Kurz vorweg: Ob NIS2 euch trifft, entscheidet sich in zwei Schritten, und „wir sind zu klein” ist selten der richtige. Erst zählt der Sektor: Seid ihr in keiner der erfassten Branchen, seid ihr in der Regel raus. Seid ihr drin, zählt die Größe — und die rechnet ihr inklusive eurer verbundenen Unternehmen. Genau daran verschätzen sich die meisten.
Das ist die Kurzfassung des Tests. Was NIS2 überhaupt verlangt, sobald ihr betroffen seid, steht im Überblicksbeitrag zu NIS2 im Mittelstand. Hier geht es nur um die eine Frage davor: Gilt das für uns?
Diese Einordnung hilft beim Sortieren, ersetzt aber keine rechtliche Prüfung.
Schritt 1: der Sektor
NIS2 hängt zuerst an der Branche, nicht an der Größe. Das Gesetz führt die erfassten Sektoren in zwei Anlagen: Energie, Verkehr, Wasser, Gesundheit, Banken, digitale Infrastruktur und IT-Dienste in der einen, dazu Post, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe und Forschung in der anderen. Wer in keinem dieser Bereiche tätig ist, fällt in der Regel nicht unter NIS2.
Eine Ausnahme gibt es: Manche Einrichtungen sind größenunabhängig erfasst, etwa qualifizierte Vertrauensdiensteanbieter, DNS-Dienste oder TLD-Registries. Für die spielt die Mitarbeiterzahl keine Rolle.
Schritt 2: die Größe
Seid ihr in einem erfassten Sektor, entscheidet die Größe über die Einstufung:
| Kategorie | Ab wann |
|---|---|
| Besonders wichtige Einrichtung | ab 250 Mitarbeitenden, oder über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme |
| Wichtige Einrichtung | ab 50 Mitarbeitenden, oder über 10 Mio. € Umsatz und über 10 Mio. € Bilanzsumme |
Unter 50 Mitarbeitenden und unter 10 Mio. € seid ihr meist raus — es sei denn, ihr fallt in eine der größenunabhängigen Sonderkategorien aus Schritt 1.
Verbundene Unternehmen zählen mit
Hier verschätzen sich viele. Die Größe rechnet ihr nicht nur mit euren eigenen Zahlen, sondern nach der EU-Empfehlung 2003/361/EG. Verbundene Unternehmen zählen zu 100 Prozent mit, Partnerunternehmen anteilig nach Beteiligung. Auch ausländische Mütter und Schwestern zählen dazu.
Konkret: Eine Firma mit 30 Leuten hält sich für zu klein — gehört aber zu einer Gruppe mit 400. Für NIS2 zählen die 400. „Zu klein” stimmt dann nicht, es fühlt sich nur so an. Wer zu einer größeren Struktur gehört, sollte diesen Schritt ernst nehmen, bevor er das Thema abhakt.
Wenn ihr betroffen seid
Dann führt der Weg über das BSI. Die Registrierung läuft seit Anfang 2026 über ein eigenes Portal, und eine Übergangsfrist gibt es nicht. Wer die erste Frist verpasst hat, sollte die Anmeldung zügig nachholen, denn die Pflichten gelten unabhängig davon, ob ihr registriert seid. Und die Verantwortung dafür liegt ausdrücklich bei der Geschäftsführung, nicht allein in der IT. Ein sinnvoller erster Handgriff, noch bevor Formulare ausgefüllt werden: prüft, ob euer Backup einen echten Restore-Test übersteht — Wiederherstellbarkeit verlangt NIS2 ohnehin.
Rund 29.500 Einrichtungen stehen damit unter BSI-Aufsicht, vor der Reform waren es etwa 4.500 (BSI, 2025). Die Wahrscheinlichkeit, dass ihr neu dabei seid, ist also gestiegen.
Unsicher, ob ihr über den Sektor oder über eine Verbundstruktur reinfallt? Schreib mir — wir machen den Test einmal sauber, bevor ihr Zeit in die falsche Antwort steckt.