NIS2-Betroffenheitsprüfung: Ist mein Unternehmen betroffen?

Ob ein Unternehmen vom deutschen NIS2UmsuCG und damit vom neu gefassten BSI-Gesetz (BSIG) erfasst wird, hängt meist von der Einrichtungsart (Sektor) und der Unternehmensgröße ab – gemessen an Mitarbeiterzahl, Jahresumsatz und Jahresbilanzsumme; einige Einrichtungsarten sind größenunabhängig erfasst. Die Betroffenheitsprüfung nach §28 BSIG liegt in der Eigenverantwortung jeder Organisation — eine Mitteilung der Betroffenheit durch das BSI erfolgt nicht. Dieser Leitfaden erklärt, wie die Prüfung systematisch durchgeführt wird: welche Schwellenwerte gelten, welche Sektoren erfasst sind, wie der Entscheidungsbaum strukturiert ist und wie das BSI-Tool unter betroffenheitspruefung-nis-2.bsi.de dabei unterstützt.

Eine vollständige Analyse des Anwendungsbereichs der NIS-2-Richtlinie — einschließlich grenzüberschreitender Szenarien und Ausnahmen — bietet unser Artikel zum NIS-2-Anwendungsbereich.

Was ist die NIS2-Betroffenheitsprüfung?

Die Betroffenheitsprüfung ist der Ausgangspunkt der gesamten NIS2-Compliance: Sie beantwortet die Frage, ob eine Organisation überhaupt zu den Einrichtungen gehört, die durch das NIS2UmsuCG reguliert werden. Der Regierungsentwurf schätzte ihre Zahl auf knapp 30.000 (rund 8.250 besonders wichtige und 21.600 wichtige Einrichtungen, BT-Drucksache 21/1501); registriert hatten sich bis zum 30.09.2026 laut BSI 20.141 Einrichtungen. Das Ergebnis bestimmt, ob eine Registrierungspflicht nach §33 BSIG besteht, welche Risikomanagementmaßnahmen nach §30 BSIG umzusetzen sind und welchem Aufsichtsregime das Unternehmen unterliegt.

Wichtig: Kein Unternehmen erhält einen behördlichen Bescheid darüber, ob es betroffen ist — eine verbindliche Mitteilung der Betroffenheit durch das BSI erfolgt nicht. Wer fälschlicherweise davon ausgeht, nicht betroffen zu sein, riskiert, die Registrierungsfrist zu versäumen; für Einrichtungen, die seit Inkrafttreten des Gesetzes am 6. Dezember 2025 erfasst sind, endete sie am 6. März 2026.

Das BSI stellt dafür ein Online-Tool bereit: Die NIS-2-Betroffenheitsprüfung unter betroffenheitspruefung-nis-2.bsi.de liefert eine automatisierte Ersteinschätzung, ob und als welche Kategorie die Organisation voraussichtlich betroffen ist. Das Ergebnis ist rechtlich nicht bindend und ersetzt keine rechtliche Beratung in Grenzfällen.

Schwellenwerte: Besonders wichtige vs. wichtige Einrichtung

Das BSIG kennt zwei Kategorien betroffener Einrichtungen. Die Kernpflichten gelten für beide; Unterschiede bestehen vor allem bei Aufsichtsintensität und Bußgeldrahmen. Für Einrichtungen, die einer Einrichtungsart der Anlagen 1 oder 2 BSIG zuzuordnen sind, gelten nach §28 BSIG folgende Größenschwellen:

Kategorie	Mitarbeiter (Jahresarbeitseinheiten)	Umsatz und Bilanzsumme	Sektoren	BSI-Aufsicht
Besonders wichtige Einrichtung (§28 Abs. 1 Satz 1 Nr. 4)	≥250	ODER: >50 Mio. € Umsatz UND >43 Mio. € Bilanz	Anlage 1	Prüfung auch ohne Anlass möglich (§61 BSIG)
Wichtige Einrichtung (§28 Abs. 2 Satz 1 Nr. 3)	≥50	ODER: >10 Mio. € Umsatz UND >10 Mio. € Bilanz	Anlage 1 (unterhalb der Schwellen oben) oder Anlage 2	Anlassbezogen, bei Verdacht auf Verstöße (§62 BSIG)

Reine Anlage-2-Einrichtungen bleiben auch oberhalb von 250 Mitarbeitern wichtige Einrichtungen. Drei häufige Irrtümer bei der Schwellenwertprüfung, die in der Praxis immer wieder zu Fehleinschätzungen führen:

Irrtum 1 — Mitarbeiterzahl ODER Finanzkennzahlen: Die Schwellen sind alternativ formuliert — es reicht, wenn entweder das Mitarbeiterkriterium oder das Finanzkriterium erfüllt ist. Ein Unternehmen aus einem erfassten Sektor mit 60 Mitarbeitern erreicht damit die Schwelle für eine wichtige Einrichtung, auch wenn Umsatz und Bilanzsumme die Grenzwerte nicht erreichen.

Irrtum 2 — Umsatz UND Bilanzsumme kumulativ: Innerhalb der Finanzkennzahlen gilt eine kumulative Bedingung: Umsatz UND Bilanzsumme müssen die jeweilige Schwelle überschreiten. Ein Unternehmen mit 80 Mio. € Umsatz, aber einer Bilanzsumme von nur 8 Mio. €, erfüllt die Finanzschwelle nicht — sofern es auch weniger als 50 Mitarbeiter hat.

Irrtum 3 — Konzernebene: Die Schwellen werden nicht isoliert je juristischer Person geprüft. Nach §28 Abs. 4 BSIG gilt die KMU-Empfehlung 2003/361/EG: Daten verbundener Unternehmen werden grundsätzlich vollständig, Daten von Partnerunternehmen (ab 25 % Beteiligung) anteilig hinzugerechnet — laut BSI auch solche verbundener Unternehmen außerhalb der EU. Das entfällt, wenn das Unternehmen hinsichtlich seiner IT-Systeme und -Prozesse unabhängig von diesen Unternehmen ist (§28 Abs. 4 Satz 2 BSIG). Betroffen ist jeweils die Gesellschaft, die selbst eine erfasste Tätigkeit ausübt; die Mutter wird nicht automatisch erfasst, nur weil eine Tochter betroffen ist.

Die wesentlichen Unterschiede in den Compliance-Pflichten und im BSI-Aufsichtsregime zwischen den beiden Kategorien beschreibt unser Artikel zu wesentlichen und wichtigen Einrichtungen ausführlich.

Die 18 Sektoren nach Anhang 1 und Anhang 2

Die NIS-2-Richtlinie nennt 18 Sektoren in zwei Anhängen; das BSIG übernimmt sie in seinen Anlagen 1 und 2, gliedert sie aber teilweise anders. Nur wer einer dort genannten Einrichtungsart zuzuordnen ist oder zu den größenunabhängigen Sonderfällen gehört, kann betroffen sein — Größenschwellen allein genügen nicht.

Anhang I NIS-2-Richtlinie — Sektoren mit hoher Kritikalität (11)	Anhang II NIS-2-Richtlinie — Sonstige kritische Sektoren (7)
Energie	Post- und Kurierdienste
Verkehr	Abfallbewirtschaftung
Bankwesen	Produktion, Herstellung und Handel mit chemischen Stoffen
Finanzmarktinfrastrukturen	Lebensmittelproduktion, -verarbeitung und -vertrieb
Gesundheitswesen	Verarbeitendes Gewerbe / Herstellung von Waren
Trinkwasser	Anbieter digitaler Dienste
Abwasser	Forschung
Digitale Infrastruktur
IKT-Dienstleistungsmanagement (B2B)
Öffentliche Verwaltung
Weltraum

Im BSIG umfasst Anlage 1 sieben Sektoren: Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, Digitale Infrastruktur (einschließlich Managed (Security) Service Provider, also des IKT-Dienstleistungsmanagements) und Weltraum. Die öffentliche Verwaltung ist nicht Teil der Anlagen: Die Bundesverwaltung regelt §29 BSIG gesondert, Landes- und Kommunalverwaltungen unterliegen Landesrecht.

Entscheidend für die Zuordnung sind die in den Anlagen genannten Einrichtungsarten. Im Sektor „Digitale Infrastruktur“ sind unter anderem Internet-Austauschknoten, DNS-Diensteanbieter (ohne Root-Nameserver), TLD-Registries, Cloud-Computing-Dienste, Rechenzentrumsdienste, Content-Delivery-Netzwerke, Vertrauensdiensteanbieter, öffentliche Telekommunikationsnetze und -dienste sowie Managed (Security) Service Provider aufgeführt. Wer IT nur für eigene Zwecke betreibt, gehört diesem Sektor nicht an. Konzerninterne IT-Dienstleister mit administrativem Zugriff auf Systeme anderer Konzerngesellschaften können nach Auffassung des BSI dagegen als Managed Service Provider gelten.

Der Sektor „Verarbeitendes Gewerbe/Herstellung von Waren“ in Anlage 2 erfasst nicht die gesamte produzierende Industrie, sondern nur bestimmte Teilbereiche: Hersteller von Medizinprodukten und In-vitro-Diagnostika sowie Unternehmen der NACE-Abteilungen 26 (Datenverarbeitungsgeräte, elektronische und optische Erzeugnisse), 27 (elektrische Ausrüstungen), 28 (Maschinenbau), 29 (Kraftwagen und Kraftwagenteile) und 30 (sonstiger Fahrzeugbau). Eine sorgfältige Zuordnung anhand der NACE-Klassifikation ist hier entscheidend. Welcher Code dabei gilt (WZ 2008, nicht WZ 2025), warum der eine Statistik-Code Ihres Unternehmens allein nicht entscheidet und welche sieben Einrichtungsarten überhaupt am NACE-Code hängen, erklärt unser Leitfaden zum NACE-Code und der NIS2-Betroffenheit.

Im Sektor „Gesundheit“ (Anlage 1) sind Erbringer von Gesundheitsdienstleistungen, EU-Referenzlaboratorien, Arzneimittelforschung und pharmazeutische Herstellung sowie Hersteller von Medizinprodukten erfasst, die für gesundheitliche Notlagen als kritisch eingestuft sind; übrige Medizinproduktehersteller fallen unter Anlage 2. Betreibt eine Gesundheitseinrichtung zudem eine kritische Anlage, ist sie unabhängig von ihrer Größe besonders wichtige Einrichtung.

Entscheidungsbaum: Bin ich nach NIS2 betroffen?

Die folgende Prüfsequenz bildet die Betroffenheitslogik des §28 BSIG vereinfacht als Entscheidungsbaum ab. Den Entscheidungsbaum, der seinem Tool zugrunde liegt, hat das BSI zusätzlich als PDF veröffentlicht.

Schritt 1: Niederlassung
Ist die Organisation in Deutschland niedergelassen (§59 BSIG)? Für bestimmte digitale Anbieter kommt es stattdessen auf die Hauptniederlassung in der EU an (§60 BSIG).
→ Nein: In der Regel nicht nach dem BSIG betroffen (ggf. aber nach dem Umsetzungsgesetz eines anderen Mitgliedstaats)
→ Ja: Weiter zu Schritt 2

Schritt 2: Größenunabhängige Sonderfälle
→ Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, TLD-Registries, DNS-Diensteanbieter: Besonders wichtige Einrichtung — unabhängig von der Größe
→ Nicht qualifizierte Vertrauensdiensteanbieter: Wichtige Einrichtung — unabhängig von der Größe
→ Betreiber öffentlicher Telekommunikationsnetze oder Anbieter öffentlich zugänglicher Telekommunikationsdienste: ab 50 Beschäftigten ODER (>10 Mio. € Umsatz UND >10 Mio. € Bilanzsumme) besonders wichtige, darunter wichtige Einrichtung
→ Keiner dieser Fälle: Weiter zu Schritt 3

Schritt 3: Einrichtungsart
Bietet die Organisation entgeltlich Waren oder Dienstleistungen an und ist sie mit einer nicht vernachlässigbaren Geschäftstätigkeit einer Einrichtungsart der Anlage 1 oder 2 BSIG zuzuordnen?
→ Nein: Nicht betroffen
→ Ja, Anlage 1: Weiter zu Schritt 4a
→ Ja, nur Anlage 2: Weiter zu Schritt 4b

Schritt 4a: Anlage-1-Einrichtung — Größenschwelle
→ ≥250 Beschäftigte (Jahresarbeitseinheiten) ODER (>50 Mio. € Umsatz UND >43 Mio. € Bilanzsumme): Besonders wichtige Einrichtung
→ ≥50 Beschäftigte ODER (>10 Mio. € Umsatz UND >10 Mio. € Bilanzsumme): Wichtige Einrichtung
→ Keine Schwelle erreicht: Nicht betroffen

Schritt 4b: Anlage-2-Einrichtung — Größenschwelle
→ ≥50 Beschäftigte ODER (>10 Mio. € Umsatz UND >10 Mio. € Bilanzsumme): Wichtige Einrichtung
→ Keine Schwelle erreicht: Nicht betroffen

Praxishinweis: Bei mehreren Tätigkeitsfeldern ist jede Tätigkeit gesondert zuzuordnen; maßgeblich ist die höchste Einstufung. Tätigkeiten, die im Hinblick auf die gesamte Geschäftstätigkeit vernachlässigbar sind, können nach §28 Abs. 3 BSIG unberücksichtigt bleiben. Laut BSI gilt das für Tätigkeiten ausschließlich für interne Zwecke (z. B. PV-Anlage für den Eigenbedarf, interne IT), nicht aber für am Markt angebotene Leistungen; für konzerninterne Leistungen nennt das BSI zusätzliche Grenzen (u. a. weniger als 50 Mitarbeiter und jeweils unter 10 % von Umsatz und Bilanzsumme). Für die größenunabhängigen Sonderfälle aus Schritt 2 gilt §28 Abs. 3 nicht.

Sonderregelungen: Automatische Betroffenheit ohne Größenschwelle

Für bestimmte Einrichtungstypen entfällt die Größenschwelle. Nach §28 Abs. 1 Satz 1 Nr. 1 und 2 BSIG gelten sie als besonders wichtige Einrichtungen — unabhängig von Mitarbeiterzahl, Umsatz oder Bilanzsumme:

• Betreiber kritischer Anlagen (§2 Nr. 22 BSIG): Ob eine Anlage kritisch ist, ist laut BSI weiterhin anhand der BSI-Kritisverordnung zu prüfen, solange die neue Verordnung nach dem KRITIS-Dachgesetz nicht in Kraft ist (§66 BSIG). Zusätzlich gilt etwa die Nachweispflicht nach §39 BSIG.
• Qualifizierte Vertrauensdiensteanbieter nach der eIDAS-Verordnung (EU) Nr. 910/2014. Nicht qualifizierte Vertrauensdiensteanbieter gelten größenunabhängig als wichtige Einrichtungen (§28 Abs. 2 Satz 1 Nr. 1 BSIG).
• TLD-Registries und DNS-Diensteanbieter (öffentliche rekursive Resolver und autoritative DNS-Dienste für Dritte); Betreiber von Root-Nameservern sind ausdrücklich ausgenommen (§2 Nr. 8 BSIG).

Auch Telekommunikationsanbieter (öffentliche Netze und Dienste) sind größenunabhängig erfasst, aber abgestuft: ab 50 Mitarbeitern oder über 10 Mio. € Umsatz und Bilanzsumme als besonders wichtige, darunter als wichtige Einrichtungen (§28 Abs. 1 Satz 1 Nr. 3, Abs. 2 Satz 1 Nr. 2 BSIG).

Die öffentliche Verwaltung ist gesondert geregelt: Für Einrichtungen der Bundesverwaltung gelten nach §29 BSIG grundsätzlich die Regeln für besonders wichtige Einrichtungen, nicht jedoch unter anderem §38, §61 und §65. Für Landes- und Kommunalverwaltungen sind die Länder zuständig. Kommunale Eigenbetriebe fallen laut BSI in der Regel nicht unter das BSIG — es sei denn, sie betreiben kritische Anlagen oder überschreiten die Schwellenwerte.

Das BSI-Tool zur Betroffenheitsprüfung nutzen

Das BSI stellt unter betroffenheitspruefung-nis-2.bsi.de ein strukturiertes Online-Tool bereit, das anonym genutzt werden kann.

Das Tool stellt konkrete, an der Gesetzgebung orientierte Fragen und gibt am Ende eine automatisierte Ersteinschätzung aus, ob die Einrichtung betroffen sein könnte, samt Erläuterung der daraus folgenden Pflichten. Einrichtungen der Bundes-, Landes- und Kommunalverwaltung werden im Tool nicht betrachtet.

Das Ergebnis ist eine Orientierungshilfe, keine verbindliche Behördenentscheidung: Nach dem Hinweis des BSI ersetzt das Tool die Prüfung zur Selbst-Identifizierung nicht und hat für eventuelle Verfahren keine Indizwirkung. Für Grenzfälle — Konzernstrukturen, gemischte Tätigkeiten, Unternehmen nahe an den Schwellenwerten — empfiehlt sich ergänzende rechtliche Beratung. Die anschließende Registrierung nach §33 BSIG erfolgt im BSI-Portal.

Nach der Betroffenheitsprüfung: Die nächsten Schritte

Wer nach der Prüfung als besonders wichtige oder wichtige Einrichtung einzustufen ist, hat vier unmittelbar relevante Pflichtenblöcke aus dem BSIG zu erfüllen.

Registrierung beim BSI (§33 BSIG): Die Registrierung im BSI-Portal hat spätestens drei Monate, nachdem eine Einrichtung erstmals oder erneut als (besonders) wichtige Einrichtung gilt, zu erfolgen; für seit Inkrafttreten erfasste Einrichtungen lief die Frist am 6. März 2026 ab. Ausstehende Registrierungen sollten unverzüglich nachgeholt werden — andernfalls kann das BSI die Registrierung selbst vornehmen (§33 Abs. 3 BSIG), und es droht eine Geldbuße von bis zu 500.000 € (§65 Abs. 2 Nr. 6, Abs. 5 BSIG).

Risikomanagementmaßnahmen (§30 BSIG): Die zehn Mindestmaßnahmen nach §30 Abs. 2 BSIG — darunter Konzepte zur Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs, Sicherheit der Lieferkette und Multi-Faktor-Authentifizierung — sind umzusetzen; ihre Einhaltung ist zu dokumentieren (§30 Abs. 1 Satz 3 BSIG).

Meldepflichten (§32 BSIG): Bei erheblichen Sicherheitsvorfällen gelten gestufte Fristen: frühe Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden nach Kenntniserlangung und Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung.

Geschäftsleitungspflichten (§38 BSIG): Geschäftsleitungen müssen die Risikomanagementmaßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Bei schuldhafter Pflichtverletzung haften sie ihrer Einrichtung nach Gesellschaftsrecht (§38 Abs. 2 BSIG).

Den vollständigen deutschen Rechtsrahmen mit Bußgeldrahmen nach §65 BSIG, BSI-Aufsichtsbefugnissen und aktuellen Registrierungszahlen erklärt unser NIS2-Deutschland-Leitfaden. Die vollständige Compliance-Checkliste mit allen Umsetzungsschritten finden Sie unter NIS-2-Compliance-Checkliste.

Häufig gestellte Fragen

Muss die Betroffenheitsprüfung regelmäßig wiederholt werden?

Es empfiehlt sich, etwa nach jedem Jahresabschluss und nach Zukäufen oder Umstrukturierungen. Dabei gilt nach Art. 4 Abs. 2 des Anhangs der KMU-Empfehlung (anwendbar über §28 Abs. 4 BSIG): Ein erstmaliges Überschreiten der Größenschwellen in einem einzelnen Geschäftsjahr genügt laut BSI — außer bei Neugründungen — nicht; erforderlich ist eine Überschreitung in zwei aufeinanderfolgenden Geschäftsjahren. Ab dann läuft die Dreimonatsfrist für die Registrierung (§33 Abs. 1 BSIG). Ändern sich registrierte Angaben, sind sie dem BSI unverzüglich, spätestens binnen zwei Wochen ab Kenntnis der Änderung zu übermitteln (§33 Abs. 5 BSIG).

Was passiert, wenn ein Unternehmen die Schwellen vorübergehend unterschreitet?

Der Status ergibt sich aus dem Gesetz, nicht aus der Registrierung. Ein einzelnes schwächeres Geschäftsjahr führt in der Regel nicht zum Statusverlust: Nach Art. 4 Abs. 2 des Anhangs der Empfehlung 2003/361/EG ändert sich die Einstufung erst bei Unterschreitung in zwei aufeinanderfolgenden Geschäftsjahren; bis dahin gelten die Pflichten fort. Die Anpassung der Registrierung sollte mit dem BSI geklärt werden.

Wie wird die Mitarbeiterzahl für die Schwellenwertprüfung berechnet?

Maßgeblich ist nach §28 Abs. 4 BSIG die Empfehlung 2003/361/EG: Gezählt wird in Jahresarbeitseinheiten (JAE), Teilzeit- und Saisonkräfte zählen anteilig. Erfasst sind Arbeitnehmer, ihnen nach nationalem Recht gleichgestellte weisungsgebundene Personen, mitarbeitende Eigentümer und regelmäßig tätige Teilhaber; Auszubildende sowie Zeiten des Mutterschafts- bzw. Elternurlaubs zählen nicht. Grundlage ist der letzte Rechnungsabschluss, einschließlich der Daten von Partner- und verbundenen Unternehmen (siehe Irrtum 3). In Zweifelsfällen empfiehlt sich eine Einzelfallprüfung.

Kann das BSI eine falsche Selbsteinstufung rückwirkend sanktionieren?

Eine unterbliebene, unrichtige oder verspätete Registrierung kann als Ordnungswidrigkeit mit einer Geldbuße von bis zu 500.000 € geahndet werden (§65 Abs. 2 Nr. 6, Abs. 5 BSIG). Verstöße gegen §30 oder §32 BSIG sind mit deutlich höheren Geldbußen bedroht — bei besonders wichtigen Einrichtungen bis zu 10 Mio. € bzw. bei mehr als 500 Mio. € Gesamtumsatz bis zu 2 % des weltweiten Gesamtumsatzes (§65 Abs. 5 und 6 BSIG). Bei Verdacht auf eine unterlassene Registrierung kann das BSI Unterlagen und Auskünfte verlangen (§33 Abs. 4 BSIG).

Was unterscheidet die Betroffenheitsprüfung von der BSI-Registrierung?

Die Betroffenheitsprüfung ist der erste Schritt: Sie stellt fest, ob eine Organisation betroffen ist und in welche Kategorie sie fällt. Die BSI-Registrierung nach §33 BSIG ist der zweite, formale Schritt: Sie meldet die Organisation offiziell beim BSI an und ist Voraussetzung für die weitere Compliance-Arbeit. Das BSI-Tool unter betroffenheitspruefung-nis-2.bsi.de unterstützt den ersten Schritt; für den zweiten Schritt ist das BSI-Portal erforderlich.

Gilt die NIS2-Betroffenheitsprüfung auch für Unternehmen mit Sitz im EU-Ausland und Niederlassung in Deutschland?

Ja. Maßgeblich ist grundsätzlich, ob die Einrichtung in Deutschland niedergelassen ist (§59 BSIG); erfüllt sie die Voraussetzungen des §28 BSIG, ist sie beim BSI registrierungspflichtig, auch wenn der Hauptsitz in einem anderen EU-Staat liegt. Für bestimmte digitale Einrichtungsarten (u. a. DNS-Diensteanbieter, TLD-Registries, Cloud-, Rechenzentrums- und CDN-Anbieter, Managed (Security) Service Provider, Online-Marktplätze, Suchmaschinen, soziale Netzwerke) ist dagegen allein der Mitgliedstaat der EU-Hauptniederlassung zuständig (§60 BSIG). Auch Unternehmen mit Hauptsitz außerhalb der EU, etwa in der Schweiz, können über eine deutsche Niederlassung erfasst sein.

Dieser Artikel stellt allgemeine Informationen bereit und stellt keine Rechts- oder Regulierungsberatung dar. Die Anforderungen können je nach Organisationstyp und spezifischer Tätigkeitskategorie variieren. Wenden Sie sich für eine auf Ihre Situation zugeschnittene Beratung an einen qualifizierten Rechtsanwalt oder Compliance-Spezialisten.

Quellen

1. NIS-2-Betroffenheitsprüfung — Bundesamt für Sicherheit in der Informationstechnik (BSI)
2. NIS-2-Betroffenheitsprüfung: Wer ist betroffen? (mit Entscheidungsbaum) — Bundesamt für Sicherheit in der Informationstechnik (BSI)
3. Allgemeine FAQ zu NIS-2 — Bundesamt für Sicherheit in der Informationstechnik (BSI)
4. NIS-2-Pflichten — Bundesamt für Sicherheit in der Informationstechnik (BSI)
5. NIS-2 in Zahlen (Stand 30.09.2026) — Bundesamt für Sicherheit in der Informationstechnik (BSI)
6. §28 BSIG — Besonders wichtige Einrichtungen und wichtige Einrichtungen — Bundesministerium der Justiz
7. Anlage 1 BSIG — Sektoren besonders wichtiger und wichtiger Einrichtungen und Anlage 2 BSIG — Sektoren wichtiger Einrichtungen — Bundesministerium der Justiz
8. Gesetzentwurf der Bundesregierung zur Umsetzung der NIS-2-Richtlinie, BT-Drucksache 21/1501 — Deutscher Bundestag
9. Empfehlung 2003/361/EG der Kommission betreffend die Definition der Kleinstunternehmen sowie der kleinen und mittleren Unternehmen — EUR-Lex
10. Das NIS2-Umsetzungsgesetz NIS2UmsuCG — OpenKRITIS
11. Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau (NIS2) — EUR-Lex