NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 14. September 2026 | Lesedauer: ca. 8 Minuten

Die NIS2-Richtlinie der EU ist seit ihrer Umsetzung in deutsches Recht durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) eine der folgenreichsten regulatorischen Veränderungen für die IT-Sicherheit in deutschen Unternehmen. Dennoch stellen IT-Verantwortliche und Geschäftsführer immer noch dieselbe dringende Frage: „Bin ich überhaupt betroffen?"

Die Antwort darauf ist nicht trivial – und sie kann erhebliche Konsequenzen haben, wenn sie falsch eingeschätzt wird. Dieser Artikel führt Sie Schritt für Schritt durch die NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland 2025 und gibt Ihnen konkrete Handlungsempfehlungen an die Hand.

Was regelt §3 NIS2UmsuCG?

Der Anwendungsbereich der deutschen NIS2-Umsetzung ist in §3 NIS2UmsuCG definiert. Dort wird festgelegt, welche Einrichtungen als wesentliche oder wichtige Einrichtungen einzustufen sind und damit den Anforderungen des Gesetzes unterliegen.

Grundsätzlich gilt: Eine Einrichtung fällt unter das Gesetz, wenn sie

1. einem der in Anlage 1 oder Anlage 2 des NIS2UmsuCG genannten Sektoren angehört und
2. bestimmte Größenschwellenwerte überschreitet oder als kritische Infrastruktur (KRITIS) qualifiziert ist.

Darüber hinaus gibt es sektorunabhängige Tatbestände: Bestimmte Einrichtungen – etwa Vertrauensdiensteanbieter, TLD-Registrare oder öffentliche Verwaltungen des Bundes – fallen unabhängig von Größenkriterien unter das Gesetz.

Schritt 1: Gehört Ihr Unternehmen zu einem betroffenen Sektor?

Anlage 1 – Sektoren mit hoher Kritikalität (wesentliche Einrichtungen)

Die Anlage 1 des NIS2UmsuCG umfasst elf Sektoren, die als besonders kritisch eingestuft werden:

Anlage 2 – Sonstige kritische Sektoren (wichtige Einrichtungen)

Die Anlage 2 listet sieben weitere Sektoren, deren Unternehmen als wichtige Einrichtungen eingestuft werden – mit etwas geringeren, aber immer noch substanziellen Anforderungen:

Wichtiger Hinweis: Auch wenn Ihr Kerngeschäft nicht direkt einem dieser Sektoren zuzuordnen ist, kann Ihre Einrichtung als Zulieferer oder Dienstleister für eine wesentliche oder wichtige Einrichtung indirekt betroffen sein – insbesondere durch vertragliche Anforderungen der Auftraggeber.

Schritt 2: Erfüllen Sie die Größenkriterien?

Allein die Sektorzugehörigkeit reicht in den meisten Fällen nicht aus. Zusätzlich müssen Größenschwellenwerte überschritten werden, die sich an der EU-Empfehlung 2003/361/EG orientieren:

Größenschwellen im Überblick

Als wichtige Einrichtung werden in der Regel mittlere und große Unternehmen aus Anlage-2-Sektoren eingestuft.

Als wesentliche Einrichtung gelten typischerweise große Unternehmen aus Anlage-1-Sektoren sowie mittlere Unternehmen aus besonders kritischen Bereichen (z. B. Betreiber kritischer Infrastrukturen nach BSIG).

Ausnahmen von den Größenschwellen

Es gibt wichtige Ausnahmen: Bestimmte Einrichtungen fallen unabhängig von ihrer Größe unter das NIS2UmsuCG, darunter:

• Qualifizierte Vertrauensdiensteanbieter
• TLD-Namenregister und DNS-Diensteanbieter
• Anbieter öffentlicher elektronischer Kommunikationsnetze
• Einrichtungen, die alleiniger Anbieter eines kritischen Dienstes in einem Mitgliedstaat sind
• Einrichtungen, deren Ausfall erhebliche Auswirkungen auf die öffentliche Sicherheit hätte

Schritt 3: Wesentliche vs. wichtige Einrichtung – Was ist der Unterschied?

Die Einstufung ist entscheidend, da sie den Umfang der Pflichten und die Höhe möglicher Bußgelder bestimmt.

Wesentliche Einrichtungen (§3 Abs. 1 NIS2UmsuCG)

• Strengere Aufsicht durch das BSI (proaktiv)
• Regelmäßige Sicherheitsaudits und Nachweise
• Höhere Bußgeldrahmen bei Verstößen
• Umfangreichere Meldepflichten bei Sicherheitsvorfällen

Wichtige Einrichtungen (§3 Abs. 2 NIS2UmsuCG)

• Reaktive Aufsicht (das BSI greift bei konkreten Hinweisen auf Verstöße ein)
• Ebenfalls verpflichtet zu Risikomanagement und Meldungen
• Geringerer Bußgeldrahmen als bei wesentlichen Einrichtungen – aber immer noch signifikant

Interaktiver Selbsttest: Bin ich betroffen?

Beantworten Sie die folgenden Fragen, um eine erste Einschätzung zu erhalten:

Frage 1: Sektorzugehörigkeit
☐ Mein Unternehmen ist in einem Sektor aus Anlage 1 tätig → weiter zu Frage 3
☐ Mein Unternehmen ist in einem Sektor aus Anlage 2 tätig → weiter zu Frage 2
☐ Keiner der genannten Sektoren trifft zu → möglicherweise nicht direkt betroffen (aber Zuliefererpflichten prüfen!)

Frage 2: Größenschwelle (Anlage 2)
☐ Mein Unternehmen hat ≥ 50 Mitarbeitende UND ≥ 10 Mio. € Jahresumsatz → wichtige Einrichtung
☐ Beide Kriterien nicht erfüllt → wahrscheinlich nicht direkt betroffen

Frage 3: Größenschwelle (Anlage 1)
☐ Mein Unternehmen hat ≥ 250 Mitarbeitende UND ≥ 50 Mio. € Umsatz → wesentliche Einrichtung
☐ Mein Unternehmen hat ≥ 50 Mitarbeitende UND ≥ 10 Mio. € Umsatz (Anlage 1) → je nach Sektor: wesentliche Einrichtung
☐ Keines der Kriterien → mögliche Ausnahme prüfen

Frage 4: Ausnahmetatbestände
☐ Mein Unternehmen ist qualifizierter Vertrauensdiensteanbieter, DNS-Anbieter oder öffentlicher Netzbetreiber → direkt betroffen, unabhängig von der Größe

⚠️ Dieser Selbsttest ersetzt keine rechtliche Beratung. Bei Unsicherheiten empfehlen wir die Konsultation eines auf IT-Recht spezialisierten Rechtsanwalts oder eine offizielle Rückfrage beim BSI.

Was droht bei Nichterfüllung? Bußgelder nach §65 BSIG

Wer die eigene Betroffenheit ignoriert oder die Pflichten nach dem NIS2UmsuCG nicht erfüllt, riskiert empfindliche Sanktionen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist die zuständige Aufsichtsbehörde und kann nach §65 BSIG folgende Bußgelder verhängen:

Darüber hinaus können Geschäftsführer und Vorstände persönlich haftbar gemacht werden, wenn sie die Umsetzung von Cybersicherheitsmaßnahmen nachweislich vernachlässigt haben. Das NIS2UmsuCG schreibt explizit vor, dass die Leitungsorgane die Umsetzung der Sicherheitsmaßnahmen zu verantworten und zu überwachen haben – und entsprechende Schulungen absolvieren müssen.

Neben Bußgeldern drohen:
- Öffentliche Bekanntmachung von Verstößen (Naming & Shaming)
- Anordnungen des BSI zur Behebung von Mängeln mit Fristen
- Im Extremfall vorübergehende Untersagung der Leitungstätigkeit für verantwortliche Personen bei wesentlichen Einrichtungen

Konkrete Handlungsempfehlungen: 7 Schritte zur NIS2-Compliance

Wenn Sie nach der Prüfung zu dem Schluss kommen, dass Ihr Unternehmen betroffen ist, sollten Sie unverzüglich handeln:

1. Betroffenheit formal dokumentieren: Halten Sie die Sektorzugehörigkeit, Mitarbeiterzahl und Umsatzdaten schriftlich fest. Dies bildet die Grundlage für alle weiteren Schritte.

2. Selbstregistrierung beim BSI durchführen: Wesentliche und wichtige Einrichtungen sind verpflichtet, sich beim BSI zu registrieren. Nutzen Sie die offizielle BSI-Registrierungsplattform und halten Sie die Fristen ein.

3. Gap-Analyse durchführen: Vergleichen Sie Ihren aktuellen Sicherheitsstatus mit den Anforderungen des §30 NIS2UmsuCG (technische und organisatorische Maßnahmen). Identifizieren Sie Lücken systematisch.

4. ISMS aufbauen oder erweitern: Implementieren Sie ein Informationssicherheits-Managementsystem (ISMS) nach ISO/IEC 27001 oder orientieren Sie sich am BSI IT-Grundschutz. Ein ISMS bildet das Rückgrat Ihrer Compliance.

5. Meldeprozesse für Sicherheitsvorfälle etablieren: Das NIS2UmsuCG sieht mehrstufige Meldefristen vor: Frühwarnung innerhalb von 24 Stunden, detaillierter Bericht innerhalb von 72 Stunden, Abschlussbericht nach einem Monat.

6. Lieferkette prüfen: Analysieren Sie Ihre wesentlichen IT-Dienstleister und Zulieferer auf deren Sicherheitsniveau. §30 Abs. 2 Nr. 4 NIS2UmsuCG verpflichtet zu Sicherheitsmaßnahmen in der Lieferkette.

7. Geschäftsführung schulen und einbinden: Sorgen Sie dafür, dass Ihre Leitungsorgane die gesetzlichen Anforderungen kennen, aktiv an der Umsetzung beteiligt sind und regelmäßig geschult werden.

Fazit: Jetzt handeln, bevor es teuer wird

Die NIS2-Betroffenheitsprüfung ist der unverzichtbare erste Schritt auf dem Weg zur Compliance. Zu viele Unternehmen in Deutschland unterschätzen noch immer, wie weit das Netz der NIS2-Regulierung geworfen ist – insbesondere im verarbeitenden Gewerbe, im Gesundheitswesen und bei digitalen Dienstleistern.

Die wichtigsten nächsten Schritte zusammengefasst:

• ✅ Sektorzugehörigkeit anhand Anlage 1 und 2 des NIS2UmsuCG prüfen
• ✅ Mitarbeiterzahl und Jahresumsatz gegen die Schwellenwerte abgleichen
• ✅ Einrichtungstyp (wesentlich vs. wichtig) bestimmen
• ✅ BSI-Registrierung einleiten
• ✅ Gap-Analyse starten und Maßnahmenplan aufstellen
• ✅ Leitungsorgane informieren und in die Verantwortung nehmen

Das Bußgeldrisiko nach §65 BSIG ist real und die Aufsichtstätigkeit des BSI hat seit der Vollumsetzung des NIS2UmsuCG spürbar zugenommen. Wer jetzt noch zögert, riskiert nicht nur Sanktionen, sondern auch erhebliche Reputationsschäden.

💡 Tipp: NIS2-Compliance systematisch verwalten

Die Betroffenheitsprüfung ist erst der Anfang. Die eigentliche Herausforderung liegt in der lückenlosen Dokumentation, dem kontinuierlichen Risikomanagement und der fristgerechten Meldung von Sicherheitsvorfällen. Spezialisierte NIS2-Compliance-Softwarelösungen helfen dabei, alle Anforderungen des §30 NIS2UmsuCG strukturiert abzuarbeiten, ISMS-Dokumente rechtskonform zu erstellen und den Überblick über den Umsetzungsstand zu behalten. Viele Anbieter stellen inzwischen Vorlagen für Risikoanalysen, Incident-Response-Pläne und BSI-Meldungen bereit – ein erheblicher Zeitvorteil gegenüber einer rein manuellen Umsetzung. Informieren Sie sich über geeignete Werkzeuge und starten Sie Ihre Betroffenheitsprüfung noch heute.

Quellen und weiterführende Informationen: BSI (bsi.bund.de), NIS2UmsuCG (Bundesgesetzblatt), ENISA NIS2 Implementation Guide, EU-Richtlinie 2022/2555 (NIS2)