NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 22. September 2026 | Lesedauer: ca. 8 Minuten

Noch immer herrscht in vielen deutschen Unternehmen Unsicherheit: Bin ich eigentlich von der NIS2-Richtlinie betroffen – und wenn ja, in welchem Umfang? Diese Frage ist alles andere als trivial. Seit der Umsetzung der europäischen NIS2-Richtlinie durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) und der damit verbundenen Novellierung des Bundesdatenschutzgesetzes in Gestalt des neuen BSIG stehen deutlich mehr Unternehmen in der Pflicht als bisher. Wer die Betroffenheit nicht sorgfältig prüft und sich bei Nichterfüllung auf Unwissenheit beruft, riskiert empfindliche Bußgelder nach § 65 BSIG.

Dieser Artikel führt Sie Schritt für Schritt durch die NIS2-Betroffenheitsprüfung – mit klaren Kriterien, einem Selbsttest und konkreten Handlungsempfehlungen.

Was regelt §3 NIS2UmsuCG?

Der § 3 NIS2UmsuCG definiert den persönlichen Anwendungsbereich des Gesetzes. Er legt fest, welche Einrichtungen als „wesentlich" oder „wichtig" eingestuft werden und damit den Pflichten aus dem NIS2-Rahmen unterliegen. Die Vorschrift orientiert sich dabei an zwei zentralen Achsen:

1. Sektorzugehörigkeit – Gehört Ihr Unternehmen zu einem der in Anlage 1 oder Anlage 2 des NIS2UmsuCG aufgeführten Sektoren?
2. Unternehmensgröße – Überschreitet Ihr Unternehmen die festgelegten Schwellenwerte für Mitarbeiterzahl und Jahresumsatz bzw. Jahresbilanzsumme?

Beide Kriterien müssen kumulativ erfüllt sein – mit wenigen Ausnahmen, auf die wir weiter unten eingehen.

Schritt 1: Sektorzugehörigkeit prüfen

Anlage 1: Sektoren mit hoher Kritikalität (Wesentliche Einrichtungen)

Die Anlage 1 zum NIS2UmsuCG umfasst Sektoren, die als besonders kritisch für das Funktionieren von Staat und Gesellschaft gelten. Unternehmen in diesen Bereichen werden grundsätzlich als wesentliche Einrichtungen eingestuft:

Anlage 2: Sonstige kritische Sektoren (Wichtige Einrichtungen)

In Anlage 2 sind weitere Sektoren aufgeführt, deren Unternehmen in der Regel als wichtige Einrichtungen klassifiziert werden:

Wichtig: Die Zuordnung zu Anlage 1 oder 2 ist keine Frage des Selbstverständnisses, sondern richtet sich nach dem tatsächlichen Tätigkeitsschwerpunkt Ihres Unternehmens. Ein Pharmaunternehmen, das primär Forschung betreibt, kann in Anlage 1 (Gesundheit) fallen, obwohl es sich selbst als Forschungseinrichtung sieht.

Schritt 2: Größenkriterien prüfen

Die Schwellenwerte im Überblick

Gemäß §3 NIS2UmsuCG und in Anlehnung an die EU-Empfehlung 2003/361/EG gelten folgende Mindestgrößen:

Das bedeutet: Ein Unternehmen muss mindestens 50 Mitarbeiter beschäftigen und gleichzeitig entweder einen Jahresumsatz von mehr als 10 Millionen Euro erzielen oder eine Jahresbilanzsumme von mehr als 10 Millionen Euro aufweisen.

Ausnahmen von den Größenkriterien

Es gibt wichtige Ausnahmen, bei denen die Größenschwellen nicht greifen:

• Betreiber kritischer Anlagen (KRITIS): Unternehmen, die nach §28 BSIG als Betreiber kritischer Anlagen gelten, fallen unabhängig von ihrer Größe unter NIS2.
• Qualifizierte Vertrauensdiensteanbieter und TLD-Registrare: Diese unterliegen ebenfalls unabhängig von ihrer Größe dem NIS2-Regime.
• Einzige Anbieter: Ist ein Unternehmen der einzige Anbieter eines wesentlichen Dienstes in einem Mitgliedstaat, kann eine Betroffenheit auch unterhalb der Schwellenwerte bestehen.
• Öffentliche Verwaltung: Bestimmte Behörden werden kraft Gesetzes einbezogen, unabhängig von wirtschaftlichen Kennzahlen.

Schritt 3: Wesentlich oder wichtig – was ist der Unterschied?

Die Unterscheidung zwischen wesentlichen und wichtigen Einrichtungen ist keine akademische Feinheit, sondern hat unmittelbare praktische Relevanz – insbesondere bei Aufsicht und Sanktionen.

Wesentliche Einrichtungen (§28 Abs. 1 NIS2UmsuCG)

• Unternehmen in Anlage-1-Sektoren mit ≥ 250 Mitarbeitern und ≥ 50 Mio. Euro Umsatz oder ≥ 43 Mio. Euro Bilanzsumme
• Sowie bestimmte Anbieter unabhängig von der Größe (s. Ausnahmen oben)
• Unterliegen der proaktiven Aufsicht durch das BSI
• Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (§65 BSIG)

Wichtige Einrichtungen (§28 Abs. 2 NIS2UmsuCG)

• Unternehmen in Anlage-1- oder Anlage-2-Sektoren, die die Grundschwellen (50 MA, 10 Mio. €) erfüllen, aber nicht als wesentlich gelten
• Unterliegen der reaktiven Aufsicht (BSI wird erst bei Hinweisen auf Verstöße aktiv)
• Bußgelder bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes (§65 BSIG)

Selbsttest: Bin ich betroffen?

Beantworten Sie die folgenden Fragen ehrlich und der Reihe nach:

Frage 1: Ist mein Unternehmen in einem der Sektoren aus Anlage 1 oder Anlage 2 tätig?
→ Nein: Kein NIS2-Anwendungsbereich. Sie können aufhören.
→ Ja: Weiter zu Frage 2.

Frage 2: Beschäftigt mein Unternehmen 50 oder mehr Mitarbeiter (Vollzeitäquivalente)?
→ Nein: Grundsätzlich nicht betroffen (außer bei den genannten Ausnahmen).
→ Ja: Weiter zu Frage 3.

Frage 3: Erzielt mein Unternehmen einen Jahresumsatz oder eine Jahresbilanzsumme von mehr als 10 Millionen Euro?
→ Nein: Grundsätzlich nicht betroffen (außer bei den genannten Ausnahmen).
→ Ja: Weiter zu Frage 4.

Frage 4: Beschäftigt mein Unternehmen 250 oder mehr Mitarbeiter und erzielt es einen Jahresumsatz über 50 Millionen Euro oder eine Jahresbilanzsumme über 43 Millionen Euro?
→ Ja + Anlage-1-Sektor: Sie sind wahrscheinlich eine wesentliche Einrichtung.
→ Nein: Sie sind wahrscheinlich eine wichtige Einrichtung.

Hinweis: Dieser Selbsttest ersetzt keine rechtliche oder fachliche Beratung. Bei Unsicherheiten empfehlen wir die Konsultation eines auf NIS2 spezialisierten Rechtsanwalts oder IT-Sicherheitsberaters sowie die Nutzung des offiziellen Registrierungsportals des BSI.

Konsequenzen bei Nichterfüllung: §65 BSIG ist keine leere Drohung

Das neue BSIG sieht in §65 ein gestaffeltes Bußgeldregime vor, das sich an den bekannten DSGVO-Sanktionen orientiert und diese in manchen Fällen sogar übersteigt:

Besonders gravierend: Geschäftsführer und Vorstände können persönlich haftbar gemacht werden, wenn sie ihre Aufsichtspflichten verletzen. Das BSI hat mit der NIS2-Novelle erheblich erweiterte Befugnisse erhalten, darunter das Recht auf Vor-Ort-Prüfungen, Sicherheitsaudits und die temporäre Untersagung der Geschäftstätigkeit bei schwerwiegenden Verstößen.

Darüber hinaus gilt: Wer einen erheblichen Sicherheitsvorfall nicht binnen 24 Stunden (Erstmeldung) bzw. 72 Stunden (ausführliche Meldung) an das BSI meldet, riskiert zusätzliche Sanktionen nach §30 BSIG.

Handlungsempfehlungen: So gehen Sie jetzt vor

1. Sektorzuordnung dokumentieren: Analysieren Sie Ihre Kerngeschäftstätigkeiten und ordnen Sie sie eindeutig den Sektoren aus Anlage 1 oder 2 zu. Lassen Sie diese Einschätzung rechtlich absichern.

2. Kennzahlen prüfen und dokumentieren: Ermitteln Sie Ihre aktuellen Mitarbeiterzahlen (Vollzeitäquivalente), den Jahresumsatz und die Jahresbilanzsumme für die relevanten Geschäftsjahre. Beachten Sie: Bei verbundenen Unternehmen können Konzernzahlen relevant sein.

3. Registrierungspflicht erfüllen: Betroffene Einrichtungen müssen sich beim BSI registrieren. Nutzen Sie das offizielle BSI-Registrierungsportal und halten Sie dabei Ansprechpartner, Kontaktdaten und eine erste Einschätzung der Einrichtungsart bereit.

4. Sicherheitsmaßnahmen nach §30 BSIG umsetzen: Dazu gehören u. a. Risikoanalysen, Business-Continuity-Management, Lieferkettenmanagement, Verschlüsselung, Zugangskontrolle und Multi-Faktor-Authentifizierung.

5. Meldeprozesse einrichten: Implementieren Sie interne Prozesse für die Erkennung und Meldung von Sicherheitsvorfällen, die die gesetzlichen Fristen (24h/72h/1 Monat) einhalten.

6. Schulungen durchführen: §38 NIS2UmsuCG verpflichtet die Geschäftsführung, regelmäßig Schulungen zu Cybersicherheitsrisiken zu absolvieren und diese auch für Mitarbeiter anzubieten.

7. Lieferkette überprüfen: Prüfen Sie, ob kritische Dienstleister und Zulieferer ihrerseits angemessene Cybersicherheitsmaßnahmen vorweisen können. Die Verantwortung endet nicht an Ihrer Unternehmensgrenze.

8. Lückenanalyse (Gap-Assessment) durchführen: Vergleichen Sie Ihren aktuellen Sicherheitsstand mit den Anforderungen des §30 BSIG und leiten Sie priorisierte Maßnahmen ab.

Fazit: Jetzt handeln, bevor die Aufsicht klopft

Die NIS2-Betroffenheitsprüfung ist der unverzichtbare erste Schritt auf dem Weg zur Compliance – und gleichzeitig der, den viele Unternehmen noch immer vor sich herschieben. Dabei ist die Logik klar: Wer nicht weiß, ob er betroffen ist, kann keine Maßnahmen ergreifen. Wer keine Maßnahmen ergreift, riskiert Bußgelder und Reputationsschäden.

Ihre nächsten Schritte auf einen Blick:

• ✅ Sektorzugehörigkeit anhand von Anlage 1 und Anlage 2 NIS2UmsuCG prüfen
• ✅ Mitarbeiterzahlen und Finanzkennzahlen ermitteln
• ✅ Einrichtungsart (wesentlich/wichtig) bestimmen
• ✅ BSI-Registrierung durchführen
• ✅ Gap-Assessment starten und Sicherheitsmaßnahmen priorisieren
• ✅ Meldeprozesse und Schulungen etablieren

Die gute Nachricht: Sie müssen das Rad nicht neu erfinden. Strukturierte Frameworks wie ISO/IEC 27001 oder der BSI IT-Grundschutz decken einen Großteil der NIS2-Anforderungen bereits ab und können als solide Basis dienen.

Nützlicher Tipp: NIS2-Compliance mit digitaler Unterstützung

Die NIS2-Betroffenheitsprüfung, die Dokumentation von Sicherheitsmaßnahmen und das laufende Monitoring sind mit herkömmlichen Tabellen und E-Mails kaum noch effizient zu bewältigen. Spezialisierte ISMS- und NIS2-Compliance-Softwarelösungen helfen Ihnen dabei, Ihre Betroffenheit systematisch zu prüfen, Risiken zu bewerten, Maßnahmen zu verwalten und Nachweisdokumente BSI-konform zu erstellen. Viele Lösungen bieten auch strukturierte Vorlagen für die Registrierung und automatische Erinnerungen für gesetzliche Fristen. Eine frühzeitige Investition in geeignete Werkzeuge zahlt sich angesichts der möglichen Bußgeldrisiken schnell aus.

Quellen: NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG, neugefasst 2024), BSI-Veröffentlichungen zur NIS2-Umsetzung, ENISA NIS2-Leitfaden 2024, EU-Richtlinie 2022/2555 (NIS2-Richtlinie).