NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 26. September 2026 | Lesezeit: ca. 9 Minuten

Die NIS2-Richtlinie ist seit der Umsetzung in deutsches Recht durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) für Tausende Unternehmen in Deutschland verbindlich. Dennoch stellen viele IT-Verantwortliche und Geschäftsführer sich noch immer die entscheidende Frage: Bin ich überhaupt betroffen? Diese Unsicherheit ist gefährlich – denn wer die Betroffenheit falsch einschätzt, riskiert empfindliche Bußgelder nach §65 BSIG und bleibt ohne ausreichenden Schutz gegen Cyberangriffe. In diesem Artikel erfahren Sie, wie Sie eine fundierte NIS2-Betroffenheitsprüfung für Ihr Unternehmen in Deutschland 2025 durchführen.

Was regelt §3 NIS2UmsuCG – und warum ist er der Ausgangspunkt jeder Prüfung?

Der §3 NIS2UmsuCG definiert die zentralen Begriffe und legt fest, welche Einrichtungen als „wesentlich" oder „wichtig" eingestuft werden. Er ist der rechtliche Ankerpunkt für jede Betroffenheitsprüfung. Dort wird klargestellt, dass sich die Pflichten nicht automatisch aus der Branchenzugehörigkeit allein ergeben, sondern aus der Kombination aus Sektorzugehörigkeit und Unternehmensgröße.

Kurz gefasst: Wer in einem der regulierten Sektoren tätig ist und bestimmte Schwellenwerte überschreitet, unterliegt den Anforderungen des NIS2UmsuCG. Einige Einrichtungen fallen unabhängig von der Größe unter das Gesetz – dazu mehr im nächsten Abschnitt.

Schritt 1: Gehört Ihr Unternehmen zu einem regulierten Sektor?

Die NIS2-Richtlinie unterscheidet zwei Anlagenkategorien mit unterschiedlich strenger Regulierung.

Anlage 1: Sektoren mit hoher Kritikalität (Wesentliche Einrichtungen)

Diese Sektoren gelten als besonders systemrelevant. Unternehmen hier unterliegen den strengsten Anforderungen:

• Energie (Strom, Gas, Öl, Fernwärme, Wasserstoff)
• Verkehr (Luft, Bahn, Wasser, Straße)
• Bankwesen (Kreditinstitute)
• Finanzmarktinfrastruktur (Handelsplätze, zentrale Gegenparteien)
• Gesundheitswesen (Krankenhäuser, Labore, Pharmaunternehmen)
• Trinkwasser und Abwasser
• Digitale Infrastruktur (Internet Exchange Points, DNS, TLD-Registries, Cloud-Anbieter, Rechenzentren, CDN)
• ICT-Dienste (Managed Service Provider, Managed Security Service Provider)
• Öffentliche Verwaltung (Bundes- und Landesbehörden)
• Weltraum (Betreiber von Bodeninfrastrukturen)

Anlage 2: Sonstige kritische Sektoren (Wichtige Einrichtungen)

Diese Sektoren unterliegen etwas weniger strengen Anforderungen, sind aber ebenfalls reguliert:

• Post- und Kurierdienste
• Abfallbewirtschaftung
• Chemie (Herstellung und Vertrieb gefährlicher Stoffe)
• Lebensmittel (Produktion, Verarbeitung, Vertrieb)
• Verarbeitendes Gewerbe / Produktion (Medizinprodukte, Maschinen, Kfz, Elektronik u. a.)
• Digitale Dienste (Online-Marktplätze, Online-Suchmaschinen, soziale Netzwerke)
• Forschung (Forschungseinrichtungen)

Praxis-Tipp: Schauen Sie nicht nur auf Ihre Haupttätigkeit. Auch Tochtergesellschaften oder Unternehmensteile, die Dienstleistungen in einem der genannten Sektoren erbringen, können separat betroffen sein.

Schritt 2: Erfüllt Ihr Unternehmen die Größenkriterien?

Die bloße Sektorzugehörigkeit reicht in den meisten Fällen nicht aus. Das NIS2UmsuCG orientiert sich an der EU-Empfehlung 2003/361/EG zur Unternehmensgrößendefinition und unterscheidet:

Wesentliche Einrichtungen (Essential Entities)

Als wesentliche Einrichtung gilt, wer:
- in einem Anlage-1-Sektor tätig ist und
- ≥ 250 Mitarbeitende oder ≥ 50 Mio. € Umsatz bzw. ≥ 43 Mio. € Bilanzsumme hat.

Hinzu kommen bestimmte Einrichtungen, die unabhängig von ihrer Größe als wesentlich eingestuft werden – darunter zum Beispiel Anbieter digitaler Infrastruktur wie TLD-Registries oder Betreiber kritischer Infrastrukturen gemäß KRITIS-Dachgesetz.

Wichtige Einrichtungen (Important Entities)

Als wichtige Einrichtung gilt, wer:
- in einem Anlage-1- oder Anlage-2-Sektor tätig ist und
- ≥ 50 Mitarbeitende oder ≥ 10 Mio. € Umsatz bzw. Bilanzsumme hat,
- aber nicht die Schwellen für wesentliche Einrichtungen überschreitet.

Schritt 3: Gibt es Ausnahmen von der Größenregel?

Ja. Das NIS2UmsuCG sieht ausdrücklich vor, dass bestimmte Einrichtungen unabhängig von ihrer Größe reguliert werden. Dazu gehören insbesondere:

• Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste, sofern sie als mittelgroß oder größer einzustufen sind
• Vertrauensdiensteanbieter (qualifiziert und nicht qualifiziert)
• TLD-Namensregister und DNS-Dienstleister
• Einrichtungen der öffentlichen Verwaltung auf Bundes- und Landesebene
• Einrichtungen, die von der zuständigen Behörde als kritisch eingestuft werden, weil ihr Ausfall erhebliche gesellschaftliche oder wirtschaftliche Folgen hätte

Kleinunternehmen mit unter 50 Mitarbeitenden und unter 10 Mio. € Umsatz sind in der Regel ausgenommen – es sei denn, sie fallen in eine der oben genannten Sonderkategorien.

Interaktiver Selbsttest: Bin ich betroffen?

Beantworten Sie die folgenden Fragen mit Ja oder Nein:

Hinweis: Dieser Selbsttest ersetzt keine rechtliche Beratung. Bei Unsicherheiten empfiehlt sich die Rücksprache mit einem spezialisierten Rechtsanwalt oder die direkte Anfrage beim BSI (Bundesamt für Sicherheit in der Informationstechnik).

Wesentliche vs. wichtige Einrichtungen: Was ändert sich konkret?

Die Unterscheidung ist nicht nur begrifflich, sondern hat erhebliche praktische Konsequenzen:

Wesentliche Einrichtungen unterliegen:

• Proaktiver Aufsicht durch das BSI (anlassunabhängige Prüfungen, regelmäßige Audits)
• Strengeren Meldepflichten (Erstmeldung binnen 24 Stunden, Folgemeldung binnen 72 Stunden, Abschlussbericht nach einem Monat)
• Höheren Bußgeldobergrenzen nach §65 BSIG: bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes
• Persönlicher Haftung der Geschäftsleitung

Wichtige Einrichtungen unterliegen:

• Reaktiver Aufsicht (BSI wird bei konkreten Hinweisen tätig)
• Denselben technischen Sicherheitsanforderungen (Risikoanalyse, Incident Management, Business Continuity etc.)
• Bußgeldobergrenzen nach §65 BSIG: bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes

In beiden Fällen gilt: Die Maßnahmen nach §30 BSIG (Risikomanagementmaßnahmen) sind verpflichtend – der Unterschied liegt hauptsächlich in der Intensität der behördlichen Überwachung.

Konsequenzen bei Nichterfüllung: Was droht nach §65 BSIG?

Viele Unternehmen unterschätzen das Bußgeldrisiko. Der §65 BSIG sieht ein gestaffeltes Sanktionssystem vor:

• Verstöße gegen Registrierungspflichten (§33 BSIG): bis zu 500.000 €
• Verstöße gegen Meldepflichten (§32 BSIG): bis zu 10 Mio. € (wesentlich) bzw. 7 Mio. € (wichtig)
• Verstöße gegen Risikomanagementpflichten (§30 BSIG): bis zu 10 Mio. € bzw. 2 % des Jahresumsatzes (wesentlich) oder 7 Mio. € bzw. 1,4 % (wichtig)

Besonders relevant: Das BSI kann als zuständige Behörde gemäß §64 BSIG auch Betriebseinschränkungen oder temporäre Verbote von Managementfunktionen aussprechen – eine Maßnahme, die in anderen EU-Ländern bereits angewendet wurde.

7 konkrete Handlungsempfehlungen zur NIS2-Betroffenheitsprüfung

1. Sektorzuordnung dokumentieren: Prüfen Sie anhand der Anlagen 1 und 2 des NIS2UmsuCG, in welchem Sektor Ihre Haupttätigkeit und etwaige Nebentätigkeiten einzuordnen sind. Halten Sie das Ergebnis schriftlich fest.

2. Unternehmenskennzahlen validieren: Ermitteln Sie Mitarbeiterzahl, Jahresumsatz und Bilanzsumme auf Basis des letzten Geschäftsjahres – auch für verbundene Unternehmen (Konzernstruktur berücksichtigen).

3. Konzernstruktur prüfen: Tochterunternehmen können eigenständig betroffen sein. Lassen Sie durch Ihre Rechtsabteilung klären, ob Verflechtungen die Schwellenwerte beeinflussen.

4. Registrierungspflicht erfüllen: Betroffene Einrichtungen müssen sich beim BSI registrieren (§33 BSIG). Prüfen Sie, ob dies bereits geschehen ist.

5. GAP-Analyse durchführen: Vergleichen Sie Ihre bestehenden Sicherheitsmaßnahmen mit den Anforderungen aus §30 BSIG (Risikoanalyse, Zugangskontrollen, Kryptografie, Incident Response etc.).

6. Meldekette etablieren: Stellen Sie sicher, dass Ihr Unternehmen bei einem Sicherheitsvorfall innerhalb von 24 Stunden eine Frühwarnung an das BSI übermitteln kann.

7. Geschäftsleitung sensibilisieren: Die persönliche Haftung der Geschäftsführung ist neu und ernst zu nehmen. Führen Sie ein dokumentiertes Briefing mit dem Management durch und lassen Sie es schriftlich bestätigen.

Häufige Irrtümer bei der NIS2-Betroffenheitsprüfung

Irrtum 1: „Wir sind zu klein."
Viele Unternehmen mit 50–249 Mitarbeitenden übersehen, dass sie als wichtige Einrichtungen reguliert sein können – mit denselben technischen Pflichten wie Großkonzerne.

Irrtum 2: „Wir sind kein Technologieunternehmen."
NIS2 gilt für Unternehmen in physischen Sektoren wie Lebensmittelproduktion, Chemie oder Transportlogistik. IT-Kompetenz ist keine Voraussetzung für die Betroffenheit.

Irrtum 3: „Unsere Branche ist nicht kritisch."
Die Anlage 2 umfasst viele Branchen, die klassisch nicht als „kritisch" wahrgenommen werden – darunter Postdienstleister, Hersteller von Medizinprodukten oder Forschungseinrichtungen.

Irrtum 4: „Das BSI prüft uns ohnehin nicht."
Seit der Verschärfung der Aufsichtsregeln nimmt das BSI seine Kontrollfunktion aktiv wahr. Stichprobenartige Überprüfungen und anlassbezogene Audits haben deutlich zugenommen.

Fazit: Jetzt handeln – nicht abwarten

Die NIS2-Betroffenheitsprüfung ist kein einmaliger Akt, sondern ein kontinuierlicher Prozess – denn Unternehmen wachsen, Strukturen ändern sich, und die behördliche Auslegungspraxis entwickelt sich weiter. Wer bis heute keine Prüfung vorgenommen hat, sollte unverzüglich handeln.

Ihre nächsten Schritte auf einen Blick:

1. Sektorzugehörigkeit anhand Anlage 1 und 2 prüfen
2. Unternehmensgrößenmerkmale ermitteln und dokumentieren
3. Einstufung als wesentliche oder wichtige Einrichtung vornehmen
4. Registrierung beim BSI gemäß §33 BSIG sicherstellen
5. GAP-Analyse der bestehenden Sicherheitsmaßnahmen starten
6. Maßnahmenplan zur NIS2-Compliance erstellen und Umsetzung terminieren

Ihr nächster Schritt: NIS2-Compliance strukturiert angehen

Die Komplexität der NIS2-Anforderungen macht eine strukturierte Herangehensweise unerlässlich. Spezialisierte NIS2-Compliance-Softwarelösungen und ISMS-Plattformen helfen Ihnen dabei, die Betroffenheitsprüfung zu dokumentieren, ISMS-Dokumente zu erstellen, Risikobewertungen durchzuführen und Meldeprozesse zu automatisieren – alles in einem System, das den Anforderungen des §30 BSIG entspricht.

Nutzen Sie entsprechende Tools, um Ihre Betroffenheit rechtssicher zu dokumentieren, Maßnahmenpläne zu verwalten und im Auditfall alle relevanten Nachweise auf Knopfdruck bereitstellen zu können. Die Investition in die richtige Software zahlt sich angesichts der möglichen Bußgelder nach §65 BSIG schnell aus.

Dieser Artikel wurde sorgfältig nach dem aktuellen Stand der deutschen NIS2-Umsetzungsgesetzgebung (NIS2UmsuCG) und des novellierten BSIG erstellt. Er dient der allgemeinen Information und ersetzt keine individuelle Rechtsberatung.