NIS2 Checkliste: Bin ich betroffen — und was muss ich jetzt tun?

Kurze Antwort: Ihr Unternehmen ist von NIS2 betroffen, wenn es in einem Sektor aus Anhang I oder II der Richtlinie (EU) 2022/2555 tätig ist und mindestens 50 Mitarbeiter oder 10 Millionen Euro Jahresumsatz aufweist. Bestimmte Anbieter wie DNS-Auflösungsdienste, TLD-Registries, Rechenzentren und CDN-Anbieter unterliegen NIS2 ohne jede Größenschwelle. Nächster Schritt: Registrierung über das BSI-Portal MEROS.

Die NIS2-Richtlinie (EU) 2022/2555 ist seit dem 17. Oktober 2024 in nationales Recht umzusetzen. Mit dem NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) hat Deutschland diesen Rahmen verbindlich gemacht. Diese Checkliste führt Sie durch alle sechs Schritte — von der Betroffenheitsprüfung bis zur Einrichtung der Meldekaskade.

---

Schritt 1: Betroffenheitsprüfung — Bin ich überhaupt betroffen?

Die Betroffenheitsprüfung folgt einem strukturierten Entscheidungsbaum. Gehen Sie ihn in dieser Reihenfolge durch.

Ebene 1 — Sektor: Ist Ihre Haupttätigkeit einem Sektor aus Anhang I (wesentliche Einrichtungen) oder Anhang II (wichtige Einrichtungen) zuzuordnen?

• Nein → keine direkte NIS2-Pflicht. Dennoch: Lieferkettenpflichten Ihrer Auftraggeber können indirekt Anforderungen an Sie stellen.
• Ja → weiter zu Ebene 2.

Ebene 2 — Unternehmensgröße:

• ≥250 Mitarbeiter oder >50 Mio. € Jahresumsatz und >43 Mio. € Bilanzsumme → wesentliche Einrichtung (sofern Anhang-I-Sektor)
• ≥50 Mitarbeiter oder >10 Mio. € Jahresumsatz → wichtige Einrichtung (Anhang I oder II)
• Unter diesen Schwellen → in der Regel nicht direkt betroffen

Ebene 3 — Sonderregelungen ohne Größenschwelle: Unabhängig von Mitarbeiterzahl und Umsatz gelten als wesentliche Einrichtungen:

• DNS-Auflösungsdienste (rekursive Resolver, die öffentlich angeboten werden)
• TLD-Name-Registries
• Rechenzentrumsdienstleister
• Content Delivery Networks (CDN)
• Qualifizierte Vertrauensdiensteanbieter (gemäß eIDAS)
• Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste

Sektoren und Größenschwellen im Überblick

Anhang	Einrichtungstyp	Sektoren (Auswahl)	Mindestgröße
Anhang I	Wesentliche Einrichtung	Energie (Strom, Gas, Fernwärme, Erdöl, Wasserstoff), Verkehr (Luft, Bahn, Wasser, Straße), Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, Abwasser, Digitale Infrastruktur (IXP, DNS, TLD, Rechenzentren, CDN, Vertrauensdienste), IKT-Dienste (B2B), Öffentliche Verwaltung, Weltraum	≥250 MA oder >€50M Umsatz + >€43M Bilanz
Anhang II	Wichtige Einrichtung	Post- und Kurierdienste, Abfallwirtschaft, Chemikalien, Lebensmittel, Verarbeitende Industrie (Medizinprodukte, Datenverarbeitungsgeräte, Elektronik, Kfz, Transportmittel), Digitale Anbieter (Online-Marktplätze, Suchmaschinen, soziale Netzwerke), Forschungseinrichtungen	≥50 MA oder >€10M Umsatz
Sonderfall	Wesentliche Einrichtung kraft Funktion	DNS-Dienste, TLD-Registries, Rechenzentren, CDN, qualifizierte Vertrauensdienste, öffentliche Telekommunikationsnetze	keine Größenschwelle

Wichtiger Hinweis: Diese Einordnung ist eine Selbsteinschätzung auf Basis verfügbarer Informationen. Das BSI kann im Einzelfall korrigierend eingreifen. Halten Sie die Begründung Ihrer Einstufung schriftlich fest — dieser Nachweis ist im Prüfungsfall entscheidend.

---

Schritt 2: Registrierung beim BSI über das MEROS-Portal

Sobald Ihre Betroffenheit feststeht, ist die Registrierung beim Bundesamt für Sicherheit in der Informationstechnik (BSI) der erste formale Pflichtschritt.

Portal: BSI MEROS (Meldesystem und Registrierung für Betreiber systemrelevanter Infrastrukturen und vergleichbarer Einrichtungen)

Welche Angaben werden erfasst?

• Unternehmensname, Rechtsform, Sitz
• Sektorale Einordnung: Anhang I oder II, Sektor und Teilsektor
• 24/7-erreichbarer Ansprechpartner für IT-Sicherheit (Name, Telefon, E-Mail)
• Beschreibung der in den Geltungsbereich fallenden Netz- und Informationssysteme

Zur Frist: Das NIS2UmsuCG enthält keine starre Registrierungsfrist. Das BSI empfiehlt jedoch eine umgehende Registrierung nach Feststellung der Betroffenheit. Unternehmen, die bereits als KRITIS-Betreiber nach BSI-Gesetz registriert sind, müssen ihre Daten aktualisieren, nicht neu erfassen.

Praxis-Tipp: Klären Sie die sektorale Einordnung intern ab, bevor Sie die Registrierung einreichen. Eine falsche Einstufung kann nachgelagerte Bußgeldtatbestände erzeugen. Legen Sie das Ergebnis der Betroffenheitsprüfung als internes Dokument ab.

---

Schritt 3: Lückenanalyse — Was fehlt gegenüber Art. 21 NIS2?

Art. 21 Abs. 1 NIS2 verpflichtet alle betroffenen Einrichtungen zu geeigneten und verhältnismäßigen technischen, operativen und organisatorischen Maßnahmen zum Risikomanagement. Abs. 2 listet zehn Mindestbereiche auf. Gehen Sie jeden Punkt durch und prüfen Sie: Gibt es einen dokumentierten Nachweis?

Checkliste: 10 Pflichtbereiche nach Art. 21(2) NIS2

[ ] 1. Risikoanalyse und Sicherheitskonzepte (Art. 21(2)(a))

• Risikoregister mit Bedrohungs- und Schwachstellenanalyse vorhanden?
• Risikobehandlungsplan mit Maßnahmen, Verantwortlichen und Umsetzungsterminen?
• Regelmäßige Überprüfung des Risikoregisters (mindestens jährlich oder anlassbezogen)?
• Nachweis: Aktuelles Risikoregister + genehmigter Behandlungsplan + Prüfprotokoll mit Datum

[ ] 2. Bewältigung von Sicherheitsvorfällen (Art. 21(2)(b))

• Incident-Response-Plan (IRP) dokumentiert und genehmigt?
• Meldeprozess für die 24h/72h/1-Monat-Kaskade nach Art. 23 NIS2 definiert?
• Übungen oder Simulationen durchgeführt und dokumentiert?
• Nachweis: IRP-Dokument + Übungsprotokoll + Kommunikationsplan mit Eskalationspfaden

[ ] 3. Business Continuity und Krisenmanagement (Art. 21(2)(c))

• BCM-Konzept für Kernprozesse vorhanden (Orientierung: BSI-Standard 200-4 oder ISO 22301)?
• Backup-Strategie dokumentiert (Empfehlung: 3-2-1-Regel)?
• Recovery-Ziele (RTO und RPO) definiert, getestet und protokolliert?
• Nachweis: BCM-Dokumentation + Backup-Konzept + Wiederherstellungs-Testprotokoll

[ ] 4. Sicherheit der Lieferkette (Art. 21(2)(d))

• Kritische Lieferanten und Dienstleister mit Zugang zu Ihren Systemen identifiziert?
• Sicherheitsanforderungen in Verträgen verankert (Mindeststandards, Auditrechte)?
• Regelmäßige Lieferantenbewertungen oder Sicherheitsnachweise eingeholt?
• Nachweis: Lieferantenregister + Vertragsklauseln + aktuelle Bewertungsberichte

[ ] 5. Sicherheit bei Erwerb, Entwicklung und Wartung (Art. 21(2)(e))

• Patch- und Schwachstellenmanagement-Prozess mit definierten Reaktionszeiten etabliert?
• Sichere Entwicklungsprozesse definiert, sofern eigene Software betrieben wird?
• Penetrationstests oder Code-Reviews für kritische Systeme geplant oder durchgeführt?
• Nachweis: Patch-Management-Verfahrensanweisung + Schwachstellentracking + Testberichte

[ ] 6. Wirksamkeitsbewertung der Sicherheitsmaßnahmen (Art. 21(2)(f))

• Sicherheits-KPIs oder Metriken definiert (z. B. Mean Time to Detect, Patch-Abdeckungsrate)?
• Interne Audits oder externe Assessments geplant und terminiert?
• Management-Review der Sicherheitslage mit Protokollierung?
• Nachweis: Audit-Berichte + KPI-Übersicht + Management-Review-Protokoll

[ ] 7. Cyberhygiene und Schulungen (Art. 21(2)(g))

• Jährliche Sicherheitsschulungen für alle Mitarbeiter mit Teilnehmerlisten?
• Phishing-Simulationen durchgeführt und Ergebnisse dokumentiert?
• Richtlinien zu Passworthygiene, privaten Geräten (BYOD) und Clean-Desk-Policy?
• Nachweis: Schulungsnachweise + Teilnehmerlisten + aktuelle Richtliniendokumente

[ ] 8. Kryptographie und Verschlüsselung (Art. 21(2)(h))

• Kryptographie-Richtlinie vorhanden und an BSI-Empfehlungen zu Algorithmen ausgerichtet?
• Verschlüsselung sensibler Daten im Ruhezustand (at rest) und bei der Übertragung (in transit)?
• Schlüsselmanagement-Konzept mit Lebenszyklus-Dokumentation?
• Nachweis: Kryptographie-Richtlinie + Systemdokumentation + Konfigurationsnachweise

[ ] 9. Zugriffskontrolle, Human-Resource-Sicherheit und Asset-Management (Art. 21(2)(i))

• Vollständiges IT-Asset-Inventar (Hard- und Software) gepflegt und aktuell?
• Role-Based Access Control (RBAC) implementiert und regelmäßig reviewt?
• Privileged Access Management (PAM) für administrative Konten eingeführt?
• Nachweis: Asset-Inventar + Berechtigungskonzept + Access-Review-Protokolle

[ ] 10. Multi-Faktor-Authentifizierung und sichere Kommunikation (Art. 21(2)(j))

• MFA für alle Remote-Zugänge, privilegierten Konten und kritischen Anwendungen aktiv?
• Sichere E-Mail-Konfiguration (DKIM, DMARC, SPF) nachgewiesen?
• Verschlüsselung für interne Kommunikation sensibler Inhalte geregelt?
• Nachweis: MFA-Rollout-Dokumentation + DNS-Konfigurationsnachweise + Sicherheitskonzept

Lücken festhalten: Notieren Sie für jedes offene Häkchen: Wer ist verantwortlich? Welche Maßnahme ist geplant? Bis wann? Das ergibt direkt die Basis Ihres Umsetzungsplans.

---

Schritt 4: Umsetzungsplan — 30/60/90/180-Tage-Roadmap

Nicht alles lässt sich sofort umsetzen. Die folgende Roadmap priorisiert nach Risiko und Aufwand. Die Zeitangaben sind Orientierungswerte — Ihre tatsächliche Situation hängt vom Ausgangszustand ab.

Zeitraum	Priorität	Konkrete Maßnahmen
30 Tage	Kritisch	BSI-Registrierung über MEROS abschließen · 24/7-Sicherheitskontakt benennen · Meldeprozess für 24h-Erstmeldung definieren · Risikoregister erstmals erstellen oder aktualisieren · Incident-Response-Verantwortlichen festlegen
60 Tage	Hoch	Lückenanalyse nach Art. 21 vollständig dokumentieren · MFA für alle Remote-Zugänge und privilegierten Konten aktivieren · BCM-Basiskonzept erstellen · Kritische Lieferanten identifizieren und bewerten · Erste Mitarbeiterschulung durchführen
90 Tage	Mittel	Patch-Management-Prozess formalisieren · Backup-Restore-Tests durchführen und dokumentieren · Kryptographie-Richtlinie verabschieden · Lieferantenverträge um Sicherheitsklauseln ergänzen · Schulung der Geschäftsleitung nach Art. 20 NIS2 durchführen
180 Tage	Aufbau	Erstes internes Audit planen und durchführen · PAM-Lösung für administrative Konten einführen · BCM-Übung (Tabletop oder Live) durchführen · KPI-Dashboard für Leitungsorgane aufbauen · Phishing-Simulationen als regelmäßige Maßnahme etablieren

Verhältnismäßigkeit: Art. 21(1) NIS2 verlangt ausdrücklich verhältnismäßige Maßnahmen unter Berücksichtigung des Risikos, der Unternehmensgröße und der gesellschaftlichen Bedeutung. Ein mittelständischer Maschinenbauer mit 80 Mitarbeitern ist nicht verpflichtet, die gleichen technischen Kontrollen wie ein überregionaler Energieversorger zu implementieren — muss aber nachweisen, dass er die Risiken systematisch bewertet und angemessen adressiert hat.

---

Schritt 5: Meldepflichten einrichten — Die 24/72-Stunden-Kaskade

Art. 23 NIS2 definiert eine dreistufige Meldekaskade für erhebliche Sicherheitsvorfälle. Die Meldung erfolgt an das BSI als zuständige nationale Behörde.

Stufe 1 — Frühwarnung (binnen 24 Stunden nach Kenntnisnahme):

• Einfache Meldung: Es liegt ein erheblicher Vorfall vor
• Angabe: Gibt es Verdacht auf einen vorsätzlichen rechtswidrigen Akt? Könnte der Vorfall grenzüberschreitende Auswirkungen haben?
• Vollständige technische Analyse ist nicht erforderlich

Stufe 2 — Vorfallsmeldung (binnen 72 Stunden):

• Aktualisierung der Erstmeldung
• Erste Bewertung: Schweregrad, betroffene Systeme, mutmaßliche Angriffsvektoren
• Beschreibung erster Eindämmungsmaßnahmen

Stufe 3 — Abschlussbericht (binnen eines Monats nach Schlussmeldung):

• Vollständige Vorfallsbeschreibung
• Ursachenanalyse (Root Cause Analysis)
• Getroffene und geplante Abhilfemaßnahmen mit Zeitplan

Was ist ein erheblicher Vorfall? Art. 23(3) NIS2 definiert erhebliche Vorfälle als solche, die erhebliche Betriebsstörungen oder finanzielle Verluste verursacht haben oder haben könnten, oder die andere natürliche oder juristische Personen durch beträchtliche materielle oder immaterielle Schäden erheblich beeinträchtigt haben oder beeinträchtigen könnten. Im Zweifel empfiehlt sich Melden — eine ungerechtfertigte Meldung ist deutlich folgenärmer als eine unterlassene.

Interne Voraussetzungen für eine funktionsfähige Meldekaskade:

• Benannter 24/7-erreichbarer Sicherheitskontakt mit validierter Erreichbarkeit
• Dokumentierte interne Eskalationspfade (Wer informiert wen? In welcher Reihenfolge?)
• Vorbereitete Meldevorlagen für die MEROS-Plattform (spart im Krisenfall wertvolle Zeit)
• Regelmäßige Übungen der Meldekaskade — mindestens einmal jährlich

---

Schritt 6: Schulung der Geschäftsleitung nach Art. 20 NIS2

Art. 20 Abs. 1 NIS2 macht die Leitungsorgane direkt verantwortlich: Sie müssen die Cybersicherheitsmaßnahmen genehmigen, deren Umsetzung überwachen und haften bei groben Verstößen persönlich. Art. 20 Abs. 2 verpflichtet die Mitgliedstaaten sicherzustellen, dass Leitungsorgane Schulungen zu Cybersicherheit absolvieren, um Risiken und deren geschäftliche Auswirkungen einschätzen zu können.

Was die Geschäftsleitung verstehen muss:

• Welche NIS2-Pflichten gelten für das Unternehmen (Einrichtungstyp, Sektor)?
• Welche Maßnahmen hat die Geschäftsführung formell genehmigt — und warum?
• Was löst die Meldepflicht aus, und wer informiert die Geschäftsleitung?
• Welche persönlichen Haftungsrisiken bestehen bei nachweislichem Fehlverhalten?

Dokumentation ist nicht optional: Halten Sie Schulungsdatum, Teilnehmerlisten und vermittelte Inhalte fest. Im Prüfungsfall muss nachweisbar sein, dass die Geschäftsleitung aktiv eingebunden war — nicht nur formell per E-Mail informiert wurde.

Praxis-Empfehlung: Integrieren Sie NIS2-Sicherheitsthemen in reguläre Managementberichte. Ein Quartalsbericht zur Sicherheitslage, den das Leitungsorgan zur Kenntnis nimmt und unterzeichnet, schafft eine nachvollziehbare Dokumentationskette und sensibilisiert kontinuierlich.

---

Was passiert bei Verstößen? Bußgeldrahmen und Aufsichtsbefugnisse

Das NIS2UmsuCG sieht empfindliche Sanktionen vor, die sich nach Einrichtungstyp unterscheiden.

Wesentliche Einrichtungen (Anhang I):

• Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes — der jeweils höhere Betrag gilt
• Persönliche Haftung der Leitungsorgane bei nachgewiesener grober Fahrlässigkeit
• Befristete Untersagung der Ausübung von Leitungsfunktionen bei wiederholten oder schwerwiegenden Verstößen

Wichtige Einrichtungen (Anhang II):

• Bußgelder bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes
• Reaktive Aufsicht — das BSI greift in der Regel nach einem Vorfall oder einer substantiierten Beschwerde ein

Weitere Aufsichtsbefugnisse des BSI:

• Vor-Ort-Prüfungen und anlasslose Remote-Assessments (bei wesentlichen Einrichtungen)
• Bindende Anordnung konkreter Sicherheitsmaßnahmen mit Umsetzungsfristen
• Öffentliche Bekanntmachung von Verstößen unter bestimmten Bedingungen (Naming and Shaming)
• Anforderung von Sicherheitsaudits oder Zertifizierungsnachweisen

Mitigationsfaktor Dokumentation: Unternehmen, die kooperieren, nachweislich an der Umsetzung arbeiten und Vorfälle fristgerecht melden, haben in Aufsichtsverfahren deutlich bessere Ausgangspositionen. Eine vollständige, nachvollziehbare Dokumentation — Risikoregister, Behandlungsplan, Schulungsnachweise, Meldekopien — ist kein Bürokratieakt, sondern Ihr wichtigstes rechtliches Schutzinstrument.

---

Normen als Umsetzungshilfe: ISO 27001, IT-Grundschutz und NIS2

NIS2 schreibt keine bestimmte Norm vor. Es schreibt Ergebnisse vor: Risikoanalyse, dokumentierte Maßnahmen, nachgewiesene Wirksamkeit. Wie Sie diese Ergebnisse erreichen, bleibt Ihnen überlassen. In der deutschen Praxis haben sich zwei Rahmenwerke etabliert.

ISO/IEC 27001 als internationaler Referenzrahmen

ISO 27001 strukturiert ein Informationssicherheits-Managementsystem (ISMS) und deckt die zehn Pflichtbereiche des Art. 21(2) NIS2 weitgehend ab. Eine bestehende ISO-27001-Zertifizierung erleichtert den NIS2-Nachweis erheblich — sie ersetzt ihn jedoch nicht vollständig, weil NIS2 in einzelnen Bereichen (insbesondere Meldepflichten und Lieferkettensicherheit) über den ISO-Standard hinausgeht.

Die Erklärung zur Anwendbarkeit (Statement of Applicability, SoA) aus ISO 27001 ist zwar nicht ausdrücklich von NIS2 gefordert, aber als Dokumentationsinstrument gegenüber dem BSI anerkannt. Sie zeigt, welche Maßnahmen aus Anhang A angewendet und welche begründet ausgeschlossen wurden.

BSI IT-Grundschutz: Besondere Relevanz für deutsche Betreiber

IT-Grundschutz nach BSI-Standard 200-1 (Managementsysteme für Informationssicherheit), 200-2 (IT-Grundschutz-Methodik), 200-3 (Risikoanalyse) und 200-4 (Business Continuity Management) ist spezifisch auf den deutschen Rechtsrahmen ausgerichtet. Die Bausteine des IT-Grundschutz-Kompendiums decken technische und organisatorische Maßnahmen ab, die direkt auf NIS2-Anforderungen einzahlen.

Für Unternehmen, die keine ISO-27001-Zertifizierung anstreben, ist der Basis-Absicherung nach IT-Grundschutz ein pragmatischer Einstiegspunkt: Er definiert ein Mindestmaß an Sicherheitsmaßnahmen für typische Geschäftsprozesse ohne aufwendige individuelle Risikoanalyse.

Vergleich: Welcher Rahmen passt wann?

Kriterium	ISO/IEC 27001	BSI IT-Grundschutz
Internationale Anerkennung	Hoch (global anerkannt)	Mittel (vorwiegend DACH)
Zertifizierbarkeit	Ja (akkreditierte Auditoren)	Ja (BSI-Zertifikat möglich)
Aufwand für Einstieg	Mittel bis hoch	Mittel (Basis-Absicherung)
BSI-Akzeptanz	Anerkannt	Bevorzugt für Behörden und KRITIS
NIS2-Abdeckung	Weitgehend (SoA-Lücken beachten)	Weitgehend (BCM via 200-4)
Geeignet für	Internationale Unternehmen, Konzerne	Mittelstand, Behörden, KRITIS-nah

Pragmatischer Einstieg für Mittelständler: Starten Sie mit der IT-Grundschutz-Basis-Absicherung für Ihre kritischsten Prozesse. Dokumentieren Sie den Geltungsbereich, die durchgeführten Maßnahmen und die offenen Punkte. Diese Dokumentation bildet die Grundlage für Ihren NIS2-Nachweis gegenüber dem BSI — ohne dass Sie sofort eine vollständige Zertifizierung anstreben müssen.

---

Weiterführende Artikel: NIS2 Hub — Alle Pflichten im Überblick · NIS2 Anforderungen im Detail