NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 12. September 2026 | Lesezeit: ca. 8 Minuten

Die NIS2-Richtlinie ist längst kein Zukunftsthema mehr – sie ist Gegenwart. Doch noch immer fragen sich zahlreiche Geschäftsführer und IT-Verantwortliche in Deutschland: Bin ich überhaupt betroffen? Die Unsicherheit ist verständlich, denn das NIS2-Umsetzungsgesetz (NIS2UmsuCG) enthält komplexe Kriterien, die sorgfältig geprüft werden müssen. Eine falsche Einschätzung kann teuer werden – Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes drohen Unternehmen, die ihre Pflichten ignorieren (§ 65 BSIG).

Dieser Artikel führt Sie Schritt für Schritt durch die NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland und gibt Ihnen konkrete Handlungsempfehlungen für 2025 und darüber hinaus.

Was ist die NIS2-Betroffenheitsprüfung – und warum ist sie so wichtig?

Die NIS2-Richtlinie der EU (Directive on measures for a High Common Level of Cybersecurity across the Union) wurde in Deutschland durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in nationales Recht überführt. Im Mittelpunkt steht § 3 NIS2UmsuCG, der den Anwendungsbereich definiert und festlegt, welche Einrichtungen als „wesentlich" oder „wichtig" eingestuft werden.

Die Betroffenheitsprüfung ist der erste und entscheidende Schritt, denn:

• Nur wenn Sie betroffen sind, müssen Sie die umfangreichen Sicherheits- und Meldepflichten erfüllen.
• Gleichzeitig können Sie bei Nichtbetroffenheit unnötige Compliance-Aufwände vermeiden.
• Viele Unternehmen sind betroffen, ohne es zu wissen – insbesondere in der Zuliefererkette kritischer Branchen.

Schritt 1: Gehört Ihr Unternehmen zu einem relevanten Sektor?

Der erste Prüfschritt ist die Sektorenzugehörigkeit. Das NIS2UmsuCG unterscheidet zwei Anlagen mit unterschiedlich stark regulierten Bereichen.

Anlage 1 – Sektoren hoher Kritikalität (wesentliche Einrichtungen)

Diese Sektoren gelten als besonders kritisch für die öffentliche Sicherheit und Versorgung:

Anlage 2 – Sonstige kritische Sektoren (wichtige Einrichtungen)

Diese Sektoren unterliegen ebenfalls NIS2-Pflichten, jedoch mit etwas abgestuften Anforderungen und Aufsichtsmechanismen:

Praxistipp: Viele Unternehmen im produzierenden Gewerbe übersehen ihre NIS2-Pflichten, weil sie sich nicht als „kritische Infrastruktur" verstehen. Die Zugehörigkeit zum Sektor Industrie und Fertigung (Anlage 2) umfasst jedoch eine enorm breite Gruppe von Unternehmen.

Schritt 2: Erfüllt Ihr Unternehmen die Größenkriterien?

Allein die Sektorzugehörigkeit genügt nicht. Grundsätzlich gilt: Nur mittlere und große Unternehmen fallen unter NIS2. Als Faustregel gelten laut § 3 NIS2UmsuCG folgende Schwellenwerte:

Größenkriterien im Überblick

Wichtig: Beide Bedingungen – Sektorzugehörigkeit und Größe – müssen erfüllt sein, damit NIS2-Pflichten entstehen. Es handelt sich um eine UND-Verknüpfung.

Ausnahmen von den Größenkriterien

Es gibt Situationen, in denen Unternehmen unabhängig von ihrer Größe als wesentliche Einrichtung eingestuft werden können:

• Das Unternehmen ist der einzige Anbieter eines kritischen Dienstes in Deutschland.
• Eine Störung hätte erhebliche Auswirkungen auf die öffentliche Sicherheit oder bedeutende wirtschaftliche Schäden.
• Das Unternehmen ist ein qualifizierter Vertrauensdienste-Anbieter oder ein TLD-Namenregister.
• Das BSI kann nach eigenem Ermessen weitere Einrichtungen bestimmen.

Schritt 3: Wesentliche oder wichtige Einrichtung – was ist der Unterschied?

Sobald feststeht, dass Sie betroffen sind, folgt die Einstufung in eine der beiden Kategorien. Die Unterscheidung ist relevant, weil sie Intensität der Aufsicht und Bußgeldhöhe beeinflusst.

Wesentliche Einrichtungen (§ 3 Abs. 1 NIS2UmsuCG)

• Sektoren aus Anlage 1
• Großunternehmen (≥ 250 MA, > 50 Mio. € Umsatz)
• Unterliegen proaktiver Überwachung durch das BSI
• Maximales Bußgeld: 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (§ 65 Abs. 1 BSIG)

Wichtige Einrichtungen (§ 3 Abs. 2 NIS2UmsuCG)

• Sektoren aus Anlage 1 (mittlere Unternehmen) oder Anlage 2 (mittlere und große Unternehmen)
• Unterliegen reaktiver Aufsicht (BSI prüft i.d.R. nur bei Vorfällen oder Hinweisen)
• Maximales Bußgeld: 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes (§ 65 Abs. 2 BSIG)

Klartext: Auch „wichtige Einrichtungen" sind nicht auf der sicheren Seite. Sieben Millionen Euro Bußgeld können ein mittelständisches Unternehmen in ernsthafte Schwierigkeiten bringen.

Interaktiver Selbsttest: Bin ich NIS2-pflichtig?

Beantworten Sie diese fünf Fragen, um eine erste Einschätzung zu erhalten:

Frage 1: Ist Ihr Unternehmen in Deutschland tätig oder erbringt Dienstleistungen für deutsche Empfänger?
➜ Nein → Wahrscheinlich nicht betroffen | Ja → Weiter zu Frage 2

Frage 2: Gehört Ihr Unternehmen zu einem der Sektoren in Anlage 1 oder Anlage 2 des NIS2UmsuCG?
➜ Nein → Nicht betroffen | Ja → Weiter zu Frage 3

Frage 3: Beschäftigt Ihr Unternehmen mindestens 50 Mitarbeitende?
➜ Nein → Weiter zu Frage 4 | Ja → Weiter zu Frage 5

Frage 4: Zählt Ihr Unternehmen zu den Sonderausnahmen (Alleinanbieter, kritische Bedeutung, Vertrauensdiensteanbieter)?
➜ Nein → Nicht betroffen | Ja → NIS2-pflichtig

Frage 5: Erzielt Ihr Unternehmen mehr als 10 Mio. € Jahresumsatz oder besitzt eine Jahresbilanzsumme über 10 Mio. €?
➜ Nein → Nicht betroffen | Ja → NIS2-pflichtig ✓

Die wichtigsten Pflichten für betroffene Unternehmen

Wer unter NIS2 fällt, muss eine umfangreiche Palette an Sicherheitsmaßnahmen umsetzen. Die zentralen Anforderungen nach §§ 30–38 NIS2UmsuCG umfassen:

• Risikoanalyse und Sicherheitskonzept (ISMS nach ISO 27001 oder BSI IT-Grundschutz)
• Incident Response und Meldepflichten: Sicherheitsvorfälle müssen innerhalb von 24 Stunden an das BSI gemeldet werden (Frühwarnung), innerhalb von 72 Stunden folgt ein detaillierter Bericht
• Business Continuity Management (BCM): Backup-Strategien, Notfallpläne, Krisenmanagement
• Lieferkettensicherheit: Überprüfung und Absicherung von Dienstleistern und Zulieferern
• Schulungen und Sensibilisierung: Regelmäßige Cybersicherheitstrainings für Mitarbeitende und Führungskräfte
• Kryptografie und Verschlüsselung: Einsatz aktueller kryptografischer Standards
• Zugangskontrolle und Authentifizierung: Multi-Faktor-Authentifizierung wo angemessen
• Schwachstellenmanagement: Regelmäßige Scans, Patch-Management, Penetrationstests

Konsequenzen bei Nichterfüllung – was droht konkret?

Das BSI hat mit dem NIS2UmsuCG erhebliche Durchsetzungsbefugnisse erhalten. Die Konsequenzen bei Verstößen sind ernst zu nehmen:

Bußgelder nach § 65 BSIG

Persönliche Haftung der Geschäftsführung

Besonders brisant: § 38 NIS2UmsuCG sieht vor, dass Geschäftsführer und Vorstände persönlich haftbar gemacht werden können, wenn sie ihrer Aufsichtspflicht nicht nachgekommen sind. Die Unternehmensleitung muss die Umsetzung der Sicherheitsmaßnahmen aktiv überwachen und genehmigen – und kann bei Pflichtverletzung persönlich in Regress genommen werden.

Weitere Maßnahmen des BSI

• Anordnung von Audits und Sicherheitsüberprüfungen
• Erteilung verbindlicher Anweisungen zur Mängelbeseitigung
• Öffentliche Bekanntmachung von Verstößen (Naming and Shaming)
• Temporäres Tätigkeitsverbot für Führungskräfte bei wesentlichen Einrichtungen

7 konkrete Handlungsempfehlungen für Ihr Unternehmen

1. Betroffenheit dokumentieren: Führen Sie eine schriftliche Betroffenheitsanalyse durch, die Sektorzugehörigkeit, Mitarbeiterzahl und Umsatzdaten nachvollziehbar dokumentiert. Diese dient als Nachweis gegenüber dem BSI.

2. Registrierung beim BSI: Betroffene Einrichtungen müssen sich beim BSI registrieren. Nutzen Sie das BSI-Portal und halten Sie Kontaktdaten aktuell (§ 33 NIS2UmsuCG).

3. Lückenanalyse (Gap-Assessment) durchführen: Vergleichen Sie Ihren aktuellen Sicherheitsstatus mit den Anforderungen nach §§ 30 ff. NIS2UmsuCG. Nutzen Sie dabei den BSI IT-Grundschutz oder ISO 27001 als Referenzrahmen.

4. ISMS aufbauen oder anpassen: Ein Information Security Management System ist das Herzstück der NIS2-Compliance. Wenn noch keins vorhanden ist, jetzt starten – idealerweise mit Orientierung an ISO 27001:2022.

5. Lieferkette prüfen: Erstellen Sie eine Übersicht aller kritischen Dienstleister und fordern Sie deren Sicherheitsnachweise ein (z. B. ISO-Zertifizierungen, BSI C5-Berichte für Cloud-Anbieter).

6. Meldeprozesse etablieren: Definieren Sie klare interne Eskalationswege für Sicherheitsvorfälle – wer meldet was, wann und an wen? Die 24-Stunden-Frist lässt keinen Raum für Ad-hoc-Entscheidungen.

7. Schulungsplan erstellen: NIS2 schreibt Cybersicherheitstrainings nicht nur für IT-Teams, sondern ausdrücklich auch für die Geschäftsleitung vor. Regelmäßige Sensibilisierungsmaßnahmen sind Pflicht.

Häufige Irrtümer bei der Betroffenheitsprüfung

Irrtum 1: „Wir sind zu klein für NIS2."
Viele Unternehmen unterschätzen ihren Umsatz oder vergessen Konzernstrukturen. Bei verbundenen Unternehmen können Mitarbeiterzahlen und Umsätze zusammengerechnet werden.

Irrtum 2: „Wir sind kein Energieversorger, also nicht betroffen."
Die Sektoren sind weit gefasst. Ein IT-Dienstleister, der einen Energieversorger betreut und als Managed-Service-Provider agiert, kann selbst unter Anlage 1 fallen.

Irrtum 3: „Das BSI prüft uns nicht, also müssen wir nichts tun."
Die Registrierungspflicht gilt unabhängig von aktiver Prüfung. Wer sich nicht registriert, begeht bereits eine Ordnungswidrigkeit.

Irrtum 4: „ISO 27001 reicht als Nachweis."
ISO 27001 ist eine wichtige Grundlage, aber NIS2 stellt darüber hinausgehende, spezifische Anforderungen – etwa zu Meldepflichten, BCM und Lieferkettensicherheit.

Fazit und nächste Schritte

Die NIS2-Betroffenheitsprüfung ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. Unternehmen in Deutschland sollten jetzt handeln, denn das BSI intensiviert seine Aufsichtstätigkeit schrittweise.

Ihre drei wichtigsten nächsten Schritte:

1. Selbsttest durchführen anhand der Sektorenliste (Anlage 1 & 2) und der Größenkriterien nach § 3 NIS2UmsuCG.
2. Ergebnis dokumentieren – egal ob betroffen oder nicht. Eine nachweisbare Entscheidung schützt Sie im Zweifelsfall.
3. Bei Betroffenheit sofort handeln: BSI-Registrierung, Gap-Assessment und ISMS-Aufbau priorisieren.

Die Kosten für Compliance sind überschaubar, verglichen mit Bußgeldern von bis zu 10 Millionen Euro und dem Reputationsschaden nach einem Sicherheitsvorfall. Wer jetzt investiert, schützt sein Unternehmen nachhaltig.

So kann Software Ihren Compliance-Prozess beschleunigen

Die manuelle Verwaltung von NIS2-Dokumenten, Risikoanalysen, Schulungsnachweisen und Meldeprozessen in Excel-Tabellen ist fehleranfällig und zeitaufwendig. Spezialisierte NIS2-Compliance-Software und ISMS-Plattformen helfen Ihnen dabei, die Betroffenheitsprüfung zu strukturieren, Maßnahmenpläne zu verwalten und Nachweise revisionssicher zu dokumentieren. Viele Tools bieten integrierte Gap-Assessments auf Basis von ISO 27001 und den BSI IT-Grundschutz-Kompendien – ein erheblicher Zeitvorteil für IT-Teams unter Ressourcendruck. Prüfen Sie, welche Lösung zu Ihrer Unternehmensgröße und Ihrer bestehenden IT-Landschaft passt.

Dieser Artikel wurde sorgfältig auf Basis des NIS2UmsuCG, des BSIG sowie der ENISA-Leitlinien recherchiert. Er ersetzt keine Rechtsberatung. Bitte konsultieren Sie bei rechtlichen Fragen einen auf Cybersicherheitsrecht spezialisierten Anwalt.