NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 10. September 2026 | Lesezeit: ca. 8 Minuten

Die NIS2-Richtlinie ist seit ihrer Umsetzung in deutsches Recht durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in aller Munde – und sorgt in vielen Unternehmen noch immer für Unsicherheit. Die zentrale Frage, die sich Geschäftsführer und IT-Verantwortliche stellen: Bin ich überhaupt betroffen? Diese Antwort ist nicht trivial, denn sie hängt von Sektor, Unternehmensgröße und Art der erbrachten Dienste ab. Wer die Prüfung versäumt oder falsch einschätzt, riskiert empfindliche Bußgelder nach §65 BSIG. In diesem Artikel führen wir Sie Schritt für Schritt durch die NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland – mit konkretem Selbsttest, Sektortabellen und Handlungsempfehlungen.

Was regelt §3 NIS2UmsuCG – und warum ist er der Ausgangspunkt jeder Prüfung?

Der §3 NIS2UmsuCG definiert den Anwendungsbereich des Gesetzes und legt fest, welche Einrichtungen als wesentlich oder wichtig eingestuft werden. Er ist damit der rechtliche Dreh- und Angelpunkt jeder Betroffenheitsprüfung. Grundlage ist die europäische NIS2-Richtlinie (EU) 2022/2555, die in Deutschland durch das NIS2UmsuCG in nationales Recht überführt wurde.

Die Einstufung erfolgt entlang von zwei Kriterien:

1. Sektorzugehörigkeit – Ist Ihr Unternehmen in einem der in Anlage 1 oder Anlage 2 des NIS2UmsuCG genannten Sektoren tätig?
2. Größenkriterien – Erfüllt Ihr Unternehmen die Schwellenwerte für Mitarbeiterzahl und Jahresumsatz bzw. Jahresbilanzsumme?

Erst wenn beide Kriterien erfüllt sind, gilt eine Einrichtung grundsätzlich als betroffen – mit einigen wichtigen Ausnahmen, auf die wir noch eingehen.

Die zwei Anlagen: Welche Sektoren sind betroffen?

Anlage 1: Sektoren mit hoher Kritikalität (wesentliche Einrichtungen)

Anlage 1 des NIS2UmsuCG listet Sektoren auf, die als besonders systemrelevant gelten. Unternehmen aus diesen Bereichen werden – bei Erfüllung der Größenkriterien – in der Regel als wesentliche Einrichtungen eingestuft:

Anlage 2: Sonstige kritische Sektoren (wichtige Einrichtungen)

Anlage 2 umfasst Sektoren, die zwar ebenfalls reguliert werden, aber unter weniger strengen Anforderungen stehen und als wichtige Einrichtungen gelten:

Wichtig: Die Zugehörigkeit zu einem Sektor allein reicht nicht aus. Auch die Größe des Unternehmens spielt eine entscheidende Rolle.

Die Größenkriterien: Ab wann bin ich betroffen?

Das NIS2UmsuCG orientiert sich an der EU-Definition für kleine, mittlere und große Unternehmen. Die Schwellenwerte für eine Betroffenheit lauten:

Grundregel: Mittlere und große Unternehmen

Ein Unternehmen gilt als mittleres Unternehmen, wenn es mindestens 50 Mitarbeiter beschäftigt oder einen Jahresumsatz bzw. eine Jahresbilanzsumme von mehr als 10 Millionen Euro aufweist. Ab dieser Schwelle sind Unternehmen in den relevanten Sektoren grundsätzlich von NIS2 erfasst.

Große Unternehmen (250+ Mitarbeiter oder >50 Mio. € Umsatz und >43 Mio. € Bilanzsumme) in Anlage-1-Sektoren werden automatisch als wesentliche Einrichtungen eingestuft.

Ausnahmen: Wann gilt NIS2 unabhängig von der Größe?

In bestimmten Fällen gilt NIS2 auch für Kleinst- und Kleinunternehmen, die die oben genannten Schwellen nicht erreichen:

• Wenn das Unternehmen der einzige Anbieter eines für das gesellschaftliche oder wirtschaftliche Leben unverzichtbaren Dienstes in einem EU-Mitgliedstaat ist
• Bei Unternehmen, deren Ausfall erhebliche Auswirkungen auf öffentliche Ordnung, Sicherheit oder Gesundheit hätte
• Bei bestimmten qualifizierten Vertrauensdiensteanbietern oder Top-Level-Domain-Registries
• Wenn das BSI eine individuelle Einstufung vornimmt

Wesentliche vs. wichtige Einrichtungen: Der Unterschied mit Konsequenzen

Die Unterscheidung zwischen wesentlichen Einrichtungen (Essential Entities, EE) und wichtigen Einrichtungen (Important Entities, IE) ist nicht nur akademisch – sie hat direkte rechtliche und operative Auswirkungen:

Der NIS2-Selbsttest: Fällt Ihr Unternehmen unter die Richtlinie?

Führen Sie die folgende Checkliste durch, um eine erste Einschätzung zu erhalten. Dieser Selbsttest ersetzt keine rechtliche Beratung, gibt aber eine solide Orientierung.

Schritt 1: Sektorprüfung

• [ ] Ist Ihr Unternehmen in einem der in Anlage 1 genannten Sektoren tätig? → Weiter zu Schritt 2
• [ ] Ist Ihr Unternehmen in einem der in Anlage 2 genannten Sektoren tätig? → Weiter zu Schritt 2
• [ ] Keiner der oben genannten Sektoren trifft zu → Wahrscheinlich nicht direkt betroffen (aber prüfen Sie Lieferkettenpflichten!)

Schritt 2: Größenprüfung

• [ ] Beschäftigt Ihr Unternehmen 50 oder mehr Mitarbeiter? (Vollzeitäquivalente)
• [ ] Beträgt Ihr Jahresumsatz mehr als 10 Millionen Euro?
• [ ] Beträgt Ihre Jahresbilanzsumme mehr als 10 Millionen Euro?

Wenn mindestens eines der Größenkriterien zutrifft und Sie einen relevanten Sektor abdecken: Sie sind sehr wahrscheinlich betroffen.**

Schritt 3: Ausnahmeprüfung

• [ ] Handelt es sich um ein öffentliches Unternehmen (Bund, Land, Kommunen)?
• [ ] Sind Sie einziger Anbieter eines kritischen Dienstes in Deutschland?
• [ ] Hat das BSI Ihr Unternehmen individuell benachrichtigt?

Bei Zutreffen: NIS2 gilt möglicherweise auch ohne Erfüllung der Standardschwellen.

Konsequenzen bei Nichterfüllung: Das Bußgeldregime nach §65 BSIG

Wer die NIS2-Pflichten ignoriert, handelt nicht nur fahrlässig – er riskiert erhebliche Sanktionen. Das BSIG sieht in §65 ein gestaffeltes Bußgeldregime vor:

• Wesentliche Einrichtungen: Bußgelder bis zu 10.000.000 Euro oder 2 % des gesamten weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist
• Wichtige Einrichtungen: Bußgelder bis zu 7.000.000 Euro oder 1,4 % des gesamten weltweiten Jahresumsatzes

Darüber hinaus können Behörden bei schwerwiegenden Verstößen Geschäftsführern und Vorstandsmitgliedern die Ausübung ihrer Tätigkeit vorübergehend untersagen. Diese persönliche Haftung ist neu und unterstreicht, dass NIS2 Compliance zur Chefsache geworden ist.

Weitere mögliche Konsequenzen:
- Öffentliche Bekanntmachung von Verstößen durch das BSI
- Anordnungen zur Mängelbeseitigung mit Fristen
- Entzug von Zertifizierungen und behördlichen Genehmigungen
- Reputationsschäden durch öffentliche Kommunikation des BSI

Handlungsempfehlungen: So gehen Sie strukturiert vor

Wenn Sie nach dem Selbsttest davon ausgehen, betroffen zu sein – oder sich noch unsicher sind –, empfehlen wir folgende konkrete Schritte:

1. Betroffenheit dokumentieren: Halten Sie schriftlich fest, auf welcher rechtlichen Grundlage Sie zu dem Schluss kommen, betroffen oder nicht betroffen zu sein. Im Zweifelsfall rechtlich prüfen lassen.

2. Beim BSI registrieren: Betroffene Einrichtungen sind verpflichtet, sich beim BSI zu registrieren. Nutzen Sie dafür das offizielle Portal des BSI (MELDUNG+). Fehlende Registrierung ist selbst bereits eine bußgeldbewehrte Pflichtverletzung.

3. Risikomanagement implementieren: Nach §30 NIS2UmsuCG sind geeignete technische und organisatorische Maßnahmen zum Risikomanagement zu ergreifen – darunter Incident Response, Business Continuity, Lieferkettensicherheit und Verschlüsselung.

4. Meldeprozesse etablieren: Sicherheitsvorfälle müssen innerhalb definierter Fristen gemeldet werden: 24 Stunden für eine Erstmeldung, 72 Stunden für einen ersten Bericht, 1 Monat für den Abschlussbericht.

5. Lieferkette prüfen: Auch wenn Ihr Unternehmen selbst nicht direkt unter NIS2 fällt, können Sie als Zulieferer wesentlicher oder wichtiger Einrichtungen indirekt betroffen sein. Überprüfen Sie Ihre Vertragsbeziehungen.

6. Schulungen durchführen: Geschäftsführung und Vorstand müssen nach §38 NIS2UmsuCG an Schulungen zur Cybersicherheit teilnehmen – und sind für die Umsetzung persönlich verantwortlich.

7. ISMS aufbauen oder anpassen: Ein Informationssicherheits-Managementsystem (ISMS) nach ISO 27001 oder BSI IT-Grundschutz ist keine Pflicht, aber der effizienteste Weg, die NIS2-Anforderungen systematisch zu erfüllen.

Häufige Missverständnisse bei der NIS2-Betroffenheitsprüfung

„Wir sind zu klein für NIS2."
Falsch – die Schwelle beginnt bereits bei 50 Mitarbeitern oder 10 Millionen Euro Umsatz, nicht beim typischen KMU-Begriff.

„Wir sind kein IT-Unternehmen."
NIS2 betrifft nicht nur IT-Dienstleister, sondern auch Krankenhäuser, Lebensmittelhersteller, Chemieunternehmen und viele mehr.

„Wir haben keine Meldepflicht, weil wir noch keinen Vorfall hatten."
Die Registrierungs- und Strukturpflichten bestehen unabhängig von konkreten Vorfällen.

„Unser Auftraggeber kümmert sich darum."
Jede Einrichtung ist selbst verantwortlich – Compliance ist nicht delegierbar.

Fazit und nächste Schritte

Die NIS2-Betroffenheitsprüfung ist der erste und wichtigste Schritt auf dem Weg zur Compliance. Wer in einem Sektor aus Anlage 1 oder Anlage 2 tätig ist und mindestens 50 Mitarbeiter hat oder mehr als 10 Millionen Euro umsetzt, sollte davon ausgehen, betroffen zu sein – und sofort handeln.

Ihre nächsten Schritte auf einen Blick:

1. ✅ Sektorzugehörigkeit nach Anlage 1 / Anlage 2 prüfen
2. ✅ Größenkriterien dokumentieren
3. ✅ Einstufung als wesentlich oder wichtig vornehmen
4. ✅ Beim BSI registrieren
5. ✅ Risikomanagement und Meldeprozesse aufsetzen
6. ✅ Geschäftsführung schulen und persönliche Haftung klären

Die Zeit für Abwarten ist vorbei. Das BSI intensiviert seine Aufsichtstätigkeit, und die ersten Bußgeldverfahren laufen bereits. Handeln Sie jetzt – bevor das BSI an Ihre Tür klopft.

Tipp: NIS2-Compliance effizient verwalten

Die strukturierte Dokumentation Ihrer Betroffenheitsprüfung, Risikoanalysen, Meldeprozesse und Sicherheitsmaßnahmen ist aufwändig – und bei Prüfungen durch das BSI unverzichtbar. Spezialisierte NIS2-Compliance-Softwarelösungen helfen Ihnen dabei, alle Pflichten zentral zu verwalten, Nachweise zu dokumentieren und Fristen im Blick zu behalten. Viele Tools bieten zudem integrierte Vorlagen für ISMS-Dokumente, Risikoregister und Meldeketten – ein echter Zeitgewinn für IT-Teams und Compliance-Verantwortliche. Informieren Sie sich über geeignete Plattformen, bevor Sie den manuellen Dokumentationsprozess starten.

Rechtlicher Hinweis: Dieser Artikel dient der allgemeinen Information und ersetzt keine individuelle rechtliche Beratung. Bei konkreten Compliance-Fragen wenden Sie sich an einen auf IT-Recht oder Cybersicherheitsrecht spezialisierten Rechtsanwalt oder konsultieren Sie das BSI direkt.