NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 06. Oktober 2026 | Lesezeit: ca. 8 Minuten

Die NIS2-Richtlinie der Europäischen Union ist längst Realität im deutschen Unternehmensalltag. Mit der Umsetzung durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) und den Änderungen am BSI-Gesetz (BSIG) sind Tausende deutsche Unternehmen erstmals oder in erweitertem Umfang reguliert. Doch noch immer fragen sich viele Geschäftsführer und IT-Verantwortliche: Betrifft uns das überhaupt?

Diese Frage ist keine Kleinigkeit. Wer die eigene Betroffenheit falsch einschätzt – oder sie schlicht ignoriert –, riskiert empfindliche Bußgelder, Haftungsrisiken für die Geschäftsleitung und im Ernstfall einen Reputationsschaden, der weit schwerer wiegt als jede Geldstrafe. In diesem Artikel erfahren Sie, wie Sie die NIS2-Betroffenheitsprüfung für Ihr Unternehmen in Deutschland 2025 und 2026 systematisch durchführen, welche Kriterien entscheidend sind und welche konkreten Schritte jetzt folgen müssen.

Was regelt §3 NIS2UmsuCG? Die gesetzliche Grundlage im Überblick

Der §3 NIS2UmsuCG ist der zentrale Ausgangspunkt jeder Betroffenheitsprüfung. Er definiert, welche Einrichtungen als „wesentlich" oder „wichtig" einzustufen sind und damit dem Anwendungsbereich des Gesetzes unterfallen. Die Norm übernimmt die Systematik der EU-Richtlinie (EU) 2022/2555 und konkretisiert sie für den deutschen Rechtsraum.

Grundsätzlich gilt: Betroffene Einrichtungen müssen

1. einem der in Anlage 1 oder Anlage 2 des NIS2UmsuCG genannten Sektoren angehören,
2. bestimmte Größenschwellen überschreiten oder besondere Relevanz für die Versorgungssicherheit besitzen,
3. ihre Hauptniederlassung in der EU haben bzw. in Deutschland tätig sein.

Klingt überschaubar – ist es in der Praxis aber oft nicht, weil Lieferketten, Tochtergesellschaften und IT-Dienstleister die Zuordnung komplex machen.

Welche Sektoren sind betroffen? Anlage 1 und Anlage 2 im Detail

Anlage 1: Sektoren mit hoher Kritikalität (wesentliche Einrichtungen)

Die Anlage 1 des NIS2UmsuCG listet Sektoren auf, die als besonders kritisch für Staat und Gesellschaft eingestuft werden. Einrichtungen aus diesen Bereichen werden grundsätzlich als wesentliche Einrichtungen klassifiziert – vorausgesetzt, sie erfüllen die Größenkriterien:

Anlage 2: Sonstige kritische Sektoren (wichtige Einrichtungen)

Die Anlage 2 erfasst Sektoren, die ebenfalls reguliert werden, jedoch mit leicht abgestuften Anforderungen und einem anderen Aufsichtsregime:

Wichtiger Hinweis für den Mittelstand: Gerade das verarbeitende Gewerbe in Anlage 2 überrascht viele Unternehmer. Ein Maschinenbauunternehmen mit 200 Mitarbeitern und 25 Mio. € Umsatz kann sehr wohl unter NIS2 fallen – auch wenn es sich nicht als „kritische Infrastruktur" wahrnimmt.

Die Größenkriterien: Ab wann ist ein Unternehmen betroffen?

Sektorzugehörigkeit allein reicht nicht. Entscheidend sind die Größenschwellen, die sich an europäischen KMU-Definitionen orientieren:

Wesentliche Einrichtungen (Anlage 1)

• Große Unternehmen: Mehr als 250 Mitarbeiter oder Jahresumsatz über 50 Mio. € und Jahresbilanzsumme über 43 Mio. €
• Bei bestimmten Sektoren (z. B. digitale Infrastruktur, öffentliche Verwaltung) gilt die Größenschwelle nicht – hier ist die Zugehörigkeit zum Sektor allein ausschlaggebend.

Wichtige Einrichtungen (Anlage 2 und Teile von Anlage 1)

• Mittlere Unternehmen: Mehr als 50 Mitarbeiter oder Jahresumsatz bzw. Jahresbilanzsumme über 10 Mio. €

Sonderregelungen: Größenunabhängige Betroffenheit

Der Gesetzgeber hat in §3 NIS2UmsuCG explizit Ausnahmen von den Größenschwellen definiert. Folgende Einrichtungen sind unabhängig von ihrer Größe betroffen:

• Qualifizierte Vertrauensdiensteanbieter und Top-Level-Domain-Registrare
• Betreiber öffentlicher Telekommunikationsnetze
• Einrichtungen, die als einziger Anbieter eines systemrelevanten Dienstes in einem Mitgliedstaat agieren
• Einrichtungen, deren Ausfall erhebliche Auswirkungen auf die öffentliche Sicherheit, die öffentliche Ordnung oder die öffentliche Gesundheit hätte

Wesentliche vs. wichtige Einrichtungen: Was ist der Unterschied?

Die Unterscheidung ist nicht nur terminologisch, sondern hat direkte praktische Konsequenzen für Aufsicht, Meldepflichten und Haftung:

Interaktiver Selbsttest: Bin ich betroffen?

Führen Sie die folgende Checkliste für Ihr Unternehmen durch. Beantworten Sie jede Frage mit Ja oder Nein:

Schritt 1: Sektorzugehörigkeit

• [ ] Ist mein Unternehmen einem der Sektoren in Anlage 1 des NIS2UmsuCG zuzuordnen?
• [ ] Ist mein Unternehmen einem der Sektoren in Anlage 2 des NIS2UmsuCG zuzuordnen?
• [ ] Erbringt mein Unternehmen Dienstleistungen für Unternehmen in Anlage 1 oder Anlage 2 als kritischer Zulieferer?

Schritt 2: Größenprüfung

• [ ] Beschäftigt mein Unternehmen mehr als 250 Mitarbeiter?
• [ ] Liegt der Jahresumsatz über 50 Mio. € und die Bilanzsumme über 43 Mio. €?
• [ ] Beschäftigt mein Unternehmen mehr als 50 Mitarbeiter (bei Anlage-2-Zugehörigkeit)?
• [ ] Liegt der Jahresumsatz oder die Bilanzsumme über 10 Mio. € (bei Anlage-2-Zugehörigkeit)?

Schritt 3: Sondertatbestände

• [ ] Bin ich der einzige Anbieter eines systemkritischen Dienstes in Deutschland?
• [ ] Bin ich qualifizierter Vertrauensdiensteanbieter oder TLD-Registrar?
• [ ] Betreibe ich ein öffentliches Telekommunikationsnetz?

Auswertung: Wenn Sie in Schritt 1 mindestens eine Frage mit „Ja" beantwortet haben und in Schritt 2 die entsprechenden Schwellen überschreiten oder in Schritt 3 mindestens eine Frage mit „Ja" beantwortet haben, ist Ihr Unternehmen mit hoher Wahrscheinlichkeit von NIS2 betroffen. Eine abschließende rechtliche Einschätzung sollte durch einen qualifizierten Berater oder Rechtsanwalt erfolgen.

Konsequenzen bei Nichterfüllung: Bußgelder nach §65 BSIG

Wer die NIS2-Pflichten ignoriert, spielt mit dem Feuer. Das BSIG in seiner durch das NIS2UmsuCG novellierten Fassung sieht in §65 BSIG ein gestaffeltes Bußgeldregime vor, das sich an den Sanktionsmechanismen der DSGVO orientiert:

Bußgeldrahmen für wesentliche Einrichtungen

• Bis zu 10.000.000 € oder 2 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres – je nachdem, welcher Betrag höher ist.

Bußgeldrahmen für wichtige Einrichtungen

• Bis zu 7.000.000 € oder 1,4 % des gesamten weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist.

Persönliche Haftung der Geschäftsleitung (§38 BSIG)

Besonders gravierend: Gemäß §38 BSIG haftet die Geschäftsleitung persönlich für die Umsetzung der Risikomanagementmaßnahmen. Das bedeutet, dass Geschäftsführer, Vorstände und andere Leitungsorgane nicht nur für das Unternehmen, sondern auch mit ihrem Privatvermögen in die Pflicht genommen werden können. Eine Delegation auf die IT-Abteilung entbindet die Geschäftsleitung ausdrücklich nicht von ihrer Verantwortung.

Weitere Konsequenzen

• Anordnung von Maßnahmen durch das BSI (§61 BSIG)
• Veröffentlichung von Verstößen (Name-and-Shame-Mechanismus)
• Entzug von Zertifizierungen und Genehmigungen
• Erhebliche Reputationsschäden bei Kunden, Partnern und Investoren

7 konkrete Handlungsempfehlungen für Ihr Unternehmen

Wenn Sie nach der Betroffenheitsprüfung zum Ergebnis kommen, dass NIS2 für Sie relevant ist – oder wenn noch Unsicherheit besteht – sollten Sie jetzt handeln:

1. Betroffenheit formell dokumentieren: Führen Sie eine schriftliche Analyse durch, die Ihre Sektorzugehörigkeit und Größenmerkmale belegt oder widerlegt. Diese Dokumentation schützt Sie im Zweifelsfall.

2. Beim BSI registrieren: Betroffene Einrichtungen sind verpflichtet, sich in der BSI-Datenbank zu registrieren. Nutzen Sie das Online-Portal des BSI und halten Sie die Frist im Blick.

3. Gap-Analyse durchführen: Vergleichen Sie Ihre aktuellen Sicherheitsmaßnahmen mit den Anforderungen des §30 BSIG (technische und organisatorische Maßnahmen). Identifizieren Sie Lücken systematisch.

4. Incident-Response-Prozesse etablieren: Die Meldepflicht nach §32 BSIG sieht enge Fristen vor (Erstmeldung innerhalb von 24 Stunden bei erheblichen Sicherheitsvorfällen). Ohne Prozesse kommen Sie in Verzug.

5. Lieferkette prüfen: Auch wenn Sie selbst nicht direkt betroffen sind, können Sie als Zulieferer wesentlicher oder wichtiger Einrichtungen indirekt in die Pflicht genommen werden. Prüfen Sie Ihre Vertragsbeziehungen.

6. Geschäftsleitung schulen und einbinden: Angesichts der persönlichen Haftung nach §38 BSIG ist die Schulung und aktive Einbindung der Führungsebene keine Option, sondern Pflicht.

7. Externe Expertise hinzuziehen: Die Materie ist komplex, Rechts- und Branchenspezifika variieren stark. Ein erfahrener NIS2-Berater oder IT-Sicherheitsdienstleister kann erhebliche Zeit und Haftungsrisiken sparen.

Fazit: Jetzt handeln, bevor das BSI anklopft

Die NIS2-Betroffenheitsprüfung ist kein bürokratischer Selbstzweck – sie ist die Grundlage für alle weiteren Compliance-Maßnahmen. Wer nicht weiß, ob er betroffen ist, kann keine Sicherheitsmaßnahmen nach §30 BSIG umsetzen, keine Meldepflichten nach §32 BSIG erfüllen und keine Registrierung beim BSI vornehmen.

Ihre nächsten Schritte auf einen Blick:

• ✅ Sektorzugehörigkeit anhand von Anlage 1 und Anlage 2 NIS2UmsuCG prüfen
• ✅ Mitarbeiterzahl und Umsatzkennzahlen mit den Schwellenwerten abgleichen
• ✅ Sondertatbestände (§3 NIS2UmsuCG) berücksichtigen
• ✅ Ergebnis schriftlich dokumentieren
• ✅ Bei Betroffenheit: BSI-Registrierung veranlassen und Gap-Analyse starten
• ✅ Geschäftsleitung über persönliche Haftungspflichten (§38 BSIG) informieren

Die gute Nachricht: Wer strukturiert vorgeht, kann NIS2-Compliance nicht nur erreichen, sondern als Wettbewerbsvorteil nutzen – gegenüber Kunden, Partnern und im Rahmen von Ausschreibungen.

Ihre NIS2-Compliance effizient umsetzen

Die systematische Betroffenheitsprüfung ist der erste Schritt – doch danach folgen ISMS-Dokumentation, Risikoanalysen, Meldeprozesse und regelmäßige Audits. Spezialisierte NIS2-Compliance-Software kann diesen Prozess erheblich vereinfachen: Sie führt Sie strukturiert durch die Anforderungen des §30 BSIG, hilft beim Aufbau Ihres Informationssicherheits-Managementsystems (ISMS) und unterstützt bei der lückenlosen Dokumentation – die Sie im Fall einer BSI-Prüfung dringend benötigen. Informieren Sie sich über Tools, die speziell für den deutschen Mittelstand entwickelt wurden und die NIS2-Anforderungen praxisnah abbilden.

Dieser Artikel wurde sorgfältig recherchiert und basiert auf dem Stand der Gesetzgebung zum Zeitpunkt der Veröffentlichung (Oktober 2026). Er ersetzt keine individuelle Rechtsberatung. Bei konkreten Compliance-Fragen empfehlen wir die Konsultation eines spezialisierten Rechtsanwalts oder IT-Sicherheitsberaters.