ONEHUNDRED
onehundred-cloud.com

NIS2-Betroffenheits-Check

Fällt Ihr Unternehmen unter NIS2?

Das NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025 für rund 29.500 Unternehmen in Deutschland. Ob Ihres dazugehört, entscheidet sich an Sektor, Größe und ein paar Sonderfällen. Dieser Check geht die Kriterien aus § 28 BSIG Schritt für Schritt mit Ihnen durch.

  • Bis zu 9 Fragen
  • Rund 3 Minuten
  • Ohne Anmeldung

Unverbindliche Ersteinschätzung auf Basis Ihrer Angaben, kein Rechtsrat und kein Ersatz für die Prüfung zur Selbst-Identifizierung. Das BSI bietet unter betroffenheitspruefung-nis-2.bsi.de eine eigene, anonyme Prüfung an.

Was der Check prüft

Sektor, Größe, Sonderfälle: die drei Kriterien aus § 28 BSIG.

Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist am 6. Dezember 2025 ohne Übergangsfrist in Kraft getreten. Es unterscheidet besonders wichtige und wichtige Einrichtungen. Wer dazugehört, steht in § 28 des BSI-Gesetzes.

Sektor

Anlage 1 nennt sieben Sektoren (Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, Digitale Infrastruktur, Weltraum), Anlage 2 sieben weitere (Post und Kurier, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste, Forschung). Innerhalb der Sektoren zählen nur die dort bestimmten Einrichtungsarten.

Größe

Besonders wichtig sind Einrichtungen aus Anlage 1 ab 250 Mitarbeitenden oder ab 50 Mio. € Umsatz und 43 Mio. € Bilanzsumme. Wichtig sind Einrichtungen aus Anlage 1 oder 2 ab 50 Mitarbeitenden oder ab 10 Mio. € Umsatz und Bilanzsumme. Partner- und verbundene Unternehmen zählen mit, wenn die IT nicht unabhängig betrieben wird.

Sonderfälle

Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Diensteanbieter sind unabhängig von der Größe besonders wichtig. Anbieter öffentlicher Telekommunikationsnetze und -dienste sind immer mindestens wichtig. Für die Bundesverwaltung gilt § 29.

Quellen

Stand der Rechtsgrundlage: 14. September 2026.

Zur NIS2-Beratung für Backup und Disaster Recovery Leitfaden: NIS2, wer betroffen ist und was technisch zu tun ist

Nachgefragt

Häufig gestellte Fragen.

Ist das Ergebnis rechtsverbindlich?
Nein. Der Check ist eine automatisierte Ersteinschätzung auf Basis Ihrer Angaben nach § 28 BSIG. Er ersetzt weder die Prüfung zur Selbst-Identifizierung noch eine rechtliche Beratung. Das BSI bietet eine eigene, anonyme Betroffenheitsprüfung an, die ebenfalls nicht rechtsverbindlich ist.
Was ist der Unterschied zwischen besonders wichtigen und wichtigen Einrichtungen?
Die Pflichten sind weitgehend dieselben: Registrierung, Risikomanagement, Meldepflichten, Verantwortung der Geschäftsleitung. Besonders wichtige Einrichtungen unterliegen der laufenden Aufsicht des BSI und dem höheren Bußgeldrahmen (bis 10 Mio. € oder 2 % statt bis 7 Mio. € oder 1,4 % des Umsatzes); Betreiber kritischer Anlagen müssen die Umsetzung zusätzlich alle drei Jahre nachweisen.
Zählt meine Unternehmensgruppe mit?
Grundsätzlich ja: Mitarbeitende, Umsatz und Bilanzsumme von Partner- und verbundenen Unternehmen werden nach der KMU-Empfehlung der EU hinzugerechnet. Ausnahme: Ihr Unternehmen betreibt seine IT-Systeme, Komponenten und Prozesse unabhängig von der Gruppe (§ 28 Abs. 4 BSIG). Dann zählen nur die eigenen Zahlen.
Was passiert mit meinen Antworten?
Solange Sie keinen Termin buchen, bleiben die Antworten in Ihrem Browser und werden nicht übertragen. Buchen Sie am Ende einen Termin, übermitteln wir Ihre Antworten zusammen mit der E-Mail-Adresse aus der Buchung an unser CRM, damit Nils Hornke sie vor dem Gespräch kennt. Details in der Datenschutzerklärung.
Übernimmt onehundred die rechtliche Betroffenheitsprüfung?
Nein. onehundred verantwortet die technische Umsetzung: Risikomanagement im Betrieb, Nachweise, Backup und Wiederanlauf, souveräne Infrastruktur. Für die rechtliche Einordnung, Registrierung und Meldeprozesse arbeiten wir mit spezialisierten Partnern zusammen.