NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 23. September 2026 | Lesezeit: ca. 8 Minuten

Die Uhr tickt – und viele deutsche Unternehmen fragen sich noch immer: Bin ich von NIS2 betroffen? Seit dem Inkrafttreten des NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes (NIS2UmsuCG) und der damit verbundenen Novellierung des BSI-Gesetzes (BSIG) gilt in Deutschland ein deutlich erweiterter Anwendungsbereich. Die Konsequenzen bei Nichtbeachtung sind erheblich – bis hin zu Bußgeldern im zweistelligen Millionenbereich. Dieser Leitfaden hilft Ihnen, Ihre NIS2-Betroffenheit systematisch zu prüfen und die nötigen Maßnahmen einzuleiten.

Was ist die NIS2-Richtlinie und warum ist sie relevant?

Die NIS2-Richtlinie (EU 2022/2555) ist die Nachfolgerin der ursprünglichen NIS-Richtlinie aus dem Jahr 2016. Ihr Ziel: ein einheitlich hohes Cybersicherheitsniveau in der gesamten Europäischen Union. In Deutschland wurde sie durch das NIS2UmsuCG in nationales Recht überführt, das zentrale Anforderungen im BSIG verankert.

Besonders relevant ist §3 NIS2UmsuCG, der den persönlichen Anwendungsbereich definiert. Danach unterscheidet das Gesetz zwischen wesentlichen Einrichtungen und wichtigen Einrichtungen – mit unterschiedlichen Pflichten und Sanktionsrahmen.

Im Vergleich zur NIS1-Richtlinie hat sich der Anwendungsbereich massiv ausgeweitet: Statt einiger hundert Unternehmen fallen nun schätzungsweise über 30.000 Unternehmen allein in Deutschland unter die Regelung. Umso wichtiger ist eine saubere NIS2-Betroffenheitsprüfung.

Schritt 1: Gehört Ihr Unternehmen zu einem betroffenen Sektor?

Der erste Prüfschritt betrifft die Branchenzugehörigkeit. Das NIS2UmsuCG unterscheidet zwischen Sektoren in Anlage 1 (besonders wichtige Sektoren) und Anlage 2 (wichtige Sektoren).

Anlage 1 – Besonders wichtige Sektoren (führen zu „wesentlichen Einrichtungen")

• Energie (Strom, Gas, Öl, Fernwärme, Wasserstoff)
• Verkehr (Luftfahrt, Bahn, Schifffahrt, Straßenverkehr)
• Bankwesen und Finanzmarktinfrastrukturen
• Gesundheitswesen (Krankenhäuser, Labore, Pharmazeutik)
• Trinkwasser und Abwasser
• Digitale Infrastruktur (Internet-Knoten, DNS, TLD, Cloud-Anbieter, Rechenzentren)
• Verwaltung von IKT-Diensten (B2B-Managed Services, Managed Security Services)
• Öffentliche Verwaltung (auf Bundes- und Landesebene)
• Weltraum

Anlage 2 – Wichtige Sektoren (führen zu „wichtigen Einrichtungen")

• Post- und Kurierdienste
• Abfallbewirtschaftung
• Chemie
• Lebensmittelproduktion und -verarbeitung
• Verarbeitendes Gewerbe / Maschinenbau (mit Fokus auf kritische Produkte)
• Digitale Dienste (Online-Marktplätze, Suchmaschinen, Soziale Netzwerke)
• Forschungseinrichtungen

Hinweis: Selbst wenn Ihr Kerngeschäft einem nicht gelisteten Sektor zuzuordnen ist, können Sie als Zulieferer oder Dienstleister kritischer Sektoren mittelbar betroffen sein – etwa durch vertragliche Anforderungen Ihrer Auftraggeber.

Schritt 2: Erfüllt Ihr Unternehmen die Größenkriterien?

Die bloße Sektorzugehörigkeit reicht in den meisten Fällen nicht aus. Zusätzlich müssen Größenschwellen überschritten werden – definiert auf Basis der EU-KMU-Empfehlung 2003/361/EG.

Größenklassen im Überblick

Faustregel: Unternehmen ab 50 Mitarbeitern und einem Jahresumsatz von mindestens 10 Millionen Euro fallen grundsätzlich in den Anwendungsbereich – sofern sie einem der gelisteten Sektoren angehören.

Wichtige Ausnahme: Größenunabhängige Betroffenheit

Bestimmte Einrichtungen fallen unabhängig von ihrer Größe unter NIS2, darunter:

• Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste
• Vertrauensdiensteanbieter (qualifiziert oder nicht-qualifiziert)
• TLD-Registries und DNS-Dienstleister
• Einrichtungen, die als einziger Anbieter in einem Mitgliedstaat einen kritischen Dienst erbringen
• Einrichtungen, bei denen ein Ausfall schwerwiegende Auswirkungen auf die öffentliche Sicherheit hätte

Schritt 3: Wesentliche vs. wichtige Einrichtung – Was ist der Unterschied?

Das NIS2UmsuCG und das BSIG unterscheiden zwei Kategorien, die mit unterschiedlichen Pflichten verbunden sind:

Wesentliche Einrichtungen

• Stammen aus den Sektoren der Anlage 1
• Sind Großunternehmen (≥ 250 MA, entsprechende Umsatz-/Bilanzschwellen)
• Unterliegen proaktiver Aufsicht durch das BSI
• Müssen sich beim BSI registrieren
• Bußgeldrahmen: bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (§65 BSIG)

Wichtige Einrichtungen

• Stammen aus den Sektoren der Anlage 1 oder 2 (aber als mittlere Unternehmen) oder aus Sektoren der Anlage 2 als Großunternehmen
• Unterliegen reaktiver Aufsicht (BSI handelt bei konkretem Anlass)
• Müssen sich ebenfalls beim BSI registrieren
• Bußgeldrahmen: bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes (§65 BSIG)

Praxishinweis: Die Einstufung hat direkte Auswirkungen auf den Prüfungsrhythmus, die Meldepflichten und den Umfang der technisch-organisatorischen Maßnahmen, die nachzuweisen sind.

Interaktiver Selbsttest: Bin ich von NIS2 betroffen?

Beantworten Sie die folgenden Fragen der Reihe nach:

Checkliste zur NIS2-Betroffenheitsprüfung

• [ ] Frage 1: Ist mein Unternehmen in einem Sektor aus Anlage 1 oder Anlage 2 des NIS2UmsuCG tätig?
• Nein → In der Regel nicht betroffen (Ausnahmen: kritische Alleinstellung, s.o.)

• Ja → Weiter mit Frage 2

• [ ] Frage 2: Beschäftigt mein Unternehmen mindestens 50 Mitarbeiter?

• Nein → Wahrscheinlich nicht betroffen (Ausnahmen beachten)

• Ja → Weiter mit Frage 3

• [ ] Frage 3: Überschreitet mein Unternehmen einen Jahresumsatz oder eine Bilanzsumme von 10 Mio. Euro?

• Nein → Wahrscheinlich nicht betroffen

• Ja → Weiter mit Frage 4

• [ ] Frage 4: Handelt es sich um ein Großunternehmen (≥ 250 MA oder ≥ 50 Mio. € Umsatz)?

• Ja und Sektor aus Anlage 1 → Wesentliche Einrichtung
• Ja und Sektor aus Anlage 2 → Wichtige Einrichtung

• Nein (mittleres Unternehmen) → Wichtige Einrichtung

• [ ] Frage 5 (Sonderfall): Bin ich Vertrauensdiensteanbieter, DNS-Betreiber oder einziger Anbieter eines kritischen Dienstes?

• Ja → Wesentliche oder wichtige Einrichtung unabhängig von der Größe

Die Konsequenzen bei Nichterfüllung

Wer die NIS2-Pflichten ignoriert, riskiert empfindliche Sanktionen. §65 BSIG sieht folgende Bußgelder vor:

• Wesentliche Einrichtungen: bis zu 10.000.000 Euro oder 2 % des gesamten weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist
• Wichtige Einrichtungen: bis zu 7.000.000 Euro oder 1,4 % des gesamten weltweiten Jahresumsatzes

Hinzu kommen mögliche persönliche Haftungsrisiken für Geschäftsführer und Vorstände (§38 BSIG), die die Einhaltung der Cybersicherheitspflichten zu verantworten haben. Das BSI kann bei wesentlichen Einrichtungen auch Leitungspersonen vorübergehend von der Ausübung ihrer Geschäftsführertätigkeit entbinden – eine bislang in Deutschland einmalige Regelung.

Weitere Konsequenzen:
- Öffentliche Bekanntmachung von Verstößen
- Anordnungen des BSI zur Umsetzung von Sicherheitsmaßnahmen
- Reputationsschäden gegenüber Kunden und Partnern
- Vertragliche Haftungsrisiken gegenüber Geschäftspartnern, die NIS2-Compliance voraussetzen

Was müssen betroffene Unternehmen konkret tun?

Wenn Sie festgestellt haben, dass Ihr Unternehmen unter NIS2 fällt, sind folgende Schritte notwendig:

Handlungsempfehlungen (priorisiert)

1. Registrierung beim BSI: Wesentliche und wichtige Einrichtungen sind verpflichtet, sich im BSI-Portal zu registrieren. Dies war ab dem 17. Oktober 2024 möglich – prüfen Sie, ob Ihre Registrierung korrekt und vollständig ist.

2. Risikoanalyse durchführen: Gemäß §30 BSIG müssen Einrichtungen geeignete technische und organisatorische Maßnahmen treffen. Grundlage ist eine systematische Risikoanalyse Ihrer IT-Infrastruktur und Geschäftsprozesse.

3. ISMS aufbauen oder anpassen: Ein Informationssicherheits-Managementsystem (ISMS) nach ISO 27001 oder BSI IT-Grundschutz bildet die strukturelle Basis für die Erfüllung der NIS2-Anforderungen.

4. Meldeprozesse etablieren: Sicherheitsvorfälle müssen innerhalb von 24 Stunden (Frühwarnung) und 72 Stunden (detaillierte Meldung) dem BSI gemeldet werden (§32 BSIG). Etablieren Sie klare interne Meldeketten.

5. Lieferkettenrisiken bewerten: §30 BSIG fordert explizit die Berücksichtigung von Sicherheitsrisiken in der Lieferkette. Prüfen Sie Ihre Dienstleister und Zulieferer auf Sicherheitsstandards.

6. Schulungen für Leitungsebene: Geschäftsführung und Vorstand müssen laut §38 BSIG an Cybersicherheitsschulungen teilnehmen und deren Umsetzung aktiv überwachen.

7. Technische Mindestmaßnahmen umsetzen: Dazu gehören u. a. Multi-Faktor-Authentifizierung, Verschlüsselung, Patch-Management, Business-Continuity-Planung und Penetrationstests.

8. Dokumentation sicherstellen: Alle getroffenen Maßnahmen müssen nachweisbar dokumentiert sein. Im Prüfungsfall des BSI gilt: Was nicht dokumentiert ist, gilt als nicht umgesetzt.

Fazit: Handeln Sie jetzt – die Betroffenheit prüfen lohnt sich

Die NIS2-Betroffenheitsprüfung ist keine bürokratische Pflichtübung, sondern der erste entscheidende Schritt zu einer ernsthaften Cybersicherheitsstrategie. Unternehmen, die sich jetzt mit ihrer Einstufung auseinandersetzen, verschaffen sich einen erheblichen Vorsprung – gegenüber dem Risiko empfindlicher Bußgelder nach §65 BSIG, aber auch gegenüber realen Cyberbedrohungen.

Ihre nächsten Schritte zusammengefasst:

1. ✅ Sektorzugehörigkeit anhand der Anlage 1 und Anlage 2 prüfen
2. ✅ Größenkriterien (Mitarbeiterzahl, Umsatz, Bilanzsumme) verifizieren
3. ✅ Einrichtungsart bestimmen: wesentlich oder wichtig
4. ✅ Beim BSI registrieren (falls noch nicht geschehen)
5. ✅ Gap-Analyse zu den Anforderungen des §30 BSIG durchführen
6. ✅ Maßnahmenplan mit klaren Verantwortlichkeiten und Fristen erstellen

Nächster Schritt: Betroffenheit digital prüfen und ISMS aufbauen

Eine strukturierte NIS2-Betroffenheitsprüfung kostet ohne die richtigen Werkzeuge oft Wochen – und ist fehleranfällig, wenn sie manuell in Excel-Tabellen durchgeführt wird. Spezialisierte NIS2-Compliance-Softwarelösungen helfen Ihnen dabei, Ihre Einstufung automatisiert zu prüfen, eine Gap-Analyse durchzuführen, ISMS-Dokumente gesetzeskonform zu erstellen und Meldeprozesse digital abzubilden.

Prüfen Sie, ob eine dedizierte Compliance-Plattform für Ihr Unternehmen sinnvoll ist – viele Anbieter ermöglichen einen kostenlosen Einstieg mit einer geführten Betroffenheitsanalyse. Damit sparen Sie nicht nur Zeit, sondern schaffen auch die Nachweisbarkeit, die das BSI im Prüfungsfall einfordern wird.

Quellen und Referenzen: NIS2UmsuCG (BGBl. 2024 I Nr. 6), BSIG n.F., BSI-Leitfaden zur NIS2-Registrierung (Stand: 2025), ENISA NIS2 Implementation Guidance (2024), EU-KMU-Empfehlung 2003/361/EG