Wer ist von NIS2 betroffen?

Unternehmen und Einrichtungen in 18 Sektoren, sobald sie mindestens 50 Beschäftigte haben oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme. Ab 250 Beschäftigten oder 50 Millionen Umsatz gelten sie in den Sektoren mit hoher Kritikalität als „besonders wichtige Einrichtung". Einige Betreiber sind unabhängig von der Größe betroffen, etwa DNS-Dienste, TLD-Registries, Vertrauensdienste und Telekommunikationsanbieter.

Was muss eine betroffene Einrichtung tun?

Sich beim BSI registrieren, die Risikomanagement-Maßnahmen nach § 30 BSIG umsetzen (unter anderem Risikoanalyse, Vorfallbewältigung, Backups, Zugriffskontrolle, Patch-Management, Lieferkettensicherheit), erhebliche Sicherheitsvorfälle melden (Erstmeldung binnen 24 Stunden, Folgemeldung binnen 72 Stunden, Abschlussbericht nach einem Monat) und die Geschäftsleitung schulen und in die Verantwortung nehmen.

Ist diese Prüfung verbindlich?

Nein. Sie ist eine vereinfachte Einordnung nach den Größen- und Sektorregeln des Gesetzes und ersetzt keine Rechtsberatung. Verbindlich ist die Betroffenheitsprüfung des BSI und im Zweifel die Einschätzung Ihrer Kanzlei. Sonderfälle wie Konzernverbünde, Tochtergesellschaften und Einrichtungen, die Kritische Anlagen betreiben, bildet der Fragebogen nicht ab.

Was hat die Website damit zu tun?

Die Website ist meist das exponierteste System eines Unternehmens — öffentlich erreichbar, voller Drittanbieter-Code, oft ohne Update-Prozess. Patch-Management, Zugriffskontrolle, Backups und Vorfallerkennung aus § 30 BSIG gelten auch für sie. Genau das setzt unsere NIS2-Härtung für WordPress um.

Kostenloses Werkzeug

NIS2-Betroffenheitsprüfung: Bin ich betroffen?

Drei Angaben, eine Einordnung: Der Schnellcheck prüft Sektor und Unternehmensgröße nach den Regeln des NIS2-Umsetzungsgesetzes und sagt, ob Sie als „besonders wichtige" oder „wichtige" Einrichtung gelten — und was dann zu tun ist. Läuft komplett in Ihrem Browser, nichts wird übertragen.

In welchem Sektor ist Ihr Unternehmen hauptsächlich tätig?

Beschäftigte Jahresumsatz (Mio. €) Bilanzsumme (Mio. €)

Wir betreiben einen Dienst, der unabhängig von der Größe erfasst ist: DNS-Dienst, TLD-Registry, Domain-Registrar, qualifizierter Vertrauensdienst, öffentliches Telekommunikationsnetz oder -dienst, oder eine Kritische Anlage (KRITIS).

So rechnet die Prüfung

Das Gesetz kennt zwei Schwellen. Mittleres Unternehmen: mindestens 50 Beschäftigte oder mehr als 10 Millionen Euro Umsatz und mehr als 10 Millionen Euro Bilanzsumme — in einem der 18 Sektoren ergibt das eine „wichtige Einrichtung". Großes Unternehmen: mindestens 250 Beschäftigte oder mehr als 50 Millionen Euro Umsatz und mehr als 43 Millionen Euro Bilanzsumme — in einem Sektor mit hoher Kritikalität ergibt das eine „besonders wichtige Einrichtung". Bestimmte Betreiber sind unabhängig von der Größe erfasst.

Die Registrierungsfrist lief am 6. März 2026 ab (Nachfrist bis 31. Juli 2026). Wer betroffen ist und noch nicht registriert, sollte das umgehend nachholen. Hintergrund, Pflichten und die Übersetzung auf die Website stehen im Ratgeber NIS2: Wer ist betroffen?

Wer ist von NIS2 betroffen?: Unternehmen und Einrichtungen in 18 Sektoren, sobald sie mindestens 50 Beschäftigte haben oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme. Ab 250 Beschäftigten oder 50 Millionen Umsatz gelten sie in den Sektoren mit hoher Kritikalität als „besonders wichtige Einrichtung". Einige Betreiber sind unabhängig von der Größe betroffen, etwa DNS-Dienste, TLD-Registries, Vertrauensdienste und Telekommunikationsanbieter.
Was muss eine betroffene Einrichtung tun?: Sich beim BSI registrieren, die Risikomanagement-Maßnahmen nach § 30 BSIG umsetzen (unter anderem Risikoanalyse, Vorfallbewältigung, Backups, Zugriffskontrolle, Patch-Management, Lieferkettensicherheit), erhebliche Sicherheitsvorfälle melden (Erstmeldung binnen 24 Stunden, Folgemeldung binnen 72 Stunden, Abschlussbericht nach einem Monat) und die Geschäftsleitung schulen und in die Verantwortung nehmen.
Ist diese Prüfung verbindlich?: Nein. Sie ist eine vereinfachte Einordnung nach den Größen- und Sektorregeln des Gesetzes und ersetzt keine Rechtsberatung. Verbindlich ist die Betroffenheitsprüfung des BSI und im Zweifel die Einschätzung Ihrer Kanzlei. Sonderfälle wie Konzernverbünde, Tochtergesellschaften und Einrichtungen, die Kritische Anlagen betreiben, bildet der Fragebogen nicht ab.
Was hat die Website damit zu tun?: Die Website ist meist das exponierteste System eines Unternehmens — öffentlich erreichbar, voller Drittanbieter-Code, oft ohne Update-Prozess. Patch-Management, Zugriffskontrolle, Backups und Vorfallerkennung aus § 30 BSIG gelten auch für sie. Genau das setzt unsere NIS2-Härtung für WordPress um.