Kostenloses Werkzeug · Rechtsstand Oktober 2026

NIS2-Betroffenheitsprüfung: Bin ich betroffen?

Ein paar kurze Fragen nach § 28 BSIG, in der Reihenfolge des BSI. Am Ende stehen Einstufung, Paragraf und Pflichten. Sechs kurze Schritte, ohne Anmeldung; die Eingaben bleiben in Ihrem Browser.

Orientierung, keine Rechtsberatung. Quellen an jeder Aussage; im Zweifel prüft Ihre Kanzlei — wir arbeiten gern Hand in Hand. Rechtlicher Hinweis

Betreiben Sie eine kritische Anlage (KRITIS)?

Maßgeblich sind die Schwellenwerte der BSI-Kritisverordnung, zum Beispiel Kraftwerke, Krankenhäuser ab 30.000 vollstationären Fällen im Jahr oder große Rechenzentren. Wer bisher KRITIS-Betreiber war, bleibt es.

Trifft außerdem etwas davon zu? Diese Fälle gelten ohne Größenschwelle. Nur ankreuzen, was ausdrücklich zutrifft.

Was tut Ihr Unternehmen?

Kreuzen Sie jede Tätigkeit an, die Sie gegen Entgelt anbieten — das sind die Einrichtungsarten der Anlagen 1 und 2 des BSIG. Passt nichts, gehen Sie einfach weiter.

Anlage 1 — besonders wichtige und wichtige Einrichtungen

Energie
Transport und Verkehr
Finanzwesen
Gesundheit
Wasser
Digitale Infrastruktur
Weltraum

Anlage 2 — wichtige Einrichtungen

Transport und Verkehr
Abfallbewirtschaftung
Chemische Stoffe
Lebensmittel
Verarbeitendes Gewerbe
Anbieter digitaler Dienste
Forschung

Noch keine Tätigkeit gewählt.

Wie groß ist der Anteil dieser Tätigkeit an Ihrem Geschäft?

Tätigkeiten, die im Verhältnis zum Gesamtgeschäft vernachlässigbar sind, können unberücksichtigt bleiben (§ 28 Abs. 3 BSIG). Anhaltspunkte nach BSI: Mitarbeiter, Umsatz und Bilanzsumme des Bereichs. Steht die Tätigkeit im Gesellschaftsvertrag oder in der Satzung, spricht das dagegen.

Gehört Ihr Unternehmen zu einer Gruppe?

Davon hängt ab, welche Zahlen Sie im nächsten Schritt eintragen (§ 28 Abs. 4 BSIG).

Wie groß ist Ihr Unternehmen?

Tragen Sie die Zahlen Ihres Unternehmens ein.

Maßgeblich ist der letzte festgestellte Jahresabschluss. Beschäftigte in Jahresarbeitseinheiten: Vollzeit zählt 1, Teilzeit und Saisonkräfte anteilig, mitarbeitende Inhaber zählen mit; Auszubildende sowie Zeiten im Mutterschutz und in der Elternzeit zählen nicht. Umsatz ohne Umsatzsteuer. Ohne Bilanz tragen Sie 0 ein.

Und im Geschäftsjahr davor?

Die Größenklasse wechselt erst, wenn eine Schwelle in zwei aufeinanderfolgenden Geschäftsjahren über- oder unterschritten wird. Ein einzelnes starkes oder schwaches Jahr ändert nichts.

Kurz gesagt: Die Prüfung stellt die Fragen des BSI-Entscheidungsbaums nach § 28 BSIG: Sonderfälle ohne Größenschwelle, Tätigkeit aus Anlage 1 oder 2, Anteil am Geschäft, Gruppe, Größe. Am Ende steht, ob Ihr Unternehmen voraussichtlich eine besonders wichtige Einrichtung, eine wichtige Einrichtung oder nicht erfasst ist, mit Paragraf und Pflichten. Das ist eine Orientierung, keine Rechtsberatung. Was sie prüft und was nicht →

Was die Prüfung prüft — und was nicht

Die Prüfung prüft

  • Sonderfälle ohne Größenschwelle
  • Ihre Tätigkeit gegen Anlage 1 und 2
  • Größe nach KMU-Empfehlung, mit Gruppe und Vorjahr
  • Einstufung mit Paragraf und Pflichten

Die Prüfung prüft nicht

  • Kritis-Schwellenwerte Ihrer Anlagen
  • Zuordnung im Einzelfall nach NACE
  • Ob eine Tätigkeit vernachlässigbar ist
  • Ob Ihre Website die Maßnahmen schon erfüllt

Ergebnis lesen: Schritt für Schritt

  1. Die Überschrift: voraussichtlich besonders wichtige oder wichtige Einrichtung, „Voraussichtlich nicht betroffen“ oder „Noch nicht eindeutig“. Darunter steht der Paragraf.
  2. „So kommt die Einordnung zustande“: Welche Ihrer Antworten gaben den Ausschlag? Stimmt etwas nicht, ändern Sie die Antwort.
  3. „Offen“ ernst nehmen: Was der Fragebogen nicht entscheiden kann, klären Kanzlei oder BSI.[10]
  4. „Was daraus folgt“: Registrierung, Risikomanagement, Vorfallmeldung und Pflichten der Geschäftsleitung, je mit Paragraf.[1]
  5. Gegenprüfen: Vergleichen Sie mit der BSI-Prüfung und lassen Sie Zweifel von einer Kanzlei klären.

Selbst klären oder Hilfe holen: wo es aufhört

Die technischen Schritte für die Website schaffen Sie ohne Agentur: Konten aufräumen, zweiten Faktor einschalten, Updates und Backups festhalten. Die neun Schritte stehen im Beitrag WordPress nach NIS2 härten. Schwer wird es an drei Stellen:

  • Die rechtliche Einordnung bleibt bei Ihrer Kanzlei oder Ihrem Informationssicherheitsbeauftragten.
  • Der Ablauf muss halten: Das nächste Plugin-Update kommt.
  • Protokolle helfen nur, wenn jemand sie liest.

Technik-Einschätzung zum Festpreis: 29 €

Im Beratungs-Call sagen wir Ihnen, was bei der Technik Ihrer WordPress-Seite zuerst dran ist. Beauftragen Sie danach etwas, ziehen wir die 29 € wieder ab. Die rechtliche Einordnung ersetzt das nicht. Leistung ansehen →

Weiterlesen

So rechnet die Prüfung

Die Regeln aus § 28 BSIG im Überblick aufklappen

§ 28 BSIG kennt zwei Stufen.[1] Wichtige Einrichtung ist, wer eine Tätigkeit aus Anlage 1 oder Anlage 2 ausübt und mindestens 50 Beschäftigte hat oder je mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme. Besonders wichtige Einrichtung ist, wer eine Tätigkeit aus Anlage 1 ausübt und mindestens 250 Beschäftigte hat oder mehr als 50 Millionen Euro Umsatz und zugleich mehr als 43 Millionen Euro Bilanzsumme. Ein großes Unternehmen, das nur Tätigkeiten aus Anlage 2 hat, bleibt wichtige Einrichtung. Die Reihenfolge der Prüfung entspricht dem Entscheidungsbaum des BSI.[5]

Ohne Größenschwelle gelten als besonders wichtig: Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Diensteanbieter. Als wichtig gelten alle übrigen Vertrauensdiensteanbieter. Telekommunikationsanbieter sind immer erfasst; die Größe entscheidet nur, ob als besonders wichtige oder als wichtige Einrichtung.[1] Ob eine Anlage kritisch ist, richtet sich bis auf Weiteres nach den Schwellenwerten der BSI-Kritisverordnung.[3][7]

Die Zahlen bestimmt die KMU-Empfehlung 2003/361/EG:[6] Beschäftigte in Jahresarbeitseinheiten, Daten des letzten Abschlusses, Wechsel der Größenklasse erst nach zwei Geschäftsjahren in Folge.[2] Verbundene Unternehmen zählen voll, Partnerunternehmen anteilig — außer Ihr Unternehmen steuert seine IT unabhängig von ihnen (§ 28 Abs. 4).[3]

Was die Prüfung nicht leisten kann: die Schwellenwerte der Kritisverordnung für Ihre Anlagen, Einzelfragen zur Zuordnung nach NACE und die Bewertung, ob eine Tätigkeit vernachlässigbar ist. Dafür gibt es die NIS-2-Betroffenheitsprüfung des BSI[10] und eine anwaltliche Prüfung. Hintergrund und die Folgen für die Website stehen auf der Infoseite NIS2: Wer ist betroffen?

Häufige Fehleinschätzungen

Onlineshop mit eigener Ware

Kein Online-Marktplatz. Das ist nur eine Plattform, über die Verbraucher Verträge mit anderen Händlern oder Verbrauchern schließen.

Quellen: BSI-Gesetz, § 2 Nr. 28, Anlage 2 Nr. 6.1.1[1] · § 312l BGB[8]

Reines Webhosting

Nach BSI in der Regel weder Cloud-Dienst noch MSP. Aber: Wer autoritative Nameserver für Kunden betreibt, ist DNS-Diensteanbieter — unabhängig von der Größe, auch als Einzelunternehmer.

Quelle: BSI: Sektorspezifische FAQ, Digitale Infrastruktur, Fragen 3 und 4[4]

Webagentur, die nur Websites baut

Nicht erfasst. Übernimmt sie die laufende Wartung mit Administrationszugang, kann sie Managed Services Provider sein, ab 50 Beschäftigten oder je mehr als 10 Mio. € Umsatz und Bilanzsumme.

Quellen: BSI-Gesetz, § 2 Nr. 26, Anlage 1 Nr. 6.1.10[1] · BSI: FAQ zu NIS-2, Anwendungsbereich und Betroffenheit, Frage 17[3]

IT- oder Sicherheitsberatung

Reine Beratung ohne Zugriff auf die Systeme des Kunden ist nach BSI in der Regel weder MSP noch MSSP.

Quellen: BSI: Sektorspezifische FAQ, Digitale Infrastruktur, Frage 1[4] · BSI: FAQ zu NIS-2, Anwendungsbereich und Betroffenheit, Frage 17[3]

Spedition, Straßengüterverkehr

Nicht als Einrichtungsart genannt. Erfasst sind Post- und Kurierdienste sowie Schifffahrt, Schiene und Luftfahrt; im Straßenverkehr nur Anlagen und Systeme der Verkehrssteuerung.

Quelle: BSI-Gesetz, Anlage 1 Nr. 2, Anlage 2 Nr. 1.1.1[1]

Elektro-, Sanitär- und Maschinenhandwerk

Installation und Reparatur sind nicht Herstellung. Erfasst ist das Verarbeitende Gewerbe der NACE-Abteilungen 26 bis 30; Reparatur und Installation von Maschinen (33) und Bauinstallation (43) gehören nicht dazu.

Quellen: BSI-Gesetz, Anlage 2 Nr. 5[1] · WZ 2008 (Destatis), Abteilungen 26 bis 30, 33, 43[9] · BSI: FAQ zu NIS-2, NACE-Codes, Fragen 1 bis 3[3]

Pflegeheim, Langzeitpflege

Nach BSI keine Gesundheitsdienstleistung im Sinne von Anlage 1 Nr. 4.1.1. Apotheken und Rettungsdienste zählen nach BSI dagegen dazu.

Quelle: BSI: Sektorspezifische FAQ, Gesundheit, Fragen 1, 5 und 6[4]

Restaurant, Hotel, Bäckerei mit Laden

In der Regel nein. Erfasst sind Lebensmittelunternehmen im Großhandel oder in industrieller Produktion und Verarbeitung.

Quellen: BSI-Gesetz, Anlage 2 Nr. 4.1.1[1] · BSI: Sektorspezifische FAQ, Lebensmittel, Fragen 1 und 2[4]

Häufige Fragen

Wer ist von NIS2 betroffen?

Betroffen ist, wer eine der Tätigkeiten aus Anlage 1 oder 2 des BSI-Gesetzes ausübt — etwa Energieversorgung, Gesundheitsdienstleistungen, Cloud- oder Managed Services, Maschinenbau oder Lebensmittel-Großhandel — und dabei mindestens 50 Beschäftigte hat oder je mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme. Ab 250 Beschäftigten oder mehr als 50 Millionen Euro Umsatz und zugleich mehr als 43 Millionen Euro Bilanzsumme wird ein Unternehmen mit einer Tätigkeit aus Anlage 1 zur besonders wichtigen Einrichtung. Ohne Größenschwelle erfasst sind Betreiber kritischer Anlagen, DNS-Diensteanbieter, TLD-Registries, Vertrauensdiensteanbieter und Telekommunikationsanbieter.

Quellen: BSI-Gesetz, § 28, Anlagen 1 und 2[1] · BSI: FAQ zu NIS-2, Anwendungsbereich und Betroffenheit, Frage 4[3]

Reicht es, 50 Mitarbeiter zu haben?

Nein. Die Größe allein macht niemanden betroffen; zuerst muss die Tätigkeit in Anlage 1 oder 2 stehen. Ein Handwerksbetrieb, eine Kanzlei oder ein Onlineshop mit 300 Beschäftigten ist nicht erfasst, wenn keine der dort genannten Einrichtungsarten zutrifft. Umgekehrt zählen Mitarbeiter in Jahresarbeitseinheiten: Teilzeit anteilig, Auszubildende und Elternzeit gar nicht.

Quellen: BSI: FAQ zu NIS-2, Anwendungsbereich und Betroffenheit, Fragen 4 und 25[3] · Empfehlung 2003/361/EG, Anhang, Art. 5[6]

Zählt die Unternehmensgruppe mit?

In der Regel ja. Nach § 28 Abs. 4 BSIG gilt die KMU-Empfehlung der EU-Kommission: Verbundene Unternehmen werden voll, Partnerunternehmen anteilig hinzugerechnet, auch solche außerhalb der EU. Ausnahme: Entscheidet Ihr Unternehmen selbst über Beschaffung, Betrieb und Konfiguration seiner IT — auch über einen selbst beauftragten Dienstleister —, zählen nur die eigenen Zahlen.

Quellen: BSI-Gesetz, § 28 Abs. 4[1] · Empfehlung 2003/361/EG, Anhang, Art. 3 und 6[6] · BSI: FAQ zu NIS-2, Anwendungsbereich und Betroffenheit, Fragen 6 und 26[3] · BT-Drucksache 21/1501, Begründung zu § 28 Abs. 4, S. 144[2]

Was muss eine betroffene Einrichtung tun?

Sich beim BSI registrieren (§ 33), Risikomanagement-Maßnahmen in zehn Mindestbereichen umsetzen und dokumentieren (§ 30), erhebliche Sicherheitsvorfälle binnen 24 Stunden erstmelden, binnen 72 Stunden melden und nach einem Monat abschließend berichten (§ 32). Die Geschäftsleitung muss die Maßnahmen umsetzen, überwachen und regelmäßig an Schulungen teilnehmen (§ 38).

Quelle: BSI-Gesetz, §§ 30, 32, 33, 38[1]

Bis wann musste man sich registrieren?

Spätestens drei Monate, nachdem man erstmals als Einrichtung gilt. Für alle, die schon beim Inkrafttreten am 6. Dezember 2025 betroffen waren, war das rechnerisch der 6. März 2026. Wer jetzt erst feststellt, dass er betroffen ist, registriert sich umgehend.

Quellen: BSI-Gesetz, § 33 Abs. 1[1] · BSI: FAQ zu NIS-2, Pflichten und Anforderungen, Frage 13[3]

Gehört die Website zu den NIS2-Pflichten?

Das Gesetz nennt die Website nicht ausdrücklich. § 30 Abs. 1 BSIG erfasst die „informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen“; die Gesetzesbegründung nennt „beispielsweise auch Büro-IT oder andere IT-Systeme, die durch die Einrichtung betrieben werden“. Nach unserer Lesart fällt eine selbst betriebene WordPress-Website darunter; die Einordnung in Ihr Sicherheitskonzept trifft Ihr Informationssicherheitsbeauftragter oder Ihre Kanzlei.

Quellen: BSI-Gesetz, § 30 Abs. 1[1] · BT-Drucksache 21/1501, Begründung zu § 30 Abs. 1, S. 147[2]

Ist diese Prüfung verbindlich?

Nein. Sie bildet § 28 BSIG und die Auslegung des BSI so genau nach, wie es ein Fragebogen kann, ersetzt aber keine Rechtsberatung. Auch das BSI teilt Betroffenheit nicht verbindlich mit; jedes Unternehmen prüft selbst. Die amtliche Hilfe ist die NIS-2-Betroffenheitsprüfung des BSI; bleiben danach Fragen offen, empfiehlt das BSI selbst externe juristische Unterstützung.

Quellen: BSI: FAQ zu NIS-2, Anwendungsbereich und Betroffenheit, Fragen 8 und 13[3] · BSI: NIS-2-Betroffenheitsprüfung[10]

Rechtlicher Hinweis

Diese Prüfung ist eine sorgfältig recherchierte, aber unverbindliche Orientierungshilfe. Sie ist keine Rechtsberatung und ersetzt keine anwaltliche Prüfung Ihres Einzelfalls. Auch das BSI stellt die Betroffenheit nicht verbindlich fest; jedes Unternehmen muss sie selbst prüfen und trägt dafür die Verantwortung.[3]

Gerade weil Fehler hier teuer werden können — Bußgelder in Millionenhöhe, Haftung der Geschäftsleitung —, empfehlen wir bei jedem Zweifel eine Rechtsanwältin oder einen Rechtsanwalt mit Schwerpunkt IT-Recht. Wir sind Technikdienstleister: Wir setzen die Maßnahmen an Ihrer WordPress-Website um und dokumentieren sie. Mit Ihrer Kanzlei, Ihrem Informationssicherheitsbeauftragten oder Ihrem Datenschutzbeauftragten arbeiten wir dabei gern Hand in Hand.

Rechtsstand: BSI-Gesetz in der Fassung der Änderung vom 23. Juli 2026, Abrufdatum je Quelle im Quellenverzeichnis. Gesetze und Auslegungen ändern sich; alle Angaben ohne Gewähr. Fällt Ihnen ein Fehler auf, schreiben Sie uns — wir prüfen und korrigieren ihn.

Quellenverzeichnis (10 Quellen)
  1. Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen (BSI-Gesetz – BSIG) vom 2. Dezember 2025 (BGBl. 2025 I Nr. 301), zuletzt geändert durch Art. 8 Abs. 1 des Gesetzes vom 23. Juli 2026 (BGBl. 2026 I Nr. 226). Bundesministerium der Justiz, gesetze-im-internet.de. www.gesetze-im-internet.de/bsig_2025/ (abgerufen am 10. Oktober 2026)
  2. Deutscher Bundestag: Gesetzentwurf der Bundesregierung „Entwurf eines Gesetzes zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung“, Drucksache 21/1501 vom 8. September 2025, mit Begründung. dserver.bundestag.de/btd/21/015/2101501.pdf (abgerufen am 10. Oktober 2026)
  3. Bundesamt für Sicherheit in der Informationstechnik: Fragen und Antworten zu NIS-2. www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/NIS-2-FAQ/NIS-2-FAQ-allgemein/FAQ-zu-NIS-2_node.html (abgerufen am 10. Oktober 2026)
  4. Bundesamt für Sicherheit in der Informationstechnik: Sektorspezifische Fragen und Antworten zu NIS-2. www.bsi.bund.de/dok/nis-2-sektor-faq (abgerufen am 3. Oktober 2026)
  5. Bundesamt für Sicherheit in der Informationstechnik: Entscheidungsbaum zur NIS-2-Betroffenheit (PDF). www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/NIS-2/nis-2-betroffenheit-entscheidungsbaum.pdf?__blob=publicationFile&v=17 (abgerufen am 3. Oktober 2026)
  6. Empfehlung der Kommission vom 6. Mai 2003 betreffend die Definition der Kleinstunternehmen sowie der kleinen und mittleren Unternehmen (2003/361/EG), ABl. L 124 vom 20.5.2003, S. 36. EUR-Lex. eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32003H0361 (abgerufen am 10. Oktober 2026)
  7. Verordnung zur Bestimmung kritischer Anlagen nach dem BSI-Gesetz (BSI-Kritisverordnung – BSI-KritisV), Anhang 5 (Sektor Gesundheit), gesetze-im-internet.de. www.gesetze-im-internet.de/bsi-kritisv/anhang_5.html (abgerufen am 10. Oktober 2026)
  8. Bürgerliches Gesetzbuch, § 312l (Online-Marktplatz), gesetze-im-internet.de. www.gesetze-im-internet.de/bgb/__312l.html (abgerufen am 3. Oktober 2026)
  9. Statistisches Bundesamt: Klassifikation der Wirtschaftszweige, Ausgabe 2008 (WZ 2008), auf Abteilungsebene identisch mit NACE Rev. 2. www.destatis.de/DE/Methoden/Klassifikationen/Gueter-Wirtschaftsklassifikationen/klassifikation-wz-2008.html (abgerufen am 3. Oktober 2026)
  10. Bundesamt für Sicherheit in der Informationstechnik: NIS-2-Betroffenheitsprüfung (amtliches Online-Werkzeug). betroffenheitspruefung-nis-2.bsi.de/ (abgerufen am 3. Oktober 2026)