NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 04. September 2026 | Lesezeit: ca. 10 Minuten

Die NIS2-Richtlinie der Europäischen Union ist seit Oktober 2024 in deutsches Recht überführt und mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in Kraft getreten. Seitdem stellen sich tausende Unternehmen in Deutschland dieselbe drängende Frage: Bin ich überhaupt betroffen? Die Antwort ist entscheidend — denn wer fälschlicherweise annimmt, nicht unter die Richtlinie zu fallen, riskiert empfindliche Bußgelder und schwerwiegende Reputationsschäden.

Dieser Artikel führt Sie systematisch durch die NIS2 Betroffenheitsprüfung für Unternehmen in Deutschland 2025 und gibt Ihnen alle Informationen, die Sie benötigen, um Ihre Situation korrekt einzuschätzen.

Was regelt §3 NIS2UmsuCG?

Der Anwendungsbereich des NIS2UmsuCG ist in §3 NIS2UmsuCG definiert und unterscheidet zwischen zwei Kategorien von betroffenen Organisationen:

• Wesentliche Einrichtungen (essential entities)
• Wichtige Einrichtungen (important entities)

Beide Kategorien unterliegen Pflichten zur Umsetzung von Cybersicherheitsmaßnahmen gemäß §30 BSIG sowie Meldepflichten nach §32 BSIG. Die Unterscheidung hat jedoch erhebliche Konsequenzen für die Intensität der Aufsicht und die Höhe möglicher Bußgelder.

Entscheidend für die Einordnung sind zwei unabhängige Kriterien, die kumulativ oder alternativ gelten können:

1. Zugehörigkeit zu einem regulierten Sektor (Anlage 1 oder 2 des NIS2UmsuCG)
2. Überschreitung von Größenschwellen (Mitarbeiterzahl und/oder Jahresumsatz/-bilanzsumme)

Schritt 1: Fällt Ihre Branche in einen regulierten Sektor?

Anlage 1 – Sektoren für wesentliche Einrichtungen

Die Anlage 1 des NIS2UmsuCG listet Sektoren auf, die als besonders kritisch für das Funktionieren von Wirtschaft und Gesellschaft gelten. Unternehmen, die hier tätig sind und die Größenkriterien erfüllen, werden als wesentliche Einrichtungen eingestuft:

Anlage 2 – Sektoren für wichtige Einrichtungen

Unternehmen aus der Anlage 2 werden bei Erfüllung der Größenkriterien als wichtige Einrichtungen klassifiziert. Die regulatorischen Anforderungen sind ähnlich, die Aufsichtsintensität aber geringer:

Praxis-Hinweis: Viele mittelständische Unternehmen des verarbeitenden Gewerbes unterschätzen ihre Betroffenheit. Wer Maschinen, Fahrzeugteile oder Elektronik produziert, fällt häufig unter Anlage 2 — und damit unter NIS2.

Schritt 2: Erfüllen Sie die Größenkriterien?

Auch wenn Ihr Unternehmen in einem der genannten Sektoren tätig ist, greift NIS2 grundsätzlich erst ab bestimmten Unternehmensgrößen. Als Faustformel gilt die EU-Definition für mittlere Unternehmen:

Schwellenwerte im Überblick

Ein Unternehmen gilt als betroffen, wenn es den Mitarbeiterschwellenwert UND mindestens einen der Umsatz-/Bilanzschwellenwerte überschreitet.

Ausnahmen: Größe spielt keine Rolle

Achtung: Bei bestimmten Einrichtungen wird die Größe nicht geprüft. Unabhängig von Mitarbeiterzahl und Umsatz gelten folgende Organisationen automatisch als wesentliche Einrichtungen:

• Betreiber kritischer Anlagen gemäß KRITIS-DachG
• Anbieter öffentlicher elektronischer Kommunikationsnetze
• Qualifizierte Vertrauensdiensteanbieter
• TLD-Registrierungsstellen und DNS-Resolver
• Einrichtungen der öffentlichen Verwaltung auf Bundesebene

Schritt 3: Selbsttest – Betroffenheitsprüfung in 5 Fragen

Nutzen Sie diese strukturierte Checkliste, um Ihre Betroffenheit einzuschätzen:

Frage 1: Ist Ihr Unternehmen in einem der Sektoren aus Anlage 1 oder Anlage 2 des NIS2UmsuCG tätig?
☐ Ja → weiter mit Frage 2
☐ Nein → Sie sind wahrscheinlich nicht direkt betroffen (Lieferketten prüfen!)

Frage 2: Beschäftigt Ihr Unternehmen 50 oder mehr Mitarbeiter (Vollzeitäquivalente)?
☐ Ja → weiter mit Frage 3
☐ Nein → Prüfen Sie Ausnahmen (s. oben), sonst wahrscheinlich nicht betroffen

Frage 3: Überschreitet Ihr Jahresumsatz oder Ihre Bilanzsumme 10 Millionen Euro?
☐ Ja → Sie sind betroffen — weiter mit Frage 4
☐ Nein → Prüfen Sie Ausnahmen, sonst nicht betroffen

Frage 4: Fällt Ihr Sektor unter Anlage 1?
☐ Ja → Sie sind eine wesentliche Einrichtung
☐ Nein (Anlage 2) → Sie sind eine wichtige Einrichtung

Frage 5: Sind Sie Teil eines Konzerns oder einer Unternehmensgruppe?
☐ Ja → Die Größenberechnung erfolgt auf Gruppenebene — professionelle Prüfung empfehlenswert!
☐ Nein → Ihre individuelle Unternehmensgröße ist maßgeblich

Wesentliche vs. wichtige Einrichtungen: Was sind die Unterschiede?

Obwohl beide Kategorien dieselben technischen und organisatorischen Maßnahmen (§30 NIS2UmsuCG) und Meldepflichten (§32 NIS2UmsuCG) erfüllen müssen, unterscheiden sie sich in der Aufsichtsintensität und den Bußgeldrahmen:

Wichtig: Die persönliche Haftung der Geschäftsführung nach §38 BSIG gilt für beide Kategorien. Geschäftsführer können bei grob fahrlässigen oder vorsätzlichen Verstößen persönlich in Regress genommen werden — ohne Möglichkeit, sich durch die Unternehmensversicherung schützen zu lassen.

Was droht bei Nichterfüllung? Bußgelder nach §65 BSIG

Der Bußgeldkatalog des NIS2UmsuCG ist in §65 BSIG geregelt und orientiert sich bewusst an der DSGVO — also an empfindlichen Sanktionen, die auch für Großunternehmen schmerzhaft sind.

Typische Verstöße und Bußgeldrahmen

• Fehlende oder unvollständige Registrierung beim BSI: bis zu 500.000 Euro
• Verletzung der Meldepflichten (§32 BSIG): bis zu 10 Mio. Euro (wesentlich) bzw. 7 Mio. Euro (wichtig)
• Unzureichende Cybersicherheitsmaßnahmen (§30 BSIG): bis zum gesetzlichen Höchstbetrag oder prozentualer Umsatzanteil
• Behinderung von BSI-Prüfungen: Eigener Bußgeldtatbestand

Das BSI hat seit 2025 seine Aufsichtskapazitäten deutlich ausgebaut. Erste Bußgeldverfahren wurden bereits eingeleitet — die Behörde agiert nicht mehr nur beratend, sondern zunehmend durchsetzungsorientiert.

Konkrete Handlungsempfehlungen: So gehen Sie jetzt vor

Wenn Sie durch den Selbsttest festgestellt haben, dass Ihr Unternehmen betroffen ist — oder wenn Sie unsicher sind — empfehlen wir folgende Schritte:

1. Betroffenheit offiziell feststellen lassen: Nutzen Sie das BSI-Betroffenheitscheck-Tool oder ziehen Sie einen zertifizierten NIS2-Berater hinzu. Rechtsunsicherheit ist kein Schutzargument.

2. Beim BSI registrieren: Betroffene Einrichtungen sind nach §33 BSIG zur Registrierung verpflichtet. Die Registrierung erfolgt über das MELDEPLATTFORM-Portal des BSI.

3. Gap-Analyse durchführen: Vergleichen Sie Ihre bestehenden Sicherheitsmaßnahmen mit den Anforderungen aus §30 BSIG (Risikomanagement, Incident Response, Business Continuity, Lieferkettensicherheit, Kryptografie etc.).

4. Informationssicherheits-Managementsystem (ISMS) aufbauen oder anpassen: NIS2 fordert ein systematisches, dokumentiertes Vorgehen. ISO 27001 oder BSI IT-Grundschutz bieten sich als Rahmenwerke an.

5. Meldeprozesse etablieren: Sicherheitsvorfälle müssen innerhalb von 24 Stunden (Erstmeldung) und 72 Stunden (detaillierte Meldung) gemeldet werden. Definieren Sie Verantwortlichkeiten und Eskalationswege.

6. Lieferkette prüfen: Auch wenn Ihre Zulieferer selbst nicht direkt unter NIS2 fallen, sind Sie als betroffene Einrichtung verpflichtet, die Sicherheit Ihrer Lieferkette zu managen (§30 Abs. 2 Nr. 4 NIS2UmsuCG).

7. Geschäftsführung schulen und sensibilisieren: §38 BSIG schreibt vor, dass die Leitungsorgane die Maßnahmen billigen und überwachen müssen. Unwissenheit schützt nicht vor Haftung.

8. Dokumentation lückenlos führen: Das BSI kann jederzeit Nachweise anfordern. Ohne saubere Dokumentation ist keine Compliance nachweisbar.

Sonderfall: Lieferkette und indirekte Betroffenheit

Auch wenn Ihr Unternehmen die Schwellenwerte nicht überschreitet oder nicht in einem regulierten Sektor tätig ist, kann NIS2 indirekt relevant werden. Betroffene Einrichtungen sind verpflichtet, Sicherheitsanforderungen vertraglich an ihre Dienstleister und Zulieferer weiterzugeben. In der Praxis bedeutet das: Wer als IT-Dienstleister, Softwareanbieter oder Logistikpartner für NIS2-betroffene Unternehmen tätig ist, wird zunehmend mit Sicherheitsfragebögen, Auditverpflichtungen und vertraglichen Sicherheitsklauseln konfrontiert.

Fazit: Jetzt handeln, nicht abwarten

Die NIS2 Betroffenheitsprüfung ist kein bürokratischer Selbstzweck — sie ist der erste Schritt zu einer rechtssicheren und belastbaren Cybersicherheitsstrategie. Die wichtigsten nächsten Schritte auf einen Blick:

✅ Sektorcheck: Sind Sie in Anlage 1 oder 2 gelistet?
✅ Größencheck: Mehr als 50 MA und mehr als 10 Mio. € Umsatz/Bilanzsumme?
✅ Kategorie bestimmen: Wesentlich oder wichtig?
✅ BSI-Registrierung einleiten
✅ Gap-Analyse und ISMS-Aufbau starten

Die gute Nachricht: NIS2-Compliance ist erreichbar — auch für mittelständische Unternehmen — wenn man strukturiert vorgeht und frühzeitig beginnt. Das Risiko liegt nicht in der Regulierung selbst, sondern im Nichtstun.

Ihr nächster Schritt: NIS2-Compliance strukturiert angehen

Für IT-Verantwortliche und Geschäftsführer, die ihre Betroffenheit nicht nur einschätzen, sondern auch direkt handeln wollen, bieten sich spezialisierte NIS2-Compliance-Softwarelösungen an. Diese Tools helfen dabei, die Betroffenheitsprüfung zu dokumentieren, eine strukturierte Gap-Analyse durchzuführen, ISMS-Dokumente und Richtlinien nach §30 BSIG zu erstellen, Meldeprozesse abzubilden und Nachweise für BSI-Prüfungen revisionssicher zu verwalten. Viele Plattformen bieten auch vorgefertigte Maßnahmenkataloge, die auf die Anforderungen des NIS2UmsuCG zugeschnitten sind — ein erheblicher Zeitgewinn gegenüber dem Aufbau eines ISMS von Grund auf.

Prüfen Sie, welche Lösung zu Ihrer Unternehmensgröße und Ihrem Sicherheitsreifegrad passt — und starten Sie noch heute mit der Bestandsaufnahme.

Quellen und weiterführende Informationen:
- NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), BGBl. 2024
- BSI-Gesetz (BSIG) in der Fassung von 2024, insbesondere §§ 30, 32, 33, 38, 65
- ENISA: NIS2 Directive Implementation Guidelines (2024)
- BSI: Betroffenheitscheck und Registrierungsportal (bsi.bund.de)
- Europäische Kommission: Richtlinie (EU) 2022/2555 (NIS2)