NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 25. September 2026 | Lesedauer: ca. 9 Minuten

Die NIS2-Richtlinie ist längst kein Zukunftsthema mehr – sie ist geltendes Recht. Seit der Umsetzung durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in deutsches Recht stehen tausende Unternehmen vor einer entscheidenden Frage: Bin ich betroffen – und wenn ja, als was? Die NIS2-Betroffenheitsprüfung ist für Unternehmen in Deutschland 2025 und 2026 der erste und wichtigste Schritt auf dem Weg zur Compliance. Wer diese Frage nicht klar beantwortet, riskiert empfindliche Bußgelder und regulatorische Konsequenzen.

Dieser Artikel erklärt systematisch, welche Kriterien über Ihre Betroffenheit entscheiden, wie Sie Ihren Status selbst prüfen können und welche konkreten Pflichten sich daraus ergeben.

Was regelt §3 NIS2UmsuCG – und warum ist er so wichtig?

Der §3 NIS2UmsuCG definiert den persönlichen Anwendungsbereich des Gesetzes. Er legt fest, welche Einrichtungen als „wesentlich" oder „wichtig" eingestuft werden – und damit welchen Pflichten sie unterliegen. Die Einstufung erfolgt anhand von zwei zentralen Kriterien:

1. Sektorzugehörigkeit (Anlage 1 oder Anlage 2 des NIS2UmsuCG)
2. Unternehmensgröße (Mitarbeiterzahl und Jahresumsatz bzw. Jahresbilanzsumme)

Wer glaubt, als mittelständisches Unternehmen automatisch außen vor zu sein, irrt häufig. Die Richtlinie greift deutlich weiter als ihr Vorgänger, die ursprüngliche NIS-Richtlinie von 2016 – und erfasst nach Schätzungen des BSI allein in Deutschland mehrere zehntausend Unternehmen neu.

Die zwei Anlagen: Welche Sektoren fallen unter NIS2?

Anlage 1: Sektoren mit hoher Kritikalität (Wesentliche Einrichtungen)

Einrichtungen in diesen Sektoren unterliegen den strengsten Anforderungen:

Anlage 2: Sonstige kritische Sektoren (Wichtige Einrichtungen)

Wichtig: Allein die Sektorzugehörigkeit reicht nicht aus. Zusätzlich müssen die Größenkriterien erfüllt sein – mit einer wichtigen Ausnahme (s. u.).

Die Größenkriterien: Ab wann greift NIS2?

Grundregel: Mittlere und große Unternehmen

Die NIS2-Richtlinie und §3 NIS2UmsuCG orientieren sich an der EU-Definition für Unternehmensgrößen:

Faustregel: Wer in einem der genannten Sektoren tätig ist und mindestens 50 Mitarbeiter beschäftigt sowie einen Jahresumsatz oder eine Bilanzsumme von mehr als 10 Millionen Euro aufweist, fällt grundsätzlich in den Anwendungsbereich.

Ausnahmen: Wenn die Größe keine Rolle spielt

Bestimmte Einrichtungen fallen unabhängig von ihrer Größe unter NIS2:

• Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste
• Vertrauensdiensteanbieter (qualifiziert oder nicht qualifiziert)
• TLD-Registries und DNS-Diensteanbieter
• Einrichtungen, die als einziger Anbieter eines kritischen Dienstes in einem Mitgliedstaat agieren
• Einrichtungen, deren Ausfall erhebliche Auswirkungen auf die öffentliche Ordnung, Sicherheit oder Gesundheit haben könnte

Wesentliche vs. Wichtige Einrichtungen: Der entscheidende Unterschied

Die Einstufung als „wesentliche" oder „wichtige" Einrichtung hat direkte Auswirkungen auf den Umfang der Pflichten und die Höhe möglicher Bußgelder.

Wesentliche Einrichtungen (§28 Abs. 1 NIS2UmsuCG)

• Große Unternehmen aus Anlage 1
• Mittlere Unternehmen bestimmter Sektoren aus Anlage 1 (z. B. Vertrauensdiensteanbieter, TLD-Registries)
• Unterliegen proaktiver Aufsicht durch das BSI
• Höheres Bußgeldniveau

Wichtige Einrichtungen (§28 Abs. 2 NIS2UmsuCG)

• Mittlere und große Unternehmen aus Anlage 1, die nicht als wesentlich eingestuft sind
• Mittlere und große Unternehmen aus Anlage 2
• Unterliegen reaktiver Aufsicht (BSI wird erst bei Verdacht auf Verstöße tätig)
• Niedrigeres, aber immer noch erhebliches Bußgeldniveau

Selbsttest: Fällt Ihr Unternehmen unter NIS2?

Beantworten Sie die folgenden Fragen der Reihe nach. Dieser strukturierte Selbsttest führt Sie in wenigen Schritten zu einer ersten Einschätzung.

Schritt 1: Sektorzugehörigkeit prüfen

• [ ] Ist mein Unternehmen in einem der Sektoren der Anlage 1 tätig?
• [ ] Ist mein Unternehmen in einem der Sektoren der Anlage 2 tätig?

➡️ Nein zu beiden: Kein direkter NIS2-Anwendungsbereich. Prüfen Sie jedoch Lieferkettenpflichten als Zulieferer betroffener Einrichtungen.

➡️ Ja: Weiter zu Schritt 2.

Schritt 2: Größenkriterien prüfen

• [ ] Beschäftigt mein Unternehmen 50 oder mehr Mitarbeiter (Vollzeitäquivalente)?
• [ ] Übersteigt mein Jahresumsatz oder meine Bilanzsumme 10 Millionen Euro?

➡️ Nein zu beiden: Grundsätzlich ausgenommen (außer bei den o. g. Ausnahmen).

➡️ Ja: Weiter zu Schritt 3.

Schritt 3: Art der Einrichtung bestimmen

• [ ] Ist mein Unternehmen ein großes Unternehmen (≥ 250 MA, > 50 Mio. € Umsatz) in Anlage 1? → Wesentliche Einrichtung
• [ ] Ist mein Unternehmen ein mittleres oder großes Unternehmen in Anlage 1 (ohne Großunternehmen)? → Je nach Sektor wesentlich oder wichtig
• [ ] Ist mein Unternehmen in Anlage 2 tätig (mittlere oder große Einrichtung)? → Wichtige Einrichtung

Konsequenzen bei Nichterfüllung: Bußgelder nach §65 BSIG

Die finanziellen Risiken einer Nichterfüllung der NIS2-Pflichten sind erheblich. §65 BSIG sieht folgende Bußgeldrahmen vor:

Doch Bußgelder sind nicht die einzige Konsequenz. Das BSI kann darüber hinaus:

• Anweisungen und Auflagen erteilen
• Zertifizierungen aussetzen oder widerrufen
• Bei wesentlichen Einrichtungen temporäre Tätigkeitsverbote für Geschäftsführer verhängen (§64 Abs. 4 BSIG)
• Öffentliche Bekanntmachungen über Verstöße anordnen

Letzteres stellt für viele Unternehmen das größte Risiko dar: Reputationsschäden können langfristig weit schwerwiegender sein als die Bußgelder selbst.

Was sind die konkreten Pflichten nach der Betroffenheitsprüfung?

Sobald feststeht, dass Ihr Unternehmen unter NIS2 fällt, entstehen umfangreiche Pflichten. Die wichtigsten im Überblick:

Technisch-organisatorische Maßnahmen (§30 NIS2UmsuCG):
- Risikoanalyse und Informationssicherheitskonzepte
- Incident Response und Business Continuity Management
- Sicherheit der Lieferkette
- Verschlüsselung und Zugangskontrolle
- Schulungen und Sensibilisierungsmaßnahmen

Meldepflichten (§32 NIS2UmsuCG):
- Erhebliche Sicherheitsvorfälle müssen dem BSI gemeldet werden
- Erstmeldung: Innerhalb von 24 Stunden nach Kenntnisnahme
- Detailmeldung: Innerhalb von 72 Stunden
- Abschlussbericht: Innerhalb von einem Monat

Registrierungspflicht (§33 NIS2UmsuCG):
- Betroffene Einrichtungen müssen sich beim BSI registrieren

7 konkrete Handlungsempfehlungen für Ihr Unternehmen

1. Betroffenheit dokumentieren: Führen Sie die Betroffenheitsprüfung schriftlich durch und dokumentieren Sie Ihre Entscheidungsgrundlage – auch eine Nicht-Betroffenheit sollte begründet festgehalten werden.

2. Sektorzugehörigkeit rechtlich absichern: Beauftragen Sie bei Unklarheiten einen auf IT-Recht spezialisierten Anwalt oder konsultieren Sie das BSI direkt. Die Einordnung in Anlage 1 oder 2 ist nicht immer eindeutig.

3. Lieferkette analysieren: Auch wenn Sie selbst nicht direkt betroffen sind – sind Sie Zulieferer einer wesentlichen oder wichtigen Einrichtung? Deren Sicherheitsanforderungen werden vertraglich an Sie weitergegeben.

4. Gap-Analyse durchführen: Vergleichen Sie Ihren aktuellen Sicherheitsstatus mit den Anforderungen aus §30 NIS2UmsuCG. Identifizieren Sie Lücken systematisch.

5. Meldeprozesse etablieren: Definieren Sie interne Prozesse, wer bei einem Sicherheitsvorfall was innerhalb welcher Frist unternimmt. 24 Stunden sind ein sehr enger Zeitrahmen.

6. Beim BSI registrieren: Die Registrierungspflicht ist eine der ersten konkreten Handlungspflichten. Das BSI stellt hierfür eine Online-Plattform bereit.

7. Geschäftsführung einbinden: NIS2 ist Chefsache. §38 NIS2UmsuCG verpflichtet die Geschäftsleitung zur persönlichen Verantwortung – Schulungen der Führungsebene sind Pflicht, nicht Kür.

Fazit: Betroffenheit prüfen – jetzt, nicht irgendwann

Die NIS2-Betroffenheitsprüfung ist für Unternehmen in Deutschland im Jahr 2025 und 2026 keine optionale Übung, sondern eine rechtliche Notwendigkeit. Die Kombination aus erweitertem Sektorenspektrum, gesenkten Schwellenwerten und deutlich verschärften Sanktionen macht eine sorgfältige Einschätzung unumgänglich.

Ihre nächsten Schritte auf einen Blick:

1. ✅ Prüfen Sie anhand von Anlage 1 und Anlage 2, ob Ihr Sektor erfasst ist
2. ✅ Überprüfen Sie Ihre Unternehmensgröße (Mitarbeiter, Umsatz, Bilanzsumme)
3. ✅ Bestimmen Sie, ob Sie wesentliche oder wichtige Einrichtung sind
4. ✅ Registrieren Sie sich beim BSI
5. ✅ Starten Sie Ihre Gap-Analyse und implementieren Sie fehlende Maßnahmen

Jeder Monat, der ohne strukturierte Compliance-Arbeit vergeht, erhöht das regulatorische und finanzielle Risiko für Ihr Unternehmen.

Nächster Schritt: Betroffenheit digital prüfen und ISMS aufbauen

Die manuelle Betroffenheitsprüfung ist fehleranfällig und zeitaufwendig – besonders wenn sich Sektorkriterien und interne Strukturen schnell ändern. Spezialisierte NIS2-Compliance-Software kann Ihnen helfen, die Betroffenheitsprüfung strukturiert zu dokumentieren, Ihre Schutzmaßnahmen nach §30 NIS2UmsuCG lückenlos abzubilden und ISMS-Dokumente normenkonform zu erstellen. Tools wie diese bieten zudem Vorlagen für Meldeprozesse, Risikoanalysen und Schulungsnachweise – alles, was Aufsichtsbehörden im Ernstfall sehen wollen. Informieren Sie sich, welche Lösung zu Ihrer Unternehmensgröße und Ihrem Sektor passt, und starten Sie Ihre NIS2-Compliance nicht mit einem leeren Blatt Papier.

Dieser Artikel wurde nach bestem Wissen und Gewissen auf Basis des NIS2UmsuCG und des BSIG in der jeweils geltenden Fassung erstellt. Er ersetzt keine Rechtsberatung. Für eine rechtssichere Einschätzung empfehlen wir die Konsultation eines auf Cybersicherheitsrecht spezialisierten Anwalts oder die direkte Kontaktaufnahme mit dem BSI.