NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 08.10.2026 | Lesedauer: ca. 8 Minuten

Die NIS2-Richtlinie ist seit der Umsetzung durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in deutsches Recht überführt – und viele Unternehmen stehen noch immer vor der entscheidenden Frage: Bin ich eigentlich betroffen? Die Antwort hat weitreichende Konsequenzen: von Meldepflichten über technische Sicherheitsanforderungen bis hin zu empfindlichen Bußgeldern. Dieser Artikel führt Sie Schritt für Schritt durch die NIS2-Betroffenheitsprüfung und gibt IT-Verantwortlichen sowie Geschäftsführern in Deutschland eine klare Orientierung für 2025 und darüber hinaus.

Was ist die NIS2-Betroffenheitsprüfung – und warum ist sie so wichtig?

Die NIS2-Richtlinie der Europäischen Union (EU) 2022/2555) verpflichtet Mitgliedstaaten, Betreiber kritischer und wichtiger Infrastrukturen zu regulieren. In Deutschland wurde diese Richtlinie durch das NIS2UmsuCG in nationales Recht umgesetzt, das wesentliche Änderungen am BSI-Gesetz (BSIG) mit sich brachte.

Gemäß § 3 NIS2UmsuCG unterliegen Unternehmen der Regulierung, wenn sie bestimmte Sektorzugehörigkeiten und Größenkriterien erfüllen. Wer irrtümlicherweise davon ausgeht, nicht betroffen zu sein, riskiert nicht nur regulatorische Verstöße, sondern auch erhebliche finanzielle Sanktionen. Umgekehrt investieren manche Organisationen unnötigerweise in Compliance-Maßnahmen, weil sie ihre Betroffenheit falsch einschätzen.

Die NIS2-Betroffenheitsprüfung ist daher der erste und wichtigste Schritt auf dem Weg zur rechtssicheren Compliance.

Schritt 1: Sektorzugehörigkeit prüfen – Anlage 1 und Anlage 2

Das NIS2UmsuCG unterscheidet zwischen zwei Kategorien von Sektoren, die in Anlage 1 (hochkritische Sektoren) und Anlage 2 (weitere kritische Sektoren) definiert sind.

Anlage 1 – Hochkritische Sektoren (Wesentliche Einrichtungen)

Unternehmen in diesen Bereichen gelten potenziell als wesentliche Einrichtungen:

• Energie (Strom, Gas, Öl, Fernwärme, Wasserstoff)
• Verkehr (Luftfahrt, Bahn, Schifffahrt, Straßenverkehr)
• Bankwesen und Finanzmarktinfrastrukturen
• Gesundheitswesen (Krankenhäuser, Labore, Pharmaunternehmen)
• Trinkwasser und Abwasser
• Digitale Infrastruktur (DNS, TLD-Registries, Cloud-Dienste, Rechenzentren)
• IKT-Dienstemanagement (Managed Security Service Provider)
• Weltraum
• Öffentliche Verwaltung

Anlage 2 – Weitere kritische Sektoren (Wichtige Einrichtungen)

Diese Sektoren umfassen wichtige Einrichtungen:

• Post- und Kurierdienste
• Abfallwirtschaft
• Chemische Industrie
• Lebensmittelproduktion und -handel
• Verarbeitendes Gewerbe / Maschinenbau
• Digitale Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke)
• Forschungseinrichtungen

Praxis-Tipp: Schauen Sie nicht nur auf Ihre Haupttätigkeit. Unternehmen, die Dienstleistungen für kritische Sektoren erbringen (z. B. IT-Dienstleister für Krankenhäuser), können über Lieferkettenverpflichtungen indirekt betroffen sein.

Schritt 2: Größenkriterien nach NIS2 prüfen

Sektorzugehörigkeit allein reicht nicht aus. Entscheidend sind die Größenschwellen, die in § 3 NIS2UmsuCG in Verbindung mit den EU-Schwellenwerten festgelegt sind:

Wichtige Ausnahmen: Bestimmte Einrichtungen fallen unabhängig von ihrer Größe unter NIS2, darunter:

• Betreiber kritischer Anlagen (KRITIS) gemäß BSI-KritisV
• Qualifizierte Vertrauensdiensteanbieter
• TLD-Registries und DNS-Resolver-Betreiber
• Anbieter öffentlicher elektronischer Kommunikationsnetze

Schritt 3: Wesentliche vs. wichtige Einrichtung – Der Unterschied zählt

Die Klassifizierung Ihres Unternehmens hat direkte Auswirkungen auf die regulatorischen Anforderungen und die Höhe möglicher Bußgelder.

Wesentliche Einrichtungen (Essential Entities)

• Tätig in Sektoren der Anlage 1
• Große Unternehmen in diesen Sektoren sind automatisch wesentliche Einrichtungen
• Mittlere Unternehmen in bestimmten Teilsektoren (z. B. Trinkwasser, digitale Infrastruktur) können ebenfalls eingestuft werden
• Unterliegen proaktiver Aufsicht durch das BSI
• Maximales Bußgeld gemäß § 65 BSIG: bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes

Wichtige Einrichtungen (Important Entities)

• Tätig in Sektoren der Anlage 2
• Mittlere und große Unternehmen in diesen Sektoren
• Unterliegen reaktiver Aufsicht (BSI wird nur bei Vorfällen aktiv)
• Maximales Bußgeld gemäß § 65 BSIG: bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes

Selbsttest: Ist Ihr Unternehmen NIS2-pflichtig?

Beantworten Sie die folgenden Fragen ehrlich. Bei drei oder mehr "Ja"-Antworten sollten Sie dringend eine formelle Betroffenheitsanalyse durchführen.

Checkliste zur ersten Selbsteinschätzung:

• [ ] Ist mein Unternehmen in einem der Sektoren aus Anlage 1 oder Anlage 2 tätig?
• [ ] Beschäftigt mein Unternehmen 50 oder mehr Mitarbeiter?
• [ ] Liegt der Jahresumsatz bei 10 Millionen Euro oder mehr?
• [ ] Betreibe ich digitale Infrastrukturen, die andere Unternehmen nutzen?
• [ ] Erbringt mein Unternehmen kritische Dienstleistungen für öffentliche Einrichtungen?
• [ ] Bin ich als Zulieferer in kritischen Lieferketten tätig?
• [ ] Betreibt mein Unternehmen eigene Rechenzentren oder Cloud-Infrastrukturen?
• [ ] Bin ich als Managed Service Provider (MSP) oder Managed Security Service Provider (MSSP) tätig?

Hinweis: Dieser Selbsttest ersetzt keine rechtliche oder regulatorische Beratung. Für eine verbindliche Einschätzung empfiehlt sich die Konsultation eines NIS2-Fachberaters oder Rechtsanwalts sowie die direkte Kontaktaufnahme mit dem BSI.

Konsequenzen bei Nichterfüllung: Bußgelder nach § 65 BSIG

Die Zeiten unverbindlicher Compliance-Empfehlungen sind vorbei. Das BSIG sieht in § 65 ein gestaffeltes Sanktionssystem vor, das internationalen Standards entspricht und mit dem DSGVO-Bußgeldregime vergleichbar ist.

Konkrete Bußgeldrahmen nach § 65 BSIG:

Für wesentliche Einrichtungen:
- Verstöße gegen Risikomanagementpflichten: bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes (der höhere Wert gilt)
- Verstöße gegen Meldepflichten: bis zu 10 Mio. Euro

Für wichtige Einrichtungen:
- Verstöße gegen Risikomanagementpflichten: bis zu 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes

Besonders schwerwiegend: Gemäß § 65 Abs. 8 BSIG können Geschäftsführer und Vorstände persönlich haftbar gemacht werden. Die Haftung des Managements ist nicht auf das Unternehmensvermögen beschränkt – ein Novum im deutschen Cybersicherheitsrecht, das die persönliche Verantwortung der Führungsebene erheblich schärft.

Weitere Sanktionen umfassen:
- Öffentliche Bekanntmachung von Verstößen ("Naming and Shaming")
- Anordnungen zur Beseitigung festgestellter Mängel
- Untersagung der Ausübung von Leitungsaufgaben (bei wiederholten schwerwiegenden Verstößen)

7 konkrete Handlungsempfehlungen für Ihr Unternehmen

Wenn Sie nach der Selbsteinschätzung davon ausgehen, unter NIS2 zu fallen – oder wenn Sie sich unsicher sind – sollten Sie folgende Schritte umgehend einleiten:

1. Formelle Betroffenheitsanalyse durchführen: Beauftragen Sie eine strukturierte Analyse unter Berücksichtigung von Sektorzugehörigkeit, Größenkriterien und möglichen Ausnahmetatbeständen. Dokumentieren Sie das Ergebnis schriftlich.

2. Registrierung beim BSI prüfen: Betroffene Einrichtungen müssen sich beim BSI registrieren. Prüfen Sie, ob Ihre Registrierungspflicht bereits gilt, und nutzen Sie das BSI-Meldeportal.

3. Gap-Analyse gegen NIS2-Anforderungen: Vergleichen Sie Ihren aktuellen Sicherheitsstatus mit den Mindestanforderungen nach § 30 BSIG (Risikomanagement, Incident Response, Business Continuity, Supply-Chain-Sicherheit, Kryptografie etc.).

4. ISMS implementieren oder erweitern: Richten Sie ein Informationssicherheits-Managementsystem (ISMS) ein, idealerweise auf Basis von ISO/IEC 27001 oder BSI IT-Grundschutz. Beide Rahmenwerke decken die wesentlichen NIS2-Anforderungen strukturiert ab.

5. Meldeprozesse etablieren: NIS2 schreibt strenge Meldefristen vor: 24 Stunden für eine Erstmeldung nach einem erheblichen Sicherheitsvorfall, 72 Stunden für einen detaillierten Zwischenbericht und 30 Tage für den Abschlussbericht.

6. Lieferkettenmanagement aktivieren: Prüfen Sie Ihre Zulieferer und Dienstleister systematisch. NIS2 verlangt, dass auch die Sicherheitsmaßnahmen in der Lieferkette berücksichtigt werden – verankern Sie entsprechende Anforderungen in Verträgen.

7. Management sensibilisieren und schulen: Die persönliche Haftung der Geschäftsführung nach § 65 BSIG macht Cybersicherheit zur Chefsache. Führen Sie regelmäßige Schulungen durch und dokumentieren Sie die Teilnahme nachweisbar.

Häufige Irrtümer bei der NIS2-Betroffenheitsprüfung

Irrtum 1: "Wir sind zu klein für NIS2."
Viele Unternehmen unterschätzen, dass bereits 50 Mitarbeiter und 10 Millionen Euro Umsatz ausreichen. Zudem gibt es größenunabhängige Ausnahmen für bestimmte Dienste.

Irrtum 2: "Wir sind kein KRITIS-Betreiber, also gilt NIS2 nicht für uns."
NIS2 geht erheblich über die bisherige KRITIS-Regulierung hinaus und erfasst deutlich mehr Unternehmen – darunter viele Mittelständler aus dem verarbeitenden Gewerbe, der Lebensmittelbranche oder dem IKT-Bereich.

Irrtum 3: "Unsere IT-Abteilung ist zuständig – das Management muss sich nicht kümmern."
Falsch. § 38 BSIG verpflichtet das Management ausdrücklich zur Billigung und Überwachung der Risikomanagementmaßnahmen. Die persönliche Haftung ist gesetzlich verankert.

Irrtum 4: "Wir haben ISO 27001 – das reicht."
ISO 27001 ist eine solide Grundlage, deckt aber nicht alle NIS2-spezifischen Anforderungen vollständig ab, insbesondere im Bereich Meldepflichten und behördliche Aufsicht.

Fazit: Nächste Schritte zur NIS2-Compliance

Die NIS2-Betroffenheitsprüfung ist kein einmaliger Vorgang, sondern ein lebendiger Prozess: Unternehmen wachsen, Geschäftsmodelle ändern sich, neue Sektordefinitionen können Betroffenheit auslösen. Es empfiehlt sich, die Betroffenheit mindestens einmal jährlich zu überprüfen.

Ihre nächsten Schritte zusammengefasst:

1. Sektorzugehörigkeit anhand von Anlage 1 und Anlage 2 klären
2. Größenkriterien (Mitarbeiter, Umsatz, Bilanzsumme) überprüfen
3. Einrichtungsart (wesentlich vs. wichtig) bestimmen
4. Gap-Analyse gegenüber § 30 BSIG-Anforderungen durchführen
5. Registrierung beim BSI vornehmen
6. ISMS aufbauen und Meldeprozesse implementieren

Die Uhr tickt: Das BSI intensiviert seine Aufsichtstätigkeit, und erste Bußgeldverfahren nach § 65 BSIG haben in Deutschland bereits begonnen. Wer jetzt handelt, sichert sich nicht nur rechtliche Compliance, sondern stärkt die eigene Cyberresilienz nachhaltig.

Tools und nächste Schritte: NIS2-Compliance digital unterstützen

Die Betroffenheitsprüfung, Gap-Analyse und laufende Compliance-Dokumentation lassen sich durch spezialisierte NIS2-Compliance-Software erheblich vereinfachen. Moderne ISMS-Plattformen bieten integrierte Betroffenheitschecks, vorkonfigurierte Maßnahmenkatalooge nach § 30 BSIG, automatisierte Meldeworkflows und Audit-Trails für Behördenprüfungen. Prüfen Sie, ob eine solche Lösung für Ihre Organisation geeignet ist – viele Anbieter stellen kostenfreie Erstbewertungen oder Testzugänge zur Verfügung. Die Investition in digitale Compliance-Tools zahlt sich nicht nur regulatorisch, sondern auch wirtschaftlich aus: Sie reduzieren manuelle Aufwände, vermeiden Dokumentationslücken und können im Ernstfall gegenüber dem BSI Handlungsfähigkeit nachweisen.

Quellen: BSI-Gesetz (BSIG) in der Fassung des NIS2UmsuCG, NIS2-Richtlinie (EU) 2022/2555, BSI-Publikationen zur NIS2-Umsetzung, ENISA NIS2 Implementation Guidance 2024