Seit dem 6. Dezember 2025 ist das NIS2-Umsetzungsgesetz geltendes Recht - ohne Übergangsfrist. Rund 29.500 Unternehmen in Deutschland fallen darunter, registriert sind bis heute deutlich weniger. Dieser Check führt dich durch die Prüfreihenfolge des § 28 BSIG.
Ergebnis ist eine unverbindliche Ersteinschätzung: Betreiber einer kritischen Anlage, besonders wichtige Einrichtung, wichtige Einrichtung oder nicht betroffen. Eine verbindliche Einstufung oder Rechtsberatung ist das ausdrücklich nicht.
Hat euer Unternehmen eine Niederlassung in Deutschland oder erbringt es hier bzw. in der EU Dienstleistungen?
Das BSIG gilt für Einrichtungen mit Sitz oder Tätigkeit in Deutschland. Anbieter ohne Niederlassung, die ihre Dienste aber in der EU erbringen, müssen unter Umständen einen Vertreter in der EU benennen - das klären wir im Gespräch.
Betreibt euer Unternehmen eine Anlage in einem dieser KRITIS-Sektoren?
Gemeint sind Anlagen im Sinne der BSI-KritisV, also z. B. ein Kraftwerk, ein Wasserwerk, ein Krankenhaus oder ein Rechenzentrum. Betreiber einer kritischen Anlage sind unabhängig von der Unternehmensgröße immer erfasst - deshalb kommt diese Frage vor allen anderen.
Trifft eine dieser Tätigkeiten auf euch zu?
Diese Einrichtungsarten sind unabhängig von Mitarbeiterzahl und Umsatz erfasst - auch ein Unternehmen mit fünf Beschäftigten fällt hier unter NIS2. Mehrfachauswahl möglich.
Welche dieser Einrichtungsarten beschreibt eure tatsächliche Tätigkeit?
Maßgeblich ist, was euer Unternehmen wirklich tut - nicht der Branchencode im Handelsregister und nicht das eigene Marketing-Selbstbild. Mehrfachauswahl möglich. Sektoren zum Aufklappen anklicken.
Keine Einrichtungsart gefunden. Suchbegriff anpassen oder Sektoren durchblättern.
Wie groß ist euer Unternehmen?
Maßgeblich ist der letzte festgestellte Jahresabschluss. Mitarbeiter zählen als Jahresarbeitseinheiten (Vollzeitäquivalente).
Nach der KMU-Definition sind die Kennzahlen verbundener und Partnerunternehmen grundsätzlich mitzurechnen - die kleine deutsche Tochter eines großen Konzerns wird so häufig doch erfasst. § 28 Abs. 4 Satz 2 BSIG enthält dafür eine NIS2-spezifische Ausnahme, wenn die Einrichtung bei Beschaffenheit und Betrieb ihrer IT-Systeme unabhängig ist.
Wir schicken dir das Ergebnis samt Begründung per E-Mail. Im kostenlosen Erstgespräch klären wir dann, was wir technisch beitragen können - also welcher Penetrationstest in eurem Fall den Nachweis liefert. Die rechtliche Einstufung und die Meldung an das BSI bleiben bei euch.
Das Ergebnis ist auf dem Weg in dein Postfach. Wir melden uns innerhalb eines Werktags - bei dringenden Fragen erreichst du uns direkt unter +49 9281 5918506.
NIS2 ist die EU-Richtlinie 2022/2555 zur Cybersicherheit. In Deutschland umgesetzt wird sie durch das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), ein Mantelgesetz, das sich auf 22 Gesetze und Verordnungen auswirkt und im Kern das BSI-Gesetz vollständig neu fasst. Verkündet am 5. Dezember 2025, gilt es seit dem 6. Dezember 2025 - ohne Übergangsfrist. Die Zahl der vom BSI beaufsichtigten Einrichtungen steigt damit von rund 4.500 auf etwa 29.500.
Für die Einstufung zählen zwei Dinge: welcher Anlage des BSIG eure Tätigkeit zugeordnet ist (Anlage 1 oder Anlage 2) und in welche Größenklasse euer Unternehmen fällt. Betreiber kritischer Anlagen sowie einige Sondertypen - qualifizierte Vertrauensdiensteanbieter, TLD-Registries, DNS- und Telekommunikationsanbieter - sind dagegen unabhängig von ihrer Größe erfasst. Genau diese Reihenfolge prüft dieser Check.
Das NIS2UmsuCG tritt in Kraft. Alle materiellen Pflichten gelten ab diesem Tag, eine Übergangsfrist gibt es nicht.
Das BSI schaltet das Registrierungsportal frei. Die Anmeldung läuft zweistufig über Mein Unternehmenskonto (ELSTER-Organisationszertifikat) und anschließend das BSI-Portal.
Gesetzliche Registrierungsfrist nach § 33 BSIG. Zum Stichtag hatten sich rund 17.700 Einrichtungen registriert - deutlich weniger als die erwarteten 29.500.
Ende der Vollzugszurückhaltung des BSI. Das war keine Fristverlängerung: Der Ordnungswidrigkeitentatbestand bestand seit dem 7. März 2026 durchgehend fort. Seit August 2026 prüft das BSI sektorweise, priorisiert in Energie, Gesundheit und digitaler Infrastruktur.
Betreiber einer kritischen Anlage nach BSI-KritisV. Gilt automatisch als besonders wichtige Einrichtung, zusätzlich mit Angriffserkennung nach § 31 und Nachweispflicht alle drei Jahre nach § 39 BSIG.
Anlage-1-Sektoren ab Großunternehmensgröße sowie größenunabhängig qualifizierte Vertrauensdiensteanbieter, TLD-Registries, DNS- und größere TK-Anbieter. Proaktive Aufsicht, Bußgelder bis 10 Mio. € oder 2 % vom Weltumsatz.
Mittlere Unternehmen der Anlage 1 sowie alle Einrichtungen der Anlage 2 - unabhängig davon, wie groß sie sind. Gleiche Pflichten, aber reaktive Aufsicht und Bußgelder bis 7 Mio. € oder 1,4 % vom Weltumsatz.
Kein Anlage-Sektor, kein Sondertyp oder unterhalb der Größenschwellen. Wichtig: Die Selbst-Identifizierung bleibt Pflicht, und als Zulieferer betroffener Kunden können euch Anforderungen vertraglich doch erreichen.
Ihr wisst jetzt, auf welcher Stufe ihr steht. Der nächste Schritt ist der technische Nachweis: Wir prüfen eure Angriffsfläche und dokumentieren die Findings direkt gemappt auf den Anforderungskatalog des Art. 21 Abs. 2 NIS2.
Kostenloses Erstgespräch anfragenAccess Granted ist ein Penetrationstest-Dienstleister. Wir liefern den technischen Teil: Penetrationstests, Angriffssimulationen und Berichte, die sich als Nachweis für die technischen Anforderungen verwenden lassen. Wir übernehmen ausdrücklich NICHT die Registrierung beim BSI, nicht die rechtliche Einstufung eurer Einrichtung, keine Rechtsberatung und keine Zertifizierung. Dieser Check ist deshalb als erster Orientierungsschritt gedacht, nicht als Compliance-Nachweis.