So bewertet der NIS2-Hub
Die Einordnung folgt der NIS2-Richtlinie (EU) 2022/2555 und dem NIS2-Umsetzungsgesetz (BSIG), das in Deutschland seit dem 6. Dezember 2025 gilt. Sie ist eine Ersteinschätzung und ersetzt keine Rechtsberatung.
1 · Sektor und Größe
| Großunternehmen ≥ 250 Beschäftigte oder > 50 Mio. € Umsatz und > 43 Mio. € Bilanz | Mittleres Unternehmen ≥ 50 Beschäftigte oder > 10 Mio. € Umsatz und Bilanz | Kleines Unternehmen | |
|---|---|---|---|
| Sektor hoher Kritikalität (Anlage 1) | besonders wichtig | wichtig | nicht erfasst* |
| Sonstiger kritischer Sektor (Anlage 2) | wichtig | wichtig | nicht erfasst* |
* Ausnahmen unabhängig von der Größe: Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Diensteanbieter (stets besonders wichtig); Anbieter öffentlicher TK-Netze/-dienste (ab mittlerer Größe besonders wichtig, sonst wichtig); sonstige Vertrauensdiensteanbieter (wichtig). Vernachlässigbare Nebentätigkeiten und Unternehmensgruppen werden als Prüfhinweis ausgegeben.
Sektoren
Energie: Elektrizität (Erzeugung, Übertragung, Verteilung, Handel, Ladepunkte) Anlage 1 · Fernwärme und -kälte Anlage 1 · Erdöl (Leitungen, Raffinerien, Lager) Anlage 1 · Erdgas (Fernleitung, Verteilung, Speicher, LNG) Anlage 1 · Wasserstoff (Erzeugung, Speicherung, Fernleitung) Anlage 1
Transport und Verkehr: Luftverkehr (Fluggesellschaften, Flughäfen, Flugsicherung) Anlage 1 · Schienenverkehr (Infrastruktur, Eisenbahnverkehrsunternehmen) Anlage 1 · Schifffahrt und Häfen Anlage 1 · Straßenverkehr (Verkehrsmanagement, intelligente Verkehrssysteme) Anlage 1 · Post- und Kurierdienste Anlage 2
Finanzen und Gesundheit: Bank- und Finanzwesen, Finanzmarktinfrastrukturen Anlage 1 · Gesundheitswesen (Gesundheitsdienstleister, Labore, Pharma, kritische Medizinprodukte) Anlage 1
Wasser, Abfall, Chemie, Ernährung: Trinkwasserversorgung Anlage 1 · Abwasserbeseitigung Anlage 1 · Abfallbewirtschaftung Anlage 2 · Herstellung und Handel mit chemischen Stoffen Anlage 2 · Produktion, Verarbeitung und Großhandel von Lebensmitteln Anlage 2
Verarbeitendes Gewerbe: Herstellung von Medizinprodukten und In-vitro-Diagnostika Anlage 2 · Herstellung von DV-Geräten, elektronischen und optischen Erzeugnissen Anlage 2 · Herstellung von elektrischen Ausrüstungen Anlage 2 · Maschinenbau Anlage 2 · Herstellung von Kraftwagen und Kraftwagenteilen Anlage 2 · Sonstiger Fahrzeugbau Anlage 2
Digitales, IT und Forschung: Digitale Infrastruktur (Rechenzentren, Cloud, CDN, Internetknoten) Anlage 1 · IKT-Dienste für Unternehmen (Managed Services, Managed Security Services) Anlage 1 · Anbieter digitaler Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke) Anlage 2 · Weltraum (Betreiber von Bodeninfrastruktur) Anlage 1 · Forschungseinrichtungen Anlage 2
2 · Indirekte Betroffenheit
Nicht erfasste Unternehmen, die NIS2- oder KRITIS-pflichtige Kunden beliefern, werden als „indirekt betroffen“ eingeordnet, weil ihre Kunden Sicherheitsnachweise in der Lieferkette verlangen müssen.
3 · Priorisierung der Handlungsfelder
Jede der elf Fragen ist einer Risikomanagementmaßnahme nach Art. 21 NIS2 / § 30 BSIG zugeordnet. Die Priorität ergibt sich aus der Antwort (Nein = 2, Weiß nicht = 1,5, Teilweise = 1, Ja = 0), dem Gewicht der Maßnahme (Backup und Wiederherstellung am höchsten) und der Einordnung (besonders wichtige Einrichtungen höher).
| Frage | Maßnahme | Grundlage | Gewicht |
|---|---|---|---|
| Gibt es unveränderliche (immutable) oder vom Netz getrennte Sicherungskopien Ihrer kritischen Daten? | Backup-Management mit unveränderlichen Sicherungen | Art. 21 Abs. 2 lit. c NIS2 / § 30 BSIG (Aufrechterhaltung des Betriebs) | 1.3 |
| Wurde in den letzten 12 Monaten ein vollständiger Wiederherstellungstest der wichtigsten Systeme durchgeführt und dokumentiert? | Getestete Wiederherstellung der kritischen Systeme | Art. 21 Abs. 2 lit. c und f NIS2 (Wiederherstellung, Wirksamkeitsbewertung) | 1.3 |
| Sind Wiederanlaufziele (RTO/RPO) für die kritischen Systeme festgelegt – und technisch erreichbar? | Wiederanlaufziele (RTO/RPO) und Betriebskontinuität | Art. 21 Abs. 2 lit. c NIS2 (Business Continuity) | 1.2 |
| Gibt es einen Notfall- und Krisenplan mit Verantwortlichen, Kommunikations- und Meldewegen? | Notfall- und Krisenmanagement | Art. 21 Abs. 2 lit. c NIS2 (Krisenmanagement) | 1 |
| Können Sie einen erheblichen Sicherheitsvorfall innerhalb von 24 Stunden erkennen, bewerten und melden? | Erkennung und Meldung von Sicherheitsvorfällen | Art. 21 Abs. 2 lit. b und Art. 23 NIS2 (24 h / 72 h / 1 Monat) | 1.1 |
| Ist Multi-Faktor-Authentifizierung für Fernzugriffe und Administratorkonten eingeführt? | Zugriffskontrolle und Multi-Faktor-Authentifizierung | Art. 21 Abs. 2 lit. i und j NIS2 | 1 |
| Werden Sicherheitsupdates systematisch und zeitnah eingespielt – auch für Storage, Hypervisor und Firmware? | Schwachstellen- und Patch-Management | Art. 21 Abs. 2 lit. e NIS2 | 1 |
| Gibt es ein aktuelles Inventar Ihrer IT-Systeme und Daten einschließlich ihrer Kritikalität? | Inventar der IT-Systeme und Daten | Art. 21 Abs. 2 lit. i NIS2 (Management von Anlagen) | 0.8 |
| Werden kritische Daten verschlüsselt gespeichert und übertragen? | Verschlüsselung | Art. 21 Abs. 2 lit. h NIS2 | 0.8 |
| Sind Sicherheitsanforderungen an IT-Dienstleister und Lieferanten vertraglich geregelt? | Sicherheit in der Lieferkette | Art. 21 Abs. 2 lit. d NIS2 | 0.8 |
| Hat die Geschäftsleitung an einer Cybersicherheits-Schulung teilgenommen, und werden Mitarbeitende regelmäßig geschult? | Verantwortung der Geschäftsleitung und Schulungen | Art. 20 NIS2 / § 38 BSIG | 0.9 |
Bewertungslogik 1.0 (Oktober 2026). Das BSI bietet ergänzend eine eigene Betroffenheitsprüfung an.