NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 29. September 2026 | Lesezeit: ca. 8 Minuten

Die NIS2-Richtlinie ist längst kein Zukunftsthema mehr – sie ist geltendes Recht. Mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) hat Deutschland die europäische Direktive in nationales Recht überführt. Dennoch herrscht in vielen Unternehmen noch immer Unsicherheit: Bin ich überhaupt betroffen? Diese Frage ist nicht trivial – denn wer die NIS2-Betroffenheitsprüfung für sein Unternehmen in Deutschland versäumt, riskiert empfindliche Bußgelder nach § 65 BSIG. Dieser Artikel führt Sie systematisch durch die relevanten Kriterien, erklärt den Unterschied zwischen wesentlichen und wichtigen Einrichtungen und gibt Ihnen einen praxistauglichen Selbsttest an die Hand.

Was ist die NIS2-Betroffenheitsprüfung – und warum ist sie 2025 so wichtig?

Die NIS2-Richtlinie (EU 2022/2555) verpflichtet Unternehmen in kritischen und wichtigen Sektoren, ein Mindestmaß an Cybersicherheit sicherzustellen. In Deutschland wurde sie durch das NIS2UmsuCG umgesetzt. § 3 NIS2UmsuCG definiert dabei den Anwendungsbereich: Welche Einrichtungen als „wesentlich" oder „wichtig" einzustufen sind, hängt von zwei zentralen Faktoren ab – dem Sektor, in dem das Unternehmen tätig ist, und den Unternehmensgrößenkriterien.

Viele Unternehmen – insbesondere im Mittelstand – gehen davon aus, dass NIS2 nur Konzerne oder Betreiber kritischer Infrastrukturen betrifft. Das ist ein gefährlicher Irrtum. Die NIS2-Schwellenwerte sind deutlich niedriger angesetzt als noch bei der Vorgängerregelung, und die Zahl betroffener Unternehmen in Deutschland ist auf schätzungsweise 29.000 bis 40.000 Einrichtungen gestiegen.

Die Sektoren nach Anlage 1 und Anlage 2 des NIS2UmsuCG

Der erste Prüfschritt betrifft immer die Frage: In welchem Sektor ist mein Unternehmen tätig? Das NIS2UmsuCG unterscheidet zwischen zwei Kategorien von Sektoren, die in Anlage 1 und Anlage 2 des Gesetzes aufgeführt sind.

Anlage 1 – Sektoren mit hoher Kritikalität (für wesentliche Einrichtungen)

Anlage 2 – Sonstige kritische Sektoren (für wichtige Einrichtungen)

Hinweis: Allein die Zugehörigkeit zu einem dieser Sektoren reicht noch nicht aus – es müssen zusätzlich die Größenkriterien erfüllt sein.

Die Größenkriterien: Ab wann gilt NIS2 für Ihr Unternehmen?

Neben der Sektorzugehörigkeit müssen Unternehmen mindestens einen der folgenden Schwellenwerte überschreiten:

• ≥ 50 Mitarbeiter (Vollzeitäquivalente), oder
• ≥ 10 Millionen Euro Jahresumsatz, und gleichzeitig
• ≥ 10 Millionen Euro Jahresbilanzsumme

Für Unternehmen in Anlage-1-Sektoren gelten zusätzlich besondere Regelungen: Große Einrichtungen (≥ 250 Mitarbeiter oder ≥ 50 Mio. € Umsatz und ≥ 43 Mio. € Bilanzsumme) in Anlage-1-Sektoren fallen grundsätzlich als wesentliche Einrichtungen unter NIS2. Mittelgroße Unternehmen (50–249 Mitarbeiter) in Anlage-1-Sektoren sind in der Regel wesentliche oder wichtige Einrichtungen, abhängig vom Sektor.

Sonderregelungen ohne Größenschwelle

Es gibt Ausnahmen, bei denen kein Größenkriterium geprüft wird und das Unternehmen unabhängig von Mitarbeiterzahl oder Umsatz direkt als wesentliche Einrichtung eingestuft wird:

• Betreiber kritischer Anlagen (KRITIS) nach BSI-Gesetz
• Qualifizierte Vertrauensdiensteanbieter
• TLD-Register und DNS-Anbieter
• Anbieter öffentlicher elektronischer Kommunikationsnetze

Wesentliche vs. wichtige Einrichtungen: Der entscheidende Unterschied

Die Klassifikation als wesentliche Einrichtung (Essential Entity, EE) oder wichtige Einrichtung (Important Entity, IE) hat unmittelbare Auswirkungen auf die Anforderungen und die Höhe möglicher Bußgelder.

Beide Kategorien unterliegen weitgehend denselben Sicherheits- und Meldepflichten nach §§ 30–38 NIS2UmsuCG. Der wesentliche Unterschied liegt in der Aufsichtsintensität: Wesentliche Einrichtungen können jederzeit proaktiv durch das BSI geprüft werden, während wichtige Einrichtungen primär anlassbezogen kontrolliert werden.

NIS2-Selbsttest: Fällt Ihr Unternehmen unter die Richtlinie?

Nutzen Sie diese strukturierte Checkliste für eine erste Einschätzung Ihrer Betroffenheit. Bitte beachten Sie: Dieser Selbsttest ersetzt keine Rechtsberatung, bietet aber einen soliden Ausgangspunkt.

Schritt 1: Sektorzugehörigkeit prüfen

• [ ] Ist mein Unternehmen in einem der Sektoren der Anlage 1 des NIS2UmsuCG tätig?
• [ ] Ist mein Unternehmen in einem der Sektoren der Anlage 2 des NIS2UmsuCG tätig?
• [ ] Bin ich als Managed Service Provider (MSP) oder Cloud-Anbieter tätig?

Wenn keine Frage mit „Ja" beantwortet wurde: Ihr Unternehmen fällt wahrscheinlich nicht unter NIS2.

Schritt 2: Größenschwellen prüfen

• [ ] Beschäftigt mein Unternehmen 50 oder mehr Mitarbeiter?
• [ ] Beträgt der Jahresumsatz 10 Mio. € oder mehr?
• [ ] Beträgt die Jahresbilanzsumme 10 Mio. € oder mehr?

Wenn mindestens eine Frage mit „Ja" beantwortet wurde und Sie in einem relevanten Sektor tätig sind: NIS2-Betroffenheit wahrscheinlich.

Schritt 3: Sonderregelungen prüfen

• [ ] Bin ich als KRITIS-Betreiber nach dem BSIG eingestuft?
• [ ] Bin ich qualifizierter Vertrauensdiensteanbieter?
• [ ] Betreibe ich wesentliche DNS-Infrastruktur?

Wenn „Ja": Betroffenheit gilt unabhängig von der Unternehmensgröße.

Konsequenzen bei Nichterfüllung: Was droht bei Verstößen?

Wer die NIS2-Anforderungen ignoriert, handelt nicht nur fahrlässig gegenüber der eigenen Cybersicherheit – er riskiert erhebliche rechtliche Konsequenzen. § 65 BSIG sieht folgende Sanktionen vor:

Bußgelder nach § 65 BSIG

• Wesentliche Einrichtungen: Bis zu 10.000.000 Euro oder 2 % des weltweiten Jahresumsatzes (der höhere Betrag gilt)
• Wichtige Einrichtungen: Bis zu 7.000.000 Euro oder 1,4 % des weltweiten Jahresumsatzes
• Persönliche Haftung der Geschäftsleitung: § 38 NIS2UmsuCG verpflichtet Geschäftsführer und Vorstände persönlich zur Billigung und Überwachung der Umsetzung

Ein besonders kritischer Punkt: Das BSI kann nach § 64 BSIG öffentliche Bekanntmachungen über Verstöße erlassen – ein erheblicher Reputationsschaden für betroffene Unternehmen.

Weitere Konsequenzen

Neben Bußgeldern drohen bei nachgewiesenen Verstößen:

• Tätigkeitsverbote für Geschäftsführer und leitende Angestellte
• Zertifikatsentzug und Aussetzung von Betriebsgenehmigungen
• Schadensersatzforderungen von Kunden und Partnern bei Datenpannen
• Verlust von Aufträgen, insbesondere bei Unternehmen in der Lieferkette größerer Einrichtungen (Supply-Chain-Anforderungen nach § 30 Abs. 2 NIS2UmsuCG)

Konkrete Handlungsempfehlungen für betroffene Unternehmen

Wenn die Betroffenheitsprüfung ergibt, dass Ihr Unternehmen unter NIS2 fällt, sollten Sie unverzüglich handeln. Die folgenden Schritte sind priorisiert:

1. Registrierung beim BSI: Betroffene Einrichtungen sind verpflichtet, sich über das BSI-Portal (MELDEPLATTFORM) zu registrieren. Die Registrierungspflicht gilt gemäß § 33 NIS2UmsuCG.

2. Gap-Analyse durchführen: Vergleichen Sie den aktuellen Stand Ihrer Informationssicherheit mit den Anforderungen aus §§ 30–38 NIS2UmsuCG. Identifizieren Sie konkrete Lücken in den 10 Mindestmaßnahmen (u. a. Risikomanagement, Incident Response, Lieferkettenmanagement).

3. ISMS aufbauen oder anpassen: Ein Informationssicherheits-Managementsystem (ISMS) nach ISO/IEC 27001 oder BSI IT-Grundschutz ist die empfohlene Basis. Bestehende Systeme sollten auf NIS2-Konformität überprüft werden.

4. Meldeprozesse etablieren: NIS2 schreibt klare Fristen für Sicherheitsvorfälle vor: 24 Stunden für die Erstmeldung, 72 Stunden für die erste Bewertung, 1 Monat für den Abschlussbericht (§ 32 NIS2UmsuCG).

5. Lieferkette absichern: Überprüfen Sie Ihre wichtigsten Lieferanten und Dienstleister auf deren Sicherheitsstandards. Fordern Sie Nachweise und verankern Sie Sicherheitsanforderungen vertraglich.

6. Geschäftsleitung schulen: Da § 38 NIS2UmsuCG die persönliche Haftung von Geschäftsführern und Vorständen verankert, sind Schulungen zur Informationssicherheit für die Leitungsebene verpflichtend.

7. Dokumentation sicherstellen: Sämtliche Maßnahmen, Risikoanalysen und Vorfallsmeldungen müssen revisionssicher dokumentiert werden – sowohl für interne Zwecke als auch für mögliche BSI-Prüfungen.

8. Externe Beratung hinzuziehen: Besonders für kleinere Unternehmen empfiehlt sich die Zusammenarbeit mit zertifizierten IT-Sicherheitsberatern (z. B. CISM, CISSP) oder akkreditierten Prüfstellen.

Fazit: NIS2-Betroffenheitsprüfung ist der erste Schritt zur Compliance

Die NIS2-Betroffenheitsprüfung ist für Unternehmen in Deutschland 2025 keine optionale Übung – sie ist rechtlich geboten und geschäftskritisch. Wer die Frage „Falle ich unter NIS2?" nicht systematisch beantwortet, setzt sich dem Risiko hoher Bußgelder, Reputationsschäden und persönlicher Haftung der Geschäftsleitung aus.

Die gute Nachricht: Die Prüfung selbst ist überschaubar, wenn man die richtigen Kriterien kennt. Sektorzugehörigkeit prüfen, Größenschwellen abgleichen, Sonderregelungen berücksichtigen – dieser dreistufige Prozess führt zu einer verlässlichen Ersteinschätzung.

Ihre nächsten Schritte auf einen Blick:

• ✅ Sektorzugehörigkeit anhand Anlage 1/2 NIS2UmsuCG prüfen
• ✅ Mitarbeiterzahl, Umsatz und Bilanzsumme mit den Schwellenwerten abgleichen
• ✅ Bei Betroffenheit: sofortige Registrierung beim BSI
• ✅ Gap-Analyse und ISMS-Aufbau initiieren
• ✅ Meldeprozesse und Lieferkettenanforderungen dokumentieren

Nächster Schritt: Compliance-Prozess digital unterstützen

Die Komplexität der NIS2-Anforderungen macht deutlich: Manuelle Tabellenkalkulationen und PDF-Checklisten reichen nicht aus, um dauerhaft konform zu bleiben. Spezialisierte NIS2-Compliance-Softwarelösungen helfen Ihnen dabei, die Betroffenheitsprüfung zu dokumentieren, Risikobewertungen strukturiert durchzuführen, Meldepflichten fristgerecht zu erfüllen und Ihre ISMS-Dokumentation BSI-konform zu verwalten. Tools wie compliance-orientierte ISMS-Plattformen unterstützen Sie zudem dabei, Nachweise für BSI-Audits revisionssicher zu archivieren und die verpflichtende Schulungsdokumentation für die Geschäftsleitung nach § 38 NIS2UmsuCG zu führen. Fragen Sie bei Ihrem IT-Sicherheitsdienstleister nach Lösungen, die speziell auf die Anforderungen des NIS2UmsuCG zugeschnitten sind – und starten Sie noch heute mit einer strukturierten Betroffenheitsanalyse.

Quellen: BSI (Bundesamt für Sicherheit in der Informationstechnik), NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), BSIG (BSI-Gesetz), EU-Richtlinie 2022/2555 (NIS2), ENISA Threat Landscape Report 2024/2025