NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 07. Oktober 2026 | Lesezeit: ca. 8 Minuten

Die NIS2-Richtlinie der Europäischen Union hat die Cybersicherheitslandschaft in Deutschland grundlegend verändert. Seit der Umsetzung durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) gilt: Wer betroffen ist, muss handeln – und zwar umfassend. Doch welche Unternehmen fallen tatsächlich unter die Regelungen? Genau diese Frage beantworten wir in diesem Leitfaden zur NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland 2025 und 2026.

Ob Sie Geschäftsführer eines mittelständischen Produktionsbetriebs, IT-Leiter eines Logistikdienstleisters oder Compliance-Verantwortlicher in einer Stadtverwaltung sind: Die folgende Analyse hilft Ihnen, Ihre Betroffenheit systematisch zu prüfen – bevor das BSI oder ein Bußgeld nach §65 BSIG es für Sie tut.

Was ist die NIS2-Betroffenheitsprüfung und warum ist sie so wichtig?

Die NIS2-Betroffenheitsprüfung ist der erste und entscheidende Schritt zur Compliance. Gemäß §3 NIS2UmsuCG sind Einrichtungen verpflichtet, selbstständig zu prüfen, ob sie unter den Anwendungsbereich des Gesetzes fallen. Das Prinzip der Selbstregistrierung bedeutet: Sie können sich nicht darauf verlassen, dass das BSI Sie aktiv anschreibt. Die Pflicht zur Identifikation liegt beim Unternehmen selbst.

Wer diese Prüfung versäumt oder ignoriert, riskiert nicht nur empfindliche Bußgelder – er verzichtet auch auf wertvolle Zeit, um Sicherheitsmaßnahmen umzusetzen, Lieferketten zu prüfen und Meldeprozesse zu etablieren.

Die drei Kernfragen der Betroffenheitsprüfung

Ob Ihr Unternehmen unter NIS2 fällt, hängt von drei zentralen Kriterien ab:

1. Gehört Ihr Unternehmen zu einem betroffenen Sektor?

Das NIS2UmsuCG unterscheidet zwei Kategorien von Sektoren, die in Anlage 1 (besonders wichtige Einrichtungen) und Anlage 2 (wichtige Einrichtungen) aufgeführt sind.

Anlage 1 – Sektoren mit hoher Kritikalität:

• Energie (Strom, Gas, Öl, Wärme, Wasserstoff)
• Verkehr (Luftfahrt, Bahn, Schifffahrt, Straße)
• Bankwesen und Finanzmarktinfrastruktur
• Gesundheitswesen (Krankenhäuser, Labore, Pharma)
• Trinkwasser und Abwasser
• Digitale Infrastruktur (DNS, TLD, Rechenzentren, Cloud)
• IKT-Dienstleistungsmanagement (Managed Service Provider)
• Öffentliche Verwaltung
• Weltraum

Anlage 2 – Sonstige kritische Sektoren:

• Post- und Kurierdienste
• Abfallwirtschaft
• Chemie
• Lebensmittelverarbeitung und -vertrieb
• Verarbeitendes Gewerbe / Industrie (u. a. Maschinenbau, Fahrzeugbau, Medizinprodukte)
• Digitale Dienste (Online-Marktplätze, Suchmaschinen, Social Networks)
• Forschungseinrichtungen

Wichtig: Auch wenn Ihr Kerngeschäft nicht in einem dieser Sektoren liegt, können Sie als Zulieferer oder Dienstleister für eine betroffene Einrichtung mittelbar in die Pflicht genommen werden – insbesondere durch Lieferkettenpflichten.

2. Erfüllt Ihr Unternehmen die Größenkriterien?

Das zweite Kriterium betrifft die Unternehmensgröße. Grundsätzlich gilt:

Wesentliche Einrichtungen (Anlage 1, große Unternehmen) sind Organisationen mit ≥ 250 Mitarbeitern und einem Umsatz von ≥ 50 Mio. Euro oder einer Bilanzsumme von ≥ 43 Mio. Euro.

Wichtige Einrichtungen (Anlage 2 sowie mittlere Unternehmen in Anlage 1) betreffen Unternehmen ab 50 Mitarbeitern mit entsprechenden Umsatz- oder Bilanzschwellen.

Ausnahmen ohne Größenkriterien: Bestimmte Einrichtungen fallen unabhängig von ihrer Größe unter NIS2, etwa:
- Anbieter öffentlicher elektronischer Kommunikationsnetze
- Qualifizierte Vertrauensdiensteanbieter
- TLD-Registries und DNS-Dienstleister
- Einrichtungen der öffentlichen Verwaltung auf Bundes- und Landesebene
- Betreiber kritischer Anlagen (KRITIS gemäß BSI-Gesetz)

3. Welche Rolle nimmt Ihre Organisation ein?

Neben Sektor und Größe spielt auch die funktionale Rolle Ihrer Organisation eine entscheidende Rolle. Das NIS2UmsuCG unterscheidet:

• Wesentliche Einrichtungen: Unterliegen strengeren Aufsichtsregimen, proaktiver BSI-Aufsicht und höheren Bußgeldrahmen (§65 BSIG: bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes).
• Wichtige Einrichtungen: Unterliegen reaktiver Aufsicht, aber dennoch umfangreichen Pflichten. Bußgelder können bis zu 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes betragen.

Selbsttest: Sind Sie von NIS2 betroffen?

Nutzen Sie die folgende Checkliste, um Ihre Betroffenheit in weniger als fünf Minuten einzuschätzen:

NIS2-Betroffenheits-Checkliste

Schritt 1: Sektorprüfung
- [ ] Mein Unternehmen ist in einem der Sektoren aus Anlage 1 oder Anlage 2 tätig
- [ ] Mein Unternehmen erbringt wesentliche Leistungen für einen dieser Sektoren

Schritt 2: Größenprüfung
- [ ] Wir beschäftigen 50 oder mehr Mitarbeiter (Vollzeitäquivalente)
- [ ] Unser Jahresumsatz oder unsere Bilanzsumme beträgt mindestens 10 Mio. Euro

Schritt 3: Sonderkategorien
- [ ] Wir sind Betreiber kritischer Infrastrukturen (KRITIS)
- [ ] Wir sind Anbieter öffentlicher Telekommunikationsnetze oder -dienste
- [ ] Wir sind Einrichtung der öffentlichen Verwaltung (Bund/Land)
- [ ] Wir sind qualifizierter Vertrauensdiensteanbieter

Auswertung:
- Schritt 1 UND Schritt 2 vollständig bejaht → Sie sind höchstwahrscheinlich betroffen
- Mindestens ein Punkt in Schritt 3 bejaht → Sie sind unabhängig von der Größe betroffen
- Kein Punkt zutrifft → Prüfen Sie dennoch Ihre Lieferkettenpflichten

Empfehlung des BSI: Nutzen Sie zusätzlich den offiziellen BETROFFENHEITSPRÜFER des BSI, der auf Basis von §3 NIS2UmsuCG entwickelt wurde und regelmäßig aktualisiert wird.

Wesentliche vs. wichtige Einrichtungen: Was sind die Unterschiede in der Praxis?

Die Unterscheidung zwischen wesentlichen und wichtigen Einrichtungen ist nicht nur eine bürokratische Kategorisierung – sie hat unmittelbare praktische Konsequenzen:

Ein oft unterschätzter Punkt: Auch Geschäftsführer und Vorstände haften persönlich für die Umsetzung der Cybersicherheitsmaßnahmen (§38 NIS2UmsuCG i. V. m. §65 BSIG). Die Delegation an die IT-Abteilung allein reicht nicht aus – die Unternehmensführung muss Cybersicherheit aktiv steuern und nachweisbar verfolgen.

Welche Pflichten ergeben sich nach der Betroffenheitsfeststellung?

Wer festgestellt hat, dass er unter NIS2 fällt, muss eine Reihe von Maßnahmen umsetzen:

Technische und organisatorische Maßnahmen (§30 NIS2UmsuCG)

• Risikoanalyse und Informationssicherheitskonzepte
• Maßnahmen zur Business Continuity und Krisenmanagement
• Sicherheit der Lieferkette (Supply Chain Security)
• Sicherheit beim Erwerb, Entwicklung und Betrieb von IT-Systemen
• Schulungen für Mitarbeiter und Führungskräfte
• Kryptografie und Multi-Faktor-Authentifizierung
• Sicherheit von Netz- und Informationssystemen (Patch-Management, Netzwerksegmentierung)

Meldepflichten (§32 NIS2UmsuCG)

Sicherheitsvorfälle müssen innerhalb von 24 Stunden als Frühwarnung und innerhalb von 72 Stunden als detaillierter Bericht an das BSI gemeldet werden. Ein Abschlussbericht folgt nach spätestens einem Monat.

Registrierungspflicht

Alle betroffenen Einrichtungen müssen sich aktiv beim BSI registrieren und relevante Kontakt- und Organisationsdaten hinterlegen. Dies ist über die BSI-Registrierungsplattform möglich.

Konsequenzen bei Nichterfüllung: Was droht bei Verstößen?

Viele Unternehmen unterschätzen das Sanktionsrisiko. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat seit Inkrafttreten des NIS2UmsuCG deutlich erweiterte Befugnisse erhalten:

• Anordnungsbefugnisse: Das BSI kann Maßnahmen zur Behebung von Sicherheitsmängeln direkt anordnen.
• Betriebsuntersagungen: Im Extremfall kann Führungspersonen vorübergehend die Ausübung ihrer Leitungsfunktion untersagt werden.
• Bußgelder nach §65 BSIG: Wie oben beschrieben, bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen.
• Reputationsschäden: Das BSI kann bei schwerwiegenden Verstößen öffentliche Bekanntmachungen veranlassen.

Hinzu kommen Haftungsrisiken nach DSGVO (Art. 32, 33 DSGVO), wenn ein Cyberangriff auf mangelnde Sicherheitsvorkehrungen zurückzuführen ist und personenbezogene Daten betroffen sind. Die Aufsichtsbehörden koordinieren sich zunehmend, was Doppelverfahren ermöglicht.

Konkrete Handlungsempfehlungen: So gehen Sie jetzt vor

1. Betroffenheit formal dokumentieren: Führen Sie die Prüfung nach §3 NIS2UmsuCG schriftlich durch und dokumentieren Sie Ihr Ergebnis mit Datum und Verantwortlichkeit – auch wenn Sie zu dem Schluss kommen, nicht betroffen zu sein.

2. BSI-Registrierung vornehmen: Registrieren Sie Ihre Einrichtung auf der BSI-Plattform und pflegen Sie Ihre Kontaktdaten aktuell. Eine veraltete Meldung kann als Pflichtverletzung gewertet werden.

3. Gap-Analyse durchführen: Vergleichen Sie Ihre bestehenden Sicherheitsmaßnahmen mit den Anforderungen aus §30 NIS2UmsuCG. Nutzen Sie dafür etablierte Frameworks wie ISO/IEC 27001 oder den BSI IT-Grundschutz.

4. Lieferkette analysieren: Prüfen Sie Ihre kritischen Dienstleister und Zulieferer auf deren Sicherheitsstandards – und fordern Sie entsprechende Nachweise an.

5. Meldeprozess etablieren: Entwickeln Sie einen internen Meldeprozess für Sicherheitsvorfälle, der die 24-Stunden-Frühwarnpflicht einhält. Benennen Sie einen verantwortlichen Ansprechpartner.

6. Führungskräfte schulen: Stellen Sie sicher, dass Geschäftsführung und Vorstand über ihre persönliche Haftung informiert sind und aktiv in die Cybersicherheits-Governance eingebunden werden.

7. Externe Expertise einbeziehen: Insbesondere für kleinere Unternehmen (50–250 MA) empfiehlt sich die Unterstützung durch NIS2-erfahrene Berater oder spezialisierte Managed Security Service Provider (MSSPs).

8. Compliance kontinuierlich überwachen: NIS2-Compliance ist kein einmaliges Projekt, sondern ein dauerhafter Prozess. Etablieren Sie regelmäßige Reviews und passen Sie Ihre Maßnahmen an neue Bedrohungslagen an.

Fazit: Betroffenheit prüfen – jetzt, nicht morgen

Die NIS2-Betroffenheitsprüfung ist keine bürokratische Pflichtübung, sondern der Startschuss für ein ernsthaftes Cybersicherheitsprogramm. Mit §3 NIS2UmsuCG hat der Gesetzgeber klargestellt: Die Initiative muss vom Unternehmen selbst kommen. Wer abwartet, riskiert nicht nur Bußgelder nach §65 BSIG in Millionenhöhe, sondern auch den Verlust des Vertrauens von Kunden, Partnern und Investoren im Falle eines vermeidbaren Sicherheitsvorfalls.

Ihre nächsten Schritte auf einen Blick:
- ✅ Sektorprüfung anhand Anlage 1 und 2 durchführen
- ✅ Größenkriterien (50+ MA, 10 Mio. €) prüfen und dokumentieren
- ✅ BSI-Registrierung veranlassen
- ✅ Gap-Analyse starten und Maßnahmen priorisieren
- ✅ Meldeprozesse für Sicherheitsvorfälle einrichten

Nächster Schritt: Compliance strukturiert angehen

Die Umsetzung von NIS2 erfordert eine Vielzahl von Dokumenten, Prozessen und Nachweisen – von der Risikoanalyse über die Lieferantenbewertung bis hin zum Incident-Response-Plan. Spezialisierte NIS2-Compliance-Softwarelösungen und ISMS-Plattformen können Ihnen dabei helfen, diese Anforderungen strukturiert zu erfassen, zu dokumentieren und nachzuweisen. Sie unterstützen bei der automatisierten Betroffenheitsprüfung, der Erstellung normenkonformer Richtlinien und dem kontinuierlichen Monitoring Ihres Sicherheitsstatus – und sparen dabei erheblichen manuellen Aufwand. Fragen Sie Ihren IT-Sicherheitsdienstleister nach Lösungen, die speziell auf die Anforderungen des NIS2UmsuCG und ISO 27001 ausgerichtet sind.

Quellen und Referenzen: NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), BSI-Gesetz (BSIG) in der aktuellen Fassung, ENISA NIS2-Leitfaden 2024, EU-Richtlinie 2022/2555 (NIS2), Datenschutz-Grundverordnung (DSGVO) Art. 32/33.