NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 30. September 2026 | Lesedauer: ca. 8 Minuten

Die NIS2-Richtlinie der Europäischen Union ist seit der Umsetzung ins deutsche Recht durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) für tausende Unternehmen in Deutschland verbindlich. Doch eine der häufigsten Fragen, die IT-Verantwortliche und Geschäftsführer stellen, lautet nach wie vor: Bin ich überhaupt betroffen?

Die Antwort darauf ist entscheidend – denn wer die Betroffenheit falsch einschätzt und notwendige Maßnahmen versäumt, riskiert empfindliche Bußgelder nach §65 BSIG in Höhe von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes. Diese NIS2-Betroffenheitsprüfung für Deutschland 2025 und 2026 zeigt Ihnen systematisch, wie Sie vorgehen.

Was regelt §3 NIS2UmsuCG?

Die zentrale Norm für die Betroffenheitsprüfung ist §3 NIS2UmsuCG, der den Anwendungsbereich des Gesetzes definiert. Er legt fest, welche Einrichtungstypen, Sektoren und Größenklassen unter die Regelungen fallen. Grundsätzlich unterscheidet das Gesetz zwischen:

• Wesentlichen Einrichtungen (essential entities)
• Wichtigen Einrichtungen (important entities)

Beide Kategorien unterliegen umfangreichen Pflichten in den Bereichen Risikomanagement, Meldewesen und Sicherheitsmaßnahmen – jedoch mit unterschiedlichen Aufsichts- und Bußgeldregimen.

Schritt 1: Gehört Ihr Sektor zu Anlage 1 oder Anlage 2?

Der erste Prüfschritt betrifft die sektorale Zugehörigkeit Ihres Unternehmens. Das NIS2UmsuCG unterscheidet zwei Anlagen:

Anlage 1 – Sektoren mit hoher Kritikalität

Diese Sektoren gelten als besonders kritisch für das Funktionieren von Wirtschaft und Gesellschaft:

Unternehmen aus diesen Sektoren werden – sofern die Größenkriterien erfüllt sind – in der Regel als wesentliche Einrichtungen eingestuft.

Anlage 2 – Sonstige kritische Sektoren

Unternehmen aus Anlage 2 werden typischerweise als wichtige Einrichtungen klassifiziert.

Wichtiger Hinweis: Einige Organisationen können unabhängig von ihrer Größe als wesentliche Einrichtungen gelten – etwa wenn sie als einziger Anbieter eines kritischen Dienstes in einem Mitgliedstaat fungieren oder bei Ausfall erhebliche Auswirkungen auf die öffentliche Sicherheit hätten.

Schritt 2: Erfüllen Sie die Größenkriterien?

Der zweite Prüfschritt betrifft die Unternehmensgröße. NIS2 orientiert sich an den EU-Schwellenwerten für KMU. Grundsätzlich gilt:

Größenklassen im Überblick

Für die NIS2-Betroffenheit gilt: Unternehmen mit 50 oder mehr Mitarbeitern und einem Jahresumsatz oder einer Bilanzsumme von mindestens 10 Millionen Euro fallen grundsätzlich unter die Regelungen – sofern sie in einem der genannten Sektoren tätig sind.

Kleinere Unternehmen können dennoch betroffen sein, wenn sie:
- als Betreiber kritischer Infrastruktur (KRITIS) eingestuft wurden,
- als einziger nationaler Anbieter eines wesentlichen Dienstes agieren,
- von der zuständigen Behörde (BSI) explizit benannt wurden.

Schritt 3: Wesentliche oder wichtige Einrichtung?

Die Unterscheidung zwischen wesentlichen und wichtigen Einrichtungen hat praktische Konsequenzen für Aufsicht und Sanktionen:

Wesentliche Einrichtungen

• Sektoren aus Anlage 1
• Großunternehmen (≥ 250 MA oder ≥ 50 Mio. € Umsatz)
• Unterliegen proaktiver Aufsicht durch das BSI
• Bußgelder bis zu 10 Mio. € oder 2 % des weltweiten Umsatzes (§65 Abs. 1 BSIG)

Wichtige Einrichtungen

• Sektoren aus Anlage 1 und 2 (mittlere Unternehmen aus Anlage 1, alle Größen aus Anlage 2)
• Unterliegen reaktiver Aufsicht (BSI wird erst bei Hinweisen tätig)
• Bußgelder bis zu 7 Mio. € oder 1,4 % des weltweiten Umsatzes (§65 Abs. 2 BSIG)

Interaktiver Selbsttest: Bin ich von NIS2 betroffen?

Nutzen Sie die folgende Checkliste für eine erste Einschätzung Ihrer Betroffenheit. Beantworten Sie jede Frage mit Ja oder Nein:

Selbsttest-Checkliste NIS2-Betroffenheit

Auswertung:
- Fragen 1–4 alle mit Ja: Sie sind höchstwahrscheinlich als wesentliche oder wichtige Einrichtung einzustufen – handeln Sie jetzt.
- Fragen 1, 2 und 5 mit Ja, aber 3 oder 4 mit Nein: Prüfen Sie, ob Sonderregelungen für Ihr Unternehmen gelten.
- Frage 1 oder 2 mit Nein: Aktuell wahrscheinlich nicht direkt betroffen – beobachten Sie jedoch die Entwicklung des Sektorenkatalogs.

Achtung: Dieser Selbsttest ersetzt keine rechtliche Prüfung. Ziehen Sie im Zweifel einen spezialisierten Rechtsanwalt oder IT-Sicherheitsberater hinzu.

Welche Pflichten entstehen bei Betroffenheit?

Sobald die Betroffenheit festgestellt ist, entstehen umfangreiche Pflichten. Die wichtigsten im Überblick:

Registrierungspflicht

Betroffene Einrichtungen müssen sich beim BSI registrieren. Das BSI hat hierfür eine digitale Meldeplattform eingerichtet. Die Registrierung ist Voraussetzung für die Erfüllung weiterer Pflichten.

Technische und organisatorische Maßnahmen (§30 BSIG)

Dazu zählen unter anderem:
- Risikoanalyse und Sicherheitskonzepte
- Incident Response und Business Continuity Management
- Supply-Chain-Sicherheit
- Einsatz von Kryptografie und Multi-Faktor-Authentifizierung
- Schulung und Sensibilisierung der Mitarbeiter

Meldepflichten (§32 BSIG)

Erhebliche Sicherheitsvorfälle müssen innerhalb von 24 Stunden (Erstmeldung) und 72 Stunden (detaillierte Meldung) an das BSI gemeldet werden.

Managementverantwortung (§38 BSIG)

Geschäftsführer und Vorstände sind persönlich verantwortlich für die Umsetzung der NIS2-Maßnahmen und können bei Verstößen persönlich haftbar gemacht werden.

Konsequenzen bei Nichterfüllung: Bußgelder nach §65 BSIG

Wer die Betroffenheit ignoriert oder notwendige Maßnahmen nicht umsetzt, riskiert erhebliche Sanktionen:

Bußgeldrahmen im Überblick

Darüber hinaus kann das BSI bei wesentlichen Einrichtungen temporäre Betriebsuntersagungen aussprechen und die Zulassung von Führungspersonen widerrufen – eine Maßnahme, die in der Praxis einer erheblichen Reputationsschädigung gleichkommt.

Hinzu kommen mögliche zivilrechtliche Schadensersatzansprüche Dritter, wenn durch einen Sicherheitsvorfall infolge von NIS2-Verstößen Dritte geschädigt werden.

7 konkrete Handlungsempfehlungen für Unternehmen

1. Betroffenheit dokumentieren: Führen Sie eine schriftliche Analyse durch, die auf §3 NIS2UmsuCG gestützt ist und Ihre Sektorzugehörigkeit sowie Unternehmensgrößen belegt oder widerlegt.

2. Beim BSI registrieren: Sofern Betroffenheit festgestellt wurde, registrieren Sie Ihr Unternehmen unverzüglich über das BSI-Portal. Versäumte Registrierungen sind bereits bußgeldbewehrt.

3. Gap-Analyse durchführen: Vergleichen Sie Ihre aktuellen Sicherheitsmaßnahmen mit den Anforderungen aus §30 BSIG und identifizieren Sie Lücken.

4. ISMS aufbauen oder anpassen: Implementieren Sie ein Informationssicherheits-Managementsystem (ISMS) nach ISO 27001 oder BSI IT-Grundschutz als Grundlage für die NIS2-Compliance.

5. Meldeprozesse einrichten: Definieren Sie klare interne Prozesse für die Erkennung und Meldung von Sicherheitsvorfällen innerhalb der gesetzlichen 24/72-Stunden-Fristen.

6. Lieferkette überprüfen: Analysieren Sie Ihre wichtigsten Zulieferer und Dienstleister auf deren Sicherheitsniveau – NIS2 verlangt explizit Supply-Chain-Sicherheit.

7. Geschäftsführung schulen: Sensibilisieren Sie Ihr Management für die persönliche Haftung nach §38 BSIG. NIS2-Compliance ist Chefsache.

Fazit: Jetzt handeln, bevor Bußgelder drohen

Die NIS2-Betroffenheitsprüfung ist kein einmaliger Akt, sondern ein kontinuierlicher Prozess – denn Unternehmen wachsen, Sektordefinitionen können sich ändern, und neue Tochtergesellschaften können die Größenschwellen verschieben. Führen Sie die Prüfung mindestens einmal jährlich durch und dokumentieren Sie das Ergebnis sorgfältig.

Die gute Nachricht: Wer systematisch vorgeht, die Betroffenheit klar bestimmt und ein funktionsfähiges ISMS implementiert, ist gut aufgestellt – sowohl gegenüber dem BSI als auch im Ernstfall eines Cyberangriffs.

Ihre nächsten Schritte auf einen Blick:
- ✅ Selbsttest aus diesem Artikel durchführen und schriftlich dokumentieren
- ✅ Sektor- und Größenzugehörigkeit gemäß §3 NIS2UmsuCG rechtssicher prüfen
- ✅ BSI-Registrierung veranlassen (falls noch nicht erfolgt)
- ✅ Gap-Analyse gegenüber §30 BSIG starten
- ✅ ISMS-Projekt aufsetzen oder bestehendes System auf NIS2 ausrichten

Tipp: NIS2-Compliance-Software nutzen

Die Betroffenheitsprüfung, Gap-Analyse und laufende Dokumentation von Sicherheitsmaßnahmen lassen sich heute mit spezialisierten NIS2-Compliance-Softwarelösungen erheblich vereinfachen. Moderne Tools führen Sie strukturiert durch die gesetzlichen Anforderungen, helfen bei der Erstellung gesetzlich geforderter Dokumente (Risikoanalysen, Notfallkonzepte, Lieferantenbewertungen) und erinnern an Fristen wie die 24-Stunden-Meldepflicht. Wenn Sie noch kein dediziertes Tool einsetzen, lohnt sich ein Vergleich verfügbarer ISMS- und Compliance-Plattformen – viele bieten speziell auf NIS2 und BSI IT-Grundschutz zugeschnittene Module an. Eine solche Lösung kann nicht nur den Aufwand für Ihr Team deutlich reduzieren, sondern im Prüfungsfall auch die lückenlose Nachweisbarkeit Ihrer Compliance-Maßnahmen gegenüber dem BSI sicherstellen.

Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für eine verbindliche Einschätzung Ihrer NIS2-Betroffenheit empfehlen wir die Konsultation eines auf IT-Recht spezialisierten Rechtsanwalts sowie die offiziellen Informationsangebote des BSI unter www.bsi.bund.de.