NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 13. September 2026 | Lesezeit: ca. 10 Minuten

Die NIS2-Richtlinie der Europäischen Union ist seit ihrer Umsetzung in deutsches Recht durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) eines der meistdiskutierten Themen in der IT-Sicherheitsbranche. Dennoch stellen sich viele Unternehmen bis heute die entscheidende Frage: Bin ich überhaupt betroffen? Die Antwort ist keineswegs trivial – und die Konsequenzen einer falschen Einschätzung können erheblich sein.

Dieser Artikel führt Sie Schritt für Schritt durch die NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland 2025, erklärt die relevanten Kriterien nach §3 NIS2UmsuCG, unterscheidet zwischen wesentlichen und wichtigen Einrichtungen und zeigt, welche Bußgelder bei Nichterfüllung drohen.

Was ist die NIS2-Richtlinie und warum ist sie relevant?

Die Network and Information Security Directive 2 (NIS2, EU-Richtlinie 2022/2555) löste die ursprüngliche NIS-Richtlinie von 2016 ab und erweiterte den Anwendungsbereich erheblich. Schätzungen zufolge fallen in Deutschland bis zu 30.000 Unternehmen und Einrichtungen unter die neuen Regelungen – deutlich mehr als unter dem Vorgängergesetz.

Das Ziel: ein einheitlich hohes Cybersicherheitsniveau in der gesamten EU, insbesondere für Sektoren mit kritischer Bedeutung für Wirtschaft und Gesellschaft. Das BSI fungiert als zuständige nationale Behörde und hat seine Aufsichtsbefugnisse im Rahmen des novellierten BSIG (BSI-Gesetz) erheblich ausgebaut.

Die zwei Kernfragen der Betroffenheitsprüfung

Ob Ihr Unternehmen unter NIS2 fällt, hängt von zwei grundlegenden Kriterien ab, die kumulativ erfüllt sein müssen:

1. Tätigkeitsbereich: Gehört Ihr Unternehmen zu einem der definierten Sektoren (Anlage 1 oder Anlage 2 NIS2UmsuCG)?
2. Unternehmensgröße: Erreicht Ihr Unternehmen die festgelegten Schwellenwerte (Mitarbeiterzahl und/oder Umsatz)?

Nur wenn beide Kriterien zutreffen, unterliegen Sie grundsätzlich den NIS2-Pflichten – mit Ausnahme bestimmter kritischer Infrastrukturen, die unabhängig von der Größe einbezogen werden können.

Schritt 1: Sektorprüfung – Anlage 1 und Anlage 2 NIS2UmsuCG

Anlage 1: Sektoren mit hoher Kritikalität (Wesentliche Einrichtungen)

Die Anlage 1 des NIS2UmsuCG listet Sektoren auf, die als besonders kritisch eingestuft werden. Unternehmen in diesen Bereichen werden bei Erfüllung der Größenkriterien als wesentliche Einrichtungen eingestuft:

Anlage 2: Sonstige kritische Sektoren (Wichtige Einrichtungen)

Die Anlage 2 umfasst weitere Sektoren, deren Unternehmen als wichtige Einrichtungen eingestuft werden:

Praxistipp: Viele mittelständische Unternehmen unterschätzen ihre Betroffenheit. Wer etwa als Maschinenbauer Komponenten für kritische Infrastrukturen liefert oder als IT-Dienstleister für Krankenhäuser tätig ist, kann bereits in den Anwendungsbereich fallen.

Schritt 2: Größenkriterien nach §3 NIS2UmsuCG

Selbst wenn Sie einem der oben genannten Sektoren angehören, müssen die Größenschwellen überschritten sein. Das NIS2UmsuCG orientiert sich dabei an der EU-Empfehlung zur KMU-Definition:

Größenklassen im Überblick

• Wesentliche Einrichtungen (Anlage 1): Große Unternehmen (≥ 250 MA oder > 50 Mio. € Umsatz) sowie mittlere Unternehmen in bestimmten hochkritischen Sektoren (z. B. digitale Infrastruktur, DNS)
• Wichtige Einrichtungen (Anlage 2): Mittlere und große Unternehmen (≥ 50 MA oder > 10 Mio. € Umsatz)

Ausnahme: Kleinstunternehmen und kleine Unternehmen sind grundsätzlich ausgenommen – es sei denn, sie erbringen bestimmte kritische Dienste (z. B. als einziger Anbieter in einem Mitgliedstaat) oder sind ausdrücklich als KRITIS-Betreiber eingestuft.

Wesentliche vs. wichtige Einrichtungen: Was ist der Unterschied?

Die Unterscheidung zwischen wesentlichen Einrichtungen (Essential Entities, EE) und wichtigen Einrichtungen (Important Entities, IE) hat erhebliche praktische Auswirkungen:

Wesentliche Einrichtungen

• Unterliegen der aktiven Aufsicht durch das BSI (ex-ante)
• Regelmäßige Sicherheitsaudits und Überprüfungen möglich
• Höhere Bußgeldrahmen bei Verstößen
• Strengere Meldepflichten

Wichtige Einrichtungen

• Unterliegen der reaktiven Aufsicht durch das BSI (ex-post)
• Überprüfungen erfolgen in der Regel anlassbezogen
• Niedrigere (aber immer noch erhebliche) Bußgeldrahmen
• Gleiche technische Anforderungen hinsichtlich Risikomaßnahmen

Selbsttest: Fällt Ihr Unternehmen unter NIS2?

Beantworten Sie die folgenden Fragen, um Ihre Betroffenheit einzuschätzen:

Frage 1: Ist Ihr Unternehmen in einem der Sektoren aus Anlage 1 oder Anlage 2 des NIS2UmsuCG tätig?
- ✅ Ja → Weiter zu Frage 2
- ❌ Nein → Wahrscheinlich nicht betroffen (Ausnahmen prüfen)

Frage 2: Hat Ihr Unternehmen 50 oder mehr Mitarbeiter (Vollzeitäquivalente)?
- ✅ Ja → Weiter zu Frage 3
- ❌ Nein → Ist Ihr Jahresumsatz höher als 10 Mio. €?
- ✅ Ja → Weiter zu Frage 3
- ❌ Nein → Wahrscheinlich nicht betroffen (Sonderregelungen prüfen)

Frage 3: Hat Ihr Unternehmen 250 oder mehr Mitarbeiter oder übersteigt der Jahresumsatz 50 Mio. €?
- ✅ Ja und Sektor aus Anlage 1 → Wesentliche Einrichtung
- ✅ Ja und Sektor aus Anlage 2 → Wichtige Einrichtung
- ❌ Nein (50–249 MA, 10–50 Mio. €) und Sektor aus Anlage 1 → je nach Sektor wesentliche oder wichtige Einrichtung
- ❌ Nein (50–249 MA, 10–50 Mio. €) und Sektor aus Anlage 2 → Wichtige Einrichtung

Wichtig: Dieser Selbsttest ersetzt keine rechtliche oder fachliche Beratung. Für eine rechtssichere Betroffenheitsprüfung empfiehlt sich die Konsultation eines auf NIS2 spezialisierten IT-Sicherheitsberaters oder Rechtsanwalts.

Registrierungspflicht: Was müssen betroffene Unternehmen tun?

Seit Inkrafttreten des NIS2UmsuCG sind betroffene Unternehmen verpflichtet, sich beim BSI zu registrieren. Dies geschieht über das BSI-Portal und umfasst Angaben zu:

• Unternehmensname und Rechtsform
• Sektor und Teilsektor gemäß Anlage 1/2
• Größenklasse (wesentlich oder wichtig)
• Kontaktdaten (insbesondere für Meldepflichten)
• Art der erbrachten Dienste

Die Registrierung ist keine Formalie: Sie bildet die Grundlage für die behördliche Kommunikation und die Einstufung durch das BSI.

Konsequenzen bei Nichterfüllung: Bußgelder nach §65 BSIG

Der vielleicht gewichtigste Grund, die Betroffenheitsprüfung ernst zu nehmen, sind die erheblichen Sanktionen bei Verstößen. § 65 BSIG sieht folgende Bußgeldrahmen vor:

Bußgeldrahmen für wesentliche Einrichtungen

• Bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist
• Bei schwerwiegenden Verstößen gegen Sicherheitspflichten (§ 30 BSIG)

Bußgeldrahmen für wichtige Einrichtungen

• Bis zu 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist

Weitere Sanktionsmöglichkeiten

Neben Bußgeldern sieht das BSIG auch folgende Maßnahmen vor:

• Anordnung von Maßnahmen zur Mängelbeseitigung (§ 62 BSIG)
• Öffentliche Bekanntmachung von Verstößen (naming and shaming)
• Im Extremfall: Vorübergehende Betriebsuntersagung für Führungskräfte

Die persönliche Haftung von Geschäftsführern und Vorstandsmitgliedern ist dabei ein besonders kritischer Aspekt: Geschäftsführer können persönlich zur Verantwortung gezogen werden, wenn sie die Implementierung angemessener Sicherheitsmaßnahmen nachweislich verhindert oder verschleppt haben.

Konkrete Handlungsempfehlungen für betroffene Unternehmen

Wenn Sie nach dem Selbsttest zu dem Ergebnis gekommen sind, dass Ihr Unternehmen unter NIS2 fällt, empfehlen wir folgende Schritte:

1. Betroffenheit dokumentieren: Halten Sie schriftlich fest, auf welcher Grundlage Sie Ihre Einstufung vorgenommen haben (Sektor, Mitarbeiterzahl, Umsatz). Dies ist bei späteren BSI-Prüfungen hilfreich.

2. BSI-Registrierung vornehmen: Registrieren Sie Ihr Unternehmen zeitnah im BSI-Portal. Verspätete Registrierungen können bereits als Ordnungswidrigkeit gewertet werden.

3. Verantwortlichkeiten klären: Benennen Sie intern einen NIS2-Verantwortlichen (häufig CISO oder IT-Leiter) und stellen Sie sicher, dass die Geschäftsführung eingebunden ist.

4. Gap-Analyse durchführen: Vergleichen Sie Ihren aktuellen Sicherheitsstatus mit den Anforderungen des § 30 BSIG (Risikomaßnahmen). Identifizieren Sie Lücken in den Bereichen Patch-Management, Zugriffskontrolle, Incident Response und Business Continuity.

5. ISMS aufbauen oder anpassen: Implementieren Sie ein Informationssicherheitsmanagementsystem (ISMS) – idealerweise auf Basis von ISO/IEC 27001 oder des BSI IT-Grundschutzes. Viele NIS2-Anforderungen decken sich mit diesen Standards.

6. Meldeprozesse etablieren: Entwickeln Sie klare interne Prozesse für die Meldung von Sicherheitsvorfällen beim BSI (erste Meldung innerhalb von 24 Stunden, Folgemeldung innerhalb von 72 Stunden, Abschlussbericht nach einem Monat).

7. Lieferkette prüfen: Analysieren Sie Ihre Supply Chain auf Sicherheitsrisiken. NIS2 verlangt ausdrücklich, dass auch Drittanbieter und Zulieferer sicherheitstechnisch bewertet werden.

8. Schulungen durchführen: Sensibilisieren Sie Mitarbeiter und insbesondere Führungskräfte für Cybersicherheitsrisiken. Die Schulungspflicht ist explizit in § 30 BSIG verankert.

9. Nachweise sichern: Dokumentieren Sie alle Sicherheitsmaßnahmen, Schulungen und Audits sorgfältig. Im Falle einer BSI-Prüfung oder eines Sicherheitsvorfalls ist Dokumentation Ihr wichtigstes Argument.

10. Regelmäßige Überprüfung: Cybersicherheit ist kein Einmalprojekt. Planen Sie jährliche Reviews aller Maßnahmen und passen Sie diese an neue Bedrohungslagen an.

Fazit: Jetzt handeln, nicht abwarten

Die NIS2-Betroffenheitsprüfung ist der unverzichtbare erste Schritt auf dem Weg zur Compliance. Angesichts der Breite des Anwendungsbereichs – von der Energie- und Wasserversorgung über das Gesundheitswesen bis hin zu IT-Dienstleistern und Lebensmittelherstellern – sollte kein Unternehmen davon ausgehen, automatisch nicht betroffen zu sein.

Die wichtigsten nächsten Schritte auf einen Blick:
- Sektorzugehörigkeit anhand der Anlagen 1 und 2 des NIS2UmsuCG prüfen
- Unternehmensgrößen-Schwellenwerte (50 MA / 10 Mio. €) verifizieren
- Einstufung als wesentliche oder wichtige Einrichtung dokumentieren
- BSI-Registrierung vornehmen
- Gap-Analyse starten und ISMS-Aufbau einleiten

Die Zeit des Abwartens ist definitiv vorbei. Das BSI intensiviert seine Aufsichtstätigkeit, und die Bußgeldrahmen nach § 65 BSIG sind kein theoretisches Risiko mehr.

Nächste Schritte einfacher gestalten mit Compliance-Software

Die Umsetzung der NIS2-Anforderungen bedeutet für viele Unternehmen erheblichen Dokumentations- und Prozessaufwand. Spezialisierte NIS2-Compliance-Softwarelösungen können diesen Prozess erheblich vereinfachen: Sie führen durch die Betroffenheitsprüfung, helfen beim Aufbau und der Pflege eines ISMS, strukturieren die erforderliche Dokumentation (Risikoanalysen, Richtlinien, Schulungsnachweise) und unterstützen bei der Erstellung von Meldungen an das BSI.

Wer heute in die richtigen Werkzeuge investiert, spart morgen Zeit, Nerven – und im Zweifelsfall erhebliche Bußgelder. Prüfen Sie, welche Lösung am besten zu Ihrer Unternehmensgröße und Ihrem Sektor passt, und starten Sie Ihre NIS2-Betroffenheitsprüfung noch heute.

Dieser Artikel wurde nach bestem Wissen und Gewissen erstellt und spiegelt den Rechtsstand vom September 2026 wider. Er ersetzt keine individuelle Rechts- oder Sicherheitsberatung. Bei konkreten Fragen zur NIS2-Betroffenheit empfehlen wir die Konsultation eines spezialisierten Beraters.