Fallen Sie unter NIS2?
Die Frage beantwortet Ihnen keine Behörde. Das NIS2-Umsetzungsgesetz verlangt, dass jedes Unternehmen selbst prüft und dokumentiert, ob es in den Anwendungsbereich fällt – auch dann, wenn das Ergebnis negativ ausfällt.
Der Schnelltest unten gibt Ihnen in zwei Minuten eine erste Antwort. Er läuft vollständig in Ihrem Browser: Solange Sie nicht selbst auf „Anfrage senden" klicken, erfahren wir nichts von Ihren Angaben – kein Name, keine Zahlen, keine E-Mail-Adresse.
NIS2-Schnelltest
Rechtsstand wird geladen · Ersteinschätzung, keine Rechtsberatung
Kriterienkatalog wird geladen …
Die Fristen sind bereits verstrichen
Sachlich und ohne Dramatik: Das NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025 ohne Übergangsfrist. Die Registrierungsfrist beim BSI ist am 6. März 2026 abgelaufen, die kommunizierte Nachfrist am 31. Juli 2026.
Betreiber kritischer Anlagen trifft zusätzlich das KRITIS-Dachgesetz, in Kraft seit dem 17. März 2026. Hier ist die Lage eine andere: Eine Registrierungspflicht beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe besteht derzeit noch nicht, weil die Rechtsverordnung zur Bestimmung der kritischen Anlagen noch erarbeitet und abgestimmt wird. Erst mit ihrem Inkrafttreten wird registriert; die Risikoanalyse folgt neun Monate danach. Das BBK empfiehlt ausdrücklich, die Zeit bis dahin für die Resilienz zu nutzen.
Wenn Sie unter NIS2 fallen und noch nicht registriert sind: Das ist der Punkt, den man zuerst angeht. Die Registrierung selbst ist schnell erledigt und setzt keine der übrigen Maßnahmen voraus. Alles Weitere schließt daran an.
Direkt zu den Behörden
-
BSI-Portal – Registrierung nach § 33 BSIG
Die Registrierung läuft in zwei Schritten: zuerst „Mein Unternehmenskonto", danach das BSI-Portal.
-
Schritt-für-Schritt-Anleitung zur Registrierung des BSI
Führt durch beide Schritte, inklusive der Angaben, die Sie bereithalten sollten – Anschrift, Ansprechpartner und die öffentlich erreichbaren, statischen IP-Bereiche.
-
Registrierungspflicht gemäß § 33 Abs. 6 BSIG
Die verbindlichen Einzelheiten des Verfahrens als Dokument des BSI.
-
BBK – Fragen und Antworten zum KRITIS-Dachgesetz
Der aktuelle Stand zur noch ausstehenden Registrierungspflicht für kritische Anlagen.
Externe Links zu den zuständigen Bundesbehörden. Stand der Prüfung: 06.09.2026.
Von der Einstufung bis zum laufenden Nachweis
Fünf Stufen, einzeln beauftragbar. Sie müssen nicht die ganze Leiter buchen – die meisten fangen mit der Einstufung an und entscheiden danach.
1 · NIS2-Einstufung
Verifikation und Dokumentation Ihrer Selbsteinstufung nach § 28 BSIG: Sektorzuordnung, Größenschwellen einschließlich der Zwei-Jahres-Bedingung, Konzernverhältnisse, kritische Anlagen, sektorspezifisches Vorrangrecht. Sie erhalten ein Ergebnispapier mit dokumentiertem Prüfweg, der Pflichtenübersicht und einer Kurzauskunft, die Sie Kunden auf Lieferantenfragebögen geben können.
2 · NIS2-Assessment
Gap-Analyse gegen die zehn Maßnahmenbereiche des § 30 BSIG, Asset- und Kritikalitätsübersicht, Risikoregister-Erstentwurf, priorisierte Roadmap mit Aufwandsschätzung.
3 · ISMS-Aufbau und Dokumentation
Sicherheitsleitlinie, Risikomanagement-Prozess, Richtlinien, Business-Continuity- und Backup-Konzept, Incident-Response-Plan mit der Meldekette 24 Stunden / 72 Stunden / ein Monat, Lieferantensicherheit, Unterweisung der Geschäftsführung nach § 38 BSIG.
4 · Technische Umsetzung
Asset- und Konfigurationsmanagement, zentrales Logging und Monitoring, Backup-Härtung mit Rücksicherungstest, Identity und Mehr-Faktor-Anmeldung, Netzsegmentierung, Systemhärtung, Notfallübung.
5 · Betrieb und Nachweis
Laufende Nachweisführung für die technisch messbaren Anforderungen des § 30 BSIG: Asset- und Softwarebestand, Patch- und Lebenszyklusstand, offene Ports, erkannte Vorfälle, Wirksamkeit im Zeitverlauf. Überwachung rund um die Uhr, Datenhaltung ausschließlich in der EU. Was sich nicht messen lässt, weisen wir als Lücke aus statt es zu behaupten.
Was wir tun – und was nicht
Unsere Leistung ist eine technisch-organisatorische Sachverhaltsaufnahme mit fachlicher Einschätzung. Sie ist keine Rechtsberatung und keine Rechtsdienstleistung im Sinne des Rechtsdienstleistungsgesetzes. Entscheidung und Dokumentation der Selbsteinstufung bleiben Sache Ihrer Geschäftsleitung – das schreibt das Gesetz so vor, und daran ändert auch ein Gutachten nichts.
Berührt Ihr Fall eine echte Rechtsfrage – etwa den Vorrang sektorspezifischer Regelungen oder eine mehrdeutige Einrichtungsartzuordnung –, sagen wir das deutlich und ziehen auf Ihren Wunsch eine auf IT-Sicherheitsrecht spezialisierte Kanzlei hinzu. Die erhobenen Sachverhalte stellen wir dafür aufbereitet zur Verfügung.
Lieber gleich sprechen?
Ein kurzes Gespräch reicht meist, um die Lage zu sortieren – unverbindlich.
NIS2-Einstufung anfragen