daten von Partner- oder verbundenen Unternehmen sind nicht hinzuzurechnen, wenn das Unternehmen unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände mit Blick auf Beschaffenheit und Betrieb seiner IT-Systeme, Komponenten und Prozesse unabhängig von ihnen ist. Bei der Zuordnung zu den Einrichtungsarten können im Verhältnis zur gesamten Geschäftstätigkeit vernachlässigbare Tätigkeiten unberücksichtigt bleiben.
Quellen: § 28 Abs. 3 und 4 BSIG · Abruf: 04.11.2026.
Welche Ausnahmen begrenzen die Pflichten?
Die Einordnung allein bestimmt noch nicht alle Pflichten. § 28 Abs. 5 BSIG nimmt öffentliche Telekommunikationsnetze und öffentlich zugängliche Telekommunikationsdienste sowie bestimmte, den §§ 5c bis 5e EnWG unterliegende Energieversorgungsnetze, Energieanlagen und digitale Energiedienste von den dort aufgezählten BSIG-Pflichten aus. Weitere kritische Anlagen oder weitere Tätigkeiten nach Anlage 1 oder 2 können diese Ausnahme begrenzen; die Rückausnahme umfasst auch die IT, die für den Betrieb der weiteren kritischen Anlagen erforderlich ist. Bei einer Energieanlage als Nebentätigkeit findet Absatz 5 keine Anwendung. Absatz 6 nimmt die dort bezeichneten DORA-Finanzunternehmen und bestimmte Einrichtungen und Dienste der Telematikinfrastruktur von den dort genannten Pflichten aus. Nach Absatz 7 gilt § 32 nicht für Betreiber kritischer Anlagen, soweit sie eine Anlage für Finanzunternehmen nach Absatz 6 Nr. 1 betreiben. Absatz 8 schließt bestimmte Organisationseinheiten von Gebietskörperschaften und ausschließlich von Gebietskörperschaften ohne den Bund gehaltene juristische Personen vom BSIG aus, wenn sie für Verwaltungsleistungen im öffentlichen Auftrag errichtet wurden UND durch vergleichbare landesrechtliche Vorschriften unter Bezugnahme auf diesen Absatz reguliert werden. Die genauen persönlichen und sachlichen Grenzen stehen in der Norm.
Quellen: § 28 Abs. 5 bis 8 BSIG · Abruf: 04.11.2026.
Seit wann gilt das Gesetz, und wann ist die Registrierung nötig?
Das deutsche NIS-2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten. Nach § 33 Abs. 1 BSIG müssen besonders wichtige und wichtige Einrichtungen sowie Domain-Name-Registry-Dienstleister ihre Angaben spätestens drei Monate nach erstmaliger oder erneuter Einordnung beziehungsweise Aufnahme der Domain-Name-Registry-Dienste an das BSI übermitteln. Für Einrichtungen, die bereits seit Inkrafttreten registrierungspflichtig sind, ist diese Frist abgelaufen; eine ausstehende Registrierung ist nachzuholen. Bei später eintretender Betroffenheit beginnt die eigene Frist nach § 33 Abs. 1. Informationen zur Registrierung stellt das BSI bereit. Für kritische Anlagen gilt der oben erläuterte Übergang nach § 66. Für Änderungen gilt nach § 66 weiterhin die bis 28.07.2026 geltende Fassung des § 33 Abs. 5: Geänderte Versorgungskennzahlen und Änderungen eingesetzter Typen kritischer Komponenten sind einmal jährlich zu übermitteln; alle anderen Änderungen der nach § 33 Abs. 1 oder 2 zu übermittelnden Angaben unverzüglich, spätestens binnen zwei Wochen nach Kenntnis. § 34 enthält für die dort über § 60 Abs. 1 erfassten Einrichtungsarten eine besondere Registrierungspflicht, ebenfalls binnen drei Monaten nach Einordnung. Änderungen dieser Angaben sind nach § 34 Abs. 2 gesondert unverzüglich, spätestens binnen drei Monaten ab dem Tag der Änderung mitzuteilen. Schlussfolgerung aus § 30 Abs. 1 und § 33 Abs. 1: Die Registrierungsfrist ist keine allgemeine Aufschubfrist für das Risikomanagement; die genannten Ausnahmen und vorrangigen Regeln bleiben zu beachten.
Quellen: BSI: Registrierung und Meldeweg; § 33 Abs. 1 BSIG (Abs. 2 und 5: Übergang nach § 66); § 34 BSIG; § 60 Abs. 1 BSIG; § 66 BSIG; § 30 Abs. 1 BSIG; BSI: Registrierungsfrist für Bestandsfälle; Früherer § 33 Abs. 5 BSIG: BGBl. 2025 I Nr. 301, S. 25 · Abruf: 04.11.2026.
Welche Sicherheitsmaßnahmen sind vorgeschrieben?
Soweit keine Ausnahme oder vorrangige Regel greift, verlangt § 30 BSIG geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen sowie deren Dokumentation. Die Maßnahmen müssen auf einem gefahrenübergreifenden Ansatz beruhen. Die zehn Mindestbereiche umfassen Risikoanalyse und IT-Sicherheitskonzepte, Vorfallbewältigung, Betriebsaufrechterhaltung einschließlich Backup und Krisenmanagement, Lieferkettensicherheit, Sicherheit bei Erwerb, Entwicklung und Wartung einschließlich Schwachstellenmanagement, Wirksamkeitsprüfung, Schulung und Sensibilisierung, Kryptografie, Personal- und Zugriffssicherheit samt IKT-Verwaltung sowie Multi-Faktor- oder kontinuierliche Authentifizierung und gesicherte Kommunikation. Die Maßnahmen sollen dem Stand der Technik entsprechen und einschlägige europäische und internationale Normen berücksichtigen. § 30 Abs. 3 und 4 regelt den Vorrang von EU-Durchführungsrechtsakten. Für Betreiber kritischer Anlagen enthält § 31 zusätzliche Anforderungen.
Quellen: § 30 Abs. 1 bis 4 BSIG; § 31 BSIG · Abruf: 04.11.2026.
Welche Meldefristen gelten bei Sicherheitsvorfällen?
§ 32 BSIG betrifft erhebliche Sicherheitsvorfälle; die Definition steht in § 2 Nr. 11 BSIG. Soweit die Meldepflicht anwendbar ist, sind eine frühe Erstmeldung unverzüglich, spätestens innerhalb von 24 Stunden, und eine weitere Meldung unverzüglich, spätestens innerhalb von 72 Stunden nach Kenntniserlangung erforderlich. Auf Ersuchen des BSI ist eine Zwischenmeldung abzugeben. Die Abschlussmeldung ist spätestens einen Monat nach Übermittlung der 72-Stunden-Meldung fällig. Dauert der Vorfall dann noch an, tritt zunächst eine Fortschrittsmeldung an ihre Stelle; die Abschlussmeldung folgt nach abschließender Bearbeitung. Betreiber kritischer Anlagen müssen bei möglichen oder tatsächlichen Auswirkungen auf ihre Anlage zusätzliche Angaben nach § 32 Abs. 3 übermitteln. Der Meldeweg ist eingerichtet: Das BSI-Portal steht für Sicherheitsvorfallmeldungen bereit. Einrichtungen, die vor ihrer Registrierung im BSI-Portal einen erheblichen Sicherheitsvorfall erleiden, melden ihn über das auf der BSI-Pflichtenseite verlinkte Online-Formular. Eine noch ausstehende eigene Registrierung verschiebt die Meldepflicht nicht. Betreiber kritischer Anlagen und Bundesbehörden nutzen nach BSI-Angabe prioritär und übergangsweise ihre bisherigen Meldewege im MIP.
Quellen: § 2 Nr. 11 BSIG; § 32 BSIG; BSI: Registrierung und Meldeweg; BSI: Pflichten und Meldungen vor Registrierung; BSI: Online-Formular für Meldungen vor Registrierung · Abruf: 04.11.2026.
Welche Bußgelder sieht das BSIG vor?
Die Höhe hängt vom konkreten Verstoß ab. Für die in § 65 Abs. 5 Satz 1 Nr. 1 BSIG bezeichneten Verstöße beträgt der Höchstbetrag bei besonders wichtigen Einrichtungen 10 Mio. € und bei wichtigen Einrichtungen 7 Mio. €. Die dort genannten Fälle umfassen Verstöße gegen Maßnahmen und Dokumentation nach § 30, Meldungen nach § 32, vollziehbare Anordnungen nach § 35 Abs. 1 oder § 36 Abs. 2 sowie Unterrichtungen nach § 35 Abs. 2. Bei einem Gesamtumsatz von mehr als 500 Mio. € können für diese Verstöße stattdessen bis zu 2 % beziehungsweise 1,4 % des Gesamtumsatzes verhängt werden. Gemeint ist der weltweite Umsatz des Unternehmens, dem die Einrichtung angehört, im Geschäftsjahr vor der Behördenentscheidung. Für andere Verstöße gelten andere Höchstbeträge; etwa nennt § 65 Abs. 5 Satz 1 Nr. 5 für Verstöße gegen die Registrierungspflichten nach Abs. 2 Nr. 6 bis zu 500.000 €. Ein Bußgeld folgt nicht automatisch aus der Betroffenheit.
Quellen: § 65 Abs. 2 Nr. 6 und Abs. 5 bis 8 BSIG · Abruf: 04.11.2026.
Welche Pflichten und Haftungsregeln gelten für die Geschäftsleitung?
Soweit § 38 BSIG anwendbar ist, muss die Geschäftsleitung die Risikomanagementmaßnahmen nach § 30 umsetzen und deren Umsetzung überwachen. Sie muss regelmäßig an Schulungen zur Erkennung und Bewertung von IT-Sicherheitsrisiken und Risikomanagementpraktiken sowie deren Auswirkungen auf die Dienste der Einrichtung teilnehmen. Bei Verletzung der Umsetzungs- oder Überwachungspflichten nach § 38 Abs. 1 haftet sie ihrer Einrichtung für schuldhaft verursachte Schäden nach den für die Rechtsform geltenden gesellschaftsrechtlichen Regeln. Eine Haftung nach dem BSIG greift insoweit nur, wenn diese Regeln keine entsprechende Haftungsregelung enthalten.
Quellen: § 38 BSIG · Abruf: 04.11.2026.
Quellen und Stand
Prüf- und Abrufdatum aller verlinkten Quellen: . Grundlage ist das BSIG in der veröffentlichten Fassung, zuletzt geändert durch Artikel 8 des Gesetzes vom 22. Oktober 2026 (BGBl. 2026 I Nr. 318). Die konkreten Normen und Behördenquellen stehen bei jeder Antwort. Zum Inkrafttreten siehe auch die Information der Bundesregierung.
NIS2 und KI-Governance unterscheiden
NIS2 betrifft die Cybersicherheit erfasster Einrichtungen; der AI Act regelt künstliche Intelligenz. Wenn es um den Einsatz von KI und die dazugehörige Governance geht, führt der Zusammenhang zur KI-Beratung zu AI Governance. Diese ersetzt keine NIS2-Prüfung.
Quellen: § 30 BSIG; EU-Kommission: AI Act · Abruf: 04.11.2026.
Basisprodukt anpassen lassen
Wir besprechen Ihre Abläufe und vereinbaren den passenden Umfang. Preis und Anpassung auf Anfrage.