NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 09. September 2026 | Lesezeit: ca. 8 Minuten

Die NIS2-Richtlinie der EU ist seit ihrer Umsetzung in deutsches Recht durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) für tausende Unternehmen in Deutschland verbindlich. Doch viele Geschäftsführer und IT-Verantwortliche stellen sich noch immer die entscheidende Frage: Bin ich überhaupt betroffen?

Die Antwort ist nicht trivial. Laut §3 NIS2UmsuCG hängt die Betroffenheit von mehreren Kriterien ab – Branchenzugehörigkeit, Unternehmensgröße und kritische Relevanz. Wer diese Prüfung vernachlässigt, riskiert empfindliche Bußgelder nach §65 BSIG. Dieser Artikel führt Sie Schritt für Schritt durch die NIS2-Betroffenheitsprüfung und zeigt, welche konkreten Maßnahmen jetzt anstehen.

Was regelt §3 NIS2UmsuCG genau?

§3 NIS2UmsuCG definiert den Anwendungsbereich des Gesetzes. Demnach gilt das Gesetz für Einrichtungen, die:

1. Einem der in Anlage 1 oder Anlage 2 des Gesetzes genannten Sektoren angehören,
2. bestimmte Größenschwellen überschreiten (in der Regel: mindestens 50 Mitarbeitende oder mindestens 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme), und
3. ihre Dienste innerhalb der EU erbringen bzw. Infrastruktur in Deutschland betreiben.

Darüber hinaus können bestimmte Einrichtungen unabhängig von der Größe betroffen sein – etwa Betreiber kritischer Anlagen oder Unternehmen, die als einzige Anbieter eines wesentlichen Dienstes in einem Bundesland gelten (§3 Abs. 2 NIS2UmsuCG). Diese sogenannte Größenunabhängigkeit wird von vielen KMU unterschätzt.

Die zwei Anlagen: Welche Sektoren sind betroffen?

Anlage 1 – Sektoren mit hoher Kritikalität (Wesentliche Einrichtungen)

Anlage 1 des NIS2UmsuCG listet Sektoren auf, die als besonders kritisch für Wirtschaft und Gesellschaft gelten. Unternehmen in diesen Bereichen werden grundsätzlich als wesentliche Einrichtungen eingestuft – mit den strengsten Anforderungen und den höchsten Bußgeldern.

Anlage 2 – Sonstige kritische Sektoren (Wichtige Einrichtungen)

Anlage 2 umfasst weitere Sektoren, deren Einrichtungen als wichtige Einrichtungen eingestuft werden. Die Anforderungen sind vergleichbar mit denen für wesentliche Einrichtungen, jedoch gelten unterschiedliche Aufsichts- und Sanktionsregime.

Wesentliche vs. wichtige Einrichtungen: Was ist der Unterschied?

Die Unterscheidung zwischen wesentlichen und wichtigen Einrichtungen ist für die Praxis entscheidend, denn sie bestimmt die Intensität der Aufsicht und die Höhe möglicher Sanktionen.

Wesentliche Einrichtungen (Anlage 1, große Unternehmen)

• Proaktive Aufsicht durch das BSI (anlassunabhängige Kontrollen)
• Höchstbußgeld: bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (§65 Abs. 1 BSIG)
• Registrierungspflicht beim BSI
• Vollständige Umsetzung aller Sicherheitsmaßnahmen nach §30 BSIG

Wichtige Einrichtungen (Anlage 2 bzw. mittlere Unternehmen in Anlage 1)

• Reaktive Aufsicht (BSI greift bei Hinweisen oder Vorfällen ein)
• Höchstbußgeld: bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes (§65 Abs. 2 BSIG)
• Ebenfalls Registrierungspflicht und Sicherheitspflichten nach §30 BSIG

Wichtig: Die Sicherheitsanforderungen (Risikomanagement, Meldepflichten, Business Continuity etc.) sind für beide Kategorien nahezu identisch. Der Unterschied liegt primär in der Kontrollintensität und den Bußgeldobergrenzen.

Der Selbsttest: Bin ich betroffen?

Gehen Sie diese Prüfschritte systematisch durch, um Ihre Betroffenheit zu ermitteln:

Schritt 1: Sektorcheck

Frage: Ist mein Unternehmen in einem der Sektoren aus Anlage 1 oder Anlage 2 tätig?

• ✅ Ja, Anlage 1 → Weiter zu Schritt 2 (wesentliche oder wichtige Einrichtung)
• ✅ Ja, Anlage 2 → Weiter zu Schritt 2 (wichtige Einrichtung)
• ❌ Nein → In der Regel nicht direkt betroffen (aber prüfen Sie Lieferkettenpflichten!)

Schritt 2: Größencheck

Frage: Erfüllt mein Unternehmen mindestens eines der folgenden Kriterien?

• ✅ 50–249 MA oder 10–49 Mio. € Umsatz → Mittleres Unternehmen → Wichtige Einrichtung (bei Anlage-1-Sektor)
• ✅ ≥ 250 MA oder ≥ 50 Mio. € Umsatz → Großes Unternehmen → Wesentliche Einrichtung (bei Anlage-1-Sektor)
• ✅ Anlage 2, Mittelgröße → Wichtige Einrichtung

Schritt 3: Sonderregelungen prüfen

Auch wenn Sie die Größenschwellen nicht erreichen, können Sie betroffen sein, wenn:

• Ihr Unternehmen ein einziger oder wesentlicher Anbieter eines kritischen Dienstes in Deutschland ist
• Sie als Betreiber kritischer Anlagen (KRITIS) nach §28 BSIG eingestuft sind
• Sie ein qualifizierter Vertrauensdiensteanbieter, ein TLD-Namensregister oder ein bestimmter DNS-Dienstleister sind
• Die Betroffenheit durch behördliche Einzelfallentscheidung des BSI festgestellt wurde

Schritt 4: Registrierungspflicht erfüllen

Wenn Sie nach Schritt 1–3 betroffen sind: Das BSI betreibt ein Online-Portal zur Selbstregistrierung. Die Registrierungspflicht besteht seit Inkrafttreten des NIS2UmsuCG – bei Verzögerungen drohen Ordnungswidrigkeiten.

Konsequenzen bei Nichterfüllung: §65 BSIG im Detail

Viele Unternehmen unterschätzen die Sanktionsrisiken. §65 BSIG sieht ein abgestuftes Bußgeldsystem vor:

Bußgeldrahmen im Überblick

Bußgelder können verhängt werden für:

• Nichtregistrierung beim BSI
• Fehlende oder unvollständige Risikoanalysen (§30 Abs. 1 BSIG)
• Verspätete oder unterlassene Meldungen von Sicherheitsvorfällen (§32 BSIG)
• Unzureichende Sicherheitsmaßnahmen (fehlende MFA, kein Patch-Management etc.)
• Nichtvorlage von Nachweisen bei BSI-Prüfungen

Ein besonders kritischer Punkt: §65 Abs. 4 BSIG ermöglicht es, bei wesentlichen Einrichtungen persönliche Haftung der Geschäftsleitung festzustellen. Geschäftsführer können unter Umständen persönlich mit bis zu 2 Millionen Euro haftbar gemacht werden – ein enormer Anreiz zur Compliance.

Praktische Handlungsempfehlungen: Was tun, wenn Sie betroffen sind?

Wenn Ihre Betroffenheitsprüfung positiv ausfällt, sollten Sie strukturiert vorgehen:

1. Betroffenheit dokumentieren: Halten Sie die Ergebnisse Ihrer Prüfung schriftlich fest – welcher Sektor, welche Einstufung (wesentlich/wichtig), Datum der Prüfung und verantwortliche Person.

2. Beim BSI registrieren: Nutzen Sie das BSI-Registrierungsportal, um Ihr Unternehmen fristgerecht zu melden. Halten Sie dafür Unternehmenskenndaten, Sektorzuordnung und Ansprechpartner bereit.

3. Gap-Analyse durchführen: Vergleichen Sie Ihre aktuellen Sicherheitsmaßnahmen mit den Anforderungen des §30 BSIG (Risikomanagement, Incident Response, Business Continuity, Supply-Chain-Sicherheit, Kryptografie, Zugangskontrollen etc.).

4. ISMS etablieren oder ausbauen: Ein Informationssicherheits-Managementsystem (ISMS) nach ISO 27001 oder BSI IT-Grundschutz bildet die strukturelle Grundlage für NIS2-Compliance. Beginnen Sie mit einer Schutzbedarfsfeststellung.

5. Meldeprozesse einrichten: §32 BSIG verlangt eine 24-Stunden-Erstmeldung bei erheblichen Sicherheitsvorfällen. Definieren Sie intern, wer meldet, was gemeldet wird und über welchen Kanal.

6. Lieferkette einbeziehen: Prüfen Sie kritische Zulieferer und Dienstleister auf Sicherheitsstandards. Die NIS2-Richtlinie verlangt explizit Supply-Chain-Risikomanagement.

7. Geschäftsleitung einbinden: Informieren Sie Geschäftsführung und Aufsichtsrat über die persönliche Haftung gemäß §65 Abs. 4 BSIG. Sicherheit ist Chefsache.

8. Schulungen durchführen: Das BSI empfiehlt regelmäßige Awareness-Trainings für alle Mitarbeitenden – nicht nur für die IT-Abteilung.

9. Externe Unterstützung prüfen: Bei begrenzten Ressourcen lohnt sich der Einsatz externer NIS2-Berater oder MSSP (Managed Security Service Provider), die ebenfalls unter die NIS2-Pflichten fallen.

10. Compliance kontinuierlich monitoren: NIS2-Compliance ist kein einmaliges Projekt, sondern ein fortlaufender Prozess. Etablieren Sie regelmäßige interne Audits und Reviews.

Häufige Irrtümer bei der Betroffenheitsprüfung

Irrtum 1: „Wir sind zu klein."
Auch Unternehmen mit 50 Mitarbeitenden können betroffen sein – und Sonderregelungen greifen sogar bei weniger als 50 MA, wenn Sie der einzige Anbieter eines Dienstes sind.

Irrtum 2: „Wir sind kein Tech-Unternehmen."
NIS2 betrifft auch Krankenhäuser, Lebensmittelproduzenten, Maschinenbauer und Chemiebetriebe – überall dort, wo digitale Infrastruktur eine Rolle spielt.

Irrtum 3: „Die ISO 27001 reicht."
ISO 27001 ist eine wichtige Grundlage, aber NIS2 stellt spezifische Anforderungen (z. B. konkrete Meldefristen, BSI-Registrierung), die eine ISO-Zertifizierung allein nicht abdeckt.

Irrtum 4: „Das BSI wird schon zu uns kommen."
Die Registrierungspflicht liegt beim Unternehmen – proaktiv, nicht reaktiv. Wer wartet, bis das BSI anklopft, hat bereits eine Ordnungswidrigkeit begangen.

Fazit: Jetzt handeln, bevor es zu spät ist

Die NIS2-Betroffenheitsprüfung ist der unverzichtbare erste Schritt auf dem Weg zur gesetzlichen Compliance. Mit §3 NIS2UmsuCG hat der Gesetzgeber klare Kriterien definiert – aber die Umsetzung liegt in der Verantwortung jedes einzelnen Unternehmens.

Ihre nächsten Schritte auf einen Blick:

• [ ] Sektorcheck anhand Anlage 1 und 2 des NIS2UmsuCG durchführen
• [ ] Mitarbeiterzahl und Umsatzdaten mit den Schwellenwerten abgleichen
• [ ] Sonderregelungen (§3 Abs. 2 NIS2UmsuCG) prüfen
• [ ] Ergebnis dokumentieren und Einstufung festhalten
• [ ] Registrierung beim BSI einleiten
• [ ] Gap-Analyse und ISMS-Aufbau starten

Die Bußgelder nach §65 BSIG und die persönliche Haftung der Geschäftsleitung sind keine leeren Drohungen – das BSI hat seine Aufsichtskapazitäten in den letzten Jahren erheblich ausgebaut. Wer jetzt handelt, schützt nicht nur sein Unternehmen vor Strafen, sondern stärkt gleichzeitig die eigene Cybersicherheit und das Vertrauen seiner Kunden und Partner.

💡 Nächster Schritt: Betroffenheit digital prüfen und ISMS-Dokumentation erstellen

Wenn Sie Ihre NIS2-Betroffenheit systematisch prüfen und direkt mit dem Aufbau Ihrer Compliance-Dokumentation starten möchten, empfiehlt sich der Einsatz einer spezialisierten NIS2-Compliance-Software. Moderne Plattformen führen Sie interaktiv durch die Betroffenheitsprüfung gemäß §3 NIS2UmsuCG, helfen bei der Erstellung rechtskonformer ISMS-Dokumente, bilden Meldeprozesse nach §32 BSIG ab und ermöglichen ein kontinuierliches Risikomonitoring – alles in einem zentralen System. Das spart Zeit, reduziert Fehler und liefert Ihnen die Nachweise, die das BSI im Zweifelsfall von Ihnen verlangen wird.

Dieser Artikel dient der allgemeinen Information und ersetzt keine individuelle Rechts- oder Compliance-Beratung. Die Angaben basieren auf dem Stand des NIS2UmsuCG und BSIG zum Zeitpunkt der Veröffentlichung (September 2026).