NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 07. September 2026 | Lesezeit: ca. 8 Minuten

Die NIS2-Richtlinie ist seit ihrer Umsetzung durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in deutsches Recht in aller Munde – und trotzdem herrscht in vielen Unternehmen noch immer Unsicherheit: Bin ich eigentlich betroffen? Diese Frage ist alles andere als trivial, denn der Anwendungsbereich von NIS2 ist erheblich breiter als der seiner Vorgängerregelung. Fehler bei der Selbsteinschätzung können teuer werden – Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes sind keine leere Drohung. In diesem Artikel erfahren Sie, wie Sie die NIS2-Betroffenheitsprüfung für Ihr Unternehmen in Deutschland 2025 und 2026 systematisch durchführen.

Was regelt §3 NIS2UmsuCG?

Der Anwendungsbereich des NIS2-Umsetzungsgesetzes ist in §3 NIS2UmsuCG definiert. Demnach gilt das Gesetz für sogenannte wesentliche Einrichtungen (Essential Entities) und wichtige Einrichtungen (Important Entities), die bestimmte Sektoren und Größenschwellen erfüllen. Entscheidend ist dabei das Zusammenspiel aus drei Faktoren:

  1. Sektorzugehörigkeit (Anlage 1 oder Anlage 2 des NIS2UmsuCG)
  2. Unternehmensgröße (Mitarbeiterzahl und Jahresumsatz bzw. Jahresbilanzsumme)
  3. Besondere Bedeutung (Ausnahmeregelungen für kritische Infrastrukturen unabhängig von der Größe)

Nur wenn alle relevanten Kriterien zusammentreffen, unterfällt ein Unternehmen dem Gesetz. Doch Vorsicht: Bereits die Mittelbarkeit – etwa als kritischer Dienstleister für eine betroffene Einrichtung – kann die Pflichten auslösen.

Die Sektoren der Anlagen 1 und 2: Wo fängt NIS2 an?

Anlage 1: Hochkritische Sektoren (wesentliche Einrichtungen)

Die Anlage 1 des NIS2UmsuCG umfasst Sektoren, die als besonders kritisch eingestuft werden. Unternehmen in diesen Branchen sind grundsätzlich als wesentliche Einrichtungen klassifiziert, sofern sie die Größenschwellen erreichen:

  • Energie (Strom, Gas, Fernwärme, Erdöl, Wasserstoff)
  • Transport und Verkehr (Luftfahrt, Schienenverkehr, Schifffahrt, Straßenverkehr)
  • Bankwesen und Finanzmarktinfrastrukturen
  • Gesundheitswesen (Krankenhäuser, Labore, Pharmahersteller, Medizingeräte)
  • Trinkwasser und Abwasser
  • Digitale Infrastruktur (IXPs, DNS-Resolver, TLD-Registries, Rechenzentren, CDN-Anbieter, Cloud-Dienste)
  • IKT-Dienstleistungsmanagement (Managed Service Provider, Managed Security Service Provider)
  • Öffentliche Verwaltung (Bundes- und Landesbehörden)
  • Weltraum (Betreiber von Bodeninfrastrukturen)

Anlage 2: Sonstige kritische Sektoren (wichtige Einrichtungen)

Unternehmen in den Sektoren der Anlage 2 gelten als wichtige Einrichtungen, wenn sie die Größenschwellen überschreiten:

  • Post- und Kurierdienste
  • Abfallbewirtschaftung
  • Chemische Industrie (Herstellung, Produktion, Handel)
  • Lebensmittel (Herstellung, Verarbeitung, Vertrieb im großen Maßstab)
  • Verarbeitendes Gewerbe / Maschinenbau (insb. Medizinprodukte, Fahrzeugbau, Elektronik, Maschinenbau)
  • Digitale Dienste (Online-Marktplätze, Online-Suchmaschinen, soziale Netzwerke)
  • Forschungseinrichtungen

Wichtig: Die Zuordnung zu Anlage 1 oder 2 ist nicht immer selbsterklärend. Ein mittelständischer Automobilzulieferer etwa kann über die Anlage 2 (verarbeitendes Gewerbe) in den Anwendungsbereich fallen, auch wenn er sich selbst nicht als „kritisch" betrachtet.

Größenkriterien: Ab wann greift NIS2?

Die Größenschwellen orientieren sich an der EU-weiten KMU-Definition und sind in §3 NIS2UmsuCG klar festgelegt:

Unternehmenstyp Mitarbeiter Jahresumsatz ODER Bilanzsumme
Mittleres Unternehmen ≥ 50 ≥ 10 Mio. €
Großes Unternehmen ≥ 250 ≥ 50 Mio. € (Umsatz) oder ≥ 43 Mio. € (Bilanz)
Kleinstunternehmen / Klein < 50 < 10 Mio. €

Grundregel: Unternehmen mit mindestens 50 Mitarbeitern und einem Jahresumsatz oder einer Bilanzsumme von mindestens 10 Millionen Euro, die in einem der oben genannten Sektoren tätig sind, fallen grundsätzlich unter NIS2.

Ausnahmen von der Größenschwelle

Einige Einrichtungen unterliegen NIS2 unabhängig von ihrer Größe, wenn sie:

  • als Betreiber kritischer Infrastrukturen (KRITIS) nach BSI-Gesetz eingestuft sind,
  • der einzige Anbieter eines systemrelevanten Dienstes in einem Mitgliedstaat sind,
  • als qualifizierter Vertrauensdiensteanbieter nach eIDAS tätig sind,
  • Top-Level-Domain-Registries oder DNS-Diensteanbieter betreiben.

Wesentliche vs. wichtige Einrichtungen: Was ist der Unterschied?

Die Unterscheidung ist nicht nur akademisch – sie hat direkte Auswirkungen auf die Aufsichtsintensität und die Bußgeldhöhe.

Wesentliche Einrichtungen (Essential Entities)

  • Sektoren aus Anlage 1
  • Großunternehmen (≥ 250 MA, ≥ 50 Mio. € Umsatz)
  • Proaktive Aufsicht durch das BSI
  • Höchstbußgeld: 10 Mio. € oder 2 % des weltweiten Jahresumsatzes
  • Verpflichtung zur Registrierung beim BSI

Wichtige Einrichtungen (Important Entities)

  • Sektoren aus Anlage 1 (mittlere Unternehmen) oder Anlage 2
  • Reaktive Aufsicht durch das BSI (anlassbezogen)
  • Höchstbußgeld: 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes
  • Ebenfalls Registrierungspflicht

In beiden Fällen gelten weitgehend identische technische und organisatorische Sicherheitspflichten nach §30 NIS2UmsuCG, einschließlich Risikomanagement, Incident-Reporting, Business Continuity und Lieferkettensicherheit.

Selbsttest: Checkliste zur NIS2-Betroffenheitsprüfung

Nutzen Sie diese Checkliste für eine erste Selbsteinschätzung. Sie ersetzt keine rechtliche Beratung, gibt Ihnen aber einen strukturierten Einstieg:

Schritt 1: Sektorzugehörigkeit prüfen

  • [ ] Ist mein Unternehmen in einem der Sektoren der Anlage 1 tätig?
  • [ ] Ist mein Unternehmen in einem der Sektoren der Anlage 2 tätig?
  • [ ] Erbringt mein Unternehmen wesentliche Dienste für ein NIS2-pflichtiges Unternehmen als kritischer Lieferant?

Schritt 2: Größenschwellen prüfen

  • [ ] Hat mein Unternehmen 50 oder mehr Mitarbeiter (Vollzeitäquivalente)?
  • [ ] Übersteigt der Jahresumsatz 10 Millionen Euro oder die Bilanzsumme 10 Millionen Euro?
  • [ ] Gilt eine der Ausnahmen von der Größenschwelle (KRITIS, eIDAS, DNS)?

Schritt 3: Einrichtungstyp bestimmen

  • [ ] Anlage 1 + Großunternehmen → Wesentliche Einrichtung
  • [ ] Anlage 1 + mittleres Unternehmen → Wichtige Einrichtung
  • [ ] Anlage 2 + mittleres oder großes Unternehmen → Wichtige Einrichtung

Schritt 4: Registrierungspflicht erfüllen

  • [ ] Haben Sie Ihr Unternehmen im BSI-Meldeportal registriert?
  • [ ] Haben Sie einen Sicherheitsverantwortlichen (CISO oder Äquivalent) benannt?
  • [ ] Sind Ihre Meldewege für Sicherheitsvorfälle eingerichtet (§ 32 NIS2UmsuCG)?

Konsequenzen bei Nichterfüllung: §65 BSIG und Bußgelder

Wer die NIS2-Pflichten ignoriert, riskiert empfindliche Strafen. §65 BSIG (in der durch das NIS2UmsuCG novellierten Fassung) sieht gestaffelte Bußgelder vor:

  • Wesentliche Einrichtungen: Bis zu 10.000.000 Euro oder 2 % des gesamten weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist.
  • Wichtige Einrichtungen: Bis zu 7.000.000 Euro oder 1,4 % des gesamten weltweiten Jahresumsatzes.

Darüber hinaus können Aufsichtsbehörden:

  • Anordnungen zur Mängelbeseitigung erlassen,
  • öffentliche Bekanntmachungen über Verstöße anordnen,
  • bei wesentlichen Einrichtungen temporäre Untersagungen der Leitungstätigkeit für Geschäftsführer aussprechen (§ 61 NIS2UmsuCG).

Letzteres ist besonders relevant für Geschäftsführer und Vorstände: Die persönliche Haftung ist im NIS2-Rahmen explizit vorgesehen. Das BSI hat angekündigt, die Aufsicht spürbar zu intensivieren – Unternehmen, die bisher untätig geblieben sind, geraten zunehmend ins Visier.

7 konkrete Handlungsempfehlungen für betroffene Unternehmen

Wenn Sie nach der Prüfung festgestellt haben, dass Ihr Unternehmen unter NIS2 fällt, sollten Sie folgende Schritte umgehend einleiten:

  1. Betroffenheit rechtlich absichern lassen: Beauftragen Sie einen auf IT-Recht spezialisierten Anwalt oder eine Unternehmensberatung mit einer formellen Betroffenheitsanalyse – gerade bei Grenzfällen in der Sektorzuordnung.

  2. Beim BSI registrieren: Die Registrierungspflicht ist gesetzlich vorgeschrieben. Nutzen Sie das offizielle Meldeportal des BSI unter bsi.bund.de und halten Sie Unternehmens- und Kontaktdaten aktuell.

  3. Risikoanalyse durchführen: Erstellen Sie eine umfassende Risikoanalyse Ihrer IT- und OT-Systeme gemäß §30 Abs. 1 NIS2UmsuCG. Orientieren Sie sich am BSI IT-Grundschutz oder der ISO/IEC 27001.

  4. Sicherheitsmaßnahmen implementieren: Prüfen Sie die 10 Pflichtmaßnahmen nach §30 NIS2UmsuCG (u. a. Patch-Management, Zugangssteuerung, Kryptographie, Business Continuity, Lieferkettenmanagement) und schließen Sie identifizierte Lücken.

  5. Meldeprozesse für Sicherheitsvorfälle einrichten: Nach §32 NIS2UmsuCG müssen erhebliche Sicherheitsvorfälle innerhalb von 24 Stunden (Frühwarnung) und 72 Stunden (vollständiger Bericht) an das BSI gemeldet werden. Etablieren Sie klare interne Eskalationswege.

  6. Lieferkette unter die Lupe nehmen: NIS2 macht Unternehmen auch für Sicherheitsrisiken in ihrer Lieferkette verantwortlich. Führen Sie Lieferanten-Assessments durch und integrieren Sie Sicherheitsanforderungen in Ihre Vertragswerke.

  7. Schulungen und Awareness-Programme starten: Geschäftsführung und Mitarbeitende müssen für Cyberrisiken sensibilisiert sein. Regelmäßige Schulungen sind nicht nur Best Practice, sondern gesetzlich gefordert (§30 Abs. 3 NIS2UmsuCG).

Fazit: Jetzt handeln, bevor das BSI klopft

Die NIS2-Betroffenheitsprüfung ist der erste und wichtigste Schritt auf dem Weg zur Compliance. Viele Unternehmen in Deutschland unterschätzen noch immer, wie weit der Anwendungsbereich des NIS2UmsuCG reicht – besonders im verarbeitenden Gewerbe, in der Chemiebranche und bei digitalen Dienstleistern.

Ihre nächsten Schritte auf einen Blick:

  • Heute: Checkliste aus diesem Artikel durchgehen und erste Selbsteinschätzung vornehmen
  • Diese Woche: Rechtliche und technische Beratung einholen, BSI-Registrierung starten
  • Diesen Monat: Risikoanalyse beauftragen, Sicherheitslücken dokumentieren
  • Dieses Quartal: Maßnahmenpakete umsetzen, Meldeprozesse testen, Lieferketten-Assessments durchführen

Das BSI hat seine Aufsichtskapazitäten deutlich ausgebaut – wer jetzt noch abwartet, handelt fahrlässig. Und das nicht nur im regulatorischen Sinne: Die Bedrohungslage durch Ransomware, Supply-Chain-Angriffe und staatlich gesteuerte Cyberangriffe ist 2026 so ernst wie nie zuvor.

Tipp: NIS2-Compliance mit der richtigen Software-Unterstützung

Die Dokumentation, das Nachweismanagement und das kontinuierliche Monitoring Ihrer NIS2-Maßnahmen lassen sich erheblich effizienter gestalten, wenn Sie auf eine spezialisierte ISMS- oder GRC-Software (Governance, Risk & Compliance) setzen. Moderne Lösungen helfen Ihnen dabei, Ihre Risikoanalysen zu strukturieren, Sicherheitsmaßnahmen zu verwalten, Lieferantenbewertungen zu dokumentieren und Compliance-Nachweise revisionssicher abzulegen – alles an einem Ort und BSI-konform. Viele Tools bieten inzwischen auch direkte NIS2-Mappings und vorkonfigurierte Maßnahmenkataloge, die den Einstieg erheblich erleichtern. Wenn Sie noch kein entsprechendes Tool im Einsatz haben, lohnt sich ein Marktvergleich – Ihr BSI-Ansprechpartner oder ein zugelassener IT-Sicherheitsdienstleister (KRITIS-Prüfer) kann bei der Auswahl helfen.

Quellen und weiterführende Informationen: BSI-Grundschutz (bsi.bund.de), NIS2UmsuCG (Bundesgesetzblatt), ENISA NIS2 Implementation Guidance (enisa.europa.eu), §3, §30, §32, §61, §65 NIS2UmsuCG/BSIG n.F.