Skip to content

NIS2

NIS2: Ist Ihr Unternehmen betroffen?

NIS2 verpflichtet deutlich mehr Unternehmen als bisher zur IT-Sicherheit – vor allem mittelständische Betriebe aus Sektoren wie Energie, Gesundheit, Transport, digitale Infrastruktur oder verarbeitendes Gewerbe ab bestimmten Mitarbeiter- und Umsatzgrößen. Wer betroffen ist, muss Risikomanagement-Maßnahmen nachweisen – die Geschäftsführung haftet dabei persönlich. Beraterium hilft Ihnen, Ihre Betroffenheit zu prüfen und die wichtigsten Risiken mit dem 3-Ebenen-Gefahrenkatalog in Euro bewertet sichtbar zu machen.

Book a free intro callFrequently asked questions →

DIREKT-CHECK

Welche Unternehmen müssen NIS2 umsetzen?

Sie sind wahrscheinlich betroffen, wenn Ihr Unternehmen mindestens eines der folgenden Kriterien erfüllt:

  • Mindestens 50 Mitarbeitende oder mehr als 10 Mio. € Jahresumsatz
  • Tätigkeit in einem NIS2-Sektor (z. B. Energie, Gesundheit, Transport, digitale Infrastruktur, verarbeitendes Gewerbe, Abfallwirtschaft)
  • Wichtiger Zulieferer eines bereits NIS2-pflichtigen Unternehmens
  • Verarbeitung kritischer Daten oder Betrieb kritischer IT-Systeme
  • Seit 12/2025ist NIS2 in Deutschland Pflicht
  • Bis 10 Mio. €mögliches Bußgeld bei Verstößen
  • Persönlichhaftet die Geschäftsführung bei Pflichtverletzung
  • Unter 2 %der KMU sind optimal gegen Cyberrisiken geschützt

PFLICHTEN IM ÜBERBLICK

Was verlangt NIS2 konkret von betroffenen Unternehmen?

NIS2 ist seit Dezember 2025 in Deutschland verbindlich und schreibt betroffenen Unternehmen einen Katalog an Cybersicherheits-Pflichten vor. Im Kern geht es nicht um ein Zertifikat, sondern um nachweisbares Risikomanagement: Sie müssen zeigen, dass Sie Ihre IT-Risiken kennen, bewerten und mit angemessenen Maßnahmen behandeln.

Die Geschäftsführung trägt dabei die persönliche Verantwortung – sie muss die Maßnahmen freigeben, ihre Umsetzung überwachen und sich selbst schulen lassen. Diese Pflicht lässt sich nicht vollständig an die IT-Abteilung oder externe Dienstleister delegieren.

  • Technische und organisatorische Schutzmaßnahmen: Risikoanalyse, Zugriffskontrollen, Verschlüsselung, Backup-Konzepte und Notfallpläne
  • Registrierung beim Bundesamt für Sicherheit in der Informationstechnik (BSI)
  • Meldepflichten bei erheblichen Sicherheitsvorfällen – mit festen Fristen ab 24 Stunden
  • Schulung von Geschäftsführung und Mitarbeitenden zu Cyberrisiken
  • Absicherung der Lieferkette: Sicherheitsanforderungen auch an kritische Zulieferer und Dienstleister

DIE FOLGEN VON NIS2

Was passiert, wenn Sie NIS2 ignorieren?

NIS2 ist kein Papiertiger. Wer die Anforderungen nicht erfüllt, riskiert mehr als ein Bußgeld.

  • Unklare Betroffenheit

    Ohne Prüfung wissen Sie nicht, ob Sie zur Sektorenliste gehören oder die Schwellenwerte erreichen – und verpassen Fristen unbemerkt.

  • Persönliche Haftung

    Bei Pflichtverletzung haftet nicht nur das Unternehmen, sondern die Geschäftsführung persönlich – zivil- und teils strafrechtlich.

  • Aktionismus statt Plan

    Ohne Priorisierung wird NIS2 zum teuren Compliance-Blindflug statt zu echtem Schutz vor den Risiken, die wirklich zählen.

IN 5 SCHRITTEN

Wie prüfen Sie Ihre NIS2-Betroffenheit?

Die Betroffenheitsprüfung folgt einer klaren Logik – Sektor, Größe, Lieferkette. In den meisten Fällen lässt sie sich in wenigen Tagen abschließen.

  1. Sektor prüfen

    Gleichen Sie Ihre Tätigkeit mit den NIS2-Sektorenlisten ab: Energie, Transport, Gesundheit, Wasser, digitale Infrastruktur, verarbeitendes Gewerbe, Abfallwirtschaft, Chemie, Ernährung und weitere.

  2. Schwellenwerte prüfen

    Ab 50 Mitarbeitenden oder mehr als 10 Mio. € Jahresumsatz bzw. Bilanzsumme fallen Unternehmen aus den gelisteten Sektoren in der Regel unter NIS2.

  3. Lieferkette prüfen

    Auch unterhalb der Schwellen können Sie betroffen sein – wenn Sie kritischer Zulieferer oder Dienstleister eines NIS2-pflichtigen Unternehmens sind, verlangt dieses Sicherheitsnachweise von Ihnen.

  4. Einstufung klären

    NIS2 unterscheidet wesentliche und wichtige Einrichtungen – mit unterschiedlich strenger Aufsicht und Bußgeldrahmen (bis 10 Mio. € bzw. bis 7 Mio. €).

  5. Risikoanalyse starten

    Leiten Sie Maßnahmen aus Ihrem tatsächlichen Risikobild ab, statt Checklisten abzuarbeiten – so erfüllen Sie die Pflicht und gewinnen echte Sicherheit.

MELDEFRISTEN

Welche Meldefristen gelten bei Sicherheitsvorfällen?

Bei einem erheblichen Sicherheitsvorfall läuft für NIS2-regulierte Unternehmen eine dreistufige Meldekette an das BSI. Parallel kann bei Verlust personenbezogener Daten die DSGVO-Meldung an die Datenschutzaufsicht (72 Stunden) fällig werden.

NIS2-Meldefristen bei erheblichen Sicherheitsvorfällen
FristMeldungInhalt
24 StundenErstmeldung ans BSIFrühwarnung: Verdacht auf erheblichen Sicherheitsvorfall, erste Einschätzung ob Angriff oder Störung
72 StundenBewertungsmeldungErste Bewertung von Schweregrad und Auswirkungen, Indikatoren der Kompromittierung
1 MonatAbschlussberichtDetaillierte Beschreibung des Vorfalls, Ursachen, ergriffene und laufende Gegenmaßnahmen

SO HILFT BERATERIUM

Wie führt Beraterium Sie von der NIS2-Pflicht zur echten Sicherheit?

NIS2-Konformität beginnt mit einem klaren Risikobild. Der 3-Ebenen-Gefahrenkatalog von Beraterium macht sichtbar, wo Ihr Unternehmen wirklich verwundbar ist – in Euro bewertet, nicht mit Ampelfarben.

WEITERFÜHRENDE ARTIKEL

Frequently asked questions

Welche Unternehmen müssen NIS2 umsetzen?

Betroffen sind vor allem mittelständische und größere Unternehmen aus definierten Sektoren wie Energie, Gesundheit, Transport, digitaler Infrastruktur oder verarbeitendem Gewerbe – meist ab 50 Mitarbeitenden oder 10 Mio. € Jahresumsatz. Auch wichtige Zulieferer betroffener Unternehmen können erfasst sein.

Was passiert, wenn ein Unternehmen NIS2 ignoriert?

Es drohen Bußgelder von bis zu 10 Mio. € oder einem Prozentsatz des Jahresumsatzes, je nach Einrichtungskategorie. Zusätzlich haftet die Geschäftsführung bei nachgewiesenen Pflichtverletzungen persönlich.

Was sind die Geschäftsführer-Pflichten nach NIS2?

NIS2 macht Geschäftsführer persönlich haftbar für die Implementierung von Cybersicherheitsmaßnahmen. Zu den Pflichten gehören: technische und organisatorische Schutzmaßnahmen, BSI-Registrierung, Meldepflichten bei Vorfällen (24 Stunden Erstmeldung, 72 Stunden vollständige Meldung) und Schulung der Mitarbeitenden. Bei Verstößen drohen Bußgelder von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes.

Was kostet die NIS2-Umsetzung ungefähr?

Die Kosten hängen stark von der IT-Ausgangslage und der Unternehmensgröße ab. Der günstigste erste Schritt ist eine strukturierte Risikoanalyse, die zeigt, welche Maßnahmen wirklich notwendig sind – statt pauschal in alles zu investieren.

Wie prüfe ich, ob mein Unternehmen betroffen ist?

Prüfen Sie Branche, Mitarbeiterzahl und Jahresumsatz gegen die NIS2-Sektorenliste und die Schwellenwerte. Im kostenlosen Erstgespräch bei Beraterium klären wir Ihre konkrete Betroffenheit in rund 30 Minuten.

Wer hilft KMU bei der NIS2-Betroffenheitsprüfung?

Beraterium unterstützt mittelständische Unternehmen dabei, ihre NIS2-Betroffenheit zu klären und die zugrunde liegenden Cyberrisiken mit dem 3-Ebenen-Gefahrenkatalog in Euro zu bewerten – praxisnah statt bürokratisch.

Was ist der Unterschied zwischen NIS2-Compliance und klassischem Risikomanagement?

NIS2 fordert konkrete Cybersicherheits- und Meldemaßnahmen, ersetzt aber kein umfassendes Risikomanagement. Beraterium ordnet NIS2-Anforderungen in ein vollständiges, priorisiertes Risikobild ein, statt sie isoliert abzuarbeiten.

Klären Sie Ihre NIS2-Betroffenheit – kostenlos und unverbindlich

Erstgespräch buchen – 30 Minuten, ohne Verkaufsdruck. Sie erhalten unsere Methode erklärt und wissen danach, wo Sie stehen.

Book a free intro call