NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 05. Oktober 2026 | Lesedauer: ca. 8 Minuten

Die NIS2-Richtlinie der Europäischen Union hat die Cybersicherheitslandschaft in Deutschland grundlegend verändert. Mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) und den entsprechenden Anpassungen im Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG) gilt seit 2024 ein deutlich erweiterter Pflichtenkatalog für tausende Unternehmen in Deutschland. Viele Geschäftsführer und IT-Verantwortliche stellen sich jedoch nach wie vor die entscheidende Frage: Ist mein Unternehmen überhaupt betroffen?

Dieser Artikel führt Sie Schritt für Schritt durch die NIS2-Betroffenheitsprüfung, erklärt die relevanten Sektoren, Schwellenwerte und Einrichtungskategorien – und zeigt auf, welche Konsequenzen eine Nichterfüllung der Pflichten nach sich zieht.

Was regelt §3 NIS2UmsuCG – und warum ist er der Ausgangspunkt jeder Betroffenheitsprüfung?

Der §3 NIS2UmsuCG definiert den persönlichen Anwendungsbereich des Gesetzes. Er legt fest, welche Einrichtungen als „wesentlich" oder „wichtig" einzustufen sind und damit den umfangreichen Sicherheitspflichten unterliegen. Ohne eine sorgfältige Lektüre dieser Norm tappt jedes Compliance-Team im Dunkeln.

Vereinfacht gesagt greift NIS2, wenn drei Bedingungen kumulativ erfüllt sind:

1. Das Unternehmen ist in einem der in Anlage 1 oder Anlage 2 des NIS2UmsuCG genannten Sektoren tätig.
2. Es überschreitet die gesetzlich definierten Größenschwellen (Mitarbeiteranzahl und/oder Jahresumsatz).
3. Die Einrichtung erbringt ihre Leistungen in Deutschland (Niederlassung oder wesentliche Auswirkungen auf den deutschen Markt).

Darüber hinaus gibt es größenunabhängige Ausnahmen: Kritische Infrastrukturen (KRITIS) nach §28 BSIG sowie bestimmte Einrichtungen der öffentlichen Verwaltung und Betreiber kritischer Anlagen fallen automatisch unter NIS2, unabhängig von ihrer Mitarbeiterzahl.

Sektor-Check: Anlage 1 und Anlage 2 im Überblick

Das NIS2UmsuCG unterscheidet zwischen hochkritischen Sektoren (Anlage 1) und sonstigen kritischen Sektoren (Anlage 2). Die Zuordnung bestimmt, ob Sie als wesentliche oder wichtige Einrichtung eingestuft werden – mit jeweils unterschiedlich strengen Anforderungen.

Anlage 1 – Hochkritische Sektoren (wesentliche Einrichtungen)

Anlage 2 – Sonstige kritische Sektoren (wichtige Einrichtungen)

Praxis-Hinweis: Gehört Ihr Unternehmen zu einer Unternehmensgruppe, sind die Schwellenwerte grundsätzlich auf Einzelunternehmensebene zu prüfen. Konzerntöchter mit eigenem Rechtsstatus können eigenständig betroffen sein.

Größenkriterien: Ab wann greift NIS2?

Neben der Sektorzugehörigkeit sind die Unternehmensgröße und der Jahresumsatz entscheidend. Das NIS2UmsuCG folgt der europäischen KMU-Definition und unterscheidet drei Kategorien:

Mittlere Unternehmen (Schwellenwert für wichtige Einrichtungen)

• ≥ 50 Mitarbeiter (Vollzeitäquivalente, VZÄ) ODER
• Jahresumsatz ≥ 10 Mio. Euro und Jahresbilanzsumme ≥ 10 Mio. Euro

Unternehmen dieser Größe in einem Anlage-2-Sektor gelten als wichtige Einrichtungen.

Große Unternehmen (Schwellenwert für wesentliche Einrichtungen)

• ≥ 250 Mitarbeiter ODER
• Jahresumsatz ≥ 50 Mio. Euro und Jahresbilanzsumme ≥ 43 Mio. Euro

Unternehmen dieser Größe in einem Anlage-1-Sektor gelten als wesentliche Einrichtungen. Große Unternehmen in Anlage-2-Sektoren können ebenfalls als wesentliche Einrichtungen eingestuft werden.

Größenunabhängige Betroffenheit

Bestimmte Einrichtungen unterliegen NIS2 unabhängig von ihrer Größe, darunter:
- Anbieter öffentlicher elektronischer Kommunikationsnetze
- Qualifizierte Vertrauensdiensteanbieter
- TLD-Namensregistrare und DNS-Dienste
- Einrichtungen, die als einzige Anbieter in einem Mitgliedstaat kritische Dienstleistungen erbringen
- Einrichtungen der Bundesverwaltung

Wesentliche vs. wichtige Einrichtungen: Der entscheidende Unterschied

Die Einstufung als wesentliche Einrichtung (Essential Entity, EE) oder wichtige Einrichtung (Important Entity, IE) ist nicht nur eine formale Frage – sie bestimmt die Intensität der Aufsicht und die Höhe möglicher Bußgelder.

Selbsttest: Ist Ihr Unternehmen von NIS2 betroffen?

Arbeiten Sie die folgenden Fragen der Reihe nach durch. Eine Antwort mit „Ja" führt jeweils zur nächsten Prüfebene:

Schritt 1 – Sektor-Check:
☐ Ist mein Unternehmen in einem der Sektoren aus Anlage 1 oder Anlage 2 des NIS2UmsuCG tätig?
→ Nein: Kein NIS2-Anwendungsbereich (Prüfung beendet)
→ Ja: Weiter mit Schritt 2

Schritt 2 – Größen-Check:
☐ Beschäftigt mein Unternehmen ≥ 50 Mitarbeiter (VZÄ)?
☐ Oder: Beträgt der Jahresumsatz UND die Bilanzsumme jeweils ≥ 10 Mio. Euro?
→ Beides Nein: Wahrscheinlich kein NIS2-Anwendungsbereich (Ausnahmen beachten!)
→ Eines Ja: Weiter mit Schritt 3

Schritt 3 – Einstufung:
☐ Anlage-1-Sektor + ≥ 250 MA oder ≥ 50 Mio. € Umsatz → Wesentliche Einrichtung
☐ Anlage-1-Sektor + 50–249 MA → Wichtige Einrichtung (ggf. wesentlich bei KRITIS-Relevanz)
☐ Anlage-2-Sektor + ≥ 50 MA oder ≥ 10 Mio. € → Wichtige Einrichtung

Schritt 4 – Größenunabhängige Prüfung:
☐ Bin ich Anbieter eines öffentlichen Kommunikationsnetzes?
☐ Bin ich qualifizierter Vertrauensdiensteanbieter?
☐ Bin ich einziger Anbieter eines kritischen Dienstes in Deutschland?
→ Eines Ja: Betroffenheit unabhängig von der Unternehmensgröße

Wichtig: Dieser Selbsttest ersetzt keine rechtliche Beratung. Bei Unklarheiten empfiehlt das BSI, das offizielle Registrierungsportal zu nutzen und im Zweifel einen auf IT-Recht spezialisierten Rechtsanwalt hinzuzuziehen.

Konsequenzen bei Nichterfüllung: Was droht nach §65 BSIG?

Wer die NIS2-Pflichten ignoriert, riskiert erhebliche Sanktionen. Der §65 BSIG sieht ein gestuftes Bußgeldsystem vor:

Für wesentliche Einrichtungen:

• Bis zu 10.000.000 Euro oder
• 2 % des gesamten weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist

Für wichtige Einrichtungen:

• Bis zu 7.000.000 Euro oder
• 1,4 % des gesamten weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist

Persönliche Haftung der Geschäftsführung:

Besonders kritisch für Geschäftsführer und Vorstände: Nach §38 BSIG können Leitungsorgane persönlich für die Umsetzung der Sicherheitspflichten haftbar gemacht werden. Bei grober Fahrlässigkeit oder Vorsatz ist eine persönliche Haftung nicht ausgeschlossen – auch ohne Entlastung durch das Unternehmen.

Das BSI hat seit Inkrafttreten des Gesetzes seine Aufsichtskapazitäten deutlich ausgebaut und führt aktiv Kontrollen durch. Die Aussage „Wir haben noch keine Probleme gehabt" ist kein Schutz vor Bußgeldern – entscheidend ist die nachweisbare Umsetzung der Anforderungen.

7 konkrete Handlungsempfehlungen für betroffene Unternehmen

Wenn Ihre Betroffenheitsprüfung ergeben hat, dass NIS2 für Sie gilt, sind folgende Schritte zeitnah umzusetzen:

1. Registrierung beim BSI durchführen: Wesentliche und wichtige Einrichtungen sind nach §33 BSIG verpflichtet, sich beim BSI zu registrieren. Nutzen Sie dafür das offizielle MELDE- und Informationsportal des BSI (MIP).

2. Risikomanagement etablieren: §30 BSIG fordert ein dokumentiertes Risikomanagementsystem für die Informationssicherheit. Basis sollte ein ISMS nach ISO/IEC 27001 oder dem BSI IT-Grundschutz sein.

3. Sicherheitsmaßnahmen nach Stand der Technik implementieren: §30 Abs. 2 BSIG nennt konkret: Konzepte für Risikoanalyse, Vorfallsbewältigung, Business Continuity, Lieferkettensicherheit, Verschlüsselung und Multi-Faktor-Authentifizierung.

4. Meldeprozesse definieren: §32 BSIG schreibt eine dreistufige Meldekaskade vor: Erstmeldung innerhalb von 24 Stunden nach Kenntnisnahme, Folgemeldung nach 72 Stunden, Abschlussmeldung nach einem Monat.

5. Lieferkette prüfen: §30 Abs. 2 Nr. 4 BSIG verpflichtet zur Berücksichtigung von Sicherheitsrisiken in der Lieferkette. Führen Sie Lieferantenbewertungen durch und passen Sie Verträge an.

6. Geschäftsführung schulen und einbinden: Die Leitungsorgane müssen nach §38 BSIG Schulungen zur Cybersicherheit absolvieren und die Umsetzung aktiv überwachen. Dokumentieren Sie diese Maßnahmen.

7. Regelmäßige Überprüfung und Audits planen: NIS2-Compliance ist kein einmaliges Projekt. Planen Sie jährliche interne Audits und bereiten Sie sich auf Nachweise gegenüber dem BSI vor.

Fazit: Betroffenheitsprüfung ist Pflicht – nicht Kür

Die NIS2-Betroffenheitsprüfung ist für Unternehmen in Deutschland kein optionaler Prozess, sondern der zwingend notwendige erste Schritt in Richtung Compliance. Wer die Frage „Bin ich betroffen?" nicht klar beantworten kann, riskiert nicht nur empfindliche Bußgelder nach §65 BSIG, sondern auch die persönliche Haftung der Geschäftsführung und – im Ernstfall – erhebliche Reputationsschäden.

Ihre nächsten Schritte auf einen Blick:

• ✅ Führen Sie den Selbsttest durch und dokumentieren Sie das Ergebnis schriftlich
• ✅ Holen Sie bei Unsicherheiten rechtliche Expertise ein
• ✅ Registrieren Sie sich beim BSI, sofern Betroffenheit festgestellt wurde
• ✅ Starten Sie unverzüglich mit dem Aufbau eines ISMS
• ✅ Überprüfen Sie Ihre Meldeprozesse auf NIS2-Konformität

Nächster Schritt: NIS2-Compliance systematisch managen

Wer die NIS2-Anforderungen nicht nur prüfen, sondern dauerhaft und nachweisbar erfüllen möchte, kommt um ein strukturiertes Compliance-Management nicht herum. Spezialisierte NIS2-Compliance-Softwarelösungen helfen dabei, Betroffenheitsanalysen zu dokumentieren, Risikobewertungen durchzuführen, Maßnahmenpläne zu verwalten und BSI-Meldungen fristgerecht vorzubereiten. Achten Sie bei der Auswahl auf Lösungen, die explizit auf die Anforderungen des BSIG und des NIS2UmsuCG ausgerichtet sind – und idealerweise eine Schnittstelle zur ISO 27001-Dokumentation bieten. Eine solche Lösung spart Ihrem Team wertvolle Zeit und schafft die Auditierbarkeit, die das BSI bei Kontrollen erwartet.

Dieser Artikel wurde auf Basis des NIS2UmsuCG, des BSIG in der aktuell geltenden Fassung sowie der offiziellen Orientierungshilfen des BSI erstellt. Für rechtlich verbindliche Einschätzungen wenden Sie sich bitte an einen qualifizierten Rechtsanwalt für IT-Recht.