NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 15. September 2026 | Lesedauer: ca. 10 Minuten

Die NIS2-Richtlinie der Europäischen Union hat die Cybersicherheitslandschaft in Deutschland grundlegend verändert. Mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) und der Novellierung des Bundesamt für Sicherheit in der Informationstechnik-Gesetzes (BSIG) sind tausende deutsche Unternehmen erstmals in den Geltungsbereich verbindlicher Cybersicherheitspflichten gerückt. Doch noch immer stellen sich viele Geschäftsführer und IT-Verantwortliche die entscheidende Frage: Bin ich überhaupt betroffen?

Die Antwort ist komplexer als ein einfaches Ja oder Nein. Dieser Artikel führt Sie systematisch durch die NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland 2025 und 2026 – mit Sektorenübersicht, Größenkriterien, einem praxisnahen Selbsttest und klaren Hinweisen zu den Konsequenzen bei Nichterfüllung.

Warum die Betroffenheitsprüfung 2025/2026 so entscheidend ist

Viele Unternehmen haben in den vergangenen Monaten die NIS2-Thematik auf die lange Bank geschoben – in der Erwartung, die Umsetzungsfrist werde sich weiter verzögern. Doch das NIS2UmsuCG ist in Kraft getreten, und die Aufsichtsbehörden – allen voran das Bundesamt für Sicherheit in der Informationstechnik (BSI) – intensivieren ihre Prüfaktivitäten spürbar.

Wer die Betroffenheitsprüfung versäumt, riskiert nicht nur empfindliche Bußgelder nach § 65 BSIG, sondern auch erhebliche Reputationsschäden, Haftungsrisiken für die Geschäftsleitung und operative Störungen im Krisenfall. Der erste Schritt zu regelkonformem Handeln ist daher die präzise Klärung: Fällt mein Unternehmen unter NIS2?

Die rechtliche Grundlage: §3 NIS2UmsuCG

Die zentrale Norm für die Betroffenheit ist § 3 NIS2UmsuCG, der in Verbindung mit den Anlagen 1 und 2 des Gesetzes bestimmt, welche Einrichtungen als wesentlich oder wichtig einzustufen sind. Das Gesetz unterscheidet dabei systematisch nach:

1. Sektorzugehörigkeit (Anlage 1 oder Anlage 2 NIS2UmsuCG)
2. Unternehmensgröße (Mitarbeiterzahl und Umsatz/Bilanzsumme)
3. Kritikalität (unabhängig von der Größe in bestimmten Fällen)

Entscheidend ist, dass die Einordnung nicht selbst beantragt wird – Unternehmen sind verpflichtet, ihre Betroffenheit eigenständig zu prüfen und sich beim BSI zu registrieren, sofern sie in den Geltungsbereich fallen.

Schritt 1: Sektorzugehörigkeit prüfen – Anlage 1 und Anlage 2

Anlage 1 – Sektoren mit hoher Kritikalität (wesentliche Einrichtungen)

Anlage 1 des NIS2UmsuCG umfasst Sektoren, die als besonders kritisch für das Funktionieren von Staat und Gesellschaft gelten:

Anlage 2 – Weitere kritische Sektoren (wichtige Einrichtungen)

Anlage 2 erfasst Sektoren mit erhöhter gesellschaftlicher Bedeutung, aber etwas geringerer Kritikalitätsstufe:

Praxis-Hinweis: Wenn Ihr Unternehmen in mehreren Sektoren tätig ist oder als Zulieferer für kritische Infrastrukturen fungiert, prüfen Sie beide Anlagen sorgfältig. Die Sektorenabgrenzung orientiert sich am tatsächlichen Geschäftsbetrieb, nicht an eingetragenen Wirtschaftszweigen (NACE-Codes).

Schritt 2: Größenkriterien prüfen

Die bloße Zugehörigkeit zu einem der genannten Sektoren macht ein Unternehmen noch nicht automatisch betroffen. Entscheidend ist auch die Unternehmensgröße, gemessen nach EU-Standard:

Schwellenwerte im Überblick

Faustregel: Unternehmen ab 50 Mitarbeitern und einem Jahresumsatz oder einer Bilanzsumme von mindestens 10 Millionen Euro, die in einem der Sektoren aus Anlage 1 oder 2 tätig sind, fallen grundsätzlich unter NIS2.

Wichtige Ausnahmen und Sonderregelungen

• Kleinstunternehmen und kleine Unternehmen (unter 50 MA, unter 10 Mio. €) sind grundsätzlich ausgenommen – es sei denn, sie werden vom BSI aufgrund besonderer Kritikalität individuell bestimmt (§ 3 Abs. 2 NIS2UmsuCG).
• Vertrauensdienste und bestimmte Telekommunikationsanbieter können unabhängig von Größenkriterien betroffen sein.
• Ausschließliche Bundesbehörden und Ländereinrichtungen unterliegen gesonderten Regelungen.
• Unternehmensverbünde müssen prüfen, ob Tochtergesellschaften eigenständig die Schwellenwerte überschreiten.

Schritt 3: Wesentliche vs. wichtige Einrichtungen – Was ist der Unterschied?

NIS2 unterscheidet zwischen zwei Kategorien betroffener Unternehmen, die unterschiedlich strenge Anforderungen und Aufsichtsregime mit sich bringen:

Wesentliche Einrichtungen (Essential Entities)

• Tätig in Sektoren der Anlage 1
• Großunternehmen (≥ 250 MA oder ≥ 50 Mio. € Umsatz)
• Unterliegen der proaktiven Aufsicht durch das BSI
• Höhere Bußgeldrahmen bei Verstößen
• Strengere Anforderungen an Sicherheitsmaßnahmen, Incident Reporting und Risikomanagement

Wichtige Einrichtungen (Important Entities)

• Tätig in Sektoren der Anlage 1 oder 2
• Mittlere Unternehmen (≥ 50 MA, ≥ 10 Mio. €) oder Großunternehmen in Anlage-2-Sektoren
• Unterliegen der reaktiven Aufsicht – d.h., Prüfungen erfolgen primär anlassbezogen
• Niedrigere, aber dennoch erhebliche Bußgeldrahmen

Interaktiver Selbsttest: Bin ich von NIS2 betroffen?

Beantworten Sie die folgenden Fragen der Reihe nach. Je früher Sie mit „Ja" antworten können, desto relevanter ist NIS2 für Ihr Unternehmen:

Frage 1: Ist Ihr Unternehmen in einem der Sektoren aus Anlage 1 oder Anlage 2 des NIS2UmsuCG tätig?
→ Nein: Sie sind voraussichtlich nicht betroffen. Überprüfen Sie trotzdem halbjährlich, da neue Sektoren hinzukommen können.
→ Ja: Weiter zu Frage 2.

Frage 2: Beschäftigt Ihr Unternehmen 50 oder mehr Mitarbeiter (Vollzeitäquivalent)?
→ Nein: Prüfen Sie Frage 2b.
→ Ja: Weiter zu Frage 3.

Frage 2b: Wurde Ihr Unternehmen vom BSI individuell als kritisch eingestuft oder sind Sie Vertrauensdiensteanbieter?
→ Nein: Voraussichtlich nicht betroffen.
→ Ja: Sie fallen unter NIS2 – weiter zu Frage 4.

Frage 3: Liegt Ihr Jahresumsatz oder Ihre Bilanzsumme bei mindestens 10 Millionen Euro?
→ Nein: Voraussichtlich nicht betroffen (außer individuelle BSI-Bestimmung).
→ Ja: Weiter zu Frage 4.

Frage 4: In welchem Sektor und mit welcher Mitarbeiterzahl/Umsatz sind Sie tätig?

Konsequenzen bei Nichterfüllung: §65 BSIG – Die Bußgeldregelungen

Wer die NIS2-Pflichten ignoriert, muss mit erheblichen Konsequenzen rechnen. § 65 BSIG sieht folgende Bußgeldrahmen vor:

• Wesentliche Einrichtungen: Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (der höhere Wert gilt)
• Wichtige Einrichtungen: Bußgelder bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes

Besonders gravierend: § 38 BSIG sieht die persönliche Haftung der Geschäftsleitung vor. Geschäftsführer und Vorstände können bei Pflichtverletzungen – etwa wenn Cybersicherheitsmaßnahmen nicht genehmigt oder überwacht wurden – persönlich zur Rechenschaft gezogen werden. Diese Haftung ist nicht durch Unternehmensversicherungen abdeckbar und stellt ein erhebliches persönliches Risiko dar.

Neben Bußgeldern drohen:
- Öffentliche Bekanntmachung von Verstößen (Name-and-Shame-Praxis)
- Anordnung von Sofortmaßnahmen durch das BSI
- Vorübergehende Untersagung von Managementfunktionen bei wiederholten Verstößen

Was sind die konkreten Pflichten für betroffene Unternehmen?

Sobald die Betroffenheit festgestellt ist, greifen umfangreiche Anforderungen nach §§ 30–38 BSIG:

Risikomanagement (§ 30 BSIG)

Betroffene Einrichtungen müssen ein dokumentiertes Risikomanagementsystem für Cybersicherheit implementieren, das mindestens umfasst:
- Risikoanalyse und Sicherheitskonzepte
- Incident Response und Business Continuity Management
- Sicherheit der Lieferkette
- Kryptographie und Zugangskontrolle
- Schulungen und Sensibilisierung

Meldepflichten (§ 32 BSIG)

Erhebliche Sicherheitsvorfälle müssen innerhalb definierter Fristen gemeldet werden:
- 24 Stunden: Erstmeldung (Frühwarnung)
- 72 Stunden: Ausführliche Meldung mit Erstbewertung
- 1 Monat: Abschlussbericht

Registrierungspflicht (§ 33 BSIG)

Betroffene Einrichtungen müssen sich aktiv beim BSI registrieren – dies ist keine einmalige Pflicht, sondern muss bei wesentlichen Änderungen aktualisiert werden.

7 konkrete Handlungsempfehlungen für Ihr Unternehmen

1. Betroffenheitsprüfung dokumentieren: Führen Sie die Prüfung nach §3 NIS2UmsuCG schriftlich durch und bewahren Sie die Begründung Ihrer Einordnung revisionssicher auf.

2. Registrierung beim BSI nicht aufschieben: Wenn Sie unter NIS2 fallen, registrieren Sie sich unverzüglich über das BSI-Portal. Verspätete Registrierung ist bereits eine Pflichtverletzung.

3. Gap-Analyse durchführen: Vergleichen Sie Ihre bestehenden Sicherheitsmaßnahmen mit den Anforderungen aus §30 BSIG. Nutzen Sie den BSI IT-Grundschutz als Referenzrahmen.

4. Lieferkette prüfen: Auch wenn Sie selbst nicht betroffen sind – Ihre Kunden könnten Sie im Rahmen ihrer Lieferkettenanforderungen (§30 Abs. 2 Nr. 4 BSIG) zu NIS2-konformer Sicherheit verpflichten.

5. Geschäftsleitung einbinden: Die Haftungsregelung nach §38 BSIG erfordert die aktive Beteiligung der Unternehmensführung. Schulen Sie Geschäftsführer und Vorstände zu ihren Pflichten.

6. Meldeprozesse etablieren: Richten Sie schon heute klare Zuständigkeiten und Eskalationspfade für Sicherheitsvorfälle ein, bevor ein Incident eintreten.

7. Jährliche Überprüfung einplanen: NIS2-Betroffenheit ist kein statischer Zustand. Unternehmenswachstum, neue Geschäftsfelder oder Akquisitionen können die Einordnung verändern.

Fazit: Jetzt handeln statt abwarten

Die NIS2-Betroffenheitsprüfung ist kein bürokratischer Selbstzweck – sie ist der Startschuss für ein systematisches Cybersicherheitsprogramm, das Ihr Unternehmen widerstandsfähiger macht und gleichzeitig rechtliche Risiken minimiert. Die Kombination aus hohen Bußgeldern nach §65 BSIG und persönlicher Geschäftsleiterhaftung nach §38 BSIG macht es unverantwortlich, die Prüfung weiter hinauszuzögern.

Ihre nächsten Schritte im Überblick:
- ✅ Sektorzugehörigkeit anhand Anlage 1 & 2 NIS2UmsuCG prüfen
- ✅ Mitarbeiterzahl und Umsatz/Bilanzsumme gegen Schwellenwerte abgleichen
- ✅ Einordnung als wesentliche oder wichtige Einrichtung dokumentieren
- ✅ Registrierung beim BSI vornehmen
- ✅ Gap-Analyse starten und Maßnahmenplan erstellen

Tools und nächste Schritte: NIS2-Compliance strukturiert angehen

Die Betroffenheitsprüfung ist wichtig – aber erst der Anfang. Für viele IT-Verantwortliche und Geschäftsführer stellt sich unmittelbar danach die Frage: Wie dokumentiere ich Maßnahmen, Risikobewertungen und Meldeprozesse effizient und revisionssicher?

Spezialisierte NIS2-Compliance-Software und ISMS-Plattformen können hier erheblich helfen: Sie führen strukturiert durch die Anforderungen des §30 BSIG, unterstützen bei der Erstellung und Pflege von Sicherheitsrichtlinien, und ermöglichen eine lückenlose Nachweisführung gegenüber dem BSI. Viele Lösungen beinhalten auch integrierte Selbstbewertungstools, die die Betroffenheitsprüfung nach §3 NIS2UmsuCG automatisiert unterstützen. Informieren Sie sich über geeignete Werkzeuge – die Investition ist angesichts möglicher Bußgelder im siebenstelligen Bereich mehr als gerechtfertigt.

Dieser Artikel dient der allgemeinen Information und ersetzt keine Rechtsberatung. Für eine individuelle Einordnung Ihres Unternehmens empfehlen wir die Konsultation eines auf IT-Recht spezialisierten Anwalts oder einen zertifizierten NIS2-Berater.

Quellen: NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), BSIG n.F., BSI-Publikationen zur NIS2-Umsetzung, ENISA NIS2 Implementation Guidance 2024/2025