NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 01. September 2026 | Lesezeit: ca. 10 Minuten

Die NIS2-Richtlinie der Europäischen Union hat die Cybersicherheitslandschaft in Deutschland grundlegend verändert. Mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) und den entsprechenden Änderungen am Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG) gilt seit 2025 ein deutlich erweiterter Adressatenkreis. Doch viele Unternehmen sind sich bis heute unsicher: Bin ich eigentlich betroffen?

Dieser Artikel gibt Ihnen eine strukturierte NIS2-Betroffenheitsprüfung an die Hand – inklusive Sektorenübersicht, Größenkriterien, dem Unterschied zwischen wesentlichen und wichtigen Einrichtungen sowie den Konsequenzen, wenn Sie Ihre Pflichten vernachlässigen.

Was regelt §3 NIS2UmsuCG – und warum ist er der Ausgangspunkt jeder Prüfung?

Der Schlüsselparagraph für die Betroffenheitsprüfung ist §3 NIS2UmsuCG, der den Anwendungsbereich des Gesetzes definiert. Er bestimmt, welche Einrichtungen als „wesentlich" oder „wichtig" einzustufen sind und damit sämtlichen Pflichten des BSIG unterliegen. Wer §3 NIS2UmsuCG ignoriert, riskiert nicht nur Bußgelder, sondern auch operative und reputationsbezogene Schäden im Ernstfall.

Die zentrale Botschaft: Die NIS2-Richtlinie gilt nicht nur für kritische Infrastrukturen im traditionellen Sinne. Der Anwendungsbereich wurde gegenüber der Vorgängerrichtlinie NIS1 erheblich ausgeweitet – von rund 100 Sektorbetreibern auf schätzungsweise 29.000 bis 40.000 betroffene Unternehmen allein in Deutschland (Quelle: BSI-Lagebericht 2025).

Schritt 1: Gehört Ihr Unternehmen zu einem betroffenen Sektor?

Das NIS2UmsuCG unterscheidet zwei Kategorien von Sektoren, die in den Anlagen zum Gesetz (entsprechend Annex I und II der EU-Richtlinie 2022/2555) aufgeführt sind.

Anlage 1: Sektoren mit hoher Kritikalität (wesentliche Einrichtungen)

Diese Sektoren gelten als besonders kritisch für das gesellschaftliche und wirtschaftliche Funktionieren:

Anlage 2: Sonstige kritische Sektoren (wichtige Einrichtungen)

Wichtig: Auch wenn Ihr Unternehmen einem dieser Sektoren angehört, entscheiden die Größenkriterien im nächsten Schritt über die tatsächliche Betroffenheit.

Schritt 2: Erfüllt Ihr Unternehmen die Größenschwellen?

Neben der Sektorzugehörigkeit definiert §3 NIS2UmsuCG klare Größenschwellen, die kumulativ vorliegen müssen:

Standardschwelle: Mittlere und große Unternehmen

Ein Unternehmen gilt grundsätzlich als betroffen, wenn es mindestens zwei der folgenden Kriterien erfüllt:

• Mitarbeiterzahl: ≥ 50 Beschäftigte (Vollzeitäquivalente)
• Jahresumsatz: ≥ 10 Millionen Euro oder
• Jahresbilanzsumme: ≥ 10 Millionen Euro

Ausnahmen: Größenschwellen spielen keine Rolle

In bestimmten Konstellationen entfallen die Größenschwellen vollständig. Das betrifft u. a.:

• Qualifizierte Vertrauensdiensteanbieter und Top-Level-Domain-Registries
• Anbieter öffentlicher elektronischer Kommunikationsnetze
• Einrichtungen, die als einziger nationaler Anbieter in einem kritischen Sektor tätig sind
• Einrichtungen, deren Ausfall schwerwiegende gesellschaftliche Risiken verursachen würde (§3 Abs. 2 NIS2UmsuCG)

Schritt 3: Wesentliche oder wichtige Einrichtung – was ist der Unterschied?

Die Einstufung hat erhebliche praktische Konsequenzen für Aufsicht, Meldepflichten und Bußgeldrahmen.

Wesentliche Einrichtungen (Essential Entities)

• Tätig in einem Sektor aus Anlage 1
• Große Unternehmen: ≥ 250 Mitarbeitende oder ≥ 50 Mio. € Umsatz / ≥ 43 Mio. € Bilanzsumme
• Proaktive Aufsicht durch das BSI (ex-ante)
• Höchster Bußgeldrahmen: bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes

Wichtige Einrichtungen (Important Entities)

• Tätig in einem Sektor aus Anlage 1 (mittlere Unternehmen) oder Anlage 2
• Mittelgroße Unternehmen: ≥ 50 Mitarbeitende oder ≥ 10 Mio. € Umsatz/Bilanzsumme
• Reaktive Aufsicht (ex-post, anlassbezogen)
• Bußgeldrahmen: bis zu 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes

Interaktiver Selbsttest: Bin ich NIS2-pflichtig?

Beantworten Sie die folgenden Fragen der Reihe nach. Wenn Sie alle mit „Ja" beantworten können, sind Sie mit hoher Wahrscheinlichkeit betroffen:

Checkliste zur NIS2-Betroffenheitsprüfung

• [ ] Frage 1: Ist mein Unternehmen in Deutschland ansässig oder erbringt Dienstleistungen für Kunden in Deutschland?
• [ ] Frage 2: Ist mein Unternehmen in einem der Sektoren aus Anlage 1 oder Anlage 2 tätig?
• [ ] Frage 3: Beschäftigt mein Unternehmen 50 oder mehr Mitarbeitende (Vollzeitäquivalente)?
• [ ] Frage 4: Überschreitet mein Unternehmen einen Jahresumsatz oder eine Bilanzsumme von 10 Mio. Euro?
• [ ] Frage 5: Ist mein Unternehmen kein Kleinstunternehmen (< 10 MA, < 2 Mio. € Umsatz)?

Auswertung:
- Alle Fragen mit Ja: Führen Sie eine vollständige Einstufungsprüfung durch und registrieren Sie sich beim BSI.
- Fragen 1–2 mit Ja, 3–5 unsicher: Prüfen Sie die Ausnahmetatbestände nach §3 Abs. 2 NIS2UmsuCG sowie mögliche Sonderregelungen für Ihren Sektor.
- Frage 2 mit Nein: Sie sind voraussichtlich nicht direkt betroffen – achten Sie jedoch auf Lieferkettenpflichten Ihrer Geschäftspartner.

Konsequenzen bei Nichterfüllung: Was droht Unternehmen?

Wer trotz Betroffenheit keine Maßnahmen ergreift, riskiert erhebliche Konsequenzen. §65 BSIG regelt den Bußgeldkatalog, der zu den strengsten in Europa zählt:

Bußgelder nach §65 BSIG

Weitere Konsequenzen jenseits des Bußgelds

Neben finanziellen Sanktionen sieht das NIS2UmsuCG auch persönliche Haftung der Geschäftsleitung vor. Gemäß §38 BSIG sind Leitungsorgane verpflichtet, Cybersicherheitsmaßnahmen zu billigen und deren Umsetzung zu überwachen. Im Falle grober Fahrlässigkeit können Geschäftsführer und Vorstände persönlich in Regress genommen werden.

Hinzu kommen:
- Anordnungen des BSI zur Behebung von Sicherheitsmängeln
- Temporäre Untersagung von Leitungsfunktionen bei wiederholten Verstößen
- Reputationsschäden durch öffentliche Bekanntmachung von Verstößen
- Vertragliche Haftungsrisiken gegenüber betroffenen Kunden und Partnern

Die wichtigsten Pflichten für betroffene Unternehmen im Überblick

Sobald die Betroffenheit festgestellt ist, gelten folgende Kernpflichten:

Technisch-organisatorische Maßnahmen (§30 BSIG)

1. Risikoanalyse und Informationssicherheitsrichtlinien dokumentieren
2. Business Continuity Management und Notfallpläne etablieren
3. Sicherheit der Lieferkette bewerten und steuern
4. Sicherheitsmaßnahmen für Netz- und Informationssysteme implementieren (Patch-Management, Schwachstellenmanagement, Zugangskontrolle)
5. Multi-Faktor-Authentifizierung und Verschlüsselung einsetzen
6. Awareness-Schulungen für Mitarbeitende durchführen

Meldepflichten (§32 BSIG)

Erhebliche Sicherheitsvorfälle müssen dem BSI gemeldet werden – in einem dreistufigen Verfahren:

• Frühwarnung innerhalb von 24 Stunden nach Bekanntwerden
• Erstmeldung innerhalb von 72 Stunden (mit erster Bewertung)
• Abschlussbericht innerhalb von einem Monat

Registrierungspflicht

Betroffene Einrichtungen müssen sich beim BSI registrieren. Die Registrierung erfolgt über das BSI-Portal und beinhaltet Angaben zu Sektor, Größe, Ansprechpartnern und IT-Infrastruktur.

Handlungsempfehlungen: So gehen Sie jetzt vor

Auch wenn das Gesetz bereits in Kraft ist, bestehen in vielen Unternehmen noch erhebliche Umsetzungslücken. Die folgenden Schritte helfen Ihnen, strukturiert vorzugehen:

1. Betroffenheit klären: Führen Sie intern oder mit externer Unterstützung eine formale Betroffenheitsprüfung nach §3 NIS2UmsuCG durch. Dokumentieren Sie das Ergebnis schriftlich.

2. Einrichtungstyp bestimmen: Klären Sie, ob Ihr Unternehmen als wesentliche oder wichtige Einrichtung gilt – das beeinflusst Aufsichtsintensität, Fristen und Bußgeldrahmen.

3. BSI-Registrierung anstoßen: Registrieren Sie sich als betroffene Einrichtung beim BSI. Die Nichtregistrierung ist selbst ein Bußgeldtatbestand.

4. Gap-Analyse durchführen: Vergleichen Sie Ihren aktuellen Sicherheitsstand mit den Anforderungen aus §30 BSIG. Nutzen Sie hierzu den BSI IT-Grundschutz oder ISO/IEC 27001 als Referenzrahmen.

5. Maßnahmenplan erstellen: Priorisieren Sie identifizierte Lücken nach Risiko und entwickeln Sie einen realistischen Umsetzungsplan mit klaren Verantwortlichkeiten.

6. Governance verankern: Stellen Sie sicher, dass die Geschäftsleitung aktiv eingebunden ist – nicht nur informiert, sondern in Entscheidungen über Cybersicherheitsmaßnahmen involviert (§38 BSIG).

7. Meldeprozesse einrichten: Definieren Sie interne Abläufe, um Sicherheitsvorfälle rechtzeitig zu erkennen, intern zu eskalieren und fristgerecht an das BSI zu melden.

8. Lieferkette überprüfen: Bewerten Sie Ihre kritischen Dienstleister und IT-Partner hinsichtlich deren Cybersicherheitsstandards. Nehmen Sie entsprechende Regelungen in Verträge auf.

9. Schulungen durchführen: Sensibilisieren Sie Mitarbeitende und Führungskräfte für NIS2-Anforderungen und konkrete Handlungspflichten im Alltag.

10. Compliance regelmäßig überprüfen: NIS2-Compliance ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. Planen Sie jährliche Reviews und passen Sie Maßnahmen an neue Bedrohungslagen an.

Fazit: Jetzt handeln – bevor der Ernstfall eintritt

Die NIS2-Betroffenheitsprüfung ist der unverzichtbare erste Schritt auf dem Weg zur Compliance. Wer in einem der genannten Sektoren tätig ist und die Größenschwellen überschreitet, unterliegt dem NIS2UmsuCG – mit allen damit verbundenen Pflichten und Sanktionsrisiken nach §65 BSIG.

Die gute Nachricht: Unternehmen, die frühzeitig handeln, schaffen nicht nur rechtliche Sicherheit, sondern stärken gleichzeitig ihre operative Resilienz und das Vertrauen ihrer Kunden und Partner. Cybersicherheit ist kein Kostenfaktor, sondern ein Wettbewerbsvorteil.

Ihre nächsten Schritte auf einen Blick:
- ✅ Betroffenheit nach §3 NIS2UmsuCG formell prüfen
- ✅ Einrichtungstyp (wesentlich/wichtig) bestimmen
- ✅ Beim BSI registrieren
- ✅ Gap-Analyse und Maßnahmenplan umsetzen
- ✅ Leitungsebene einbinden und Governance verankern

So unterstützt Sie NIS2-Compliance-Software

Die Umsetzung der NIS2-Anforderungen erzeugt erheblichen Dokumentations- und Koordinationsaufwand – von der Risikoanalyse über die Maßnahmenverfolgung bis hin zur Vorfallmeldung. Spezialisierte ISMS- und NIS2-Compliance-Software kann diesen Prozess erheblich vereinfachen: Sie führt Sie strukturiert durch die Betroffenheitsprüfung, hilft beim Aufbau der erforderlichen Dokumentation (Richtlinien, Risikoregister, Meldeprozesse) und ermöglicht die lückenlose Nachverfolgung des Umsetzungsstands – auditierbar und BSI-konform. Wenn Sie noch am Anfang stehen, lohnt sich ein Blick auf entsprechende Tools, die speziell für den deutschen Mittelstand entwickelt wurden und die Anforderungen des BSIG direkt abbilden.

Dieser Artikel wurde sorgfältig auf Basis des NIS2UmsuCG, des BSIG in der aktuellen Fassung sowie der ENISA-Leitlinien erstellt. Er ersetzt keine individuelle Rechtsberatung. Bei konkreten Fragen zur Betroffenheit empfehlen wir die Konsultation eines auf IT-Recht spezialisierten Anwalts oder eines zertifizierten Informationssicherheitsberaters.