NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 25. August 2026 | Lesedauer: ca. 8 Minuten

Die NIS2-Richtlinie der Europäischen Union ist seit ihrer Umsetzung in deutsches Recht durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) für tausende deutsche Unternehmen verbindlich. Doch eine Frage treibt IT-Verantwortliche und Geschäftsführer gleichermaßen um: Bin ich überhaupt betroffen? Die Betroffenheitsprüfung ist der erste und entscheidende Schritt – denn wer irrtümlich davon ausgeht, nicht unter die Richtlinie zu fallen, riskiert empfindliche Bußgelder nach § 65 BSIG in Höhe von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes.

Dieser Artikel führt Sie systematisch durch die NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland 2025 und 2026 – mit konkreten Kriterien, einem praktischen Selbsttest und klaren Handlungsempfehlungen.

Was regelt §3 NIS2UmsuCG – und warum ist er so wichtig?

Der § 3 NIS2UmsuCG definiert den persönlichen Anwendungsbereich des Gesetzes. Er legt fest, welche Einrichtungen als „wesentlich" oder „wichtig" eingestuft werden und damit den vollen Pflichtenkatalog des Gesetzes erfüllen müssen. Grundlage ist die europäische NIS2-Richtlinie (EU) 2022/2555, die Deutschland im nationalen Recht umgesetzt hat.

Entscheidend ist: Die Betroffenheit tritt nicht automatisch durch eine behördliche Einstufung ein. Vielmehr sind Unternehmen nach § 33 NIS2UmsuCG selbst verpflichtet, ihre Betroffenheit zu prüfen und sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) zu registrieren. Das Prinzip der Selbstidentifikation trägt damit eine erhebliche Eigenverantwortung in die Unternehmen.

Die zwei zentralen Prüfkriterien: Sektor und Größe

Eine Betroffenheit nach NIS2 ergibt sich immer aus dem Zusammenspiel zweier Faktoren: dem Tätigkeitssektor des Unternehmens und seiner Unternehmensgröße. Beide Kriterien müssen gleichzeitig erfüllt sein.

Kriterium 1: Gehört Ihr Unternehmen zu einem erfassten Sektor?

Das NIS2UmsuCG unterscheidet zwei Kategorien von Sektoren, die in Anlage 1 (Sektoren hoher Kritikalität) und Anlage 2 (sonstige kritische Sektoren) aufgeführt sind.

Anlage 1 – Sektoren hoher Kritikalität:

• Energie (Strom, Gas, Öl, Fernwärme, Wasserstoff)
• Verkehr (Luft, Bahn, Wasser, Straße)
• Bankwesen und Finanzmarktinfrastrukturen
• Gesundheitswesen (Krankenhäuser, Labore, Hersteller von Medizinprodukten)
• Trinkwasser und Abwasser
• Digitale Infrastruktur (Internet-Knoten, DNS, TLD-Register, Rechenzentrumsdienste, CDN, Vertrauensdiensteanbieter)
• Verwaltung von IKT-Diensten (B2B)
• Öffentliche Verwaltung
• Weltraum

Anlage 2 – Sonstige kritische Sektoren:

• Post- und Kurierdienste
• Abfallbewirtschaftung
• Chemische Industrie
• Lebensmittelproduktion und -verarbeitung
• Verarbeitendes Gewerbe / Herstellung (z. B. Medizinprodukte, Maschinen, Fahrzeuge, Elektronik)
• Digitale Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke)
• Forschungseinrichtungen

Praxishinweis: Maßgeblich ist die tatsächlich ausgeübte Tätigkeit, nicht zwingend der Hauptgeschäftszweck. Auch wenn ein Unternehmen nur teilweise in einem der genannten Sektoren tätig ist, kann NIS2 greifen.

Kriterium 2: Erfüllt Ihr Unternehmen die Größenschwellen?

Die Größenschwellen orientieren sich an der EU-Empfehlung 2003/361/EG zur Unternehmensklassifikation:

Wichtig: Verflechtungen mit Partnerunternehmen oder verbundenen Unternehmen werden bei der Berechnung einbezogen. Eine Holdingstruktur kann dazu führen, dass eine rechtlich eigenständige Tochtergesellschaft durch die konsolidierte Betrachtung die Schwellenwerte überschreitet.

Ausnahmen nach unten (Unabhängig von der Größe betroffen):

Bestimmte Einrichtungen unterliegen NIS2 unabhängig von ihrer Größe, etwa:
- Anbieter öffentlicher elektronischer Kommunikationsnetze
- Qualifizierte Vertrauensdiensteanbieter
- TLD-Namensregistrierungsstellen und DNS-Anbieter
- Einrichtungen der öffentlichen Verwaltung auf Bundes- und Landesebene

Wesentliche vs. Wichtige Einrichtungen: Ein entscheidender Unterschied

Nicht alle betroffenen Unternehmen werden gleich reguliert. Das NIS2UmsuCG unterscheidet zwischen wesentlichen Einrichtungen (Essential Entities) und wichtigen Einrichtungen (Important Entities) – mit deutlich unterschiedlichen Aufsichts- und Sanktionsregimen.

Wesentliche Einrichtungen (§ 28 Abs. 1 NIS2UmsuCG)

Dies sind in der Regel:
- Großunternehmen in Sektoren der Anlage 1
- Bestimmte besonders systemrelevante Einrichtungen unabhängig von der Größe

Für wesentliche Einrichtungen gilt eine proaktive Aufsicht durch das BSI. Das BSI kann jederzeit Audits, Prüfungen und Vor-Ort-Kontrollen initiieren.

Wichtige Einrichtungen (§ 28 Abs. 2 NIS2UmsuCG)

Hierunter fallen:
- Mittlere Unternehmen in Sektoren der Anlage 1
- Mittlere und große Unternehmen in Sektoren der Anlage 2

Für wichtige Einrichtungen gilt eine reaktive Aufsicht: Das BSI wird typischerweise erst nach Hinweisen auf Verstöße tätig.

Überblick der Einstufung

Der Selbsttest: Fällt Ihr Unternehmen unter NIS2?

Nutzen Sie diese strukturierte Prüfsequenz, um Ihre Betroffenheit zu ermitteln:

Schritt 1 – Sektorprüfung:
☐ Ist mein Unternehmen in einem Sektor aus Anlage 1 oder Anlage 2 tätig?
→ Nein: Keine NIS2-Betroffenheit (Ausnahmen prüfen, s. u.)
→ Ja: Weiter mit Schritt 2

Schritt 2 – Größenprüfung:
☐ Beschäftigt mein Unternehmen (inkl. verbundener Unternehmen) 50 oder mehr Mitarbeiter?
☐ Erzielt mein Unternehmen mindestens 10 Millionen Euro Jahresumsatz oder Jahresbilanzsumme?
→ Beide Nein: Grundsätzlich nicht erfasst (Ausnahmeregelungen beachten)
→ Mindestens eine Ja: Weiter mit Schritt 3

Schritt 3 – Einrichtungsart bestimmen:
☐ Großunternehmen in Anlage-1-Sektor → Wesentliche Einrichtung
☐ Mittleres Unternehmen in Anlage-1-Sektor → Wichtige Einrichtung
☐ Mittleres oder großes Unternehmen in Anlage-2-Sektor → Wichtige Einrichtung

Schritt 4 – Ausnahmeregelungen prüfen:
☐ Bin ich Anbieter öffentlicher Kommunikationsnetze?
☐ Bin ich qualifizierter Vertrauensdiensteanbieter?
→ Ja: NIS2 gilt unabhängig von Größe und Sektor

Empfehlung: Führen Sie diese Prüfung dokumentiert durch und legen Sie das Ergebnis in Ihrer ISMS-Dokumentation ab. Im Prüfungsfall durch das BSI ist eine nachvollziehbare Betroffenheitsprüfung ein wichtiges Entlastungsargument.

Welche Pflichten entstehen bei Betroffenheit?

Wer die Betroffenheitsschwelle überschreitet, hat umfangreiche gesetzliche Pflichten zu erfüllen:

1. Registrierungspflicht beim BSI (§ 33 NIS2UmsuCG) – in der Regel innerhalb von drei Monaten nach Feststellung der Betroffenheit
2. Technische und organisatorische Sicherheitsmaßnahmen (§ 30 NIS2UmsuCG), u. a. Risikoanalysen, Incident-Response-Planung, Business Continuity Management, Lieferkettensicherheit
3. Meldepflicht bei Sicherheitsvorfällen (§ 32 NIS2UmsuCG) – erhebliche Vorfälle müssen binnen 24 Stunden als Frühwarnung gemeldet werden
4. Geschäftsführerhaftung – Leitungsorgane haften persönlich für die Umsetzung der Sicherheitsmaßnahmen (§ 38 NIS2UmsuCG)

Konsequenzen bei Nichterfüllung: Bußgelder nach §65 BSIG

Wer die NIS2-Pflichten ignoriert oder fahrlässig vernachlässigt, setzt sich erheblichen Sanktionen aus. § 65 BSIG sieht folgende Bußgeldrahmen vor:

Dabei gilt: Es wird der jeweils höhere Betrag angewendet. Für ein Unternehmen mit 500 Millionen Euro Jahresumsatz bedeutet das im schlimmsten Fall ein Bußgeld von 10 Millionen Euro – selbst wenn der Prozentsatz rechnerisch niedriger läge.

Erschwerend kommt hinzu, dass das BSI bei wesentlichen Einrichtungen im Extremfall die Aussetzung der Leitungstätigkeit der Geschäftsführung anordnen kann (§ 61 BSIG). Das macht NIS2-Compliance nicht nur zu einer technischen, sondern zu einer strategischen Chefsache.

Konkrete Handlungsempfehlungen: So gehen Sie jetzt vor

1. Sofortige Betroffenheitsprüfung durchführen: Klären Sie anhand der Sektorzuordnung und Größenkriterien, ob Ihr Unternehmen erfasst ist. Beziehen Sie Rechts- und IT-Abteilung ein.

2. Verbundene Unternehmen einbeziehen: Prüfen Sie Holdingstrukturen, Mehrheitsbeteiligungen und Partnerunternehmen nach der EU-KMU-Definition, um die tatsächliche Unternehmensgröße zu ermitteln.

3. Ergebnis dokumentieren: Halten Sie die Betroffenheitsprüfung schriftlich fest – inklusive der zugrundeliegenden Daten (Mitarbeiterzahl, Umsatz, Sektorzuordnung) und des Prüfdatums.

4. BSI-Registrierung vorbereiten: Falls betroffen, leiten Sie unverzüglich die Registrierung beim BSI ein. Das BSI stellt hierfür das Meldeportal MELDP zur Verfügung.

5. Gap-Analyse starten: Vergleichen Sie Ihre bestehenden IT-Sicherheitsmaßnahmen mit den Anforderungen aus § 30 NIS2UmsuCG. Identifizieren Sie Lücken in den Bereichen Risikoanalyse, Lieferkettensicherheit, Kryptografie und Incident Response.

6. Schulungsmaßnahmen für Führungskräfte einleiten: Da Geschäftsführer persönlich haften, sollten Vorstand und Geschäftsleitung über NIS2-Anforderungen informiert und geschult werden.

7. Externe Expertise einbinden: Für viele mittelständische Unternehmen empfiehlt sich die Hinzuziehung eines spezialisierten NIS2-Beraters oder eines zertifizierten CISO as a Service.

8. Regelmäßige Überprüfung einplanen: Die Betroffenheit kann sich ändern – durch Wachstum, Akquisitionen oder Änderungen des Tätigkeitsschwerpunkts. Planen Sie eine jährliche Wiederholung der Betroffenheitsprüfung ein.

Fazit: Handeln Sie jetzt – nicht erst nach dem ersten Bußgeld

Die NIS2-Betroffenheitsprüfung ist kein bürokratischer Selbstzweck, sondern der notwendige Ausgangspunkt für eine regelkonforme und wirksame Cybersicherheitsstrategie. Angesichts der konsequenten Aufsichtstätigkeit des BSI und der erheblichen Bußgeldrisiken nach § 65 BSIG sollten Unternehmen diese Prüfung nicht auf die lange Bank schieben.

Ihre nächsten drei Schritte:
1. Führen Sie den oben beschriebenen Selbsttest durch und dokumentieren Sie das Ergebnis.
2. Initiieren Sie bei festgestellter Betroffenheit die BSI-Registrierung.
3. Starten Sie eine strukturierte Gap-Analyse auf Basis der Anforderungen des § 30 NIS2UmsuCG.

💡 Tool-Tipp: NIS2-Compliance mit ISMS-Software effizient managen

Gerade für Unternehmen, die erstmals mit NIS2-Anforderungen konfrontiert sind, kann die Umsetzung komplex und zeitaufwendig wirken. Spezialisierte ISMS-Software-Lösungen helfen dabei, die Betroffenheitsprüfung zu strukturieren, Pflichtdokumente automatisiert zu erstellen, Sicherheitsvorfälle revisionssicher zu dokumentieren und Compliance-Nachweise für BSI-Audits vorzuhalten. Viele Anbieter stellen mittlerweile NIS2-spezifische Templates, Risikoregister und Maßnahmenkataloge bereit – das spart Zeit und reduziert das Risiko, wesentliche Anforderungen zu übersehen. Eine Investition in solche Tools zahlt sich angesichts möglicher Bußgelder im einstelligen Millionenbereich in der Regel schnell aus.

Dieser Artikel stellt keine Rechtsberatung dar. Für eine verbindliche rechtliche Einschätzung Ihrer individuellen Situation empfehlen wir die Konsultation eines auf IT-Recht und Cybersicherheit spezialisierten Rechtsanwalts sowie eine Beratung durch das BSI.