NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 20. September 2026 | Lesedauer: ca. 8 Minuten

Seit der Umsetzung der europäischen NIS2-Richtlinie in deutsches Recht durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) stehen viele Unternehmen vor einer entscheidenden Frage: Bin ich überhaupt betroffen? Diese Frage ist keine rein akademische – wer die eigene Betroffenheit falsch einschätzt, riskiert empfindliche Bußgelder nach § 65 BSIG und gefährdet die Cybersicherheit des gesamten Unternehmens.

Dieser Artikel führt Sie Schritt für Schritt durch die NIS2-Betroffenheitsprüfung, erklärt die relevanten Sektoren und Größenkriterien, unterscheidet zwischen wesentlichen und wichtigen Einrichtungen und zeigt Ihnen, welche Konsequenzen bei Nichterfüllung drohen.

Was ist die NIS2-Betroffenheitsprüfung – und warum ist sie so wichtig?

Die NIS2-Richtlinie (EU 2022/2555) wurde mit dem Ziel eingeführt, ein einheitlich hohes Cybersicherheitsniveau in der gesamten Europäischen Union zu etablieren. In Deutschland wurde sie durch das NIS2UmsuCG in nationales Recht überführt und erweitert den Anwendungsbereich gegenüber der Vorgängerrichtlinie NIS1 erheblich.

§ 3 NIS2UmsuCG definiert den persönlichen Anwendungsbereich und legt fest, welche Einrichtungen als „wesentlich" oder „wichtig" eingestuft werden. Im Vergleich zur alten KRITIS-Regulierung sind nun deutlich mehr Unternehmen betroffen – Schätzungen des BSI zufolge fallen in Deutschland mehrere zehntausend Unternehmen unter die neue Regelung.

Die Betroffenheitsprüfung ist deshalb so wichtig, weil sie den Startpunkt aller weiteren Compliance-Maßnahmen bildet: Wer nicht weiß, dass er betroffen ist, kann keine Meldepflichten erfüllen, keine Sicherheitsmaßnahmen implementieren und keine Geschäftsleitungsverantwortung im Sinne des Gesetzes wahrnehmen.

Schritt 1: Gehört Ihr Unternehmen zu einem betroffenen Sektor?

Der erste Prüfschritt betrifft die Zugehörigkeit zu einem der in den Anlagen 1 und 2 des NIS2UmsuCG aufgeführten Sektoren. Das Gesetz unterscheidet dabei zwischen hochkritischen und sonstigen kritischen Sektoren.

Anlage 1 – Hochkritische Sektoren (wesentliche Einrichtungen)

Anlage 2 – Sonstige kritische Sektoren (wichtige Einrichtungen)

Praxis-Tipp: Viele mittelständische Unternehmen unterschätzen ihre Sektorzugehörigkeit. Wer beispielsweise als Zulieferer für die Automobilindustrie im Bereich Elektronik tätig ist, kann unter den Sektor „Verarbeitendes Gewerbe" in Anlage 2 fallen – auch wenn das auf den ersten Blick nicht offensichtlich ist.

Schritt 2: Erfüllen Sie die Größenkriterien?

Die Sektorzugehörigkeit allein genügt nicht. Entscheidend ist auch die Unternehmensgröße. Gemäß § 3 NIS2UmsuCG i.V.m. der EU-Empfehlung 2003/361/EG gelten folgende Schwellenwerte:

Größenkriterien im Überblick

Wesentliche Einrichtungen sind in der Regel Großunternehmen aus Anlage-1-Sektoren sowie mittlere Unternehmen in bestimmten Sektoren wie digitale Infrastruktur.

Wichtige Einrichtungen sind typischerweise mittlere Unternehmen (≥ 50 Mitarbeiter, > 10 Mio. € Umsatz) aus Anlage-1- oder Anlage-2-Sektoren.

Ausnahmen: Wann gilt die Größenschwelle nicht?

Es gibt Fälle, in denen Unternehmen unabhängig von ihrer Größe betroffen sind:

• Betreiber kritischer Anlagen (KRITIS) nach § 28 BSIG
• Anbieter von TLD-Namensdiensten und DNS-Resolver-Diensten
• Vertrauensdiensteanbieter und qualifizierte Vertrauensdiensteanbieter
• Anbieter öffentlicher elektronischer Kommunikationsnetze
• Einrichtungen, die als einzige in einem Mitgliedstaat einen kritischen Dienst erbringen

Schritt 3: Wesentliche oder wichtige Einrichtung?

Die Unterscheidung zwischen wesentlichen (essential entities) und wichtigen Einrichtungen (important entities) hat erhebliche praktische Auswirkungen – insbesondere auf die Aufsichtsintensität und die maximalen Bußgelder.

Wesentliche Einrichtungen

• Sektoren aus Anlage 1
• Überwiegend Großunternehmen
• Proaktive BSI-Aufsicht (ex-ante)
• Maximales Bußgeld: 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (§ 65 Abs. 1 BSIG)
• Strengere Anforderungen an Risikomaßnahmen und Meldepflichten

Wichtige Einrichtungen

• Sektoren aus Anlage 1 oder Anlage 2
• Überwiegend mittlere Unternehmen
• Reaktive BSI-Aufsicht (ex-post, anlassbezogen)
• Maximales Bußgeld: 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes (§ 65 Abs. 2 BSIG)
• Etwas geringere, aber immer noch substanzielle Anforderungen

Interaktiver Selbsttest: Bin ich betroffen?

Nutzen Sie diese Checkliste als erste Orientierung:

NIS2-Betroffenheitsprüfung – Checkliste

• [ ] Sektor: Ist mein Unternehmen in einem der Sektoren der Anlage 1 oder Anlage 2 des NIS2UmsuCG tätig?
• [ ] Mitarbeiter: Beschäftigt mein Unternehmen 50 oder mehr Mitarbeiter (Vollzeitäquivalente)?
• [ ] Umsatz/Bilanzsumme: Übersteigt mein Jahresumsatz oder meine Jahresbilanzsumme 10 Millionen Euro?
• [ ] Ausnahmetatbestand: Falle ich unter einen der größenunabhängigen Tatbestände (KRITIS, DNS, TLD, etc.)?
• [ ] Verbundene Unternehmen: Werden bei der Größenberechnung verbundene oder Partnerunternehmen (gemäß EU-KMU-Definition) korrekt einbezogen?
• [ ] Registrierungspflicht: Habe ich mein Unternehmen beim BSI im Rahmen der Registrierungspflicht nach § 33 BSIG angemeldet?

Achtung: Wenn Sie alle drei Hauptkriterien (Sektor + Mitarbeiterzahl + Umsatz/Bilanzsumme) bejahen, sind Sie höchstwahrscheinlich betroffen. Holen Sie sich rechtliche und technische Beratung, um Ihre genaue Einordnung zu klären.

Konsequenzen bei Nichterfüllung: Was droht Unternehmen?

Wer die NIS2-Anforderungen ignoriert, geht erhebliche Risiken ein. Das BSIG sieht in § 65 ein gestuftes Bußgeldsystem vor:

Bußgeldrahmen nach § 65 BSIG

• Wesentliche Einrichtungen: Bußgelder bis zu 10 Mio. Euro oder 2 % des globalen Jahresumsatzes – je nachdem, welcher Betrag höher ist
• Wichtige Einrichtungen: Bußgelder bis zu 7 Mio. Euro oder 1,4 % des globalen Jahresumsatzes
• Persönliche Haftung der Geschäftsleitung: Nach § 38 BSIG können Geschäftsführer und Vorstände persönlich haftbar gemacht werden, wenn sie die Umsetzung von Sicherheitsmaßnahmen schuldhaft vernachlässigen

Weitere Konsequenzen

Neben Bußgeldern drohen bei schwerwiegenden Verstößen:

• Vorübergehende Betriebsuntersagungen für wesentliche Einrichtungen
• Öffentliche Bekanntmachung von Verstößen durch das BSI
• Reputationsschäden, die langfristig Kunden und Geschäftspartner abschrecken
• Zivilrechtliche Haftung gegenüber Geschädigten im Falle eines Cyberangriffs, der auf mangelnde Sicherheitsmaßnahmen zurückgeführt werden kann
• Vertragsrechtliche Konsequenzen, wenn Auftraggeber (z. B. in der Lieferkette) NIS2-Compliance als Vertragsbestandteil fordern

Handlungsempfehlungen: So gehen Sie jetzt vor

Wenn die Betroffenheitsprüfung ergibt, dass Ihr Unternehmen unter NIS2 fällt, sollten Sie strukturiert vorgehen:

1. Betroffenheit formal dokumentieren: Halten Sie schriftlich fest, auf welcher Grundlage (Sektor, Größe) Ihr Unternehmen als wesentliche oder wichtige Einrichtung eingestuft wird. Diese Dokumentation ist Basis aller weiteren Maßnahmen.

2. Registrierung beim BSI vornehmen: Betroffene Einrichtungen sind nach § 33 BSIG verpflichtet, sich beim BSI zu registrieren. Nutzen Sie das MELDUNG-Portal des BSI und halten Sie die geforderten Angaben bereit.

3. Gap-Analyse durchführen: Vergleichen Sie Ihre bestehenden Sicherheitsmaßnahmen mit den Anforderungen des § 30 BSIG (Risikomanagement) und identifizieren Sie Lücken. Typische Bereiche sind: Incident Response, Backup-Management, Zugriffskontrollen und Lieferkettenmanagement.

4. Geschäftsleitungsverantwortung klären: Sensibilisieren Sie Geschäftsführung und Vorstand für ihre persönliche Verantwortung nach § 38 BSIG. Cybersicherheit ist Chefsache – nicht nur IT-Thema.

5. Meldeprozesse etablieren: Implementieren Sie klare interne Prozesse, um Sicherheitsvorfälle fristgerecht an das BSI zu melden. NIS2 schreibt eine Erstmeldung innerhalb von 24 Stunden und eine Folgemeldung innerhalb von 72 Stunden vor (§ 32 BSIG).

6. Lieferkette prüfen: Überprüfen Sie Ihre kritischen Dienstleister und Zulieferer auf deren Sicherheitsniveau. § 30 Abs. 2 Nr. 4 BSIG verlangt explizit das Management von Lieferkettenrisiken.

7. Schulungen durchführen: Mitarbeiter und Führungskräfte müssen für Cyberbedrohungen sensibilisiert werden. Regelmäßige Schulungen sind nicht nur Best Practice, sondern gesetzlich gefordert.

8. Externe Expertise einbinden: Wenn interne Ressourcen fehlen, ziehen Sie zertifizierte IT-Sicherheitsberater oder CISO-as-a-Service-Angebote in Betracht – insbesondere für die initiale Gap-Analyse und Implementierungsbegleitung.

Häufige Missverständnisse bei der Betroffenheitsprüfung

„Wir sind ein Subunternehmer, also nicht betroffen."

Falsch. Auch Subunternehmer und Zulieferer können direkt betroffen sein, wenn sie selbst die Sektor- und Größenkriterien erfüllen. Zudem werden betroffene Hauptunternehmen von ihren Dienstleistern zunehmend NIS2-Compliance als Vertragsvoraussetzung verlangen.

„Wir sind zu klein."

Unter 50 Mitarbeiter und unter 10 Millionen Euro Umsatz? Dann sind Sie in der Regel nicht direkt betroffen – außer Sie fallen unter einen der größenunabhängigen Tatbestände. Allerdings sollten auch kleinere Unternehmen die NIS2-Anforderungen als Orientierungsrahmen nutzen.

„Das BSI meldet sich schon, wenn wir uns registrieren müssen."

Die Registrierungspflicht ist selbstinitiiert. Das BSI wartet nicht auf Unternehmen – die Pflicht zur Registrierung liegt beim Unternehmen selbst.

Fazit: Betroffenheit jetzt klären – Nächste Schritte einleiten

Die NIS2-Betroffenheitsprüfung ist keine einmalige Aufgabe, sondern ein fortlaufender Prozess. Unternehmen wachsen, Sektordefinitionen können sich entwickeln, und neue Tätigkeitsfelder können neue Pflichten auslösen. Überprüfen Sie Ihre Betroffenheit daher mindestens einmal jährlich.

Ihre unmittelbaren nächsten Schritte:

1. Klären Sie Ihre Sektorzugehörigkeit anhand der Anlagen 1 und 2 des NIS2UmsuCG.
2. Prüfen Sie Ihre Unternehmensgrößen-Daten (Mitarbeiter, Umsatz, Bilanzsumme) unter Einbeziehung verbundener Unternehmen.
3. Führen Sie eine Gap-Analyse nach § 30 BSIG durch.
4. Registrieren Sie Ihr Unternehmen beim BSI (§ 33 BSIG).
5. Beginnen Sie mit der Dokumentation Ihrer Sicherheitsmaßnahmen.

Nächster Schritt: NIS2-Compliance strukturiert angehen

Wenn Sie Ihre Betroffenheit festgestellt haben, ist der nächste logische Schritt die systematische Umsetzung aller Anforderungen. Spezialisierte NIS2-Compliance-Software kann Ihnen dabei helfen, Ihre Betroffenheit zu dokumentieren, eine Gap-Analyse durchzuführen, ISMS-Dokumente rechtssicher zu erstellen und Meldeprozesse abzubilden. Lösungen wie strukturierte ISMS-Plattformen führen IT-Verantwortliche und Geschäftsführer Schritt für Schritt durch die NIS2-Anforderungen – und sparen dabei wertvolle Zeit und Ressourcen im Vergleich zu rein manuellen Ansätzen. Informieren Sie sich über verfügbare Tools und wählen Sie eine Lösung, die zu Ihrer Unternehmensgröße und Ihrem Sektor passt.

Quellen: BSI (Bundesamt für Sicherheit in der Informationstechnik), NIS2UmsuCG, BSIG (Gesetz über das Bundesamt für Sicherheit in der Informationstechnik), EU-Richtlinie 2022/2555, ENISA Threat Landscape 2025, EU-Empfehlung 2003/361/EG (KMU-Definition)