NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 03. Oktober 2026 | Lesedauer: ca. 8 Minuten

Die NIS2-Richtlinie ist längst keine abstrakte EU-Vorgabe mehr – sie ist in deutsches Recht gegossen und betrifft Tausende von Unternehmen, die sich möglicherweise noch gar nicht als betroffen einschätzen. Mit dem NIS2-Umsetzungsgesetz (NIS2UmsuCG) und den entsprechenden Änderungen am BSI-Gesetz (BSIG) gelten seit 2024 klare Pflichten für Betreiber kritischer und wichtiger Einrichtungen. Doch welche Unternehmen fallen tatsächlich darunter? Und was droht, wenn man die eigene Betroffenheit ignoriert?

Dieser Artikel führt Sie Schritt für Schritt durch die NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland – mit konkreten Kriterien, einem Selbsttest und klaren Handlungsempfehlungen für 2025 und darüber hinaus.

Was ist die NIS2-Richtlinie und warum ist sie relevant?

Die Network and Information Security Directive 2 (NIS2) der Europäischen Union wurde im Dezember 2022 verabschiedet und durch das NIS2UmsuCG in Deutschland in nationales Recht überführt. Kernstück der deutschen Umsetzung ist die Neufassung des BSI-Gesetzes, insbesondere §3 NIS2UmsuCG, der den Anwendungsbereich und die betroffenen Einrichtungen definiert.

Gegenüber der alten NIS1-Richtlinie hat sich der Kreis der betroffenen Unternehmen erheblich ausgeweitet: Statt einiger Hundert „Betreiber kritischer Infrastrukturen" (KRITIS) fallen nun schätzungsweise 30.000 bis 40.000 Unternehmen in Deutschland unter die neuen Regelungen. Für IT-Verantwortliche und Geschäftsführer ist es daher unerlässlich, die eigene Betroffenheit systematisch zu prüfen.

Die zwei entscheidenden Prüfstufen: Sektor und Größe

Die Betroffenheitsprüfung folgt einer klaren Logik: Ein Unternehmen unterliegt NIS2, wenn es gleichzeitig in einem relevanten Sektor tätig ist und bestimmte Größenschwellen überschreitet. Beide Kriterien müssen erfüllt sein.

Prüfstufe 1: Tätigkeit in einem regulierten Sektor

Das NIS2UmsuCG unterscheidet zwei Kategorien von Sektoren, die in Anlage 1 (hochkritische Sektoren) und Anlage 2 (sonstige kritische Sektoren) definiert sind.

Anlage 1 – Hochkritische Sektoren (§28 Abs. 1 BSIG)

Unternehmen in diesen Bereichen unterliegen den strengsten Anforderungen und werden als wesentliche Einrichtungen eingestuft:

• Energie (Strom, Gas, Öl, Fernwärme, Wasserstoff)
• Verkehr (Luftfahrt, Bahn, Schifffahrt, Straßenverkehr)
• Bankwesen (Kreditinstitute)
• Finanzmarktinfrastrukturen
• Gesundheitswesen (Krankenhäuser, Labore, Pharmaunternehmen)
• Trinkwasser und Abwasser
• Digitale Infrastruktur (IXPs, DNS, TLD-Registries, Rechenzentren, Cloud-Dienste)
• Verwaltung von IKT-Diensten (B2B-Managed Services, Managed Security Services)
• Öffentliche Verwaltung
• Weltraum (Betreiber von Bodeninfrastruktur)

Anlage 2 – Sonstige kritische Sektoren (§28 Abs. 2 BSIG)

Unternehmen hier werden in der Regel als wichtige Einrichtungen eingestuft:

• Post- und Kurierdienste
• Abfallbewirtschaftung
• Chemische Industrie (Produktion und Vertrieb)
• Lebensmittelindustrie (Produktion und Vertrieb im großen Maßstab)
• Verarbeitendes Gewerbe (Medizinprodukte, Elektronik, Maschinenbau, Fahrzeugbau)
• Digitale Anbieter (Online-Marktplätze, Online-Suchmaschinen, soziale Netzwerke)
• Forschungseinrichtungen

Prüfstufe 2: Überschreitung der Größenschwellen

Allein die Sektorzugehörigkeit reicht nicht aus. Zusätzlich müssen die Größenkriterien gemäß der EU-KMU-Definition erfüllt sein:

Wichtig: Für die Mitarbeiterzahl und den Umsatz zählen verbundene Unternehmen und Partnerunternehmen anteilig hinzu (gemäß Anhang I der EU-Empfehlung 2003/361/EG). Ein Tochterunternehmen eines großen Konzerns kann daher auch dann betroffen sein, wenn es für sich allein die Schwellen nicht überschreitet.

Wesentliche vs. wichtige Einrichtungen: Der Unterschied zählt

Die Einstufung als wesentliche oder wichtige Einrichtung hat erhebliche praktische Konsequenzen – insbesondere bei der Aufsicht und bei Sanktionen.

Wesentliche Einrichtungen

• Unterliegen proaktiver staatlicher Aufsicht durch das BSI
• Pflicht zur Registrierung beim BSI (§33 BSIG)
• Strengere und häufigere Prüfungen möglich
• Höhere Bußgeldobergrenzen (siehe unten)

Wichtige Einrichtungen

• Unterliegen reaktiver Aufsicht – das BSI wird primär bei Vorfällen tätig
• Ebenfalls registrierungspflichtig
• Geringere, aber dennoch empfindliche Bußgelder

Beide Kategorien teilen die grundlegenden Pflichten nach §30 BSIG: Risikomanagement, Sicherheitsmaßnahmen, Meldepflichten bei Sicherheitsvorfällen und Lieferkettensicherheit.

Selbsttest: Ist Ihr Unternehmen betroffen?

Nutzen Sie die folgende Checkliste für eine erste Einschätzung. Beantworten Sie jede Frage mit Ja oder Nein:

Schritt 1 – Sektorprüfung:
- [ ] Ist mein Unternehmen in einem der Sektoren aus Anlage 1 oder Anlage 2 des NIS2UmsuCG tätig?
- [ ] Erbringt mein Unternehmen Dienstleistungen für andere Unternehmen in regulierten Sektoren (z.B. als IT-Dienstleister, Managed Service Provider)?

Schritt 2 – Größenprüfung:
- [ ] Beschäftigt mein Unternehmen (inkl. verbundener Unternehmen) 50 oder mehr Mitarbeiter?
- [ ] Übersteigt der Jahresumsatz oder die Bilanzsumme 10 Millionen Euro?

Schritt 3 – Sonderfälle:
- [ ] Betreibe ich kritische digitale Infrastruktur (DNS, TLD, IXP, Rechenzentrum)?
- [ ] Bin ich qualifizierter Vertrauensdiensteanbieter nach eIDAS?

Auswertung:
- Schritt 1 Ja + Schritt 2 Ja → Sie sind wahrscheinlich betroffen. Vertiefte Prüfung und Rechtsberatung empfohlen.
- Schritt 3 irgendeine Antwort Ja → Betroffenheit unabhängig von der Größe sehr wahrscheinlich.
- Alle Nein → Aktuell keine direkte NIS2-Pflicht, aber: Prüfen Sie Ihre Lieferkette und Kundenbeziehungen.

Konsequenzen bei Nichterfüllung: Was droht wirklich?

Wer die eigene Betroffenheit ignoriert oder Pflichten nicht umsetzt, riskiert empfindliche Sanktionen. §65 BSIG regelt die Bußgeldtatbestände im Detail:

Bußgeldrahmen nach §65 BSIG

• Wesentliche Einrichtungen: Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (der höhere Wert gilt)
• Wichtige Einrichtungen: Bußgelder von bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes

Bußgeldrelevante Tatbestände umfassen unter anderem:
- Unterlassene oder verspätete Registrierung beim BSI
- Fehlende oder unzureichende Risikoanalyse
- Nicht gemeldete Sicherheitsvorfälle (Meldefrist: 24 Stunden für Erstmeldung, 72 Stunden für detaillierte Meldung)
- Unzureichende technische und organisatorische Maßnahmen

Neben Bußgeldern können Behörden bei wesentlichen Einrichtungen auch Geschäftsführern und Vorständen persönlich die Aufsicht oder Ausübung von Leitungsaufgaben untersagen (§61 Abs. 8 BSIG). Die persönliche Haftung der Unternehmensleitung ist damit ein zentrales Thema.

Handlungsempfehlungen: So gehen Sie jetzt vor

Wenn Sie die Betroffenheit Ihres Unternehmens für möglich oder wahrscheinlich halten, empfehlen wir folgende strukturierte Vorgehensweise:

1. Betroffenheitsanalyse dokumentieren: Erstellen Sie eine schriftliche Analyse, die Sektorzugehörigkeit, Mitarbeiterzahl, Umsatz und die Einbeziehung verbundener Unternehmen dokumentiert. Diese Dokumentation schützt im Zweifelsfall vor Vorwürfen grober Fahrlässigkeit.

2. Rechts- und Fachberatung einschalten: Beauftragen Sie einen auf IT-Recht und Cybersicherheit spezialisierten Anwalt oder Berater, um die Betroffenheit abschließend zu klären. Die Grenzfälle – insbesondere bei Tochtergesellschaften und Konzernstrukturen – sind komplex.

3. Registrierung beim BSI einleiten: Sowohl wesentliche als auch wichtige Einrichtungen sind verpflichtet, sich im BSI-Portal zu registrieren (§33 BSIG). Die Registrierungspflicht gilt unmittelbar nach Feststellung der Betroffenheit.

4. Gap-Analyse durchführen: Vergleichen Sie Ihre bestehenden Sicherheitsmaßnahmen mit den Mindestanforderungen des §30 BSIG: Risikoanalyse, Incident-Response, Business Continuity, Lieferkettenmanagement, Kryptografie, Zugangskontrolle und Schwachstellenmanagement.

5. ISMS aufbauen oder anpassen: Falls noch kein Informationssicherheits-Managementsystem (ISMS) vorhanden ist, sollte dieses aufgebaut werden – idealerweise auf Basis von ISO/IEC 27001 oder dem IT-Grundschutz des BSI, da diese Frameworks die NIS2-Anforderungen weitgehend abdecken.

6. Meldeprozesse definieren: Implementieren Sie klare interne Prozesse, um Sicherheitsvorfälle innerhalb der vorgeschriebenen Fristen an das BSI melden zu können. Die 24-Stunden-Frist für Erstmeldungen erfordert gut trainierte Incident-Response-Teams.

7. Lieferkette prüfen: Überprüfen Sie, ob Ihre IT-Dienstleister und kritischen Zulieferer selbst angemessene Sicherheitsstandards erfüllen. §30 Abs. 2 Nr. 4 BSIG verpflichtet Einrichtungen explizit zur Sicherheit in der Lieferkette.

8. Schulungen für Führungskräfte: §38 BSIG verpflichtet Leitungsorgane zur aktiven Beteiligung und schreibt Schulungen für Geschäftsführer und Vorstände vor. Ignorieren Sie diesen Punkt nicht – er ist explizit bußgeldbewehrt.

Häufige Missverständnisse in der Praxis

„Wir sind zu klein für NIS2." Falsch – bereits 50 Mitarbeiter und 10 Mio. € Umsatz reichen bei Sektorzugehörigkeit aus. Viele mittelständische Unternehmen unterschätzen dies.

„Wir sind kein KRITIS-Betreiber, also sind wir nicht betroffen." NIS2 geht deutlich über den alten KRITIS-Katalog hinaus. Auch Maschinenbauunternehmen, Lebensmittelproduzenten oder IT-Dienstleister können betroffen sein.

„Die Zuständigkeit liegt bei der IT-Abteilung." NIS2 ist Chefsache. Die persönliche Haftung der Unternehmensleitung ist im Gesetz verankert.

Fazit: Jetzt handeln, bevor Bußgelder drohen

Die NIS2-Betroffenheitsprüfung ist kein einmaliger Vorgang, sondern muss bei Unternehmensveränderungen – Wachstum, Akquisitionen, neue Geschäftsfelder – regelmäßig wiederholt werden. Für 2025 und darüber hinaus gilt: Unkenntnis schützt nicht vor Strafe.

Die wichtigsten nächsten Schritte im Überblick:
- Sektorzugehörigkeit und Größenkriterien schriftlich prüfen und dokumentieren
- BSI-Registrierung vornehmen (falls Betroffenheit festgestellt)
- Gap-Analyse der bestehenden Sicherheitsmaßnahmen gegen §30 BSIG
- ISMS aufbauen oder zertifizieren lassen
- Melde- und Notfallprozesse implementieren

Das BSI stellt auf seiner Website Orientierungshilfen und eine offizielle FAQ zur Betroffenheit bereit. Nutzen Sie diese Ressourcen als ersten Einstieg.

Nächster Schritt: Betroffenheit digital prüfen und ISMS-Dokumente erstellen

Die manuelle Prüfung und Dokumentation aller NIS2-Anforderungen ist aufwändig – besonders für Unternehmen ohne dediziertes Sicherheitsteam. Spezialisierte NIS2-Compliance-Softwarelösungen können dabei helfen, die Betroffenheitsprüfung strukturiert durchzuführen, eine Gap-Analyse automatisiert zu erstellen, ISMS-Dokumente gesetzeskonform zu generieren und Meldepflichten fristgerecht zu verwalten. Informieren Sie sich über Tools, die speziell auf die Anforderungen des BSIG und die deutschen NIS2-Umsetzungspflichten ausgerichtet sind – sie sparen Zeit und reduzieren das Risiko teurer Compliance-Lücken erheblich.

Dieser Artikel dient der allgemeinen Information und ersetzt keine Rechtsberatung. Bei konkreten Fragen zur NIS2-Betroffenheit Ihres Unternehmens wenden Sie sich an einen auf IT-Recht spezialisierten Rechtsanwalt oder an das BSI.