Kostenloses Werkzeug · Rechtsstand Oktober 2026

NIS2-Betroffenheitsprüfung: Bin ich betroffen?

Ein paar kurze Fragen nach § 28 BSIG, in der Reihenfolge des BSI. Am Ende stehen Einstufung, Paragraf und Pflichten. Etwa zwei Minuten, läuft komplett in Ihrem Browser.

Orientierung, keine Rechtsberatung. Quellen an jeder Aussage; im Zweifel prüft Ihre Kanzlei — wir arbeiten gern Hand in Hand. Rechtlicher Hinweis

Betreiben Sie eine kritische Anlage (KRITIS)?

Maßgeblich sind die Schwellenwerte der BSI-Kritisverordnung, zum Beispiel Kraftwerke, Krankenhäuser ab 30.000 vollstationären Fällen im Jahr oder große Rechenzentren. Wer bisher KRITIS-Betreiber war, bleibt es.

Trifft außerdem etwas davon zu? Diese Fälle gelten ohne Größenschwelle. Nur ankreuzen, was ausdrücklich zutrifft.

Was tut Ihr Unternehmen?

Kreuzen Sie jede Tätigkeit an, die Sie gegen Entgelt anbieten — das sind die Einrichtungsarten der Anlagen 1 und 2 des BSIG. Passt nichts, gehen Sie einfach weiter.

Anlage 1 — besonders wichtige und wichtige Einrichtungen

Energie
Transport und Verkehr
Finanzwesen
Gesundheit
Wasser
Digitale Infrastruktur
Weltraum

Anlage 2 — wichtige Einrichtungen

Transport und Verkehr
Abfallbewirtschaftung
Chemische Stoffe
Lebensmittel
Verarbeitendes Gewerbe
Anbieter digitaler Dienste
Forschung

Noch keine Tätigkeit gewählt.

Wie groß ist der Anteil dieser Tätigkeit an Ihrem Geschäft?

Tätigkeiten, die im Verhältnis zum Gesamtgeschäft vernachlässigbar sind, können unberücksichtigt bleiben (§ 28 Abs. 3 BSIG). Anhaltspunkte nach BSI: Mitarbeiter, Umsatz und Bilanzsumme des Bereichs. Steht die Tätigkeit im Gesellschaftsvertrag oder in der Satzung, spricht das dagegen.

Gehört Ihr Unternehmen zu einer Gruppe?

Davon hängt ab, welche Zahlen Sie im nächsten Schritt eintragen (§ 28 Abs. 4 BSIG).

Wie groß ist Ihr Unternehmen?

Tragen Sie die Zahlen Ihres Unternehmens ein.

Maßgeblich ist der letzte festgestellte Jahresabschluss. Beschäftigte in Jahresarbeitseinheiten: Vollzeit zählt 1, Teilzeit und Saisonkräfte anteilig, mitarbeitende Inhaber zählen mit; Auszubildende sowie Zeiten im Mutterschutz und in der Elternzeit zählen nicht. Umsatz ohne Umsatzsteuer. Ohne Bilanz tragen Sie 0 ein.

Und im Geschäftsjahr davor?

Die Größenklasse wechselt erst, wenn eine Schwelle in zwei aufeinanderfolgenden Geschäftsjahren über- oder unterschritten wird. Ein einzelnes starkes oder schwaches Jahr ändert nichts.

So rechnet die Prüfung

§ 28 BSIG kennt zwei Stufen.[1] Wichtige Einrichtung ist, wer eine Tätigkeit aus Anlage 1 oder Anlage 2 ausübt und mindestens 50 Beschäftigte hat oder je mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme. Besonders wichtige Einrichtung ist, wer eine Tätigkeit aus Anlage 1 ausübt und mindestens 250 Beschäftigte hat oder mehr als 50 Millionen Euro Umsatz und zugleich mehr als 43 Millionen Euro Bilanzsumme. Ein großes Unternehmen, das nur Tätigkeiten aus Anlage 2 hat, bleibt wichtige Einrichtung. Die Reihenfolge der Prüfung entspricht dem Entscheidungsbaum des BSI.[5]

Ohne Größenschwelle gelten als besonders wichtig: Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Diensteanbieter. Als wichtig gelten alle übrigen Vertrauensdiensteanbieter. Telekommunikationsanbieter sind immer erfasst; die Größe entscheidet nur, ob als besonders wichtige oder als wichtige Einrichtung.[1] Ob eine Anlage kritisch ist, richtet sich bis auf Weiteres nach den Schwellenwerten der BSI-Kritisverordnung.[3][7]

Die Zahlen bestimmt die KMU-Empfehlung 2003/361/EG:[6] Beschäftigte in Jahresarbeitseinheiten, Daten des letzten Abschlusses, Wechsel der Größenklasse erst nach zwei Geschäftsjahren in Folge.[2] Verbundene Unternehmen zählen voll, Partnerunternehmen anteilig — außer Ihr Unternehmen steuert seine IT unabhängig von ihnen (§ 28 Abs. 4).[3]

Was die Prüfung nicht leisten kann: die Schwellenwerte der Kritisverordnung für Ihre Anlagen, Einzelfragen zur Zuordnung nach NACE und die Bewertung, ob eine Tätigkeit vernachlässigbar ist. Dafür gibt es die NIS-2-Betroffenheitsprüfung des BSI[11] und eine anwaltliche Prüfung. Hintergrund und die Folgen für die Website stehen im Ratgeber NIS2: Wer ist betroffen?

Häufige Fehleinschätzungen

Onlineshop mit eigener Ware
Kein Online-Marktplatz. Das ist nur eine Plattform, über die Verbraucher Verträge mit anderen Händlern oder Verbrauchern schließen.

Quellen: BSI-Gesetz, § 2 Nr. 28, Anlage 2 Nr. 6.1.1[1] · § 312l BGB[8]

Reines Webhosting
Nach BSI in der Regel weder Cloud-Dienst noch MSP. Aber: Wer autoritative Nameserver für Kunden betreibt, ist DNS-Diensteanbieter — unabhängig von der Größe, auch als Einzelunternehmer.

Quelle: BSI: Sektorspezifische FAQ, Digitale Infrastruktur, Fragen 3 und 4[4]

Webagentur, die nur Websites baut
Nicht erfasst. Übernimmt sie die laufende Wartung mit Administrationszugang, kann sie Managed Services Provider sein, ab 50 Beschäftigten oder je mehr als 10 Mio. € Umsatz und Bilanzsumme.

Quellen: BSI-Gesetz, § 2 Nr. 26, Anlage 1 Nr. 6.1.10[1] · BSI: FAQ zu NIS-2, Anwendungsbereich und Betroffenheit, Frage 17[3]

IT- oder Sicherheitsberatung
Reine Beratung ohne Zugriff auf die Systeme des Kunden ist nach BSI in der Regel weder MSP noch MSSP.

Quellen: BSI: Sektorspezifische FAQ, Digitale Infrastruktur, Frage 1[4] · BSI: FAQ zu NIS-2, Anwendungsbereich und Betroffenheit, Frage 17[3]

Spedition, Straßengüterverkehr
Nicht als Einrichtungsart genannt. Erfasst sind Post- und Kurierdienste sowie Schifffahrt, Schiene und Luftfahrt; im Straßenverkehr nur Anlagen und Systeme der Verkehrssteuerung.

Quelle: BSI-Gesetz, Anlage 1 Nr. 2, Anlage 2 Nr. 1.1.1[1]

Elektro-, Sanitär- und Maschinenhandwerk
Installation und Reparatur sind nicht Herstellung. Erfasst ist das Verarbeitende Gewerbe der NACE-Abteilungen 26 bis 30; Reparatur und Installation von Maschinen (33) und Bauinstallation (43) gehören nicht dazu.

Quellen: BSI-Gesetz, Anlage 2 Nr. 5[1] · WZ 2008 (Destatis), Abteilungen 26 bis 30, 33, 43[10] · BSI: FAQ zu NIS-2, NACE-Codes, Fragen 1 bis 3[3]

Pflegeheim, Langzeitpflege
Nach BSI keine Gesundheitsdienstleistung im Sinne von Anlage 1 Nr. 4.1.1. Apotheken und Rettungsdienste zählen nach BSI dagegen dazu.

Quelle: BSI: Sektorspezifische FAQ, Gesundheit, Fragen 1, 5 und 6[4]

Restaurant, Hotel, Bäckerei mit Laden
In der Regel nein. Erfasst sind Lebensmittelunternehmen im Großhandel oder in industrieller Produktion und Verarbeitung.

Quellen: BSI-Gesetz, Anlage 2 Nr. 4.1.1[1] · BSI: Sektorspezifische FAQ, Lebensmittel, Fragen 1 und 2[4]

Fragen und Antworten

Wer ist von NIS2 betroffen?
Betroffen ist, wer eine der Tätigkeiten aus Anlage 1 oder 2 des BSI-Gesetzes ausübt — etwa Energieversorgung, Gesundheitsdienstleistungen, Cloud- oder Managed Services, Maschinenbau oder Lebensmittel-Großhandel — und dabei mindestens 50 Beschäftigte hat oder je mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme. Ab 250 Beschäftigten oder mehr als 50 Millionen Euro Umsatz und zugleich mehr als 43 Millionen Euro Bilanzsumme wird ein Unternehmen mit einer Tätigkeit aus Anlage 1 zur besonders wichtigen Einrichtung. Ohne Größenschwelle erfasst sind Betreiber kritischer Anlagen, DNS-Diensteanbieter, TLD-Registries, Vertrauensdiensteanbieter und Telekommunikationsanbieter.

Quellen: BSI-Gesetz, § 28, Anlagen 1 und 2[1] · BSI: FAQ zu NIS-2, Anwendungsbereich und Betroffenheit, Frage 4[3]

Reicht es, 50 Mitarbeiter zu haben?
Nein. Die Größe allein macht niemanden betroffen; zuerst muss die Tätigkeit in Anlage 1 oder 2 stehen. Ein Handwerksbetrieb, eine Kanzlei oder ein Onlineshop mit 300 Beschäftigten ist nicht erfasst, wenn keine der dort genannten Einrichtungsarten zutrifft. Umgekehrt zählen Mitarbeiter in Jahresarbeitseinheiten: Teilzeit anteilig, Auszubildende und Elternzeit gar nicht.

Quellen: BSI: FAQ zu NIS-2, Anwendungsbereich und Betroffenheit, Fragen 4 und 25[3] · Empfehlung 2003/361/EG, Anhang, Art. 5[6]

Zählt die Unternehmensgruppe mit?
In der Regel ja. Nach § 28 Abs. 4 BSIG gilt die KMU-Empfehlung der EU-Kommission: Verbundene Unternehmen werden voll, Partnerunternehmen anteilig hinzugerechnet, auch solche außerhalb der EU. Ausnahme: Entscheidet Ihr Unternehmen selbst über Beschaffung, Betrieb und Konfiguration seiner IT — auch über einen selbst beauftragten Dienstleister —, zählen nur die eigenen Zahlen.

Quellen: BSI-Gesetz, § 28 Abs. 4[1] · Empfehlung 2003/361/EG, Anhang, Art. 3 und 6[6] · BSI: FAQ zu NIS-2, Anwendungsbereich und Betroffenheit, Fragen 6 und 26[3] · BT-Drucksache 21/1501, Begründung zu § 28 Abs. 4, S. 144[2]

Was muss eine betroffene Einrichtung tun?
Sich beim BSI registrieren (§ 33), Risikomanagement-Maßnahmen in zehn Mindestbereichen umsetzen und dokumentieren (§ 30), erhebliche Sicherheitsvorfälle binnen 24 Stunden erstmelden, binnen 72 Stunden melden und nach einem Monat abschließend berichten (§ 32). Die Geschäftsleitung muss die Maßnahmen umsetzen, überwachen und regelmäßig an Schulungen teilnehmen (§ 38).

Quelle: BSI-Gesetz, §§ 30, 32, 33, 38[1]

Bis wann musste man sich registrieren?
Spätestens drei Monate, nachdem man erstmals als Einrichtung gilt. Für alle, die schon beim Inkrafttreten am 6. Dezember 2025 betroffen waren, war das der 6. März 2026. Nach einem Bericht des Tagesspiegels hat das BSI Wirtschaftsverbänden danach mitgeteilt, es rechne bis zum 31. Juli 2026 mit den ausstehenden Registrierungen; eine Gesetzesänderung war das nicht. Wer jetzt erst feststellt, dass er betroffen ist, registriert sich sofort.

Quellen: BSI-Gesetz, § 33 Abs. 1[1] · BSI: FAQ zu NIS-2, Pflichten und Anforderungen, Frage 13[3] · it-daily.net, 17.6.2026[9]

Gehört die Website zu den NIS2-Pflichten?
Ja, wenn Ihr Unternehmen betroffen ist. § 30 BSIG erfasst alle IT-Systeme, die Sie für die Erbringung Ihrer Dienste nutzen, und die Gesetzesbegründung versteht das ausdrücklich weit, einschließlich Büro-IT. Patch-Management, Zugriffskontrolle mit Multi-Faktor-Authentifizierung, Backups und die Bewältigung von Vorfällen gelten damit auch für die Firmenwebsite.

Quellen: BSI-Gesetz, § 30[1] · BT-Drucksache 21/1501, Begründung zu § 30, S. 147[2]

Ist diese Prüfung verbindlich?
Nein. Sie bildet § 28 BSIG und die Auslegung des BSI so genau nach, wie es ein Fragebogen kann, ersetzt aber keine Rechtsberatung. Auch das BSI teilt Betroffenheit nicht verbindlich mit; jedes Unternehmen prüft selbst. Die amtliche Hilfe ist die NIS-2-Betroffenheitsprüfung des BSI; bleiben danach Fragen offen, empfiehlt das BSI selbst externe juristische Unterstützung.

Quellen: BSI: FAQ zu NIS-2, Anwendungsbereich und Betroffenheit, Fragen 8 und 13[3] · BSI: NIS-2-Betroffenheitsprüfung[11]

Rechtlicher Hinweis

Diese Prüfung ist eine sorgfältig recherchierte, aber unverbindliche Orientierungshilfe. Sie ist keine Rechtsberatung und ersetzt keine anwaltliche Prüfung Ihres Einzelfalls. Auch das BSI stellt die Betroffenheit nicht verbindlich fest; jedes Unternehmen muss sie selbst prüfen und trägt dafür die Verantwortung.[3]

Gerade weil Fehler hier teuer werden können — Bußgelder in Millionenhöhe, Haftung der Geschäftsleitung —, empfehlen wir bei jedem Zweifel eine Rechtsanwältin oder einen Rechtsanwalt mit Schwerpunkt IT-Recht. Wir sind Technikdienstleister: Wir setzen die Maßnahmen an Ihrer WordPress-Website um und dokumentieren sie. Mit Ihrer Kanzlei, Ihrem Informationssicherheitsbeauftragten oder Ihrem Datenschutzbeauftragten arbeiten wir dabei gern Hand in Hand.

Rechtsstand: BSI-Gesetz in der Fassung der Änderung vom 23. Juli 2026, Quellen abgerufen am 3. Oktober 2026. Gesetze und Auslegungen ändern sich; alle Angaben ohne Gewähr. Fällt Ihnen ein Fehler auf, schreiben Sie uns — wir prüfen und korrigieren ihn.

Quellen

  1. Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen (BSI-Gesetz – BSIG) vom 2. Dezember 2025 (BGBl. 2025 I Nr. 301), zuletzt geändert durch Art. 8 Abs. 1 des Gesetzes vom 23. Juli 2026 (BGBl. 2026 I Nr. 226). Bundesministerium der Justiz, gesetze-im-internet.de. www.gesetze-im-internet.de/bsig_2025/ (abgerufen am 3. Oktober 2026)
  2. Deutscher Bundestag: Gesetzentwurf der Bundesregierung „Entwurf eines Gesetzes zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung“, Drucksache 21/1501 vom 8. September 2025, mit Begründung. dserver.bundestag.de/btd/21/015/2101501.pdf (abgerufen am 3. Oktober 2026)
  3. Bundesamt für Sicherheit in der Informationstechnik: Fragen und Antworten zu NIS-2. www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/NIS-2-FAQ/NIS-2-FAQ-allgemein/FAQ-zu-NIS-2_node.html (abgerufen am 3. Oktober 2026)
  4. Bundesamt für Sicherheit in der Informationstechnik: Sektorspezifische Fragen und Antworten zu NIS-2. www.bsi.bund.de/dok/nis-2-sektor-faq (abgerufen am 3. Oktober 2026)
  5. Bundesamt für Sicherheit in der Informationstechnik: Entscheidungsbaum zur NIS-2-Betroffenheit (PDF). www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/NIS-2/nis-2-betroffenheit-entscheidungsbaum.pdf?__blob=publicationFile&v=17 (abgerufen am 3. Oktober 2026)
  6. Empfehlung der Kommission vom 6. Mai 2003 betreffend die Definition der Kleinstunternehmen sowie der kleinen und mittleren Unternehmen (2003/361/EG), ABl. L 124 vom 20.5.2003, S. 36. EUR-Lex. eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32003H0361 (abgerufen am 3. Oktober 2026)
  7. Verordnung zur Bestimmung Kritischer Infrastrukturen nach dem BSI-Gesetz (BSI-Kritisverordnung – BSI-KritisV), Anhang 5 (Sektor Gesundheit), gesetze-im-internet.de. www.gesetze-im-internet.de/bsi-kritisv/anhang_5.html (abgerufen am 3. Oktober 2026)
  8. Bürgerliches Gesetzbuch, § 312l (Online-Marktplatz), gesetze-im-internet.de. www.gesetze-im-internet.de/bgb/__312l.html (abgerufen am 3. Oktober 2026)
  9. it-daily.net: „Behörde erhöht den Druck“ (Kurzmeldung vom 17. Juni 2026), unter Berufung auf einen Bericht des Tagesspiegels. www.it-daily.net/shortnews/bsi-nis2-registrierung-bis-ende-juli (abgerufen am 3. Oktober 2026)
  10. Statistisches Bundesamt: Klassifikation der Wirtschaftszweige, Ausgabe 2008 (WZ 2008), auf Abteilungsebene identisch mit NACE Rev. 2. www.destatis.de/DE/Methoden/Klassifikationen/Gueter-Wirtschaftsklassifikationen/klassifikation-wz-2008.html (abgerufen am 3. Oktober 2026)
  11. Bundesamt für Sicherheit in der Informationstechnik: NIS-2-Betroffenheitsprüfung (amtliches Online-Werkzeug). betroffenheitspruefung-nis-2.bsi.de/ (abgerufen am 3. Oktober 2026)