NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 30. August 2026 | Lesedauer: ca. 8 Minuten

Die NIS2-Richtlinie der Europäischen Union ist seit ihrer Umsetzung in deutsches Recht durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) für tausende Unternehmen in Deutschland verbindlich. Doch noch immer herrscht bei vielen IT-Verantwortlichen und Geschäftsführern Unsicherheit: Bin ich überhaupt betroffen? Diese Frage ist keineswegs trivial — denn wer die Betroffenheit falsch einschätzt, riskiert empfindliche Bußgelder nach § 65 BSIG und eine unzureichende Cyberabwehr.

Dieser Artikel führt Sie systematisch durch die NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland im Jahr 2025 und gibt Ihnen konkrete Handlungsempfehlungen an die Hand.

Was regelt §3 NIS2UmsuCG – und warum ist er so wichtig?

Die zentrale Norm für die Betroffenheitsprüfung ist § 3 NIS2UmsuCG, der in Verbindung mit den Anlagen 1 und 2 des Gesetzes den persönlichen Anwendungsbereich definiert. Dort wird geregelt, welche Einrichtungen als wesentliche oder wichtige Einrichtungen gelten und damit den umfangreichen Sicherheits- und Meldepflichten unterliegen.

Der Grundgedanke: NIS2 erweitert den Kreis der betroffenen Unternehmen gegenüber der alten NIS1-Richtlinie erheblich. Galten früher vor allem Betreiber kritischer Infrastrukturen (KRITIS), erfasst NIS2 nun auch mittelständische Unternehmen aus deutlich mehr Sektoren. Das BSI schätzt, dass in Deutschland rund 29.000 Unternehmen unter die neue Regelung fallen — ein Vielfaches gegenüber der Vorgängerregelung.

Schritt 1: Gehört Ihr Sektor zu Anlage 1 oder Anlage 2?

Der erste und wichtigste Prüfschritt ist die Sektorzugehörigkeit. Das NIS2UmsuCG unterscheidet zwei Anlagen mit unterschiedlichen Sektoren:

Anlage 1 – Hochkritische Sektoren (wesentliche Einrichtungen)

Unternehmen in diesen Sektoren unterliegen den strengsten Anforderungen:

Anlage 2 – Sonstige kritische Sektoren (wichtige Einrichtungen)

Diese Sektoren unterliegen etwas weniger strikten Ex-ante-Kontrollen, sind aber keineswegs weniger relevant:

Praxishinweis: Wenn Ihr Unternehmen in mehreren Sektoren tätig ist, gilt der Sektor mit der höheren Einstufung. Konzernstrukturen sollten jeden Unternehmensteil separat prüfen.

Schritt 2: Erfüllen Sie die Größenkriterien?

Die Sektorzugehörigkeit allein reicht nicht aus — es kommt zusätzlich auf die Unternehmensgröße an. Gemäß § 3 NIS2UmsuCG i.V.m. der EU-Empfehlung 2003/361/EG gelten folgende Schwellenwerte:

Die zwei Größenschwellen im Überblick

Wichtige Einrichtungen (Anlage 2 und teils Anlage 1):
- 50 oder mehr Mitarbeiter (Vollzeitäquivalente), ODER
- Jahresumsatz über 10 Millionen Euro UND Jahresbilanzsumme über 10 Millionen Euro

Wesentliche Einrichtungen (primär Anlage 1):
- 250 oder mehr Mitarbeiter, ODER
- Jahresumsatz über 50 Millionen Euro UND Jahresbilanzsumme über 43 Millionen Euro

Wichtige Ausnahmen von den Größenkriterien

Einige Einrichtungen fallen unabhängig von ihrer Größe unter NIS2 — das sogenannte "Size-cap"-Prinzip gilt hier nicht:

• Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste
• Qualifizierte Vertrauensdiensteanbieter und DNS-Dienstleister
• TLD-Registrierungsstellen und Betreiber kritischer Infrastruktur nach BSIG
• Einrichtungen, die vom BSI als kritisch eingestuft wurden
• Einrichtungen, deren Ausfall erhebliche Auswirkungen auf die öffentliche Ordnung haben könnte

Schritt 3: Wesentliche vs. wichtige Einrichtung – Was ist der Unterschied?

Die Unterscheidung zwischen wesentlichen und wichtigen Einrichtungen ist für die Praxis entscheidend, da sie sich auf Aufsichtsintensität und Bußgeldhöhen auswirkt:

Selbsttest: Ist Ihr Unternehmen NIS2-pflichtig?

Beantworten Sie die folgenden Fragen — jede "Ja"-Antwort bringt Sie der NIS2-Pflicht näher:

Checkliste zur NIS2-Betroffenheitsprüfung:

• [ ] Ist mein Unternehmen in einem der Sektoren aus Anlage 1 oder Anlage 2 tätig?
• [ ] Beschäftigt mein Unternehmen 50 oder mehr Mitarbeiter?
• [ ] Überschreitet mein Jahresumsatz 10 Millionen Euro?
• [ ] Betreibe ich digitale Infrastruktur oder bin Managed Service Provider?
• [ ] Bin ich Teil eines größeren Konzerns, der insgesamt die Schwellenwerte überschreitet?
• [ ] Hat das BSI mein Unternehmen gesondert als kritisch eingestuft?
• [ ] Bin ich Zulieferer für Unternehmen, die bereits als KRITIS eingestuft sind?

Auswertung:
- 0–1 Ja: Wahrscheinlich nicht direkt betroffen — aber Lieferkettenpflichten prüfen!
- 2–3 Ja: Grenzfall — professionelle Betroffenheitsprüfung empfohlen
- 4+ Ja: Hohe Wahrscheinlichkeit der NIS2-Betroffenheit — sofortiger Handlungsbedarf

Was droht bei Nichterfüllung? Bußgelder nach §65 BSIG

Viele Unternehmen unterschätzen die Konsequenzen einer NIS2-Nichterfüllung. § 65 BSIG sieht erhebliche Sanktionen vor, die mit dem DSGVO-Bußgeldregime vergleichbar sind:

Bußgeldrahmen im Überblick

Für wesentliche Einrichtungen drohen bei schwerwiegenden Verstößen:
- Bis zu 10.000.000 Euro, oder
- 2 % des gesamten weltweiten Jahresumsatzes — je nachdem, welcher Betrag höher ist

Für wichtige Einrichtungen gilt:
- Bis zu 7.000.000 Euro, oder
- 1,4 % des gesamten weltweiten Jahresumsatzes

Hinzu kommen persönliche Haftungsrisiken für Geschäftsführer und Vorstände: Nach § 38 BSIG können Leitungsorgane bei grob fahrlässigen oder vorsätzlichen Verstößen persönlich haftbar gemacht werden. Das BSI kann zudem die öffentliche Bekanntmachung von Verstößen anordnen — ein erheblicher Reputationsschaden.

Wichtig: Das BSI hat angekündigt, ab 2025 verstärkt Stichproben und proaktive Audits bei wesentlichen Einrichtungen durchzuführen. "Unwissenheit schützt vor Strafe nicht" gilt auch hier.

Konkrete Handlungsempfehlungen für betroffene Unternehmen

Wenn Sie nach der Prüfung zu dem Schluss kommen, dass Ihr Unternehmen unter NIS2 fällt, empfehlen wir folgende Schritte in dieser Reihenfolge:

1. Betroffenheit dokumentieren: Erstellen Sie ein schriftliches Dokument, das Ihre Sektorzugehörigkeit, Mitarbeiterzahl, Umsatz und die daraus resultierende Einordnung (wesentlich/wichtig) belegt. Dies schützt im Streitfall.

2. Registrierung beim BSI: Wesentliche und wichtige Einrichtungen sind nach § 33 BSIG verpflichtet, sich beim BSI zu registrieren. Nutzen Sie dafür das MELDEPLATTFORM-Portal des BSI.

3. Gap-Analyse durchführen: Vergleichen Sie Ihre bestehenden Sicherheitsmaßnahmen mit den Anforderungen aus § 30 BSIG (Risikomanagement). Identifizieren Sie Lücken in den Bereichen Incident Response, Lieferkettensicherheit, Kryptografie und Zugangskontrollen.

4. ISMS aufbauen oder erweitern: Implementieren Sie ein Informationssicherheits-Managementsystem (ISMS) nach ISO 27001 oder BSI IT-Grundschutz. Ein zertifiziertes ISMS erleichtert den Nachweis der NIS2-Compliance erheblich.

5. Meldeprozesse etablieren: Sicherheitsvorfälle müssen nach § 32 BSIG innerhalb von 24 Stunden (Erstmeldung) und 72 Stunden (detaillierte Meldung) an das BSI gemeldet werden. Stellen Sie sicher, dass interne Prozesse und Kontaktdaten aktuell sind.

6. Lieferkette prüfen: NIS2 verpflichtet Sie auch, Sicherheitsanforderungen gegenüber Zulieferern und Dienstleistern durchzusetzen. Überprüfen Sie bestehende Verträge und ergänzen Sie Sicherheitsklauseln.

7. Schulungen für Leitungsorgane: Gemäß § 38 BSIG müssen Geschäftsführer und Vorstände Cybersicherheitsschulungen absolvieren und das Risikomanagement aktiv überwachen. Dokumentieren Sie diese Schulungen sorgfältig.

8. Externe Beratung einbeziehen: Bei komplexen Konzernstrukturen oder Unsicherheiten empfiehlt sich die Hinzuziehung eines spezialisierten IT-Rechtsanwalts oder NIS2-Compliance-Beraters.

Sonderfall: Lieferkette und indirekte Betroffenheit

Auch wenn Ihr Unternehmen die direkten Schwellenwerte nicht überschreitet, können Sie indirekt von NIS2 betroffen sein. Wenn Sie als Zulieferer oder IT-Dienstleister für eine NIS2-pflichtige Einrichtung tätig sind, werden diese Einrichtungen vertraglich von Ihnen Sicherheitsnachweise einfordern — oft in Form von ISO-27001-Zertifikaten, ausgefüllten Sicherheitsfragebögen oder vertraglichen Garantien.

Das ENISA-Framework für Lieferkettensicherheit empfiehlt eine vollständige Third-Party-Risk-Management-Strategie, die auch für kleinere Zulieferer de facto zur Pflicht werden kann, wenn sie Aufträge von NIS2-pflichtigen Unternehmen erhalten möchten.

Fazit und nächste Schritte

Die NIS2-Betroffenheitsprüfung ist kein einmaliger Vorgang — sie sollte jährlich wiederholt werden, da sich Unternehmensgröße, Sektorzugehörigkeit und regulatorische Anforderungen ändern können.

Die wichtigsten nächsten Schritte auf einen Blick:

1. Prüfen Sie anhand der Anlagen 1 und 2 Ihre Sektorzugehörigkeit
2. Vergleichen Sie Ihre Mitarbeiterzahl und Ihren Umsatz mit den Schwellenwerten aus § 3 NIS2UmsuCG
3. Bestimmen Sie, ob Sie wesentliche oder wichtige Einrichtung sind
4. Registrieren Sie sich beim BSI (sofern noch nicht geschehen)
5. Starten Sie eine Gap-Analyse Ihrer bestehenden Sicherheitsmaßnahmen

Die regulatorischen Anforderungen der NIS2 sind anspruchsvoll, aber mit der richtigen Systematik gut beherrschbar. Wer jetzt handelt, vermeidet nicht nur Bußgelder — er stärkt auch nachhaltig die Cyberresilienz seines Unternehmens.

Ihr nächster Schritt: Betroffenheit digital prüfen und dokumentieren

Praxistipp: Spezialisierte NIS2-Compliance-Plattformen und ISMS-Tools bieten strukturierte Betroffenheitsprüfungen, automatisierte Registrierungsunterstützung und vorgefertigte Dokumentenvorlagen, die auf die Anforderungen des BSIG abgestimmt sind. Mit solchen Werkzeugen können Sie Ihre Betroffenheitsprüfung rechtssicher dokumentieren, Gap-Analysen durchführen und Ihre gesamte NIS2-Compliance zentral verwalten — ohne jeden Schritt manuell in Tabellenkalkulationen pflegen zu müssen. Ein strukturierter digitaler Ansatz spart nicht nur Zeit, sondern schafft auch die Nachweisdokumentation, die das BSI im Ernstfall einfordern kann.

Dieser Artikel dient der allgemeinen Information und ersetzt keine individuelle Rechtsberatung. Für spezifische Fragen zur NIS2-Betroffenheit Ihres Unternehmens empfehlen wir die Konsultation eines spezialisierten Fachanwalts für IT-Recht oder eines zertifizierten Informationssicherheitsbeauftragten.

Quellen: BSI (www.bsi.bund.de), NIS2UmsuCG, BSIG n.F., ENISA NIS2 Guidelines 2024, EU-Richtlinie 2022/2555