Zum Inhalt springen
Demo buchen
Kostenlose Selbsteinschätzung · NIS2 nach § 28 BSIG

Betroffen oder nicht? In 5 Minuten einordnen und dokumentieren

Für Zulieferer und Mittelständler: Mit der NIS2-Selbsteinschätzung ordnen Sie Ihr Unternehmen nach § 28 BSIG ein. Das Ergebnis sehen Sie sofort. Auf Wunsch senden wir Ihnen die Dokumentation Ihrer Selbsteinschätzung als PDF, gerade auch dann, wenn keine unmittelbare Einstufung festgestellt wird.

Selbsteinschätzung starten

Kostenlos · Ohne Registrierung · Ergebnis sofort auf der Seite · PDF per E-Mail

01TätigkeitSonderregeln, Sektor nach Anlage 1 und 2, besondere Einrichtungen
02GrößeBeschäftigte, Jahresumsatz, Jahresbilanzsumme, Schwellenwechsel
03BeteiligungenPartner- und verbundene Unternehmen, IT-Unabhängigkeit (§ 28 Abs. 4 BSIG)

Nach den Kriterien des BSIG · Server, Datenbank und Dateien in Rechenzentren in Frankfurt

Was ist NIS2?

NIS2 (Network and Information Security Directive 2) ist eine EU-Richtlinie zur Cybersicherheit, die im Oktober 2022 in Kraft trat. In Deutschland ist sie über das NIS2UmsuCG umgesetzt, das am 6. Dezember 2025 in Kraft getreten ist und das BSIG entsprechend geändert hat. Der Kreis der betroffenen Unternehmen erweitert sich erheblich - von bisher ca. 2.000 auf über 30.000 Unternehmen in Deutschland.

Ziel ist ein einheitlich hohes Cybersicherheitsniveau in der EU. Betroffene Unternehmen müssen technische und organisatorische Maßnahmen umsetzen, Sicherheitsvorfälle melden und ihre Lieferkette sichern. Die Geschäftsleitung muss die Risikomanagementmaßnahmen nach § 38 Abs. 1 BSIG umsetzen und ihre Umsetzung überwachen und nach § 38 Abs. 3 BSIG regelmäßig an Schulungen teilnehmen. Verletzt sie diese Pflichten schuldhaft, haftet sie der Einrichtung gegenüber für den entstandenen Schaden (§ 38 Abs. 2 BSIG).

Mit der kostenlosen NIS2-Selbsteinschätzung ordnen Sie in rund fünf Minuten ein, ob Ihr Unternehmen nach Ihren Angaben betroffen ist, und sehen die Herleitung mit den maßgeblichen Vorschriften. Unklare oder komplexe Sachverhalte kennzeichnet sie als „Prüfung empfohlen“, statt sie auszurechnen.

Wer ist von NIS2 betroffen?

NIS2 gilt für Unternehmen in 18 kritischen Sektoren ab einer bestimmten Größe.

Sektoren nach Anlage 1 · Proaktive Aufsicht

Besonders wichtige Einrichtungen

  • Mindestens 250 Beschäftigte ODER
  • über 50 Mio. EUR Jahresumsatz UND
  • über 43 Mio. EUR Jahresbilanzsumme

Beispiele: Energie, Transport, Gesundheit, Trinkwasser, Digitale Infrastruktur, Managed Service Provider

Anlage 1 ab mittlerer Größe, Anlage 2 · Nachgelagerte Aufsicht

Wichtige Einrichtungen

  • Mindestens 50 Beschäftigte ODER
  • über 10 Mio. EUR Jahresumsatz UND
  • über 10 Mio. EUR Jahresbilanzsumme

Beispiele: Post und Kurier, Abfall, Chemie, Lebensmittel, Maschinenbau, mittlere Unternehmen aus Anlage 1

IT-Dienstleister: Managed Service Provider stehen in Anlage 1 (Verwaltung von IKT-Diensten). Ab 250 Beschäftigten oder mit mehr als 50 Mio. Euro Umsatz und 43 Mio. Euro Bilanzsumme können sie besonders wichtige Einrichtung sein, ab mittlerer Größe wichtige Einrichtung. Für Zulieferer unterhalb der Schwellen gilt: Kunden geben Sicherheitsanforderungen oft vertraglich weiter.

NIS2-Pflichten im Überblick

Für deutsche Einrichtungen gilt das BSIG. Diese Pflichten treffen betroffene Einrichtungen.

Risikoanalyse & SicherheitskonzeptDokumentierte Bewertung aller IT-Risiken und ein genehmigtes Informationssicherheitskonzept.
VorfallsmeldungFrühe Erstmeldung innerhalb 24h, Meldung innerhalb 72h an das BSI, Abschlussmeldung nach einem Monat (§ 32 BSIG). Empfänger, Auswirkungen und Maßnahmen dokumentieren.
Business Continuity ManagementNotfallpläne, Backup-Strategien und Wiederanlaufprozeduren für kritische Systeme.
LieferkettensicherheitPrüfung und Steuerung der IT-Sicherheit bei Lieferanten und Dienstleistern (AVV, Sicherheitsanforderungen).
Zugangs- & IdentitätsmanagementMulti-Faktor-Authentifizierung, Privileged Access Management, sichere Authentifizierungsverfahren.
Kryptographie & VerschlüsselungKonzepte und Verfahren für Kryptografie und Verschlüsselung.
SchulungenRegelmäßige Cybersicherheitsschulungen für Mitarbeitende und Geschäftsführung.
Pflichten der GeschäftsleitungSie muss die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1 BSIG) und regelmäßig an Schulungen teilnehmen (Abs. 3). Bei schuldhafter Pflichtverletzung haftet sie der Einrichtung gegenüber (Abs. 2).

Warum dokumentieren, auch ohne unmittelbare Einstufung?

Das BSIG schreibt keine gesonderte Dokumentation einer negativen Einschätzung vor. Sinnvoll sein kann sie trotzdem.

Rückfragen von GeschäftspartnernKunden fragen in Lieferantenfragebögen zunehmend, ob Sie selbst unter NIS2 fallen. Die Dokumentation hält Ihre Angaben und die Herleitung nachvollziehbar fest.
Interne Bewertung festhaltenAngaben, dokumentierte Voraussetzungen und Prüfzeitpunkt stehen an einer Stelle, mit einem Feld zur Kenntnisnahme durch die Geschäftsführung.
Neueinschätzung bei ÄnderungenWächst Ihr Unternehmen über eine Schwelle oder ändern sich Beteiligungen, kann sich das Ergebnis ändern. Wir empfehlen, die Selbsteinschätzung jährlich zu wiederholen.

Die PDF-Dokumentation enthält Ihre Angaben, die Herleitung mit den Vorschriften aus § 28 BSIG, die dokumentierten Voraussetzungen, gekennzeichnete offene Punkte, Anlässe für eine Neueinschätzung und eine Kennung. Sie hält eine automatisierte Ersteinstufung auf Grundlage Ihrer Angaben fest und ist keine rechtsverbindliche Feststellung und keine individuelle Rechtsberatung.

Einordnen und dokumentieren

Häufige Fragen zur NIS2-Selbsteinschätzung

Was kostet die NIS2-Selbsteinschätzung?
Die NIS2-Selbsteinschätzung ist kostenlos und ohne Registrierung nutzbar. In rund fünf Minuten erhalten Sie nach Ihren Angaben eine automatisierte Ersteinstufung nach § 28 BSIG mit Begründung. Unklare oder komplexe Sachverhalte kennzeichnet sie als „Prüfung empfohlen“. Auf Wunsch senden wir Ihnen die Dokumentation Ihrer Selbsteinschätzung als PDF per E-Mail.
Ist diese Dokumentation gesetzlich vorgeschrieben?
Das BSIG schreibt keine gesonderte Dokumentation einer negativen NIS2-Betroffenheitsprüfung in Form dieses PDFs vor. Eine dokumentierte Selbsteinschätzung kann dennoch sinnvoll sein, um die für die interne Bewertung verwendeten Angaben und den Prüfzeitpunkt nachvollziehbar festzuhalten. Das kann auch bei Rückfragen von Geschäftspartnern hilfreich sein. Für tatsächlich verpflichtete Einrichtungen bestehen eigenständige gesetzliche Anforderungen, insbesondere an die Dokumentation von Risikomanagementmaßnahmen nach § 30 Abs. 1 BSIG. Dieses PDF erfüllt diese Anforderungen nicht.
Ab wann gilt NIS2 in Deutschland?
Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) wurde im Dezember 2025 im Bundesgesetzblatt verkündet und ist am 6. Dezember 2025 in Kraft getreten. Seitdem sind die Pflichten und die Bußgeldvorschriften des BSIG unmittelbar anwendbar, es gibt keine allgemeine Übergangsfrist für die Sicherheitspflichten. Die Registrierungsfrist beim BSI ist am 6. März 2026 abgelaufen.
Wer ist von NIS2 betroffen?
Das BSIG unterscheidet besonders wichtige und wichtige Einrichtungen in 18 Sektoren (u.a. Energie, Transport, Gesundheit, IT, digitale Infrastruktur). Besonders wichtige Einrichtungen haben mindestens 250 Beschäftigte ODER mehr als 50 Mio. Euro Jahresumsatz UND mehr als 43 Mio. Euro Jahresbilanzsumme. Wichtige Einrichtungen haben mindestens 50 Beschäftigte ODER mehr als 10 Mio. Euro Jahresumsatz UND mehr als 10 Mio. Euro Jahresbilanzsumme. Für einzelne Einrichtungsarten, etwa qualifizierte Vertrauensdiensteanbieter oder Betreiber kritischer Anlagen, gelten die Pflichten unabhängig von der Größe.
Was sind die wichtigsten NIS2-Pflichten?
NIS2 verpflichtet zu: Risikoanalysen und Sicherheitskonzepten, Vorfallsmeldungen an das BSI innerhalb von 24h (frühe Erstmeldung) und 72h (Meldung) nach § 32 BSIG, Business Continuity Management, Lieferkettenmanagement sowie Schulungen der Geschäftsführung. Nach § 38 Abs. 1 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen, nach § 38 Abs. 3 BSIG regelmäßig an Schulungen teilnehmen.
Wie hoch sind die NIS2-Bußgelder?
Bis zu 10 Millionen Euro oder 2% des weltweiten Jahresumsatzes (besonders wichtige Einrichtungen) bzw. 7 Millionen Euro oder 1,4% des Umsatzes (wichtige Einrichtungen). Das Bußgeld trifft die Einrichtung. Davon zu trennen ist die Pflicht der Geschäftsleitung nach § 38 Abs. 1 BSIG, die Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen: Verletzt sie diese Pflicht schuldhaft, haftet sie nach § 38 Abs. 2 BSIG der Einrichtung gegenüber für den entstandenen Schaden.
Was ist der Unterschied zwischen besonders wichtigen und wichtigen Einrichtungen?
Besonders wichtige Einrichtungen (mindestens 250 Beschäftigte ODER mehr als 50 Mio. Euro Jahresumsatz UND mehr als 43 Mio. Euro Jahresbilanzsumme) unterliegen der proaktiven Aufsicht des BSI und dem höheren Bußgeldrahmen. Wichtige Einrichtungen (mindestens 50 Beschäftigte ODER mehr als 10 Mio. Euro Jahresumsatz UND mehr als 10 Mio. Euro Jahresbilanzsumme) unterliegen nachgelagerter Aufsicht, das BSI wird also anlassbezogen tätig.
Muss ich mich beim BSI registrieren?
Ja. Betroffene Unternehmen müssen sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren. Die BSI-Registrierung ist eine Grundpflicht unter NIS2.
Wie lange dauert die NIS2-Umsetzung?
Ohne IT-Sicherheitskonzept 6-18 Monate. Mit CompliantDesk strukturieren Sie die Umsetzung: Aus dem NIS2-Check im Produkt (67 Fragen) entstehen Maßnahmen, dazu Richtlinien-Vorschläge und die Verwaltung der Nachweise.
Gilt NIS2 auch für IT-Dienstleister?
MSPs, IT-Systemhäuser und Cloud-Anbieter gehören zu den erfassten Sektoren und fallen in den Anwendungsbereich, wenn sie die Größenschwellen erreichen. Unabhängig davon werden sie über die Lieferkettensicherheit ihrer Kunden gefordert, die explizit Teil der NIS2-Anforderungen ist.

NIS2-Betroffenheit jetzt einordnen und dokumentieren

Selbsteinschätzung starten - kostenlos

Im Produkt folgt der ausführliche NIS2-Check mit 67 Fragen in 12 Kategorien.