NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Stand: 16. September 2026 | Lesezeit: ca. 8 Minuten

Die Uhr tickt – und für viele Unternehmen in Deutschland läuft die Zeit, um NIS2-Compliance herzustellen, bereits ab. Seit dem Inkrafttreten des NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes (NIS2UmsuCG) und den daraus resultierenden Änderungen am Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG) sind tausende Unternehmen hierzulande erstmals reguliert. Doch viele Geschäftsführer und IT-Verantwortliche fragen sich immer noch: Bin ich überhaupt betroffen?

In diesem Artikel führen wir Sie Schritt für Schritt durch die NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland – inklusive konkretem Selbsttest, Erklärung der Größenkriterien, Sektoren und der Konsequenzen bei Nichterfüllung.

Was ist NIS2 und warum ist die Betroffenheitsprüfung entscheidend?

NIS2 steht für die zweite EU-Richtlinie zur Netzwerk- und Informationssicherheit (Richtlinie (EU) 2022/2555). In Deutschland wurde sie durch das NIS2UmsuCG in nationales Recht umgesetzt, das maßgebliche Änderungen am BSIG bewirkte. Die Richtlinie erweiterte den Kreis der betroffenen Einrichtungen gegenüber der Vorgängerregelung erheblich: Schätzungen des BSI zufolge fallen in Deutschland nun über 30.000 Unternehmen unter die Regulierung – viermal mehr als bisher.

Die NIS2-Betroffenheitsprüfung ist der erste und wichtigste Schritt, den jedes Unternehmen gehen muss. Denn wer die Prüfung versäumt und fälschlicherweise davon ausgeht, nicht reguliert zu sein, riskiert empfindliche Bußgelder nach §65 BSIG – ohne vorherige Eingewöhnungsphase.

Die zwei entscheidenden Kriterien: Sektor und Größe

Die Betroffenheitsprüfung nach §3 NIS2UmsuCG basiert auf zwei kumulativen Hauptkriterien: dem Tätigkeitssektor des Unternehmens und seiner Unternehmensgröße. Beide Bedingungen müssen grundsätzlich erfüllt sein – mit wichtigen Ausnahmen für besonders kritische Anbieter.

Kriterium 1: Gehört Ihr Unternehmen zu einem regulierten Sektor?

Das NIS2UmsuCG unterscheidet zwischen Anlage 1 (hochkritische Sektoren) und Anlage 2 (sonstige kritische Sektoren). Diese entsprechen den Anhängen I und II der EU-Richtlinie.

Anlage 1 – Hochkritische Sektoren:
- Energie (Strom, Gas, Öl, Wasserstoff, Fernwärme)
- Verkehr (Luft-, Schienen-, Wasser-, Straßenverkehr)
- Bankwesen und Finanzmarktinfrastrukturen
- Gesundheitswesen (Krankenhäuser, Labore, Pharmahersteller)
- Trinkwasser und Abwasser
- Digitale Infrastruktur (Cloud, Rechenzentren, DNS, TLD-Register, Internet-Austauschknoten)
- Verwaltung von IKT-Diensten (B2B-Managed-Service-Provider)
- Öffentliche Verwaltung (Bundes- und Landesebene)
- Weltraum

Anlage 2 – Sonstige kritische Sektoren:
- Post- und Kurierdienste
- Abfallbewirtschaftung
- Chemikalien (Herstellung, Erzeugung, Handel)
- Lebensmittelproduktion und -vertrieb
- Verarbeitendes Gewerbe / Maschinenbau (u.a. Medizinprodukte, Fahrzeuge, Elektronik)
- Digitale Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke)
- Forschungseinrichtungen

Praxishinweis: Auch wenn Ihr Kerngeschäft nicht in diesen Sektoren liegt, können Sie als Zulieferer oder Dienstleister für eine betroffene Einrichtung indirekt betroffen sein – etwa über vertragliche Anforderungen Ihrer Auftraggeber.

Kriterium 2: Erfüllt Ihr Unternehmen die Größenschwellen?

Wer einem der genannten Sektoren angehört, prüft im zweiten Schritt die Größenkriterien. Grundsätzlich gilt:

Unternehmen, die unter 50 Mitarbeiter beschäftigen und einen Jahresumsatz von unter 10 Millionen Euro erzielen, fallen in der Regel nicht unter NIS2 – es sei denn, es greift eine der Ausnahmeregelungen (siehe unten).

Wichtige Ausnahmen: Größe spielt keine Rolle

Bestimmte Einrichtungen sind unabhängig von ihrer Größe als wesentliche Einrichtungen eingestuft. Das betrifft laut NIS2UmsuCG unter anderem:

• Anbieter öffentlicher elektronischer Kommunikationsnetze
• Trust-Service-Anbieter (qualifizierte und nicht-qualifizierte)
• TLD-Namenregister und DNS-Diensteanbieter
• Betreiber Kritischer Infrastrukturen (KRITIS) im Sinne des §28 BSIG
• Einrichtungen, die als einziger Anbieter eines Dienstleistung in einem EU-Mitgliedstaat tätig sind

Wesentliche vs. Wichtige Einrichtungen: Was ist der Unterschied?

NIS2 unterscheidet zwischen zwei Kategorien, die unterschiedliche Anforderungen und Aufsichtsintensitäten mit sich bringen:

Wesentliche Einrichtungen (Essential Entities)

• Großunternehmen aus Anlage 1-Sektoren
• Bestimmte mittlere Unternehmen aus Anlage 1 (z. B. qualifizierte Vertrauensdiensteanbieter, TLD-Register)
• KRITIS-Betreiber
• Aufsicht: proaktiv (ex-ante), d. h. die Behörde kann auch ohne konkreten Anlass prüfen

Wichtige Einrichtungen (Important Entities)

• Mittlere Unternehmen aus Anlage 1-Sektoren
• Mittlere und große Unternehmen aus Anlage 2-Sektoren
• Aufsicht: reaktiv (ex-post), d. h. die Behörde wird in der Regel anlassbezogen tätig

Beide Kategorien müssen dieselben Sicherheitspflichten erfüllen – der Unterschied liegt im Aufsichtsmechanismus und in der Höhe der möglichen Bußgelder.

Selbsttest: Ist Ihr Unternehmen NIS2-pflichtig?

Beantworten Sie die folgenden Fragen der Reihe nach. Je klarer Ihre Antworten, desto eindeutiger das Ergebnis:

Schritt 1 – Sektor:
☐ Ist mein Unternehmen in einem der Sektoren aus Anlage 1 oder Anlage 2 tätig?
→ Nein: Sie sind voraussichtlich nicht betroffen (prüfen Sie trotzdem vertragliche Pflichten).
→ Ja: Weiter zu Schritt 2.

Schritt 2 – Größe:
☐ Beschäftigt mein Unternehmen 50 oder mehr Mitarbeiter?
☐ Erzielt mein Unternehmen einen Jahresumsatz oder eine Bilanzsumme von mindestens 10 Mio. Euro?
→ Beides Nein: Sie sind voraussichtlich nicht betroffen (Ausnahmen beachten).
→ Mindestens eines Ja: Weiter zu Schritt 3.

Schritt 3 – Ausnahmen und Kategorie:
☐ Sind Sie ein qualifizierter Vertrauensdiensteanbieter, DNS-Dienst, TLD-Register oder KRITIS-Betreiber?
→ Ja: Sie sind unabhängig von der Größe als wesentliche Einrichtung eingestuft.
☐ Beschäftigen Sie ≥ 250 Mitarbeiter oder erzielen Sie ≥ 50 Mio. Euro Umsatz in einem Anlage-1-Sektor?
→ Ja: Wesentliche Einrichtung
☐ Beschäftigen Sie 50–249 Mitarbeiter und sind in einem Anlage-1- oder Anlage-2-Sektor tätig?
→ Ja: Wichtige Einrichtung

Empfehlung: Das BSI hat auf seiner Website ein offizielles Online-Tool zur Betroffenheitsprüfung bereitgestellt. Nutzen Sie dieses als ergänzende Ressource – aber ersetzen Sie es nicht durch eine rechtliche Einschätzung Ihres Compliance- oder Rechtsberaters.

Konsequenzen bei Nichterfüllung: Bußgelder nach §65 BSIG

Wer die NIS2-Pflichten ignoriert, riskiert erhebliche Sanktionen. §65 BSIG sieht folgende Bußgeldrahmen vor:

Neben Bußgeldern drohen:
- Persönliche Haftung der Geschäftsführung (§38 BSIG): Leitungsorgane können bei schuldhafter Pflichtverletzung persönlich in Haftung genommen werden
- Temporäre Betriebsuntersagungen für kritische Dienstleistungen
- Reputationsschäden durch BSI-Veröffentlichungen von Aufsichtsmaßnahmen
- Verlust von Aufträgen, da Kunden und Partner NIS2-Compliance zunehmend zur Vergabebedingung machen

Was müssen betroffene Unternehmen konkret tun?

Wer die Betroffenheitsprüfung positiv abschließt, muss handeln. Die NIS2-Anforderungen lassen sich in fünf Kernbereiche gliedern:

10 konkrete Handlungsempfehlungen für betroffene Unternehmen

1. Registrierung beim BSI: Betroffene Einrichtungen sind verpflichtet, sich im BSI-Meldeportal zu registrieren (§33 BSIG). Fristen unbedingt einhalten.
2. Gap-Analyse durchführen: Erfassen Sie den Ist-Zustand Ihrer Cybersicherheitsmaßnahmen und vergleichen Sie ihn mit den Anforderungen des §30 BSIG (Risikomanagementmaßnahmen).
3. ISMS einführen oder aufrüsten: Implementieren Sie ein Informationssicherheits-Managementsystem, idealerweise nach ISO/IEC 27001, als strukturelle Grundlage.
4. Risikoanalyse dokumentieren: Führen Sie eine systematische Risikoanalyse durch und dokumentieren Sie alle Maßnahmen zur Risikominderung nachvollziehbar.
5. Incident-Response-Prozesse etablieren: Richten Sie klare Meldeprozesse ein – Sicherheitsvorfälle müssen dem BSI innerhalb von 24 Stunden (Erstmeldung) und 72 Stunden (Folgemeldung) gemeldet werden (§32 BSIG).
6. Lieferkettensicherheit prüfen: Analysieren Sie die Cybersicherheitsrisiken Ihrer Lieferanten und Dienstleister – NIS2 macht Ihre Einrichtung auch für Schwachstellen in der Supply Chain verantwortlich.
7. Schulungen für Mitarbeiter und Führungskräfte: Die Leitungsorgane müssen NIS2-Schulungen absolvieren und die Umsetzung der Maßnahmen aktiv überwachen (§38 BSIG).
8. Business Continuity Management: Entwickeln Sie Notfallpläne und Backup-Konzepte für den Krisenfall – inklusive regelmäßiger Übungen.
9. Technische Mindestmaßnahmen umsetzen: Dazu gehören u. a. Multi-Faktor-Authentifizierung, Verschlüsselung, Schwachstellenmanagement und Netzwerksegmentierung.
10. Regelmäßige Audits einplanen: Überprüfen Sie Ihre Maßnahmen mindestens jährlich und passen Sie sie an neue Bedrohungslagen an.

Häufige Irrtümer bei der NIS2-Betroffenheitsprüfung

Irrtum 1: "Wir sind zu klein."
Auch Unternehmen mit 50–249 Mitarbeitern können betroffen sein – die Schwelle liegt deutlich niedriger als bei KRITIS.

Irrtum 2: "Wir sind kein Tech-Unternehmen."
NIS2 trifft Hersteller, Logistiker, Lebensmittelproduzenten und viele andere klassische Industrien.

Irrtum 3: "Unsere IT-Sicherheit ist schon gut."
NIS2 verlangt nachweisliche, dokumentierte und auditierbare Maßnahmen – gutes Bauchgefühl reicht nicht.

Irrtum 4: "Als Zulieferer bin ich nicht direkt betroffen."
Stimmt formal – aber Ihre Auftraggeber werden NIS2-Compliance zunehmend vertraglich von Ihnen fordern.

Fazit: Jetzt handeln – nicht abwarten

Die NIS2-Betroffenheitsprüfung ist kein bürokratischer Selbstzweck, sondern der unverzichtbare erste Schritt zur Cybersicherheits-Compliance. Die Konsequenzen bei Nichterfüllung sind real und empfindlich: Von Millionen-Bußgeldern über persönliche Haftung der Geschäftsführung bis hin zu Betriebsuntersagungen.

Ihre nächsten Schritte auf einen Blick:
1. ✅ Betroffenheitsprüfung anhand von Sektor und Größe durchführen
2. ✅ Einrichtungskategorie feststellen (wesentlich oder wichtig)
3. ✅ Beim BSI registrieren (§33 BSIG)
4. ✅ Gap-Analyse starten und Maßnahmenprogramm aufsetzen
5. ✅ Leitungsorgane einbinden und schulen

Warten Sie nicht auf eine behördliche Anfrage – handeln Sie proaktiv.

Nächster Schritt: Compliance strukturiert angehen

Die NIS2-Betroffenheitsprüfung ist erst der Anfang. Wer festgestellt hat, dass er reguliert ist, steht vor der Aufgabe, ein vollständiges Sicherheits-Management aufzubauen und laufend zu dokumentieren. Spezialisierte NIS2-Compliance-Software kann dabei erheblich helfen: Sie führt strukturiert durch die gesetzlichen Anforderungen, generiert ISMS-konforme Dokumentenvorlagen, unterstützt bei der Risikoanalyse und hilft, Meldepflichten im Blick zu behalten.

Prüfen Sie, welche Tools das BSI empfiehlt, und vergleichen Sie Lösungen, die speziell auf die Anforderungen des deutschen NIS2UmsuCG und des BSIG zugeschnitten sind. Eine gute Compliance-Plattform spart nicht nur Zeit – sie kann im Ernstfall auch entscheidende Nachweise liefern, dass Ihr Unternehmen seiner Sorgfaltspflicht nachgekommen ist.

Quellen: BSI (Bundesamt für Sicherheit in der Informationstechnik), NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG), Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates, ENISA Threat Landscape 2025.