NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Stand: 11. September 2026 | Lesezeit: ca. 10 Minuten

Die NIS2-Richtlinie der Europäischen Union hat die Cybersicherheitslandschaft in Deutschland grundlegend verändert. Seit der Umsetzung durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) stehen tausende deutsche Unternehmen vor der entscheidenden Frage: Bin ich überhaupt betroffen – und wenn ja, in welchem Umfang?

Die Antwort ist nicht immer eindeutig. Viele Geschäftsführer und IT-Verantwortliche unterschätzen die Reichweite der Regulierung oder gehen fälschlicherweise davon aus, dass kleine oder mittelständische Betriebe außen vor bleiben. Dieser Artikel liefert Ihnen eine strukturierte NIS2-Betroffenheitsprüfung für Deutschland 2025 und 2026, erklärt die relevanten Kriterien nach §3 NIS2UmsuCG und zeigt auf, welche Konsequenzen drohen, wenn Sie die Pflichten ignorieren.

Was regelt §3 NIS2UmsuCG? Der rechtliche Ausgangspunkt

§3 NIS2UmsuCG definiert den persönlichen Anwendungsbereich des Gesetzes. Maßgeblich sind drei Faktoren, die kumulativ oder alternativ erfüllt sein müssen:

1. Sektorzugehörigkeit – Das Unternehmen ist in einem der Sektoren tätig, die in Anlage 1 oder Anlage 2 des NIS2UmsuCG aufgelistet sind.
2. Größenkriterien – Das Unternehmen überschreitet bestimmte Schwellenwerte bei Mitarbeiterzahl oder Umsatz.
3. Qualifikationsmerkmale – In bestimmten Fällen greift die Regulierung unabhängig von der Größe, etwa bei kritischer Infrastruktur oder bei besonderen gesellschaftlichen Auswirkungen.

Wer alle drei Dimensionen nicht berücksichtigt, riskiert eine fehlerhafte Selbsteinschätzung – mit teuren Folgen.

Welche Sektoren fallen unter NIS2?

Anlage 1: Sektoren mit hoher Kritikalität (Wesentliche Einrichtungen)

Die Anlage 1 des NIS2UmsuCG listet Bereiche auf, die als besonders schützenswert gelten, weil Ausfälle unmittelbare gesellschaftliche oder wirtschaftliche Schäden verursachen können:

• Energie (Strom, Gas, Fernwärme, Öl, Wasserstoff)
• Transport und Verkehr (Luft, Bahn, Wasser, Straße)
• Bankwesen und Finanzmarktinfrastrukturen
• Gesundheitswesen (Krankenhäuser, Labore, Pharmahersteller)
• Trinkwasser und Abwasser
• Digitale Infrastruktur (Internet-Knoten, DNS-Dienste, TLD-Registries, Cloud-Anbieter, Rechenzentren)
• ICT-Service-Management (Managed Service Provider im B2B-Bereich)
• Öffentliche Verwaltung
• Weltraum

Anlage 2: Sonstige kritische Sektoren (Wichtige Einrichtungen)

Anlage 2 umfasst weitere Branchen, die zwar weniger unmittelbar kritisch sind, aber dennoch unter NIS2 fallen:

• Post- und Kurierdienste
• Abfallwirtschaft
• Chemische Industrie
• Lebensmittelproduktion und -verarbeitung
• Verarbeitendes Gewerbe / Produktion (u. a. Medizinprodukte, Elektronik, Maschinenbau, Fahrzeugbau)
• Digitale Dienste (Online-Marktplätze, Online-Suchmaschinen, Social-Media-Plattformen)
• Forschungseinrichtungen

Praxis-Hinweis: Auch wenn Ihr Kerngeschäft nicht in einem dieser Sektoren liegt, können Sie als Zulieferer oder Dienstleister für betroffene Unternehmen mittelbar in die Pflicht genommen werden – etwa durch vertragliche Anforderungen Ihrer Kunden an Ihre Cybersicherheitsmaßnahmen.

Die Größenkriterien: Ab wann sind Unternehmen betroffen?

Die reine Sektorzugehörigkeit reicht in den meisten Fällen nicht aus. Entscheidend sind die Größenschwellen, die das NIS2UmsuCG in Anlehnung an die EU-Empfehlung 2003/361/EG definiert:

Der Sonderfall: Größenunabhängige Betroffenheit

Bestimmte Einrichtungen fallen unabhängig von ihrer Unternehmensgröße unter NIS2. Dies betrifft insbesondere:

• Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste
• Vertrauensdiensteanbieter
• Top-Level-Domain-Registries und DNS-Diensteanbieter
• Unternehmen, die als einziger Anbieter eines kritischen Dienstes in einem Mitgliedstaat gelten
• Einrichtungen, deren Ausfall erhebliche Auswirkungen auf die öffentliche Sicherheit, Ordnung oder Gesundheit haben könnte

Diese Ausnahmeregelung ist besonders relevant für spezialisierte IT-Dienstleister und Nischenanbieter in regulierten Märkten.

Wesentliche vs. Wichtige Einrichtungen: Was ist der Unterschied?

Die Unterscheidung zwischen wesentlichen Einrichtungen (essential entities) und wichtigen Einrichtungen (important entities) hat erhebliche praktische Konsequenzen:

Wesentliche Einrichtungen (Anlage 1, ≥ 250 MA)

• Proaktive Aufsicht durch das BSI (Bundesamt für Sicherheit in der Informationstechnik)
• Strengere Nachweispflichten
• Höhere Bußgeldrahmen im Verstoßfall
• Regelmäßige Sicherheitsaudits können angeordnet werden
• Meldepflicht bei Sicherheitsvorfällen: 24 Stunden für Erstmeldung, 72 Stunden für detaillierten Bericht, 1 Monat für Abschlussbericht

Wichtige Einrichtungen (Anlage 2, ≥ 50 MA)

• Reaktive Aufsicht – das BSI wird primär tätig, wenn Verstöße bekannt werden
• Grundsätzlich gleiche technische und organisatorische Anforderungen wie wesentliche Einrichtungen
• Geringfügig niedrigere Bußgeldrahmen
• Gleiche Meldepflichten bei erheblichen Sicherheitsvorfällen

Wichtig: Die Sicherheitsanforderungen selbst – Risikomanagement, Incident Response, Supply-Chain-Sicherheit, Kryptografie, Zugangskontrollen – sind für beide Kategorien nahezu identisch. Der wesentliche Unterschied liegt im Aufsichtsregime und in der Bußgeldhöhe.

Selbsttest: Ist Ihr Unternehmen von NIS2 betroffen?

Beantworten Sie die folgenden Fragen, um eine erste Einschätzung zu erhalten. Dieser Test ersetzt keine Rechtsberatung, gibt aber eine strukturierte Orientierung.

Schritt 1: Sektorzugehörigkeit prüfen

• [ ] Ist mein Unternehmen in einem Sektor der Anlage 1 oder Anlage 2 tätig?
• [ ] Biete ich Dienstleistungen an, die direkt oder indirekt in diese Sektoren fallen?
• [ ] Bin ich ein Managed Service Provider (MSP) oder IT-Dienstleister für kritische Sektoren?

Schritt 2: Größenkriterien prüfen

• [ ] Beschäftigt mein Unternehmen 50 oder mehr Mitarbeiter?
• [ ] Überschreite ich einen Jahresumsatz von 10 Millionen Euro?
• [ ] Liegt meine Bilanzsumme über 10 Millionen Euro?

Schritt 3: Sonderfälle prüfen

• [ ] Bin ich der einzige Anbieter eines bestimmten kritischen Dienstes in Deutschland?
• [ ] Biete ich Vertrauensdienste oder Kommunikationsdienste im Sinne des TKG an?
• [ ] Könnte ein Ausfall meines Unternehmens erhebliche Auswirkungen auf staatliche Funktionen haben?

Auswertung:
- Schritt 1 ✓ + Schritt 2 ✓ (50–249 MA / ≥ 10 Mio. €): → Wichtige Einrichtung
- Schritt 1 ✓ + Schritt 2 ✓ (≥ 250 MA / ≥ 50 Mio. €): → Wesentliche Einrichtung
- Schritt 3 ✓ (unabhängig von Schritt 2): → Betroffenheit prüfen lassen
- Keines der obigen Kriterien erfüllt: → Derzeit nicht direkt betroffen (aber mittelbare Pflichten prüfen!)

Konsequenzen bei Nichterfüllung: §65 BSIG

Wer die NIS2-Pflichten ignoriert oder nur unzureichend umsetzt, riskiert erhebliche Sanktionen. §65 BSIG regelt den Bußgeldkatalog im Detail:

Bußgeldrahmen nach §65 BSIG

Was kann zu Bußgeldern führen?

• Unterlassene oder verspätete Registrierung beim BSI
• Fehlende oder mangelhafte Risikomanagementmaßnahmen
• Nichtmeldung erheblicher Sicherheitsvorfälle innerhalb der Fristen
• Unzureichende Sicherheitsmaßnahmen in der Lieferkette
• Verletzung der Pflicht zur Benennung einer Ansprechperson für Cybersicherheit
• Mangelnde Kooperation bei BSI-Prüfungen

Besondere Haftungsregelung: Für Geschäftsführer und Vorstandsmitglieder wesentlicher Einrichtungen kann das BSI bei schwerwiegenden Pflichtverstößen ein temporäres Berufsverbot aussprechen. Die persönliche Haftung der Leitungsorgane ist damit erstmals in der deutschen Cybersicherheitsgesetzgebung explizit verankert.

Konkrete Handlungsempfehlungen: So gehen Sie jetzt vor

1. Betroffenheitsprüfung dokumentieren: Halten Sie schriftlich fest, auf welcher Grundlage Sie zu dem Schluss kommen, betroffen oder nicht betroffen zu sein. Diese Dokumentation schützt Sie im Zweifelsfall.

2. Sektorale Einordnung klären: Holen Sie – falls nötig – eine rechtliche Einschätzung ein, ob Ihre Tätigkeit unter Anlage 1 oder Anlage 2 fällt. Branchenverbände wie Bitkom oder der VDE haben hierzu Leitfäden veröffentlicht.

3. Registrierung beim BSI: Betroffene Unternehmen sind verpflichtet, sich beim BSI zu registrieren. Nutzen Sie das BSI-Online-Portal und halten Sie dabei Angaben zu Sektor, Unternehmensgröße und Kontaktperson bereit.

4. Gap-Analyse durchführen: Vergleichen Sie Ihren aktuellen Cybersicherheitsstand mit den NIS2-Anforderungen. Schwerpunkte: Risikomanagement, Incident Response, Business Continuity, Supply Chain Security und Kryptografie.

5. ISMS aufbauen oder erweitern: Ein Informationssicherheits-Managementsystem (ISMS) nach ISO/IEC 27001 bildet die optimale strukturelle Grundlage für NIS2-Compliance. Viele Anforderungen decken sich direkt mit den ISO-Kontrollzielen.

6. Meldeprozesse etablieren: Definieren Sie klare interne Eskalationswege, damit erhebliche Sicherheitsvorfälle innerhalb von 24 Stunden an das BSI gemeldet werden können.

7. Lieferanten und Dienstleister einbinden: Prüfen Sie die Cybersicherheitsanforderungen Ihrer Zulieferer und passen Sie Verträge entsprechend an. NIS2 macht die Supply-Chain-Sicherheit zur Pflicht.

8. Schulungen für die Leitungsebene: Geschäftsführer und Vorstände müssen NIS2-Sicherheitsmaßnahmen nicht nur genehmigen, sondern aktiv überwachen. Investieren Sie in Awareness-Schulungen auf Führungsebene.

9. Regelmäßige Überprüfung: Die Betroffenheit kann sich ändern – durch Unternehmenswachstum, Akquisitionen, neue Geschäftsfelder oder gesetzliche Anpassungen. Planen Sie jährliche Überprüfungen ein.

Fazit: Nächste Schritte auf einen Blick

Die NIS2-Betroffenheitsprüfung ist für deutsche Unternehmen keine akademische Übung, sondern eine rechtliche Pflicht mit erheblichen finanziellen und persönlichen Konsequenzen. Die Kombination aus Sektorzugehörigkeit (Anlage 1 & 2), Größenkriterien (ab 50 Mitarbeitern und 10 Mio. € Umsatz) und den Sonderregelungen in §3 NIS2UmsuCG macht eine sorgfältige Einzelfallprüfung unerlässlich.

Ihre nächsten drei Schritte:

1. ✅ Führen Sie den obigen Selbsttest durch und dokumentieren Sie das Ergebnis.
2. ✅ Prüfen Sie, ob Ihr Unternehmen bereits beim BSI registriert ist.
3. ✅ Beauftragen Sie eine strukturierte Gap-Analyse Ihrer aktuellen Cybersicherheitsmaßnahmen.

Nützlicher Tipp: NIS2-Compliance systematisch managen

Die manuelle Umsetzung der NIS2-Anforderungen – von der Risikoanalyse über die Incident-Response-Dokumentation bis zur Lieferantenbewertung – ist komplex und zeitaufwendig. Spezialisierte ISMS- und Compliance-Software kann diesen Prozess erheblich vereinfachen: Sie hilft bei der strukturierten Betroffenheitsprüfung, erstellt automatisiert die erforderlichen Richtlinien- und Prozessdokumente, trackt offene Maßnahmen und erinnert an Meldefristen.

Wenn Sie auf der Suche nach einer solchen Lösung sind, achten Sie auf Produkte, die explizit auf die Anforderungen des NIS2UmsuCG und des BSIG ausgerichtet sind und eine nahtlose Integration mit bestehenden IT-Sicherheitstools bieten. Das BSI veröffentlicht auf seiner Website zudem regelmäßig aktualisierte Handreichungen und FAQ zur NIS2-Umsetzung – eine kostenfreie erste Anlaufstelle für alle offenen Fragen.

Dieser Artikel dient der allgemeinen Information und ersetzt keine individuelle Rechts- oder Fachberatung. Paragraphenangaben beziehen sich auf den Stand der deutschen NIS2-Gesetzgebung zum Zeitpunkt der Veröffentlichung (September 2026).