NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 28. September 2026 | Lesezeit: ca. 10 Minuten

Die NIS2-Richtlinie ist längst kein Zukunftsthema mehr – sie ist geltendes Recht in Deutschland. Mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) hat der Gesetzgeber die europäische Richtlinie in nationales Recht überführt. Doch viele Unternehmen stehen noch immer vor der grundlegenden Frage: Bin ich überhaupt betroffen?

Die Antwort darauf ist entscheidend – denn wer unter die NIS2-Regulierung fällt und die Pflichten ignoriert, riskiert empfindliche Bußgelder nach §65 BSIG. Dieser Leitfaden führt Sie Schritt für Schritt durch die NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland 2025 und zeigt Ihnen, welche konkreten Maßnahmen jetzt notwendig sind.

Was regelt §3 NIS2UmsuCG?

Der §3 NIS2UmsuCG definiert den Anwendungsbereich des Gesetzes und legt fest, welche Einrichtungen als wesentlich oder wichtig eingestuft werden. Die Norm differenziert dabei zwischen:

• Wesentlichen Einrichtungen (essential entities): Unterliegen den strengsten Anforderungen und der intensivsten Aufsicht durch das BSI
• Wichtigen Einrichtungen (important entities): Ebenfalls reguliert, jedoch mit etwas geringerem Aufsichtsdruck und angepassten Sanktionsgrenzen

Die Einordnung in eine dieser beiden Kategorien hängt von zwei zentralen Kriterien ab: dem Sektor, in dem das Unternehmen tätig ist, und seiner Größe.

Schritt 1: Prüfen Sie Ihren Sektor

Die NIS2-Regulierung unterscheidet zwischen Anlage 1 und Anlage 2 des NIS2UmsuCG – zwei Listen mit unterschiedlich kritischen Sektoren.

Anlage 1: Sektoren mit hoher Kritikalität (wesentliche Einrichtungen)

Unternehmen in diesen Sektoren werden grundsätzlich als wesentliche Einrichtungen eingestuft (sofern die Größenkriterien erfüllt sind):

Anlage 2: Sonstige kritische Sektoren (wichtige Einrichtungen)

Diese Sektoren gelten als wichtige Einrichtungen – mit etwas geringerer Regulierungsintensität, aber keineswegs ohne Pflichten:

Praxishinweis: Ein Automobilzulieferer, ein mittelständischer Maschinenbauer oder ein Software-as-a-Service-Anbieter kann bereits durch Anlage 2 in den Anwendungsbereich fallen – auch wenn er sich selbst nicht als „kritische Infrastruktur" sieht.

Schritt 2: Prüfen Sie die Größenkriterien

Der Sektor allein reicht nicht aus. Entscheidend ist auch die Unternehmensgröße. Grundsätzlich gilt: NIS2 richtet sich an mittlere und große Unternehmen.

Größenschwellen im Überblick

Wichtig: Bei der Berechnung der Mitarbeiterzahl und der Finanzkennzahlen sind verbundene Unternehmen und Partnerunternehmen gemäß der EU-KMU-Definition zu berücksichtigen. Eine Holding-Struktur kann dazu führen, dass eine Tochtergesellschaft mit 30 Mitarbeitern trotzdem in den Anwendungsbereich fällt.

Ausnahmen von den Größenkriterien

Das Gesetz kennt Ausnahmen, bei denen die Größe keine Rolle spielt – und eine Regulierung auch kleiner Unternehmen möglich ist:

• Einzige Anbieter wesentlicher Dienste in einem Mitgliedstaat
• Anbieter, deren Ausfall erhebliche systemische Risiken verursachen könnte
• Kritische KRITIS-Betreiber, die bereits nach BSI-KritisV gelistet sind
• Betreiber bestimmter digitaler Infrastruktur (z. B. DNS-Resolver, TLD-Registrare)

Schritt 3: Wesentlich oder wichtig – die entscheidende Unterscheidung

Sobald feststeht, dass ein Unternehmen in den Anwendungsbereich fällt, bestimmt die Kombination aus Sektor und Größe die genaue Einstufung:

Wesentliche Einrichtungen

• Große Unternehmen (≥ 250 MA) in Anlage-1-Sektoren
• Mittlere Unternehmen (≥ 50 MA) in bestimmten Anlage-1-Sektoren (Energie, Verkehr, Gesundheit, digitale Infrastruktur)
• Unabhängig von der Größe: KRITIS-Betreiber, qualifizierte Vertrauensdiensteanbieter, TLD-Registrare

Wichtige Einrichtungen

• Mittlere Unternehmen (≥ 50 MA) in Anlage-1-Sektoren, die nicht als wesentlich eingestuft wurden
• Mittlere und große Unternehmen in Anlage-2-Sektoren
• Große Unternehmen in Anlage-2-Sektoren

Konsequenzen der Einstufung

Selbsttest: Ist mein Unternehmen NIS2-pflichtig?

Beantworten Sie die folgenden Fragen, um eine erste Einschätzung zu erhalten:

Frage 1: Ist Ihr Unternehmen in einem der Sektoren aus Anlage 1 oder Anlage 2 tätig?
- ☐ Ja → weiter mit Frage 2
- ☐ Nein → wahrscheinlich nicht betroffen (Ausnahmen prüfen)

Frage 2: Hat Ihr Unternehmen (inkl. verbundene Unternehmen) 50 oder mehr Mitarbeiter?
- ☐ Ja → weiter mit Frage 3
- ☐ Nein → wahrscheinlich nicht betroffen (Ausnahmen gemäß §3 NIS2UmsuCG prüfen)

Frage 3: Übersteigt Ihr Jahresumsatz 10 Millionen Euro oder Ihre Jahresbilanzsumme 10 Millionen Euro?
- ☐ Ja → Ihr Unternehmen fällt wahrscheinlich unter NIS2 – weisen Sie nun die genaue Kategorie (wesentlich/wichtig) aus
- ☐ Nein → wahrscheinlich nicht betroffen

Frage 4 (Sonderfall): Sind Sie ein DNS-Anbieter, TLD-Registrar, Vertrauensdiensteanbieter oder KRITIS-Betreiber nach BSI-KritisV?
- ☐ Ja → Betroffen, unabhängig von der Größe

⚠️ Wichtiger Hinweis: Dieser Selbsttest ersetzt keine rechtliche oder fachkundige Prüfung. Für eine rechtssichere Betroffenheitsanalyse empfiehlt das BSI die Konsultation von IT-Sicherheitsexperten oder Rechtsberatern mit NIS2-Schwerpunkt.

Was droht bei Nichterfüllung? Bußgelder nach §65 BSIG

Wer die NIS2-Pflichten ignoriert, geht ein erhebliches finanzielles und unternehmerisches Risiko ein. Der §65 BSIG sieht gestaffelte Bußgelder vor, die sich an den europäischen NIS2-Vorgaben orientieren:

Bußgeldrahmen im Überblick

• Wesentliche Einrichtungen: Bis zu 10.000.000 Euro oder 2 % des weltweiten Jahresumsatzes (der höhere Betrag gilt)
• Wichtige Einrichtungen: Bis zu 7.000.000 Euro oder 1,4 % des weltweiten Jahresumsatzes

Besonders gravierend: Das Gesetz sieht eine persönliche Haftung der Geschäftsleitung vor. Führungskräfte können für Verstöße gegen die Aufsichtspflicht persönlich zur Rechenschaft gezogen werden – ein Paradigmenwechsel gegenüber früheren Regelungen.

Typische Verstöße, die geahndet werden können

• Fehlende oder verspätete Registrierung beim BSI
• Nicht gemeldete Sicherheitsvorfälle (Meldefrist: 24 Stunden für Erstmeldung, 72 Stunden für detaillierten Bericht)
• Unzureichende Risikomanagementmaßnahmen (fehlende MFA, kein Patch-Management, kein Incident-Response-Plan)
• Nicht nachgewiesene Schulung der Geschäftsleitung in Cybersicherheitsfragen

Konkrete Handlungsempfehlungen: So gehen Sie vor

Wenn Sie die Betroffenheitsprüfung abgeschlossen haben und zu dem Ergebnis kommen, dass Ihr Unternehmen unter NIS2 fällt, empfehlen wir folgende Schritte:

1. Formelle Betroffenheitsanalyse dokumentieren: Halten Sie schriftlich fest, auf welcher Grundlage (Sektor, Größe, Sonderregel) Ihr Unternehmen betroffen ist. Dies bildet die Basis für alle weiteren Compliance-Aktivitäten.

2. Registrierung beim BSI durchführen: Wesentliche und wichtige Einrichtungen sind verpflichtet, sich beim Bundesamt für Sicherheit in der Informationstechnik zu registrieren. Nutzen Sie hierfür das BSI-Portal und halten Sie alle relevanten Unternehmensdaten bereit.

3. Gap-Analyse der bestehenden Sicherheitsmaßnahmen: Vergleichen Sie Ihre aktuellen technischen und organisatorischen Maßnahmen mit den Anforderungen aus §30 BSIG (Risikomanagement). Identifizieren Sie Lücken und priorisieren Sie deren Schließung.

4. ISMS aufbauen oder erweitern: Ein Informationssicherheits-Managementsystem nach ISO 27001 bildet die ideale strukturelle Grundlage für NIS2-Compliance. Falls noch keines existiert, sollten Sie den Aufbau priorisieren.

5. Meldewege für Sicherheitsvorfälle einrichten: Implementieren Sie klare interne Prozesse, damit Sicherheitsvorfälle innerhalb von 24 Stunden erkannt und an das BSI gemeldet werden können.

6. Geschäftsleitung schulen und sensibilisieren: NIS2 macht Cybersicherheit zur Chefsache. Führungskräfte müssen nachweislich in Sicherheitsfragen geschult sein und die Verantwortung aktiv übernehmen.

7. Lieferkette prüfen: Überprüfen Sie Ihre wesentlichen Lieferanten und Dienstleister auf deren Cybersicherheitsniveau. NIS2 verpflichtet zur Berücksichtigung von Lieferkettenrisiken.

8. Regelmäßige Überprüfung und Audits: Cybersicherheit ist kein einmaliges Projekt. Planen Sie regelmäßige interne Audits und – wo sinnvoll – externe Penetrationstests ein.

Fazit: Jetzt handeln, nicht abwarten

Die NIS2-Betroffenheitsprüfung ist der erste und wichtigste Schritt auf dem Weg zur Compliance. Angesichts der weitreichenden Sanktionen nach §65 BSIG und der persönlichen Haftung der Geschäftsleitung ist Abwarten keine Option.

Ihre nächsten Schritte auf einen Blick:

1. ✅ Sektor prüfen (Anlage 1 oder 2 NIS2UmsuCG)
2. ✅ Unternehmensgrößer ermitteln (inkl. verbundene Unternehmen)
3. ✅ Einstufung (wesentlich/wichtig) dokumentieren
4. ✅ Beim BSI registrieren
5. ✅ Gap-Analyse starten und ISMS aufbauen
6. ✅ Melde- und Eskalationsprozesse implementieren

Das BSI stellt auf seiner Website bsi.bund.de hilfreiche Orientierungshilfen und FAQs zur NIS2-Betroffenheit bereit. Zusätzlich empfiehlt die ENISA regelmäßige Überprüfungen der eigenen Sicherheitslage im Rahmen des ENISA Good Practices for Security of IoT und des NIS2 Implementation Guide.

Ihr nächster Schritt: Betroffenheit digital prüfen und Compliance-Prozesse starten

Wenn Sie die Betroffenheitsprüfung strukturiert angehen und gleichzeitig die notwendigen ISMS-Dokumente, Risikoanalysen und Nachweisdokumente für das BSI erstellen möchten, lohnt sich der Einsatz spezialisierter NIS2-Compliance-Software. Moderne GRC-Plattformen (Governance, Risk & Compliance) helfen Ihnen dabei, die gesetzlichen Anforderungen systematisch zu erfassen, Maßnahmen zu tracken und die Dokumentation revisionssicher zu führen – von der ersten Betroffenheitsanalyse bis zum Nachweis gegenüber der Aufsichtsbehörde. Eine solche Lösung ist besonders wertvoll, wenn mehrere Abteilungen oder externe Dienstleister in den Compliance-Prozess eingebunden werden müssen.

Dieser Artikel wurde auf Basis des NIS2UmsuCG, des BSIG in der aktuellen Fassung sowie der ENISA-Leitlinien erstellt. Er dient der allgemeinen Information und ersetzt keine individuelle Rechts- oder Sicherheitsberatung.