NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 05.08.2026 | Lesedauer: ca. 8 Minuten

Die Uhr tickt. Seit das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in deutsches Recht überführt wurde, stehen tausende Unternehmen vor einer entscheidenden Frage: Bin ich betroffen – und wenn ja, was muss ich tun? Gerade für mittelständische Unternehmen ist die NIS2-Betroffenheitsprüfung 2025 einer der wichtigsten Compliance-Schritte überhaupt. Wer die Frage falsch beantwortet oder schlicht ignoriert, riskiert empfindliche Bußgelder nach §65 BSIG und – schlimmer noch – ungeschützte IT-Infrastrukturen in einer Zeit eskalierender Cyberangriffe.

Dieser Artikel gibt Ihnen eine strukturierte, praxisnahe Anleitung, um zu prüfen, ob Ihr Unternehmen unter die NIS2-Richtlinie fällt, welche Pflichten daraus entstehen und wie Sie jetzt richtig handeln.

Was ist die NIS2-Richtlinie – und warum gilt sie auch für Sie?

Die NIS2-Richtlinie (EU 2022/2555) ist die überarbeitete Fassung der ursprünglichen NIS-Richtlinie von 2016. Sie erweitert den Anwendungsbereich erheblich und wurde durch das NIS2UmsuCG in deutsches Recht umgesetzt. Rechtsgrundlage für die Betroffenheitsbestimmung ist insbesondere §3 NIS2UmsuCG, der definiert, welche Einrichtungen als „wesentlich" oder „wichtig" einzustufen sind.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) schätzt, dass in Deutschland rund 29.000 Unternehmen erstmals oder neu von NIS2 erfasst werden – eine Verzehnfachung gegenüber der Vorgängerregelung. Die wichtigste Erkenntnis: NIS2 ist kein reines Großunternehmensthema mehr.

Schritt 1: Gehört Ihr Unternehmen zu einem betroffenen Sektor?

Der erste Filter der Betroffenheitsprüfung ist die Sektorzugehörigkeit. Das NIS2UmsuCG unterscheidet zwischen zwei Anlagen, die direkt den Anlagen I und II der EU-Richtlinie entsprechen.

Anlage 1: Sektoren hoher Kritikalität (wesentliche Einrichtungen)

Diese Sektoren gelten als besonders schutzbedürftig:

• Energie (Strom, Gas, Fernwärme, Öl, Wasserstoff)
• Verkehr (Luft, Schiene, Wasser, Straße)
• Bankwesen (Kreditinstitute)
• Finanzmarktinfrastrukturen
• Gesundheit (Krankenhäuser, Labore, Forschung, Pharmahersteller)
• Trinkwasser und Abwasser
• Digitale Infrastruktur (IXPs, DNS-Anbieter, TLD-Registries, Cloud-Anbieter, Rechenzentren, CDN, TSPs, elektronische Kommunikation)
• Verwaltung von IKT-Diensten (B2B-Managed-Service-Provider)
• Öffentliche Verwaltung
• Weltraum

Anlage 2: Sonstige kritische Sektoren (wichtige Einrichtungen)

• Post- und Kurierdienste
• Abfallbewirtschaftung
• Chemische Industrie (Herstellung, Produktion, Handel)
• Lebensmittelproduktion und -verarbeitung
• Verarbeitendes Gewerbe / Maschinenbau (Medizinprodukte, Elektronik, Fahrzeugbau, u. a.)
• Digitale Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke)
• Forschungseinrichtungen

Praxistipp: Prüfen Sie nicht nur Ihre Haupttätigkeit, sondern auch Nebentätigkeiten und Tochtergesellschaften. Eine Unternehmensgruppe kann in mehreren Sektoren gleichzeitig tätig sein.

Schritt 2: Erfüllen Sie die Größenkriterien?

Die Sektorzugehörigkeit allein reicht nicht aus. Zusätzlich müssen Größenschwellen überschritten werden – es sei denn, es handelt sich um besonders kritische Infrastrukturen (dann greift NIS2 unabhängig von der Größe).

Standardregel: Mittlere und große Unternehmen

Wesentliche Einrichtungen (Anlage 1): In der Regel große Unternehmen (≥ 250 MA) sowie mittlere Unternehmen in besonders kritischen Teilbereichen (z. B. qualifizierte Vertrauensdiensteanbieter, TLD-Registries, bestimmte Teile der digitalen Infrastruktur).

Wichtige Einrichtungen (Anlage 2 sowie mittlere Unternehmen aus Anlage 1): Unternehmen mit ≥ 50 Mitarbeitern und ≥ 10 Mio. Euro Umsatz oder Bilanzsumme.

Ausnahmen: Größenunabhängige Betroffenheit

Einige Einrichtungen fallen unabhängig von ihrer Größe unter NIS2, darunter:

• Betreiber kritischer Anlagen (KRITIS nach §28 BSIG)
• Qualifizierte Vertrauensdiensteanbieter
• TLD-Registries und DNS-Resolver
• Anbieter öffentlicher elektronischer Kommunikationsnetze
• Einrichtungen, deren Ausfall erhebliche Auswirkungen auf die öffentliche Sicherheit hätte

Schritt 3: Wesentliche vs. wichtige Einrichtung – Was ist der Unterschied?

Die Einstufung als wesentliche oder wichtige Einrichtung bestimmt, welche Aufsichts- und Sanktionsintensität gilt.

Wesentliche Einrichtungen (§3 Abs. 1 NIS2UmsuCG)

• Unterliegen der proaktiven Aufsicht durch das BSI
• Strengere Anforderungen an Sicherheitsmaßnahmen (§30 BSIG)
• Höhere Bußgelder bei Verstößen: bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes
• Regelmäßige Audits und Nachweise erforderlich

Wichtige Einrichtungen (§3 Abs. 2 NIS2UmsuCG)

• Unterliegen der reaktiven Aufsicht (BSI prüft i. d. R. anlassbezogen)
• Vergleichbare technische und organisatorische Mindestmaßnahmen
• Bußgelder bis zu 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes
• Registrierungspflicht beim BSI besteht ebenfalls

Wichtig: Auch als „wichtige Einrichtung" sind die Anforderungen an Risikomanagement, Incident Reporting und Lieferkettensicherheit nahezu identisch mit denen wesentlicher Einrichtungen. Die Unterscheidung betrifft primär die Aufsichtsintensität.

Interaktiver Selbsttest: Bin ich von NIS2 betroffen?

Nutzen Sie diese Checkliste als erste Orientierung:

Schritt 1 – Sektorcheck
- [ ] Ist mein Unternehmen in einem der Sektoren aus Anlage 1 oder Anlage 2 tätig?

Schritt 2 – Größencheck
- [ ] Beschäftigt mein Unternehmen 50 oder mehr Mitarbeiter?
- [ ] Beträgt der Jahresumsatz oder die Bilanzsumme mindestens 10 Mio. Euro?

Schritt 3 – Sondertatbestände
- [ ] Bin ich als KRITIS-Betreiber nach §28 BSIG eingestuft?
- [ ] Bin ich qualifizierter Vertrauensdiensteanbieter?
- [ ] Biete ich öffentliche elektronische Kommunikationsnetze oder -dienste an?

Auswertung:
- Schritt 1 + 2 beide erfüllt → Sehr wahrscheinlich von NIS2 betroffen → Weiter mit Einstufung wesentlich/wichtig
- Schritt 3 irgendein Punkt erfüllt → NIS2 gilt unabhängig von der Größe
- Kein Punkt erfüllt → Aktuell nicht direkt betroffen, aber: Lieferkettenpflichten beachten!

Hinweis: Dieser Selbsttest ersetzt keine rechtliche Beratung. Bei Unsicherheiten empfehlen BSI und ENISA die Konsultation eines qualifizierten IT-Sicherheits- oder Rechtsberaters.

Konsequenzen bei Nichterfüllung: Was riskieren Sie?

Wer glaubt, die NIS2-Pflichten aussitzen zu können, unterschätzt die Konsequenzen erheblich. Das BSIG sieht in §65 einen abgestuften Bußgeldkatalog vor:

Bußgelder nach §65 BSIG

Darüber hinaus können Geschäftsführer und Vorstände persönlich haftbar gemacht werden, wenn sie nachweislich ihrer Überwachungspflicht nicht nachgekommen sind (§38 BSIG). Das ist ein fundamentaler Unterschied zur alten KRITIS-Regulierung und sollte in keiner Geschäftsleitungssitzung fehlen.

Reputationsschäden und operative Folgen

Neben Bußgeldern drohen:
- Zwangsmaßnahmen des BSI (Anordnungen, vorübergehende Aussetzung von Tätigkeiten)
- Reputationsschäden durch öffentliche Bekanntmachung von Verstößen
- Vertragsrechtliche Konsequenzen gegenüber Kunden und Partnern, die ihrerseits NIS2-konform sein müssen

Was müssen betroffene Unternehmen konkret tun?

Eine NIS2-konforme Umsetzung gliedert sich in mehrere Handlungsfelder, die sich aus §30 BSIG (Risikomanagementmaßnahmen) und §32 BSIG (Meldepflichten) ableiten:

10 konkrete Handlungsempfehlungen für betroffene Unternehmen

1. Betroffenheit formell feststellen und dokumentieren – Halten Sie die Sektoranalyse und Größenkriterien schriftlich fest.
2. Registrierung beim BSI vornehmen – Wesentliche und wichtige Einrichtungen müssen sich über das BSI-Portal registrieren.
3. Informationssicherheits-Managementsystem (ISMS) einführen – Strukturieren Sie Ihre Sicherheitsprozesse nach anerkannten Standards (ISO 27001, BSI IT-Grundschutz).
4. Risikomanagement etablieren – Identifizieren, bewerten und behandeln Sie Cyberrisiken systematisch (§30 Abs. 1 BSIG).
5. Incident-Response-Prozesse definieren – Stellen Sie sicher, dass Sicherheitsvorfälle innerhalb von 24 Stunden gemeldet werden können (erste Frühwarnung an BSI).
6. Business Continuity Management (BCM) aufbauen – Backup-Konzepte, Wiederherstellungspläne und Krisenmanagement sind Pflicht.
7. Lieferkette prüfen – Bewerten Sie die Cybersicherheitsreife Ihrer Dienstleister und Zulieferer (§30 Abs. 2 Nr. 4 BSIG).
8. Mitarbeiter schulen – Awareness-Trainings sind keine optionale Maßnahme, sondern ausdrücklich gefordert.
9. Kryptografie und Zugriffskontrolle implementieren – Multi-Faktor-Authentifizierung und Verschlüsselung sind explizit in §30 BSIG aufgeführt.
10. Governance verankern – Die Geschäftsleitung muss Sicherheitsmaßnahmen genehmigen, überwachen und selbst geschult sein (§38 BSIG).

Fazit: Jetzt handeln – nicht warten

Die NIS2-Betroffenheitsprüfung ist kein einmaliger Verwaltungsakt, sondern der Startschuss für einen dauerhaften Cybersicherheitsprozess. Unternehmen, die jetzt die richtigen Fragen stellen – Bin ich betroffen? Als was bin ich eingestuft? Was muss ich umsetzen? – verschaffen sich einen erheblichen Vorsprung gegenüber Wettbewerbern, die noch zögern.

Ihre nächsten Schritte auf einen Blick:

1. Heute: Sektorcheck und Größenprüfung nach §3 NIS2UmsuCG durchführen
2. Diese Woche: Einstufung als wesentliche oder wichtige Einrichtung klären, ggf. Rechtsberatung hinzuziehen
3. Diesen Monat: Registrierung beim BSI anstoßen, Gap-Analyse der bestehenden Sicherheitsmaßnahmen starten
4. Dieses Quartal: ISMS-Grundstruktur aufbauen, Meldeprozesse definieren, Schulungen planen
5. Fortlaufend: Lieferkette überwachen, Audits durchführen, BSI-Vorgaben aktuell halten

So unterstützt Sie Software bei der NIS2-Compliance

Die manuelle Verwaltung von NIS2-Anforderungen – Risikobewertungen, Maßnahmenpläne, Meldedokumentationen, Lieferantenaudits – ist in der Praxis kaum ohne digitale Unterstützung leistbar. Spezialisierte NIS2-Compliance-Software und ISMS-Plattformen helfen Ihnen dabei, Betroffenheitsprüfungen zu dokumentieren, Risiken strukturiert zu erfassen, Nachweise für BSI-Audits zu generieren und Meldepflichten fristgerecht zu erfüllen. Achten Sie bei der Auswahl auf eine nahtlose Integration der BSIG-Anforderungen, BSI IT-Grundschutz-Mappings und die Möglichkeit, Ihre Lieferkette einzubeziehen. Ein strukturiertes Tool erspart nicht nur Zeit – es schützt Sie auch vor dem Vorwurf, Ihre Sorgfaltspflichten als Geschäftsführung verletzt zu haben.

Quellen: BSI (bsi.bund.de), NIS2UmsuCG (BGBl. 2024), BSIG n. F., ENISA NIS2 Implementation Guidance, EU-Richtlinie 2022/2555