NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 17. September 2026 | Lesedauer: ca. 8 Minuten

Die NIS2-Richtlinie der Europäischen Union hat die Cybersicherheitslandschaft in Deutschland grundlegend verändert. Seit der Umsetzung durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) müssen tausende Unternehmen neue Pflichten erfüllen – von der Meldung von Sicherheitsvorfällen bis hin zur Implementierung umfassender Risikomanagementsysteme. Doch eine zentrale Frage beschäftigt nach wie vor viele Geschäftsführer und IT-Verantwortliche: Ist mein Unternehmen überhaupt betroffen?

Dieser Artikel führt Sie Schritt für Schritt durch die NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland 2025/2026, erklärt die maßgeblichen Kriterien gemäß §3 NIS2UmsuCG und zeigt, welche Konsequenzen eine Nichterfüllung haben kann.

Was regelt §3 NIS2UmsuCG – die Grundlage der Betroffenheitsprüfung

Der entscheidende Ausgangspunkt für jede NIS2-Betroffenheitsprüfung ist §3 des NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes (NIS2UmsuCG). Dieser Paragraph definiert den Anwendungsbereich des Gesetzes und legt fest, welche Einrichtungen als „wesentlich" oder „wichtig" eingestuft werden.

Grundsätzlich gilt: Ein Unternehmen fällt unter NIS2, wenn es kumulativ folgende Bedingungen erfüllt:

1. Es ist in einem der in Anlage 1 oder Anlage 2 des NIS2UmsuCG genannten Sektoren tätig.
2. Es überschreitet die festgelegten Größenschwellen (Mitarbeiterzahl und/oder Jahresumsatz).
3. Es erbringt seine Dienste oder führt seine Tätigkeiten innerhalb der Europäischen Union aus.

Zusätzlich gibt es Sonderregelungen für bestimmte Einrichtungen, die unabhängig von ihrer Größe unter die Richtlinie fallen – etwa Betreiber kritischer Infrastrukturen (KRITIS) oder Unternehmen mit besonderer gesellschaftlicher Bedeutung.

Die Sektoren: Anlage 1 und Anlage 2 im Überblick

Das NIS2UmsuCG unterscheidet zwischen hochkritischen Sektoren (Anlage 1) und sonstigen kritischen Sektoren (Anlage 2). Diese Einteilung bestimmt maßgeblich, ob ein Unternehmen als „wesentliche" oder „wichtige" Einrichtung eingestuft wird.

Anlage 1: Hochkritische Sektoren (Wesentliche Einrichtungen)

Anlage 2: Sonstige kritische Sektoren (Wichtige Einrichtungen)

Wichtig: Allein die Zugehörigkeit zu einem dieser Sektoren genügt nicht – die Größenschwellen müssen ebenfalls erfüllt sein.

Die Größenkriterien: 50 Mitarbeiter und 10 Millionen Euro Umsatz

Ein zentrales Element der NIS2-Betroffenheitsprüfung sind die EU-weiten Größenschwellen, die sich an der europäischen KMU-Definition orientieren:

Mittlere Unternehmen und größer (Grundregel)

Unternehmen fallen in der Regel unter NIS2, wenn sie mindestens eines der folgenden Kriterien erfüllen:

• ≥ 50 Mitarbeiter (Vollzeitäquivalente), ODER
• ≥ 10 Millionen Euro Jahresumsatz und ≥ 10 Millionen Euro Jahresbilanzsumme

Wesentliche vs. Wichtige Einrichtungen – was ist der Unterschied?

Die Unterscheidung zwischen „wesentlichen" und „wichtigen" Einrichtungen hat erhebliche praktische Konsequenzen:

Wesentliche Einrichtungen sind:
- Große Unternehmen (≥ 250 MA oder ≥ 50 Mio. € Umsatz und ≥ 43 Mio. € Bilanzsumme) aus Anlage-1-Sektoren
- Unabhängig von der Größe: bestimmte Einrichtungen wie KRITIS-Betreiber, qualifizierte Vertrauensdiensteanbieter, TLD-Registries

Wichtige Einrichtungen sind:
- Mittlere Unternehmen aus Anlage-1-Sektoren, die die Schwelle für „wesentlich" nicht erreichen
- Mittlere und große Unternehmen aus Anlage-2-Sektoren

Übersichtstabelle: Welche Einrichtungsklasse trifft auf mein Unternehmen zu?

Selbsttest: Fällt Mein Unternehmen unter NIS2?

Mit den folgenden sieben Fragen können Sie eine erste Einschätzung vornehmen. Bitte beachten Sie: Dieser Selbsttest ersetzt keine rechtliche Beratung.

Schritt 1: Sektorzugehörigkeit prüfen

Frage 1: Ist Ihr Unternehmen in einem der Sektoren aus Anlage 1 oder Anlage 2 tätig?

• ✅ Ja → Weiter zu Frage 2
• ❌ Nein → Ihr Unternehmen fällt wahrscheinlich nicht unter NIS2 (Ausnahmen prüfen!)

Frage 2: Ist Ihr Unternehmen primär als Zulieferer tätig (nicht direkter Dienstleistungserbringer)?

• ✅ Ja → Prüfen Sie, ob Sie als Teil einer Lieferkette mittelbar betroffen sind (Stichwort: §30 NIS2UmsuCG Lieferkettensicherheit)
• ❌ Nein → Weiter zu Frage 3

Schritt 2: Größenschwellen prüfen

Frage 3: Beschäftigt Ihr Unternehmen 50 oder mehr Mitarbeiter?

• ✅ Ja → Weiter zu Frage 5
• ❌ Nein → Weiter zu Frage 4

Frage 4: Liegt Ihr Jahresumsatz bei mindestens 10 Millionen Euro UND die Bilanzsumme bei mindestens 10 Millionen Euro?

• ✅ Ja → Weiter zu Frage 5
• ❌ Nein → Ihr Unternehmen fällt wahrscheinlich nicht unter NIS2 (Kleinunternehmen-Ausnahme, §3 Abs. 4 NIS2UmsuCG prüfen)

Schritt 3: Einrichtungsklasse bestimmen

Frage 5: Gehört Ihr Unternehmen einem Anlage-1-Sektor an?

• ✅ Ja → Weiter zu Frage 6
• ❌ Nein (Anlage 2) → Sie sind voraussichtlich eine wichtige Einrichtung

Frage 6: Hat Ihr Unternehmen 250 oder mehr Mitarbeiter oder überschreitet es 50 Millionen Euro Jahresumsatz?

• ✅ Ja → Sie sind voraussichtlich eine wesentliche Einrichtung
• ❌ Nein → Sie sind voraussichtlich eine wichtige Einrichtung

Frage 7: Sind Sie KRITIS-Betreiber, qualifizierter Vertrauensdiensteanbieter oder TLD-Registry?

• ✅ Ja → Sie sind unabhängig von der Größe eine wesentliche Einrichtung
• ❌ Nein → Ergebnis aus Frage 6 gilt

Konsequenzen bei Nichterfüllung: Bußgelder nach §65 BSIG

Wer glaubt, die NIS2-Pflichten ignorieren zu können, riskiert erhebliche Sanktionen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat weitreichende Befugnisse erhalten, die im Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG) verankert sind.

Bußgeldrahmen gemäß §65 BSIG

• Wesentliche Einrichtungen: Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist
• Wichtige Einrichtungen: Bußgelder bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes

Besonders gravierend: Bei wesentlichen Einrichtungen kann das BSI in schwerwiegenden Fällen sogar die vorübergehende Untersagung der Geschäftsführertätigkeit anordnen – eine in Deutschland bisher einzigartige Maßnahme im Cybersicherheitsrecht.

Weitere Konsequenzen

Neben Bußgeldern drohen bei Nichterfüllung:

• Anordnungen zur Nachbesserung durch das BSI mit konkreten Fristen
• Reputationsschäden durch öffentliche Bekanntmachung von Verstößen
• Zivilrechtliche Haftung gegenüber geschädigten Dritten
• Vertragliche Konsequenzen in der Lieferkette (Kunden fordern NIS2-Compliance nach)

Konkrete Handlungsempfehlungen für Unternehmen

Haben Sie festgestellt, dass Ihr Unternehmen unter NIS2 fällt? Dann empfehlen wir folgendes strukturiertes Vorgehen:

1. Registrierung beim BSI: Wesentliche und wichtige Einrichtungen müssen sich beim BSI registrieren. Nutzen Sie das offizielle Meldeportal des BSI und halten Sie Kontaktdaten, Sektorzuordnung und Einrichtungsklasse bereit.

2. Gap-Analyse durchführen: Vergleichen Sie Ihren aktuellen Cybersicherheitsstatus mit den Anforderungen aus §30 NIS2UmsuCG (Risikomanagementmaßnahmen). Bewerten Sie Lücken in den Bereichen Incident Response, Zugangskontrolle, Verschlüsselung und Lieferkettensicherheit.

3. Informationssicherheits-Managementsystem (ISMS) etablieren: Implementieren oder erweitern Sie ein ISMS gemäß ISO/IEC 27001 oder BSI IT-Grundschutz. Ein dokumentiertes ISMS ist die Basis für alle weiteren NIS2-Maßnahmen.

4. Meldewege für Sicherheitsvorfälle einrichten: Gemäß §32 NIS2UmsuCG müssen erhebliche Sicherheitsvorfälle innerhalb von 24 Stunden (Frühwarnung) und 72 Stunden (Erstmeldung) an das BSI gemeldet werden. Etablieren Sie klare interne Prozesse.

5. Lieferkette prüfen: Überprüfen Sie Ihre kritischen Dienstleister und Lieferanten auf deren Cybersicherheitsmaßnahmen. Integrieren Sie NIS2-Anforderungen in Verträge und Ausschreibungen.

6. Geschäftsführung sensibilisieren und schulen: Gemäß §38 NIS2UmsuCG tragen Leitungsorgane die persönliche Verantwortung für die Umsetzung der Cybersicherheitsmaßnahmen. Regelmäßige Schulungen sind Pflicht.

7. Dokumentation sicherstellen: Alle Maßnahmen, Risikoanalysen und Vorfälle müssen nachvollziehbar dokumentiert werden. Im BSI-Audit müssen Sie die Umsetzung belegen können.

8. Regelmäßige Audits und Überprüfungen planen: NIS2-Compliance ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. Planen Sie regelmäßige interne Audits und externe Überprüfungen ein.

Sonderfall: Kleinunternehmen und Ausnahmen

Nicht jedes Unternehmen in einem NIS2-Sektor ist automatisch betroffen. Das NIS2UmsuCG enthält in §3 Abs. 4 explizite Ausnahmen für Kleinstunternehmen (unter 10 Mitarbeiter, unter 2 Millionen Euro Umsatz) und kleine Unternehmen (unter 50 Mitarbeiter, unter 10 Millionen Euro Umsatz).

Ausnahmen gelten NICHT für:
- Unternehmen, die als einziger Anbieter eines wesentlichen Dienstes in einem Mitgliedstaat gelten
- Unternehmen, bei denen eine Störung erhebliche systemische Auswirkungen hätte
- Bestimmte Einrichtungen der öffentlichen Verwaltung

Wenn Sie ein kleines Unternehmen sind, das in einer Lieferkette tätig ist, sollten Sie dennoch prüfen, ob Ihre Auftraggeber NIS2-Compliance von Ihnen als Zulieferer vertraglich fordern.

Fazit und nächste Schritte

Die NIS2-Betroffenheitsprüfung ist keine einmalige Aufgabe – sie sollte regelmäßig wiederholt werden, insbesondere wenn sich Unternehmensgröße, Geschäftsmodell oder Sektorzugehörigkeit ändern. Die wichtigsten Erkenntnisse zusammengefasst:

• Zwei Kriterien entscheiden: Sektorzugehörigkeit (Anlage 1 oder 2) und Größenschwellen (≥ 50 MA oder ≥ 10 Mio. € Umsatz)
• Die Einrichtungsklasse bestimmt den Aufwand: Wesentliche Einrichtungen unterliegen strengerer Aufsicht und höheren Bußgeldern
• Ignorieren ist keine Option: Bußgelder bis 10 Millionen Euro und persönliche Haftung der Geschäftsführung machen Compliance zur Chefsache
• Die Lieferkette ist mitbetroffen: Auch Zulieferer sollten ihre NIS2-Relevanz kennen

Ihre nächsten Schritte:
1. Führen Sie noch heute den Selbsttest durch
2. Registrieren Sie sich beim BSI, falls Sie betroffen sind
3. Starten Sie eine dokumentierte Gap-Analyse
4. Holen Sie rechtliche und technische Beratung ein

Tools und Software für Ihre NIS2-Compliance

Die NIS2-Betroffenheitsprüfung ist nur der erste Schritt. Für die eigentliche Umsetzung – von der ISMS-Dokumentation über die Risikoanalyse bis hin zur Verwaltung von Sicherheitsvorfällen – empfehlen sich spezialisierte NIS2-Compliance-Softwarelösungen. Moderne GRC-Plattformen (Governance, Risk & Compliance) helfen Ihnen dabei, alle Anforderungen aus §30 bis §38 NIS2UmsuCG systematisch zu erfüllen, Nachweise zu dokumentieren und Audits vorzubereiten. Viele Anbieter bieten inzwischen speziell auf NIS2 und den BSI IT-Grundschutz zugeschnittene Templates und Workflows an – ein erheblicher Zeitvorteil gegenüber rein manuellen Ansätzen. Prüfen Sie, welche Lösung zu Ihrem Unternehmen passt, und nutzen Sie kostenlose Testphasen, um den Aufwand realistisch einzuschätzen.

Dieser Artikel wurde nach bestem Wissen und auf Basis der zum Zeitpunkt der Veröffentlichung geltenden Rechtslage erstellt. Er stellt keine Rechtsberatung dar. Für eine verbindliche Einschätzung Ihrer Betroffenheit wenden Sie sich bitte an einen spezialisierten Rechtsanwalt oder IT-Sicherheitsberater.