NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 24. September 2026 | Lesedauer: ca. 8 Minuten

Die Umsetzung der europäischen NIS2-Richtlinie in deutsches Recht durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) hat die Landschaft der Cybersicherheitspflichten in Deutschland grundlegend verändert. Schätzungen des BSI zufolge sind allein in Deutschland über 29.000 Unternehmen von den neuen Anforderungen betroffen – viele davon wissen es noch immer nicht. Die entscheidende Frage für Geschäftsführer und IT-Verantwortliche lautet daher: Fällt mein Unternehmen unter NIS2?

Dieser Artikel erklärt Ihnen systematisch, wie die NIS2-Betroffenheitsprüfung funktioniert, welche Kriterien nach § 3 NIS2UmsuCG maßgeblich sind – und welche Konsequenzen drohen, wenn Sie die Pflichten ignorieren.

Was ist die NIS2-Betroffenheitsprüfung und warum ist sie 2025 so wichtig?

Die NIS2-Richtlinie (EU 2022/2555) hat den Kreis der betroffenen Unternehmen gegenüber der ursprünglichen NIS1-Richtlinie erheblich ausgeweitet. Während früher nur kritische Infrastrukturen im engeren Sinne betroffen waren, gelten jetzt deutlich niedrigere Schwellenwerte. Gleichzeitig sind völlig neue Sektoren hinzugekommen.

Die Betroffenheitsprüfung ist der erste und entscheidende Schritt in Ihrer NIS2-Compliance-Reise. Sie beantwortet zwei Kernfragen:

1. Sind wir überhaupt betroffen? (Sektor + Größe)
2. Als was sind wir eingestuft? (wesentliche oder wichtige Einrichtung)

Von der Antwort hängen Ihre konkreten Pflichten, die Meldefristen und vor allem die drohenden Bußgelder ab.

Schritt 1: Sektorzugehörigkeit prüfen – Anlage 1 und Anlage 2

Der erste Filter der NIS2-Betroffenheitsprüfung ist die Sektorzugehörigkeit. Das NIS2UmsuCG unterscheidet dabei zwischen zwei Kategorien, die in Anlage 1 und Anlage 2 des Gesetzes aufgelistet sind.

Anlage 1 – Sektoren mit hoher Kritikalität (11 Sektoren)

Diese Sektoren wurden aufgrund ihrer gesamtgesellschaftlichen Bedeutung als besonders kritisch eingestuft:

Anlage 2 – Sonstige kritische Sektoren (7 Sektoren)

Praxis-Hinweis: Prüfen Sie auch Ihre Lieferkette. Auch wenn Sie selbst nicht direkt in einem der Sektoren tätig sind, können Sie als wesentlicher Zulieferer eines betroffenen Unternehmens indirekt in die Pflicht genommen werden – etwa über vertragliche Anforderungen nach § 30 Abs. 2 Nr. 3 NIS2UmsuCG zur Sicherheit in der Lieferkette.

Schritt 2: Größenkriterien prüfen – die entscheidenden Schwellenwerte

Selbst wenn Ihr Unternehmen einem der oben genannten Sektoren angehört, müssen zusätzlich die Größenkriterien nach § 3 NIS2UmsuCG erfüllt sein. Die EU-Kommission hat hierfür die Schwellenwerte der KMU-Definition als Orientierung herangezogen.

Die maßgeblichen Schwellenwerte im Überblick

*Ausnahmen bestehen für bestimmte Einrichtungstypen, z. B. Betreiber kritischer Anlagen (KRITIS), Trust-Service-Provider, TLD-Registries und öffentliche Verwaltungseinrichtungen – diese fallen unabhängig von der Größe unter NIS2.

Wann zählen kleinere Unternehmen trotzdem?

Es gibt Konstellationen, in denen auch kleinere Unternehmen von NIS2 betroffen sein können:

• Einziger Anbieter eines essentiellen Dienstleistungssegments in einem EU-Mitgliedstaat
• Qualifizierte Vertrauensdiensteanbieter (eIDAS-Verordnung)
• Top-Level-Domain-Registrierungsstellen und DNS-Anbieter
• Unternehmen, die Teil einer Unternehmensgruppe sind, deren Gesamtgröße die Schwellenwerte überschreitet

Schritt 3: Wesentliche vs. wichtige Einrichtung – was ist der Unterschied?

Die Klassifikation als wesentliche Einrichtung (Essential Entity, EE) oder wichtige Einrichtung (Important Entity, IE) hat erhebliche praktische Auswirkungen.

Wesentliche Einrichtungen (Anlage 1, große Unternehmen)

Wesentliche Einrichtungen unterliegen der proaktiven Aufsicht durch das BSI. Das bedeutet:

• Regelmäßige ex-ante-Kontrollen und Audits
• Nachweispflicht für Sicherheitsmaßnahmen ohne vorherigen Vorfall
• Höhere Bußgeldrahmen bei Verstößen
• Registrierungspflicht beim BSI (§ 33 NIS2UmsuCG)

Wichtige Einrichtungen (Anlage 1 mittlere + Anlage 2)

Wichtige Einrichtungen unterliegen der reaktiven Aufsicht:

• BSI greift in der Regel erst bei konkreten Hinweisen auf Verstöße ein
• Dennoch: Alle Sicherheitspflichten gelten identisch
• Niedrigere, aber immer noch empfindliche Bußgeldrahmen

Selbsttest: Bin ich von NIS2 betroffen?

Nutzen Sie die folgende Checkliste für eine erste Einschätzung. Beantworten Sie jede Frage mit Ja oder Nein:

NIS2-Betroffenheits-Checkliste

• [ ] Sektor: Gehört mein Unternehmen einem der Sektoren aus Anlage 1 oder Anlage 2 des NIS2UmsuCG an?
• [ ] Mitarbeiter: Beschäftigt mein Unternehmen mindestens 50 Personen (Vollzeitäquivalente)?
• [ ] Umsatz/Bilanz: Übersteigt der Jahresumsatz oder die Jahresbilanzsumme 10 Millionen Euro?
• [ ] Ausnahme: Fällt mein Unternehmen unter eine der größenunabhängigen Ausnahmen (KRITIS, Trust-Service-Provider etc.)?
• [ ] Konzernzugehörigkeit: Bin ich Teil einer Unternehmensgruppe, die insgesamt die Schwellenwerte überschreitet?
• [ ] Lieferkette: Fordern meine Auftraggeber vertraglich NIS2-Konformität?

Auswertung: Wenn Sie Frage 1 UND (Frage 2 + 3) oder Frage 4 oder 5 mit Ja beantwortet haben, ist Ihr Unternehmen aller Wahrscheinlichkeit nach von NIS2 betroffen. Eine rechtssichere Einschätzung sollte jedoch durch einen qualifizierten Berater oder Rechtsanwalt erfolgen.

Was droht bei Nichterfüllung? Bußgelder nach § 65 BSIG

Die Sanktionen für Verstöße gegen NIS2-Pflichten sind erheblich – und sollen bewusst abschreckend wirken. § 65 BSIG (Bußgeldvorschriften im Rahmen des NIS2UmsuCG) sieht folgende Bußgeldrahmen vor:

Maßgeblich ist jeweils der höhere der beiden Beträge. Das bedeutet: Für ein großes Unternehmen mit einem Milliardenumsatz können Bußgelder in die zweistelligen Millionen gehen.

Besondere persönliche Haftung der Geschäftsführung

Neben den Unternehmensbußgeldern sieht das NIS2UmsuCG auch eine persönliche Haftung der Geschäftsleitung vor. Nach § 38 NIS2UmsuCG sind Geschäftsführer und Vorstände verpflichtet, Cybersicherheitsmaßnahmen zu billigen, zu überwachen und umzusetzen. Kommen sie dieser Pflicht nicht nach, können sie persönlich in Haftung genommen werden – ein Novum im deutschen Cybersicherheitsrecht.

7 konkrete Handlungsempfehlungen für betroffene Unternehmen

Wenn die Betroffenheitsprüfung ergibt, dass Ihr Unternehmen unter NIS2 fällt, sollten Sie folgende Schritte unverzüglich einleiten:

1. Betroffenheit dokumentieren: Halten Sie das Ergebnis Ihrer Prüfung schriftlich fest – inklusive der zugrunde gelegten Kriterien (Sektor, Mitarbeiterzahl, Umsatz). Diese Dokumentation ist im Falle einer BSI-Prüfung wertvoll.

2. Beim BSI registrieren: Wesentliche und wichtige Einrichtungen sind zur Registrierung beim BSI verpflichtet (§ 33 NIS2UmsuCG). Nutzen Sie das BSI-Meldeportal und halten Sie Kontaktdaten aktuell.

3. Gap-Analyse durchführen: Vergleichen Sie Ihren aktuellen Sicherheitsstand mit den Anforderungen des § 30 NIS2UmsuCG (technische und organisatorische Maßnahmen). Hierfür bietet sich die Orientierung am BSI IT-Grundschutz oder ISO/IEC 27001 an.

4. Meldeprozesse etablieren: NIS2 schreibt eine 24-Stunden-Frühwarnung und eine 72-Stunden-Meldung bei erheblichen Sicherheitsvorfällen vor (§ 32 NIS2UmsuCG). Definieren Sie klare interne Eskalationswege.

5. Lieferkette überprüfen: Analysieren Sie Ihre kritischen Dienstleister und Zulieferer auf Sicherheitsstandards. Integrieren Sie NIS2-Anforderungen in neue Verträge und überarbeiten Sie bestehende.

6. Schulungen durchführen: Sensibilisieren Sie Ihre Belegschaft und – besonders wichtig – Ihre Geschäftsführung für NIS2-Pflichten. Die persönliche Haftung der Führungsebene macht dies unverzichtbar.

7. ISMS aufbauen oder zertifizieren: Ein Informationssicherheitsmanagementsystem (ISMS) nach ISO 27001 ist die strukturierteste Methode, NIS2-Konformität dauerhaft sicherzustellen und nachzuweisen.

Häufige Irrtümer bei der NIS2-Betroffenheitsprüfung

Irrtum 1: „Wir sind zu klein für NIS2."
Stimmt in vielen Fällen – aber nicht immer. Besonders Unternehmen in der Lieferkette von KRITIS-Betreibern oder als Managed Service Provider können unabhängig von ihrer Größe betroffen sein.

Irrtum 2: „Wir haben noch nie einen Cyberangriff erlitten – also brauchen wir das nicht."
NIS2 ist präventiv ausgerichtet. Die Pflichten gelten unabhängig davon, ob ein Vorfall stattgefunden hat.

Irrtum 3: „Das BSI hat uns noch nie kontrolliert."
Die Aufsichtstätigkeit des BSI wird kontinuierlich ausgebaut. Zudem können Sicherheitsvorfälle oder Beschwerden jederzeit eine Prüfung auslösen.

Irrtum 4: „Unsere ISO-27001-Zertifizierung reicht aus."
Eine ISO-27001-Zertifizierung ist ein starkes Signal, aber kein vollständiger NIS2-Nachweis. Es müssen zusätzlich spezifische NIS2-Anforderungen (z. B. Meldefristen, Registrierung) erfüllt werden.

Fazit: NIS2-Betroffenheitsprüfung als Pflichtaufgabe für jedes Unternehmen

Die NIS2-Betroffenheitsprüfung ist keine einmalige Aufgabe, die Sie abhaken und vergessen können. Unternehmen wachsen, Sektoren verändern sich, und die Auslegung der Richtlinie wird durch BSI-Leitfäden und Gerichtsurteile laufend präzisiert. Jedes Unternehmen in Deutschland sollte spätestens jetzt geprüft haben, ob es betroffen ist.

Ihre nächsten Schritte zusammengefasst:

1. ✅ Sektorzugehörigkeit nach Anlage 1/2 NIS2UmsuCG prüfen
2. ✅ Mitarbeiterzahl und Umsatz/Bilanzsumme gegen Schwellenwerte abgleichen
3. ✅ Einstufung als wesentliche oder wichtige Einrichtung festlegen
4. ✅ Beim BSI registrieren (sofern betroffen)
5. ✅ Gap-Analyse und ISMS-Aufbau starten

Die Bußgeldrisiken nach § 65 BSIG und die persönliche Haftung der Geschäftsführung nach § 38 NIS2UmsuCG machen deutlich: Untätigkeit ist keine Option.

Nächster Schritt: NIS2-Compliance strukturiert angehen

Wenn Sie Ihre Betroffenheitsprüfung durchgeführt haben und nun die nächsten Schritte strukturiert angehen möchten, können spezialisierte NIS2-Compliance-Softwarelösungen eine erhebliche Hilfe sein. Solche Tools unterstützen Sie bei der Dokumentation Ihrer Sicherheitsmaßnahmen, der Verwaltung von Nachweisen, der Durchführung von Risikoanalysen und der fristgerechten Meldung von Sicherheitsvorfällen – alles zentral an einem Ort.

Achten Sie bei der Auswahl auf eine Lösung, die explizit auf die Anforderungen des NIS2UmsuCG und des BSI IT-Grundschutzes ausgerichtet ist und Ihnen hilft, ein vollständiges ISMS-Dokumentenset aufzubauen. Eine strukturierte Software erspart Ihnen nicht nur Zeit, sondern minimiert auch das Risiko, wichtige Nachweispflichten zu übersehen – und damit empfindliche Bußgelder zu riskieren.

Haben Sie Fragen zur NIS2-Betroffenheitsprüfung für Ihr Unternehmen? Nutzen Sie unsere weiteren Ressourcen zum Thema NIS2-Compliance oder abonnieren Sie unseren Newsletter für aktuelle Updates zur Cybersicherheitsgesetzgebung in Deutschland.