NIS2-Selbstcheck

Im Cyber Security Report 2026 von Schwarz Digits (veröffentlicht im März 2026, 1.001 befragte Unternehmen in Deutschland) gaben 48 Prozent an, sich nicht von NIS2 betroffen zu sehen. Bei kleinen Unternehmen mit 10 bis 49 Mitarbeitenden und mehr als 10 Millionen Euro Jahresumsatz waren es 92 Prozent.

Ob diese Einschätzung zutrifft, muss jedes Unternehmen selbst prüfen: Die Betroffenheit entsteht kraft Gesetzes, es gibt keinen Bescheid und keine Benachrichtigung. Diese Liste hilft Ihnen dabei, bevor es jemand anderes für Sie tut.

Die 10 Fragen

1. Betroffenheit: Gehört Ihr Unternehmen, oder ein Großteil Ihrer Kunden, zu einem der NIS2-Sektoren (Energie, Gesundheit, digitale Infrastruktur, Transport, Abfallwirtschaft, verarbeitendes Gewerbe und weitere)?
2. Größe: Mindestens 50 Mitarbeitende oder mehr als 10 Millionen Euro Jahresumsatz?
3. Lieferkette: Sind Ihre wichtigsten Kunden selbst NIS2-pflichtig? Dann trifft es Sie vielleicht indirekt.
4. Registrierung: Beim BSI angemeldet? Die Frist war der 6. März 2026. Spät ist besser als nie.
5. Risikomanagement: Gibt es eines, dokumentiert und regelmäßig aktualisiert?
6. Notfallplan: Steht fest, wer im Ernstfall als Erstes informiert wird?
7. Meldepflicht: Ist im Haus bekannt, dass ein erheblicher Vorfall innerhalb von 24 Stunden gemeldet werden muss?
8. Asset-Inventar: Gibt es eine aktuelle Liste aller kritischen Systeme und ihrer Verantwortlichen?
9. Außensicht: Wann hat zuletzt jemand von außen geprüft, was aus dem Internet erreichbar ist?
10. Basisschutz: Mehrfaktor-Authentifizierung auf den kritischen Systemen aktiv?

Mehr als drei Mal "weiß ich nicht"? Dann klären Sie das in den nächsten Wochen. Nicht erst nach dem nächsten Vorfall.

Sie stellen Produkte her?

Dann gilt für Sie unabhängig von NIS2 eine zweite Frist: Am 11. September 2026 greifen die Meldepflichten des Cyber Resilience Act für Hersteller vernetzter Produkte. Dort gibt es keine Größenschwelle, und die Pflicht gilt auch für Produkte, die längst im Markt sind.

Zum Ablaufplan CRA-Meldebereitschaft →