NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 27. September 2026 | Lesedauer: ca. 8 Minuten

Die NIS2-Richtlinie der Europäischen Union hat die Cybersicherheitslandschaft in Deutschland grundlegend verändert. Seit der nationalen Umsetzung durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) stehen tausende Unternehmen vor einer drängenden Frage: Bin ich überhaupt betroffen – und wenn ja, welche Pflichten gelten für mich?

Wer diese Frage ignoriert oder falsch beantwortet, riskiert empfindliche Bußgelder nach §65 BSIG in Höhe von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes. Die NIS2-Betroffenheitsprüfung ist deshalb kein bürokratisches Pflichtprogramm, sondern eine strategische Notwendigkeit für jedes Unternehmen in Deutschland.

In diesem Artikel erfahren Sie systematisch, wie Sie die Betroffenheit Ihres Unternehmens prüfen, welche Sektoren und Größenkriterien entscheidend sind und welche konkreten nächsten Schritte Sie einleiten sollten.

Was regelt §3 NIS2UmsuCG genau?

Der §3 NIS2UmsuCG definiert den persönlichen Anwendungsbereich des Gesetzes und ist damit der zentrale Ausgangspunkt jeder Betroffenheitsprüfung. Er unterscheidet zwischen zwei Kategorien regulierter Einrichtungen:

1. Wesentliche Einrichtungen (Essential Entities, kurz EE)
2. Wichtige Einrichtungen (Important Entities, kurz IE)

Die Zuordnung zu einer dieser Kategorien hängt von zwei Faktoren ab: dem Sektor, in dem das Unternehmen tätig ist, und der Unternehmensgröße gemessen an Mitarbeiterzahl und Jahresumsatz. Erst das Zusammenspiel beider Kriterien ergibt die finale Einordnung.

Die entscheidenden Sektoren: Anlage 1 und Anlage 2 NIS2UmsuCG

Das NIS2UmsuCG listet in seinen Anlagen die regulierten Sektoren abschließend auf. Dabei unterscheidet es zwischen hochkritischen Sektoren (Anlage 1) und sonstigen kritischen Sektoren (Anlage 2).

Anlage 1: Hochkritische Sektoren

Unternehmen, die in diesen Sektoren tätig sind, werden als besonders sicherheitsrelevant eingestuft und unterliegen grundsätzlich strengeren Anforderungen:

• Energie (Strom, Gas, Fernwärme, Erdöl, Wasserstoff)
• Verkehr (Luft-, Schienen-, Wasser- und Straßenverkehr)
• Bankwesen (Kreditinstitute)
• Finanzmarktinfrastrukturen (Handelsplätze, zentrale Gegenparteien)
• Gesundheitswesen (Krankenhäuser, Labore, Pharmazie, Medizinprodukte)
• Trinkwasser und Abwasser
• Digitale Infrastruktur (Internet-Knoten, DNS-Anbieter, TLD-Registries, Cloud-Anbieter, Rechenzentren, Vertrauensdiensteanbieter, öffentliche elektronische Kommunikation)
• IKT-Dienstemanagement (B2B-Managed Services, Managed Security Services)
• Öffentliche Verwaltung (Bundes- und Landesbehörden)
• Weltraum (Betreiber von Bodeninfrastrukturen)

Anlage 2: Sonstige kritische Sektoren

Diese Sektoren sind ebenfalls reguliert, jedoch mit etwas niedrigeren Eingriffsschwellen:

• Post- und Kurierdienste
• Abfallbewirtschaftung
• Chemische Industrie (Herstellung, Handel mit Gefahrstoffen)
• Lebensmittel (Produktion, Verarbeitung, Vertrieb)
• Verarbeitendes Gewerbe/Industrie (Medizinprodukte, Elektronik, Maschinenbau, Kraftfahrzeuge, sonstiger Fahrzeugbau)
• Digitale Anbieter (Online-Marktplätze, Online-Suchmaschinen, soziale Netzwerke)
• Forschungseinrichtungen

Praxistipp: Viele mittelständische Unternehmen unterschätzen ihre Sektorzugehörigkeit. Ein Maschinenbauer, der Komponenten für die Energieerzeugung produziert, kann sowohl Anlage 2 (Verarbeitendes Gewerbe) als auch indirekt Anlage 1 (Energie) berühren.

Größenkriterien: Ab wann gilt NIS2?

Neben der Sektorzugehörigkeit entscheidet die Unternehmensgröße über die Betroffenheit. Hier gelten die EU-Schwellenwerte für kleine, mittlere und große Unternehmen:

Für die NIS2-Betroffenheit gilt:

• Wesentliche Einrichtungen sind große Unternehmen (≥ 250 MA oder > 50 Mio. € Umsatz) in Anlage-1-Sektoren sowie mittlere Unternehmen in bestimmten Anlage-1-Sektoren (z. B. Digitale Infrastruktur, Vertrauensdiensteanbieter, TLD-Registries) und KRITIS-Betreiber nach bisherigem Recht.
• Wichtige Einrichtungen sind mittlere Unternehmen (≥ 50 MA oder > 10 Mio. € Umsatz) in Anlage-1- und Anlage-2-Sektoren sowie große Unternehmen aus Anlage-2-Sektoren.
• Kleinstunternehmen und kleine Unternehmen sind grundsätzlich ausgenommen – es sei denn, sie erfüllen besondere Kriterien (z. B. als einziger Anbieter eines kritischen Dienstes in einem Mitgliedstaat, als Vertrauensdiensteanbieter oder als TLD-Registry).

Wesentliche vs. wichtige Einrichtungen: Die entscheidenden Unterschiede

Die Unterscheidung zwischen wesentlichen und wichtigen Einrichtungen hat erhebliche praktische Konsequenzen:

Wesentliche Einrichtungen (Essential Entities)

• Unterliegen der proaktiven Aufsicht durch das BSI
• BSI kann jederzeit anlassunabhängige Prüfungen initiieren
• Strengere Anforderungen an Sicherheitsmaßnahmen und Nachweispflichten
• Meldepflichten: Erhebliche Sicherheitsvorfälle müssen innerhalb von 24 Stunden (Frühwarnung), 72 Stunden (Meldung) und einem Monat (Abschlussbericht) gemeldet werden
• Bußgelder bei Verstößen: bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes

Wichtige Einrichtungen (Important Entities)

• Unterliegen der reaktiven Aufsicht (Prüfungen nur bei konkretem Anlass)
• Gleiche Meldepflichten wie wesentliche Einrichtungen (24h/72h/1 Monat)
• Gleiche technische und organisatorische Mindestanforderungen
• Bußgelder bei Verstößen: bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes

Selbsttest: Interaktive Betroffenheitsprüfung in 5 Schritten

Nutzen Sie diese strukturierte Checkliste, um die Betroffenheit Ihres Unternehmens in Deutschland vorläufig einzuschätzen. Bitte beachten Sie: Diese Prüfung ersetzt keine rechtliche Beratung.

Schritt 1: Sektorzugehörigkeit klären
- [ ] Ist mein Unternehmen in einem der Sektoren aus Anlage 1 NIS2UmsuCG tätig?
- [ ] Ist mein Unternehmen in einem der Sektoren aus Anlage 2 NIS2UmsuCG tätig?
- [ ] Erbringt mein Unternehmen Dienstleistungen für Einrichtungen aus Anlage 1 oder 2 (ggf. als Lieferant/MSP)?

Schritt 2: Unternehmensgröße bestimmen
- [ ] Beschäftigt mein Unternehmen 50 oder mehr Mitarbeitende?
- [ ] Übersteigt der Jahresumsatz 10 Millionen Euro?
- [ ] Übersteigt die Jahresbilanzsumme 10 Millionen Euro?

Schritt 3: Ausnahmetatbestände prüfen
- [ ] Handelt es sich um ein Kleinstunternehmen (< 10 MA, ≤ 2 Mio. € Umsatz)?
- [ ] Gibt es besondere Merkmale, die trotz geringer Größe eine Betroffenheit begründen könnten?

Schritt 4: Kategorie bestimmen
- [ ] Anlage 1 + Großunternehmen → Wesentliche Einrichtung
- [ ] Anlage 1 oder 2 + Mittleres Unternehmen → Wichtige Einrichtung
- [ ] Anlage 2 + Großunternehmen → Wichtige Einrichtung

Schritt 5: Registrierungspflicht beachten
- [ ] Betroffene Einrichtungen müssen sich beim BSI registrieren (§33 NIS2UmsuCG)
- [ ] Registrierung über das BSI-Portal: www.bsi.bund.de

Ergebnis: Wenn Sie mindestens eine Frage in Schritt 1 und mindestens eine in Schritt 2 mit „Ja" beantwortet haben und kein Ausnahmetatbestand greift, ist Ihr Unternehmen mit hoher Wahrscheinlichkeit von NIS2 betroffen.

Konsequenzen bei Nichterfüllung: §65 BSIG und darüber hinaus

Wer die NIS2-Pflichten ignoriert, riskiert weit mehr als Bußgelder. §65 BSIG regelt die Sanktionen, doch die tatsächlichen Konsequenzen sind vielschichtiger:

Direkte Sanktionen nach §65 BSIG

• Bußgelder für wesentliche Einrichtungen: bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes (der jeweils höhere Wert gilt)
• Bußgelder für wichtige Einrichtungen: bis zu 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes
• Persönliche Haftung der Geschäftsführung: Das BSI kann bei wesentlichen Einrichtungen auch gegen verantwortliche natürliche Personen vorgehen
• Temporäre Untersagung von Leitungsfunktionen bei anhaltenden schwerwiegenden Verstößen

Indirekte Konsequenzen

• Reputationsschäden: Öffentliche Bekanntmachung von Verstößen durch das BSI
• Vertragliche Risiken: Auftraggeber aus regulierten Sektoren verlangen zunehmend NIS2-Nachweise von Lieferanten
• Haftungsrisiken: Bei Sicherheitsvorfällen infolge mangelhafter Maßnahmen drohen Schadensersatzforderungen
• Versicherungsausschlüsse: Cyber-Versicherungen können Schäden bei nachweislicher Nichteinhaltung ablehnen

8 konkrete Handlungsempfehlungen für betroffene Unternehmen

Wenn Ihre Betroffenheitsprüfung eine Regulierungspflicht ergeben hat, sollten Sie diese Schritte priorisieren:

1. Betroffenheit dokumentieren: Erstellen Sie eine schriftliche Dokumentation Ihrer Sektorzugehörigkeit und Unternehmensgrößenkriterien als Grundlage für alle weiteren Maßnahmen.

2. BSI-Registrierung veranlassen: Registrieren Sie Ihr Unternehmen unverzüglich über das BSI-Portal. Die Registrierungspflicht nach §33 NIS2UmsuCG ist nicht verhandelbar.

3. Kategorie intern kommunizieren: Informieren Sie Geschäftsführung und IT-Leitung über die festgestellte Kategorie (wesentlich/wichtig) und die damit verbundenen Pflichten.

4. Gap-Analyse durchführen: Vergleichen Sie Ihren aktuellen Sicherheitsstatus mit den Mindestanforderungen nach §30 NIS2UmsuCG (Risikoanalyse, Incident Response, Business Continuity, Supply-Chain-Security, Kryptografie, Zugangskontrollen u. v. m.).

5. Meldeprozesse etablieren: Richten Sie klare interne Prozesse für die Erkennung und Meldung erheblicher Sicherheitsvorfälle ein – Frühwarnung innerhalb von 24 Stunden ist ein hartes Kriterium.

6. Lieferkette prüfen: Identifizieren Sie kritische Drittanbieter und Dienstleister und fordern Sie Sicherheitsnachweise ein (§30 Abs. 2 Nr. 4 NIS2UmsuCG).

7. Schulungen durchführen: Sensibilisieren Sie Führungskräfte und Mitarbeitende – NIS2 verlangt ausdrücklich, dass die Unternehmensleitung Cybersicherheitsschulungen absolviert und billigt (§38 NIS2UmsuCG).

8. ISMS aufbauen oder anpassen: Implementieren oder erweitern Sie ein Informationssicherheits-Managementsystem (ISMS) nach ISO 27001 oder BSI IT-Grundschutz als strukturellen Rahmen für dauerhafte Compliance.

Fazit: Betroffenheitsprüfung ist der erste Schritt – handeln Sie jetzt

Die NIS2-Betroffenheitsprüfung ist keine einmalige Übung, sondern ein fortlaufender Prozess. Unternehmen, die expandieren, neue Sektoren erschließen oder Tochtergesellschaften integrieren, müssen ihre Einstufung regelmäßig überprüfen. Die gute Nachricht: Wer frühzeitig handelt, schafft nicht nur regulatorische Sicherheit, sondern stärkt auch seine Cyberresilienz nachhaltig.

Ihre nächsten Schritte auf einen Blick:

• ✅ Sektorzugehörigkeit anhand Anlage 1 und 2 NIS2UmsuCG klären
• ✅ Unternehmensgrößenkriterien (50+ MA, 10 Mio. € Umsatz) prüfen
• ✅ Kategorie (wesentlich/wichtig) festlegen und dokumentieren
• ✅ BSI-Registrierung einleiten
• ✅ Gap-Analyse starten und Maßnahmenplan erstellen

Ihre Compliance-Basis schaffen: Tools und Software als Unterstützung

Die manuelle Verwaltung aller NIS2-Anforderungen – von der Betroffenheitsprüfung über das Risikomanagement bis hin zu Meldeprozessen und ISMS-Dokumentation – ist komplex und fehleranfällig. Spezialisierte NIS2-Compliance-Softwarelösungen können diesen Prozess erheblich vereinfachen: Sie führen Unternehmen strukturiert durch die Betroffenheitsprüfung, unterstützen beim Aufbau eines ISMS, automatisieren Erinnerungen für Meldepflichten und helfen dabei, Audit-Nachweise lückenlos zu dokumentieren.

Wenn Sie noch ganz am Anfang stehen, empfiehlt sich ein Tool, das mit einer geführten Betroffenheitsprüfung beginnt und dann nahtlos in die Maßnahmenplanung übergeht – so behalten Sie auch in einem komplexen regulatorischen Umfeld stets den Überblick und können gegenüber dem BSI und Geschäftspartnern jederzeit Compliance nachweisen.

Dieser Artikel wurde sorgfältig nach dem aktuellen Stand des NIS2UmsuCG und des BSIG erstellt. Er dient der allgemeinen Information und ersetzt keine individuelle Rechts- oder Compliance-Beratung. Bei konkreten Fragen zu Ihrer Betroffenheit empfehlen wir die Konsultation eines spezialisierten Rechtsanwalts oder eines zertifizierten IT-Sicherheitsberaters.