NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 18. September 2026 | Lesedauer: ca. 8 Minuten

Die NIS2-Richtlinie der Europäischen Union ist seit ihrer Umsetzung durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) fester Bestandteil der deutschen Regulierungslandschaft. Doch noch immer stellen sich viele Geschäftsführer und IT-Verantwortliche dieselbe Frage: Betrifft uns das überhaupt? Die Antwort ist entscheidend – denn wer irrtümlich davon ausgeht, nicht betroffen zu sein, riskiert empfindliche Bußgelder nach §65 BSIG und haftet im Ernstfall persönlich.

Dieser Artikel führt Sie Schritt für Schritt durch die NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland und erklärt, welche Sektoren, Größenkriterien und Unternehmenstypen unter die Richtlinie fallen – inklusive eines praktischen Selbsttests und konkreten Handlungsempfehlungen.

Was ist die NIS2-Richtlinie und warum ist sie relevant?

Die NIS2-Richtlinie (EU 2022/2555) ersetzt die ursprüngliche NIS-Richtlinie von 2016 und erweitert deren Anwendungsbereich erheblich. In Deutschland wurde sie durch das NIS2UmsuCG in nationales Recht überführt, das maßgeblich Änderungen am BSI-Gesetz (BSIG) vorgenommen hat.

Ziel der Richtlinie ist die Stärkung der Cybersicherheit kritischer und wichtiger Einrichtungen in der EU. Die Anforderungen umfassen unter anderem:

• Implementierung eines Informationssicherheitsmanagementsystems (ISMS)
• Verpflichtende Meldepflichten bei Sicherheitsvorfällen
• Regelmäßige Risikoanalysen und Sicherheitsaudits
• Maßnahmen zur Business Continuity und Krisenmanagement
• Sicherheit in der Lieferkette

Der persönliche Haftungsaspekt ist besonders relevant: Laut §38 BSIG sind Geschäftsleitungen verpflichtet, die Umsetzung der Cybersicherheitsmaßnahmen aktiv zu überwachen – und können bei Pflichtverletzungen persönlich in Haftung genommen werden.

Die entscheidende Frage: Wer ist betroffen? (§3 NIS2UmsuCG)

Gemäß §3 NIS2UmsuCG sind grundsätzlich alle Einrichtungen erfasst, die:

1. Einem der definierten Sektoren (Anlage 1 oder Anlage 2 des NIS2UmsuCG) angehören, und
2. Bestimmte Größenschwellen überschreiten.

Die Betroffenheitsprüfung erfolgt also immer zweigleisig: Sektor und Größe müssen beide erfüllt sein. Es gibt jedoch Ausnahmen, bei denen die Größe keine Rolle spielt – dazu später mehr.

Schritt 1: Sektor-Prüfung – Anlage 1 und Anlage 2

Anlage 1: Sektoren mit hoher Kritikalität (Wesentliche Einrichtungen)

Die Anlage 1 des NIS2UmsuCG umfasst Sektoren, die als besonders kritisch für das gesellschaftliche und wirtschaftliche Leben gelten:

Anlage 2: Sonstige kritische Sektoren (Wichtige Einrichtungen)

Die Anlage 2 umfasst weitere Sektoren mit bedeutender volkswirtschaftlicher Relevanz:

Wichtig: Wenn Ihr Unternehmen in keinem dieser Sektoren tätig ist, sind Sie grundsätzlich nicht von NIS2 betroffen. Prüfen Sie aber sorgfältig Subunternehmer-Verhältnisse und Lieferketten – als Dienstleister für betroffene Unternehmen können indirekte Anforderungen entstehen.

Schritt 2: Größenkriterien – Ab wann gilt NIS2?

Auch wenn Ihr Unternehmen in einem relevanten Sektor tätig ist, greift NIS2 nur ab bestimmten Größenschwellen. Grundlage ist die EU-Definition für kleine, mittlere und große Unternehmen:

Standardregel: Mittlere und große Unternehmen

Ein Unternehmen fällt unter NIS2, wenn es mindestens eines der folgenden Kriterien erfüllt:

• Mitarbeiter: 50 oder mehr Beschäftigte (Vollzeitäquivalente)
• Umsatz: mehr als 10 Millionen Euro Jahresumsatz oder
• Bilanzsumme: mehr als 10 Millionen Euro

Kleine Unternehmen (unter 50 Mitarbeiter und unter 10 Mio. € Umsatz/Bilanzsumme) sind grundsätzlich ausgenommen – es sei denn, sie fallen unter eine der Sonderregelungen.

Ausnahmen: Wenn die Größe keine Rolle spielt

Bestimmte Einrichtungen unterliegen NIS2 unabhängig von ihrer Größe, darunter:

• Vertrauensdiensteanbieter und TLD-Registrare
• Anbieter öffentlicher elektronischer Kommunikationsnetze
• Einrichtungen der öffentlichen Verwaltung
• Betreiber, die als einzige Anbieter eines kritischen Dienstes in einem Mitgliedstaat fungieren
• Einrichtungen, bei denen ein Ausfall erhebliche Auswirkungen auf die öffentliche Sicherheit hätte

Wesentliche vs. Wichtige Einrichtungen: Ein entscheidender Unterschied

Das NIS2UmsuCG unterscheidet zwischen zwei Kategorien von betroffenen Einrichtungen – und das hat praktische Konsequenzen für Aufsicht und Bußgelder.

Wesentliche Einrichtungen (§28 BSIG)

• Betreiber aus Anlage 1 mit mehr als 250 Mitarbeitern oder mehr als 50 Mio. € Umsatz
• Unterliegen der proaktiven Aufsicht durch das BSI
• Strengere Anforderungen an Nachweispflichten

Wichtige Einrichtungen (§29 BSIG)

• Mittlere Unternehmen aus Anlage 1 sowie Unternehmen aus Anlage 2
• Unterliegen der reaktiven Aufsicht – das BSI wird bei Verdacht auf Verstöße tätig
• Geringere, aber dennoch erhebliche Bußgeldrahmen

Selbsttest: Ist Ihr Unternehmen NIS2-pflichtig?

Nutzen Sie diese Checkliste für eine erste Einschätzung:

✅ Schritt 1: Sektor-Check
- [ ] Ist mein Unternehmen in einem Sektor aus Anlage 1 oder Anlage 2 des NIS2UmsuCG tätig?

✅ Schritt 2: Größen-Check
- [ ] Beschäftigt mein Unternehmen 50 oder mehr Mitarbeiter?
- [ ] Überschreitet der Jahresumsatz oder die Bilanzsumme 10 Millionen Euro?

✅ Schritt 3: Sonderregel-Check
- [ ] Bin ich Vertrauensdiensteanbieter, TLD-Registrar oder Betreiber kritischer Kommunikationsinfrastruktur?
- [ ] Ist mein Unternehmen der einzige Anbieter eines kritischen Dienstes in Deutschland?

Auswertung:
- Schritt 1 ✅ + Schritt 2 (mindestens eines) ✅ → Sie sind wahrscheinlich betroffen
- Schritt 1 ✅ + Schritt 3 ✅ → Sie sind unabhängig der Größe betroffen
- Schritt 1 ❌ → Sie sind voraussichtlich nicht direkt betroffen (Lieferkettenpflichten prüfen)

Hinweis: Dieser Selbsttest ersetzt keine rechtliche oder fachkundige Beratung. Im Zweifelsfall empfiehlt sich die Konsultation eines auf IT-Recht spezialisierten Anwalts oder eines zertifizierten ISMS-Beraters.

Was passiert, wenn Sie NIS2 ignorieren? (§65 BSIG)

Die Konsequenzen einer Nichterfüllung der NIS2-Pflichten sind erheblich. §65 BSIG sieht abgestufte Bußgelder vor:

Bußgeldrahmen

Hinzu kommen:

• Persönliche Haftung der Geschäftsleitung (§38 BSIG) – bei grober Fahrlässigkeit oder Vorsatz
• Anordnungen des BSI zur Umsetzung von Sicherheitsmaßnahmen mit aufschiebender Wirkung auf den Geschäftsbetrieb
• Reputationsschäden durch öffentliche Bekanntmachung von Verstößen
• Vertragliche Haftungsrisiken gegenüber Kunden und Partnern

Besonders heikel: Das BSI kann bei wesentlichen Einrichtungen auch vorübergehende Tätigkeitsverbote für Leitungspersonen aussprechen, wenn diese ihrer Aufsichtspflicht wiederholt nicht nachkommen.

Konkrete Handlungsempfehlungen: So gehen Sie jetzt vor

Wenn Sie festgestellt haben, dass Ihr Unternehmen unter NIS2 fällt – oder wenn Sie sich nicht sicher sind –, sollten Sie folgende Schritte einleiten:

1. Formale Betroffenheitsanalyse durchführen: Dokumentieren Sie anhand von Sektor, Mitarbeiterzahl, Umsatz und Bilanzsumme, ob und in welche Kategorie (wesentlich/wichtig) Ihr Unternehmen fällt. Dieser Nachweis ist im Zweifelsfall gegenüber dem BSI vorzulegen.

2. Registrierung beim BSI: Betroffene Einrichtungen sind gemäß §33 BSIG verpflichtet, sich beim BSI zu registrieren. Nutzen Sie das offizielle BSI-Portal für die Selbstregistrierung.

3. Gap-Analyse der aktuellen Sicherheitsmaßnahmen: Prüfen Sie Ihre bestehenden Sicherheitsmaßnahmen gegen die Anforderungen aus §30 BSIG (technische und organisatorische Maßnahmen). Häufige Lücken: Patch-Management, Incident-Response-Planung, Lieferantenmanagement.

4. ISMS aufbauen oder erweitern: Falls noch kein Informationssicherheitsmanagementsystem existiert, ist dessen Einführung – idealerweise nach ISO 27001 – dringend empfohlen. Das ISMS bildet das strukturelle Rückgrat für alle NIS2-Pflichten.

5. Meldeprozesse für Sicherheitsvorfälle einrichten: Gemäß §32 BSIG müssen erhebliche Sicherheitsvorfälle innerhalb von 24 Stunden (Frühwarnung) und 72 Stunden (Erstmeldung) an das BSI gemeldet werden. Stellen Sie sicher, dass Ihre Prozesse diese Fristen einhalten können.

6. Geschäftsleitung schulen und einbinden: NIS2 ist Chefsache. Führen Sie obligatorische Schulungen für die Geschäftsführung durch und dokumentieren Sie die Teilnahme.

7. Lieferkette überprüfen: Analysieren Sie Ihre wesentlichen Dienstleister und Lieferanten auf Sicherheitsstandards. Passen Sie Verträge (SLAs, AVVs) entsprechend an.

8. Regelmäßige Audits und Penetrationstests planen: Etablieren Sie einen Rhythmus für technische Überprüfungen Ihrer IT-Infrastruktur – mindestens jährlich, besser halbjährlich.

Fazit: Nächste Schritte für Ihr Unternehmen

Die NIS2-Betroffenheitsprüfung ist der unbedingt notwendige erste Schritt auf dem Weg zur Compliance. Wer diesen Schritt überspringt oder auf unklarer Informationsbasis trifft, setzt sich erheblichen rechtlichen und finanziellen Risiken aus.

Zusammenfassung der nächsten Schritte:

1. Sektor und Größe anhand der Anlagen 1 und 2 des NIS2UmsuCG prüfen
2. Kategorie (wesentlich oder wichtig) festlegen und dokumentieren
3. BSI-Registrierung einleiten (§33 BSIG)
4. Gap-Analyse durchführen und Maßnahmenplan erstellen
5. ISMS implementieren und Schulungen für die Führungsebene einplanen

Der Aufwand lohnt sich: Unternehmen, die NIS2-Compliance systematisch angehen, profitieren nicht nur von geringeren Haftungsrisiken, sondern auch von einer nachhaltig gestärkten IT-Sicherheitsarchitektur – ein entscheidender Wettbewerbsvorteil in einer zunehmend digitalisierten Wirtschaft.

💡 Praxis-Tipp: NIS2-Compliance strukturiert umsetzen

Die Umsetzung aller NIS2-Anforderungen ist komplex und erfordert eine strukturierte Dokumentation – von der Betroffenheitsprüfung über die Risikoanalyse bis zur Vorfallsmeldung. Spezialisierte NIS2-Compliance-Softwarelösungen können diesen Prozess erheblich erleichtern: Sie führen Sie strukturiert durch die Betroffenheitsanalyse, helfen beim Aufbau Ihres ISMS-Dokumentationsrahmens, erinnern an Meldefristen und unterstützen bei der Nachweisführung gegenüber dem BSI. Wer seine Compliance nicht dem Zufall überlassen möchte, sollte den Einsatz eines solchen Tools frühzeitig in seine NIS2-Roadmap einplanen.

Quellen: BSI-Gesetz (BSIG) in der Fassung des NIS2UmsuCG | NIS2-Richtlinie (EU) 2022/2555 | ENISA Threat Landscape 2025 | Bundesamt für Sicherheit in der Informationstechnik (BSI)