NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 13. August 2026 | Lesezeit: ca. 10 Minuten

Die NIS2-Richtlinie der Europäischen Union ist seit der Umsetzung in deutsches Recht durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) für Tausende von Unternehmen in Deutschland verbindlich. Doch noch immer wissen viele Geschäftsführer und IT-Verantwortliche nicht sicher, ob ihr Unternehmen überhaupt betroffen ist – und riskieren damit empfindliche Bußgelder.

Dieser Artikel führt Sie Schritt für Schritt durch die NIS2-Betroffenheitsprüfung und zeigt Ihnen, wie Sie anhand gesetzlicher Kriterien eindeutig feststellen, ob Ihr Unternehmen als wesentliche oder wichtige Einrichtung einzustufen ist.

Was regelt §3 NIS2UmsuCG?

Der Anwendungsbereich der NIS2-Pflichten ist in §3 NIS2UmsuCG definiert. Die Vorschrift legt fest, welche Einrichtungen als „wesentlich" oder „wichtig" gelten und damit den umfangreichen Sicherheits- und Meldepflichten des Gesetzes unterliegen. Grundlage ist die europäische NIS2-Richtlinie (EU) 2022/2555, die Deutschland in nationales Recht überführt hat.

Die Einstufung erfolgt anhand von zwei unabhängigen Kriteriensträngen, die beide erfüllt sein müssen:

1. Sektorzugehörigkeit (Anlage 1 oder Anlage 2 des NIS2UmsuCG)
2. Größenkriterien (Mitarbeiterzahl und/oder Jahresumsatz bzw. Bilanzsumme)

Wer beide Kriterien erfüllt, ist betroffen – und das unabhängig davon, ob das BSI das Unternehmen aktiv kontaktiert hat oder nicht.

Schritt 1: Sektorzugehörigkeit prüfen

Anlage 1 – Sektoren mit hoher Kritikalität

Unternehmen in diesen Branchen werden als wesentliche Einrichtungen eingestuft, sofern die Größenkriterien erfüllt sind:

Anlage 2 – Sonstige kritische Sektoren

Unternehmen in diesen Bereichen werden als wichtige Einrichtungen klassifiziert:

Wichtig: Auch wenn Ihr Unternehmen nicht in einer dieser Branchen tätig ist, können Sie durch Lieferkettenverpflichtungen oder als Auftragsverarbeiter indirekt betroffen sein. Sprechen Sie im Zweifel mit einem NIS2-Fachberater.

Schritt 2: Größenkriterien nach §3 NIS2UmsuCG

Die reine Branchenzugehörigkeit genügt nicht. Zusätzlich müssen die folgenden Schwellenwerte überschritten werden:

Wesentliche Einrichtungen (Anlage 1)

• Mitarbeiter: ≥ 250 Vollzeitäquivalente (VZÄ), oder
• Jahresumsatz: > 50 Millionen Euro und Bilanzsumme > 43 Millionen Euro

Wichtige Einrichtungen (Anlage 1 + Anlage 2)

• Mitarbeiter: ≥ 50 Vollzeitäquivalente (VZÄ), oder
• Jahresumsatz: > 10 Millionen Euro und Bilanzsumme > 10 Millionen Euro

Hinweis zu verbundenen Unternehmen: Bei der Berechnung der Mitarbeiterzahl und des Umsatzes sind gemäß der EU-KMU-Definition die Zahlen von Partnerunternehmen und verbundenen Unternehmen anteilig oder vollständig einzubeziehen. Konzernzugehörigkeit kann also dazu führen, dass auch kleinere Tochtergesellschaften die Schwellenwerte überschreiten.

Sonderfall: Unabhängig von der Größe betroffen

Für bestimmte Einrichtungen gelten die Größenschwellen nicht. Sie sind unabhängig von ihrer Mitarbeiterzahl oder ihrem Umsatz automatisch als wesentliche Einrichtungen eingestuft:

• Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste
• Qualifizierte Vertrauensdienstanbieter
• TLD-Registrare und DNS-Anbieter
• Betreiber kritischer Anlagen gemäß BSI-Kritis-Verordnung
• Einrichtungen, die als einziger Anbieter in einem Mitgliedstaat tätig sind

Schritt 3: Selbsttest – Ist mein Unternehmen betroffen?

Nutzen Sie diese Checkliste für eine erste Orientierung. Sie ersetzt keine rechtliche Beratung, gibt aber eine klare Einschätzung:

✅ NIS2-Schnellcheck

Block A: Sektorzugehörigkeit
- [ ] Mein Unternehmen ist in einem der Sektoren aus Anlage 1 tätig (→ potenziell wesentliche Einrichtung)
- [ ] Mein Unternehmen ist in einem der Sektoren aus Anlage 2 tätig (→ potenziell wichtige Einrichtung)
- [ ] Keines von beidem trifft zu (→ NIS2 gilt in der Regel nicht direkt)

Block B: Größenkriterien (nur ausfüllen, wenn Block A zutrifft)
- [ ] Wir beschäftigen 250 oder mehr Mitarbeiter (VZÄ, inkl. verbundene Unternehmen) → wesentliche Einrichtung
- [ ] Wir beschäftigen 50–249 Mitarbeiter UND erzielen > 10 Mio. € Umsatz → wichtige Einrichtung
- [ ] Wir fallen unter keine der Größenschwellen → wahrscheinlich nicht direkt betroffen

Block C: Sondertatbestände
- [ ] Wir sind Betreiber einer kritischen Anlage nach KRITIS-Dachgesetz
- [ ] Wir sind qualifizierter Vertrauensdienstanbieter oder DNS-Betreiber
- [ ] Wir sind der einzige Anbieter eines kritischen Dienstes in Deutschland

Auswertung:
- Mindestens eine Frage in Block A und Block B mit „Ja" → Betroffenheitsprüfung dringend empfohlen, Compliance-Maßnahmen einleiten
- Fragen in Block C mit „Ja" → Unmittelbar betroffen, sofortiger Handlungsbedarf
- Alles mit „Nein" → Derzeit wahrscheinlich nicht direkt betroffen, aber Lieferkettenpflichten prüfen

Wesentliche vs. Wichtige Einrichtungen: Was ist der Unterschied?

Die Einstufung ist nicht nur formaler Natur – sie hat direkte Auswirkungen auf Ihre Pflichten und die Sanktionshöhe:

Konsequenzen bei Nichterfüllung: Bußgelder nach §65 BSIG

Wer die NIS2-Pflichten ignoriert, riskiert erhebliche Sanktionen. §65 BSIG sieht folgende Bußgeldrahmen vor:

• Wesentliche Einrichtungen: bis zu 10.000.000 Euro oder 2 % des gesamten weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist
• Wichtige Einrichtungen: bis zu 7.000.000 Euro oder 1,4 % des gesamten weltweiten Jahresumsatzes

Besonders kritisch: Das Gesetz sieht in §65 Abs. 4 NIS2UmsuCG auch eine persönliche Haftung der Geschäftsleitung vor. Geschäftsführer und Vorstände können bei grober Fahrlässigkeit oder Vorsatz direkt in Haftung genommen werden – und auf Schadensersatz gegenüber dem Unternehmen verklagt werden.

Darüber hinaus drohen:
- Anordnungen des BSI zur Umsetzung von Sicherheitsmaßnahmen (§62 BSIG)
- Veröffentlichung von Verstößen (Naming and Shaming)
- Bei wesentlichen Einrichtungen: vorübergehendes Verbot der Ausübung von Leitungsaufgaben für verantwortliche Personen

Handlungsempfehlungen: 7 konkrete Schritte zur NIS2-Compliance

Wenn Sie festgestellt haben, dass Ihr Unternehmen betroffen ist, sollten Sie jetzt handeln. Hier sind die wichtigsten Schritte in der richtigen Reihenfolge:

1. Betroffenheit dokumentieren: Halten Sie intern fest, auf welcher Grundlage (Sektor + Größe) Sie als wesentliche oder wichtige Einrichtung eingestuft sind. Diese Dokumentation ist bei BSI-Prüfungen relevant.

2. Beim BSI registrieren: Betroffene Einrichtungen müssen sich im BSI-Portal registrieren. Die Registrierungspflicht besteht unabhängig davon, ob Sie bereits Sicherheitsmaßnahmen umgesetzt haben.

3. Gap-Analyse durchführen: Vergleichen Sie Ihre bestehenden Sicherheitsmaßnahmen mit den Anforderungen aus §30 NIS2UmsuCG (Risikomanagement, Zugangskontrollen, Kryptographie, Incident Response etc.).

4. Informationssicherheits-Managementsystem (ISMS) aufbauen oder anpassen: Ein ISMS nach ISO 27001 oder BSI IT-Grundschutz bietet eine solide Basis für NIS2-Compliance.

5. Meldeprozesse für Sicherheitsvorfälle etablieren: Nach §32 NIS2UmsuCG gilt eine 24-Stunden-Erstmeldepflicht an das BSI bei erheblichen Sicherheitsvorfällen, gefolgt von einem detaillierten Bericht nach 72 Stunden.

6. Lieferkette einbeziehen: Prüfen Sie, ob Ihre kritischen Dienstleister und Zulieferer ebenfalls angemessene Sicherheitsmaßnahmen umsetzen (§30 Abs. 2 Nr. 4 NIS2UmsuCG).

7. Geschäftsleitung schulen und einbinden: Da die Haftung auch die persönliche Ebene betrifft, müssen Geschäftsführer und Vorstände die Anforderungen kennen und aktiv an der Umsetzung beteiligt sein.

Häufige Irrtümer bei der Betroffenheitsprüfung

Irrtum 1: „Wir sind zu klein für NIS2."
Viele Unternehmen unterschätzen die Wirkung der Konzernkonsolidierung. Wer als Tochterunternehmen eines großen Konzerns agiert, kann die Schwellenwerte gemeinsam mit dem Mutterunternehmen überschreiten.

Irrtum 2: „Wir wurden nicht vom BSI angeschrieben."
Das BSI benachrichtigt nicht alle betroffenen Unternehmen proaktiv. Die Pflicht zur Selbsteinstufung liegt beim Unternehmen selbst.

Irrtum 3: „Wir sind kein klassisches IT-Unternehmen."
NIS2 gilt für alle Sektoren aus Anlage 1 und 2 – also auch für Lebensmittelhersteller, Chemieunternehmen oder Logistikdienstleister.

Irrtum 4: „NIS2 ist dasselbe wie DSGVO-Compliance."
DSGVO und NIS2 ergänzen sich, sind aber unterschiedliche Regelwerke mit unterschiedlichen Anforderungen. DSGVO-Compliance schützt nicht vor NIS2-Verstößen.

Fazit: Jetzt handeln, bevor die Aufsicht kommt

Die NIS2-Betroffenheitsprüfung ist keine einmalige Aufgabe – sie sollte regelmäßig wiederholt werden, da sich Unternehmensgrößen, Sektorzugehörigkeiten und gesetzliche Anforderungen ändern können. Für 2025 und 2026 gilt: Das BSI intensiviert seine Aufsichtstätigkeit, und die ersten Bußgeldverfahren sind bereits angelaufen.

Ihre nächsten Schritte zusammengefasst:

• ✔ Sektorzugehörigkeit anhand von Anlage 1 und 2 NIS2UmsuCG prüfen
• ✔ Größenkriterien unter Einbeziehung verbundener Unternehmen ermitteln
• ✔ Einstufung als wesentliche oder wichtige Einrichtung dokumentieren
• ✔ BSI-Registrierung vornehmen
• ✔ Gap-Analyse und ISMS-Aufbau starten

Nächster Schritt: Betroffenheit digital prüfen und Maßnahmen steuern

Wenn Sie die Betroffenheitsprüfung strukturiert und revisionssicher dokumentieren möchten, empfiehlt sich der Einsatz einer spezialisierten NIS2-Compliance-Software. Moderne ISMS-Plattformen helfen Ihnen dabei, die Betroffenheit automatisiert zu ermitteln, Sicherheitslücken zu identifizieren, Maßnahmenpläne zu erstellen und die BSI-Registrierung vorzubereiten – alles an einem zentralen Ort, nachvollziehbar und auditierbar. Viele Tools bieten außerdem vorgefertigte Richtlinienvorlagen und Schulungsmodule, die die Einbindung der Geschäftsleitung erleichtern.

Nutzen Sie die Möglichkeit, Ihre NIS2-Compliance nicht dem Zufall zu überlassen – Ihre Verantwortung als Unternehmen und als Führungsperson hängt davon ab.

Dieser Artikel dient der allgemeinen Information und ersetzt keine individuelle Rechts- oder Compliance-Beratung. Bei konkreten Fragen zur NIS2-Betroffenheit empfehlen wir die Konsultation eines auf Cybersicherheitsrecht spezialisierten Anwalts oder des BSI-Bürger-CERT.