NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 19. September 2026 | Lesezeit: ca. 10 Minuten

Die NIS2-Richtlinie ist längst kein Zukunftsthema mehr – sie ist Gegenwart. Seit der Umsetzung durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) gilt in Deutschland ein deutlich erweiterter Rahmen für Cybersicherheitspflichten. Und doch fragen sich viele Geschäftsführer und IT-Verantwortliche im Jahr 2026 noch immer: Betrifft NIS2 mein Unternehmen überhaupt?

Die Antwort auf diese Frage ist entscheidend – denn wer irrtümlich annimmt, nicht betroffen zu sein, riskiert empfindliche Bußgelder und Reputationsschäden. Dieser Artikel führt Sie Schritt für Schritt durch die NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland und zeigt, welche Konsequenzen eine Nichterfüllung hat.

Was regelt §3 NIS2UmsuCG – und warum ist er der Ausgangspunkt?

Der §3 NIS2UmsuCG (NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz) definiert den Anwendungsbereich des deutschen NIS2-Rechts. Er unterscheidet zwischen verschiedenen Kategorien von Einrichtungen und legt fest, welche Organisationen unter die Pflichten des Gesetzes fallen. Maßgeblich sind dabei zwei Kriterien:

1. Der Sektor, in dem das Unternehmen tätig ist (Anlage 1 oder Anlage 2 des NIS2UmsuCG)
2. Die Unternehmensgröße, gemessen an Mitarbeiterzahl und Jahresumsatz bzw. Jahresbilanzsumme

Erst wenn beide Kriterien erfüllt sind, greift die Regulierung. Ausnahmen bestehen für bestimmte Einrichtungen, die unabhängig von der Größe als kritisch eingestuft werden.

Schritt 1: Prüfen Sie Ihren Sektor – Anlage 1 und Anlage 2 im Überblick

Das NIS2UmsuCG unterscheidet zwischen hochkritischen Sektoren (Anlage 1) und weiteren kritischen Sektoren (Anlage 2). Diese Einstufung ist der erste Schritt Ihrer Betroffenheitsprüfung.

Anlage 1 – Hochkritische Sektoren (Wesentliche Einrichtungen)

Anlage 2 – Weitere kritische Sektoren (Wichtige Einrichtungen)

Praxistipp: Wenn Sie unsicher sind, ob Ihr Unternehmen einem der genannten Sektoren zuzuordnen ist, hilft ein Blick in den vollständigen Gesetzestext des NIS2UmsuCG sowie die Orientierungshilfe des BSI, die regelmäßig aktualisiert wird.

Schritt 2: Prüfen Sie die Größenkriterien

Auch wenn Ihr Unternehmen einem der genannten Sektoren angehört, greift NIS2 nur dann, wenn die Größenschwellen überschritten werden. Maßgeblich sind die EU-weit einheitlichen Schwellenwerte:

Die drei Größenklassen im Überblick

Wichtig: Die Mitarbeiterzahl und der Umsatz/die Bilanzsumme werden nach den Empfehlungen der EU-Kommission zur KMU-Definition berechnet. Verbundene Unternehmen und Partnerunternehmen können dabei einzubeziehen sein – ein häufig übersehener Fallstrick für Unternehmensgruppen.

Sonderregel: Größenunabhängige Betroffenheit

Bestimmte Einrichtungen fallen unabhängig von ihrer Größe unter NIS2, darunter:

• Anbieter öffentlicher elektronischer Kommunikationsnetze
• Qualifizierte Vertrauensdiensteanbieter
• TLD-Register und DNS-Dienstleister
• Einrichtungen, die vom BSI oder der zuständigen Behörde als kritisch eingestuft wurden
• Betreiber kritischer Anlagen gemäß KRITIS-Dachgesetz

Schritt 3: Wesentliche vs. wichtige Einrichtungen – Was ist der Unterschied?

Die Einordnung Ihres Unternehmens als wesentliche oder wichtige Einrichtung hat direkte Auswirkungen auf die Intensität der Aufsicht und die Höhe möglicher Bußgelder.

Wesentliche Einrichtungen (Essential Entities)

• Großunternehmen in Anlage-1-Sektoren (≥ 250 MA oder ≥ 50 Mio. € Umsatz)
• Mittlere Unternehmen in besonders sensiblen Sektoren (z. B. digitale Infrastruktur)
• Proaktive Aufsicht durch das BSI: regelmäßige Prüfungen, auch ohne Anlassfall
• Bußgelder bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes

Wichtige Einrichtungen (Important Entities)

• Mittlere Unternehmen in Anlage-1-Sektoren oder Unternehmen jeder Größe in Anlage-2-Sektoren
• Reaktive Aufsicht: BSI prüft in der Regel nur anlassbezogen (z. B. nach einem Sicherheitsvorfall)
• Bußgelder bis zu 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes

Interaktiver Selbsttest: Bin ich von NIS2 betroffen?

Beantworten Sie die folgenden Fragen der Reihe nach. Wenn Sie eine Frage mit Nein beantworten, können Sie zum angegebenen Ergebnis springen.

Frage 1: Ist mein Unternehmen in Deutschland tätig und erbringt Dienstleistungen innerhalb der EU?
- ✅ Ja → weiter zu Frage 2
- ❌ Nein → Wahrscheinlich nicht direkt betroffen (Einzelfallprüfung empfohlen)

Frage 2: Gehört mein Unternehmen zu einem Sektor aus Anlage 1 oder Anlage 2 des NIS2UmsuCG?
- ✅ Ja → weiter zu Frage 3
- ❌ Nein → Aktuell nicht betroffen (aber Lieferkettenpflichten beachten!)

Frage 3: Beschäftigt mein Unternehmen (inkl. verbundener Unternehmen) mindestens 50 Mitarbeiter?
- ✅ Ja → weiter zu Frage 4
- ❌ Nein → Prüfen Sie Sonderregelungen (Frage 5)

Frage 4: Liegt der Jahresumsatz oder die Jahresbilanzsumme bei mindestens 10 Mio. €?
- ✅ Ja → Sie sind wahrscheinlich betroffen! → Weiter zu den Handlungsempfehlungen
- ❌ Nein → Grenzfall – rechtliche Einzelfallprüfung empfohlen

Frage 5 (Sonderregelungen): Sind Sie Betreiber kritischer Infrastruktur, qualifizierter Vertrauensdienstleister oder Anbieter öffentlicher Kommunikationsnetze?
- ✅ Ja → Sie sind unabhängig von der Größe betroffen
- ❌ Nein → Derzeit nicht direkt betroffen

Hinweis: Dieser Selbsttest ersetzt keine rechtliche oder fachkundige Beratung. Für eine verbindliche Einschätzung empfehlen wir die Nutzung des offiziellen BSI-Betroffenheitsprüfers sowie rechtliche Beratung.

Was droht bei Nichterfüllung? Bußgelder nach §65 BSIG

Wer trotz Betroffenheit die NIS2-Pflichten ignoriert, riskiert erhebliche Konsequenzen. §65 BSIG (BSI-Gesetz in der durch das NIS2UmsuCG geänderten Fassung) sieht einen umfassenden Bußgeldkatalog vor:

Bußgeldrahmen im Überblick

Besonders bemerkenswert: Das NIS2UmsuCG sieht auch eine persönliche Haftung von Geschäftsführern und Vorständen vor. Gemäß §38 NIS2UmsuCG müssen Leitungsorgane Cybersicherheitsmaßnahmen billigen und deren Umsetzung überwachen – und können bei Pflichtverletzung persönlich in Haftung genommen werden.

Neben den direkten Bußgeldern drohen:
- Öffentliche Bekanntmachung des Verstoßes (Naming & Shaming)
- Vorübergehendes Tätigkeitsverbot für Leitungspersonen bei wesentlichen Einrichtungen
- Entzug von Zertifizierungen und Lizenzen
- Reputationsschäden gegenüber Kunden und Geschäftspartnern

Die wichtigsten NIS2-Pflichten im Überblick

Sobald Ihre Betroffenheit festgestellt ist, müssen Sie folgende Kernpflichten erfüllen:

• Registrierungspflicht: Meldung beim BSI innerhalb der vorgeschriebenen Fristen
• Risikomanagement: Implementierung technischer und organisatorischer Sicherheitsmaßnahmen gemäß §30 NIS2UmsuCG
• Meldepflichten: Erhebliche Sicherheitsvorfälle müssen binnen 24 Stunden (Erstmeldung) und 72 Stunden (Detailmeldung) an das BSI gemeldet werden
• Lieferkettensicherheit: Auch Zulieferer und Dienstleister müssen auf Sicherheitsstandards geprüft werden
• Schulungen: Regelmäßige Cybersicherheitsschulungen für Mitarbeiter und Leitungsorgane

Konkrete Handlungsempfehlungen in 7 Schritten

1. Betroffenheit verbindlich feststellen: Nutzen Sie den BSI-Betroffenheitsprüfer und ziehen Sie bei Unklarheiten rechtliche Beratung hinzu. Dokumentieren Sie das Ergebnis schriftlich.

2. Unternehmensstruktur analysieren: Prüfen Sie, ob verbundene Unternehmen oder Tochtergesellschaften die Schwellenwerte beeinflussen. Konzernstrukturen werden bei der Größenberechnung berücksichtigt.

3. Beim BSI registrieren: Sofern betroffen, muss Ihr Unternehmen sich beim BSI als wesentliche oder wichtige Einrichtung registrieren lassen. Versäumnisse können direkt bußgeldbewehrt sein.

4. Gap-Analyse durchführen: Vergleichen Sie Ihren aktuellen Sicherheitsstand mit den Anforderungen des §30 NIS2UmsuCG. Identifizieren Sie Lücken in den Bereichen Risikomanagement, Incident Response, Backup-Management und Zugriffskontrolle.

5. ISMS aufbauen oder anpassen: Ein Informationssicherheitsmanagementsystem (ISMS) nach ISO/IEC 27001 bildet die ideale Grundlage für NIS2-Compliance. Viele Anforderungen lassen sich direkt aus einem bestehenden ISMS ableiten.

6. Lieferkette einbeziehen: Bewerten Sie Ihre kritischen Dienstleister und Zulieferer anhand von Sicherheitskriterien und dokumentieren Sie vertragliche Sicherheitsanforderungen.

7. Leitungsorgane sensibilisieren: Informieren und schulen Sie Geschäftsführung und Vorstand über ihre persönliche Verantwortung und die konkreten NIS2-Pflichten. Holen Sie formelle Beschlüsse zur Cybersicherheitsstrategie ein.

Fazit: Jetzt handeln statt abwarten

Die NIS2-Betroffenheitsprüfung ist der unverzichtbare erste Schritt auf dem Weg zur Compliance – und er sollte mit höchster Priorität erfolgen. Angesichts der Bußgelder nach §65 BSIG, der persönlichen Haftung von Leitungsorganen und des wachsenden Drucks aus der Lieferkette ist Abwarten keine Option.

Ihre nächsten Schritte auf einen Blick:

• ✅ Selbsttest durchführen und Betroffenheit dokumentieren
• ✅ BSI-Registrierung prüfen und ggf. vornehmen
• ✅ Gap-Analyse starten und Maßnahmenplan erstellen
• ✅ Leitungsorgane einbeziehen und schulen
• ✅ Lieferkette auf NIS2-Anforderungen prüfen

Ihr nächster Schritt: NIS2-Compliance strukturiert angehen

Die Umsetzung der NIS2-Anforderungen erzeugt einen erheblichen Dokumentations- und Organisationsaufwand – von der Risikoanalyse über die Richtlinienerstellung bis hin zur Meldeprozessdokumentation. Spezialisierte NIS2-Compliance-Softwarelösungen helfen Ihnen dabei, den Überblick zu behalten: Sie führen strukturiert durch die Betroffenheitsprüfung, unterstützen beim Aufbau eines ISMS, erinnern an Fristen und erleichtern die revisionssichere Dokumentation aller Maßnahmen.

Wenn Sie wissen möchten, wie ein solches Tool Ihren NIS2-Prozess konkret beschleunigen kann, lohnt sich ein Vergleich verfügbarer Lösungen – viele bieten kostenfreie Erstberatungen oder Testphasen an. Starten Sie noch heute mit einer strukturierten Bestandsaufnahme. Denn im Bereich Cybersicherheit gilt: Wer vorbereitet ist, schläft besser.

Quellen: BSI (Bundesamt für Sicherheit in der Informationstechnik), NIS2UmsuCG (Stand: 2024), BSIG neue Fassung, ENISA NIS2 Implementation Guidance, EU-Richtlinie 2022/2555 (NIS2)