NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 10. Oktober 2026 | Lesezeit: ca. 9 Minuten

Die NIS2-Richtlinie ist längst kein theoretisches Konstrukt mehr – sie ist geltendes Recht in Deutschland. Mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) wurde die europäische Richtlinie in nationales Recht überführt, und §3 NIS2UmsuCG definiert präzise, welche Unternehmen und Einrichtungen unter die Regulierung fallen. Dennoch herrscht in vielen Geschäftsführungen und IT-Abteilungen noch immer Unsicherheit: Bin ich überhaupt betroffen?

Dieser Artikel liefert Ihnen eine strukturierte NIS2-Betroffenheitsprüfung für Ihr Unternehmen in Deutschland – mit Sektoren, Größenkriterien, einem praktischen Selbsttest und den konkreten Konsequenzen, wenn Sie die Prüfung ignorieren.

Warum die Betroffenheitsprüfung 2025 so wichtig ist

Viele Unternehmen haben den Irrtum begangen zu glauben, NIS2 betreffe nur Konzerne oder kritische Infrastruktur im klassischen Sinne – also Stromversorger oder Krankenhäuser. Die Realität ist eine andere: Im Vergleich zur Vorgängerrichtlinie NIS1 hat NIS2 den Anwendungsbereich drastisch erweitert. Die ENISA schätzt, dass europaweit rund 160.000 Einrichtungen neu in den Regelungsbereich gefallen sind.

In Deutschland hat das BSI den Kreis der betroffenen Stellen erheblich ausgeweitet. Wer die Betroffenheitsprüfung versäumt oder falsch bewertet, riskiert nicht nur Bußgelder in Millionenhöhe, sondern auch Reputationsschäden und – im schlimmsten Fall – persönliche Haftung der Geschäftsleitung nach §38 NIS2UmsuCG.

Die zwei Prüfebenen: Sektor und Größe

Die Betroffenheit nach §3 NIS2UmsuCG ergibt sich aus dem Zusammenspiel von zwei Kriterien: dem Sektor, in dem Ihr Unternehmen tätig ist, und der Unternehmensgröße. Beide Kriterien müssen gleichzeitig erfüllt sein – es reicht nicht, nur in einem relevanten Sektor tätig zu sein.

Prüfebene 1: Gehört Ihr Unternehmen zu einem betroffenen Sektor?

Das NIS2UmsuCG unterscheidet zwei Kategorien von Sektoren, die in Anlage 1 (besonders wichtige Einrichtungen) und Anlage 2 (wichtige Einrichtungen) aufgelistet sind.

Anlage 1 – Sektoren mit besonders wichtigen Einrichtungen (High Criticality)

Anlage 2 – Sektoren mit wichtigen Einrichtungen

Praxis-Hinweis: Die Sektorzugehörigkeit bestimmt sich nach Ihrer Haupttätigkeit. Unternehmen mit mehreren Geschäftsbereichen sollten prüfen, ob ein wesentlicher Teil der Tätigkeit in einen der genannten Sektoren fällt.

Prüfebene 2: Erfüllt Ihr Unternehmen die Größenkriterien?

Ein Sektorbezug allein genügt nicht. Zusätzlich müssen die Schwellenwerte der EU-Empfehlung 2003/361/EG erfüllt sein, auf die das NIS2UmsuCG ausdrücklich verweist:

• Mittelgroße Unternehmen: ≥ 50 Mitarbeiter (Vollzeitäquivalente) oder ≥ 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme ≥ 10 Millionen Euro
• Große Unternehmen: ≥ 250 Mitarbeiter oder ≥ 50 Millionen Euro Jahresumsatz und ≥ 43 Millionen Euro Jahresbilanzsumme

Wichtig: Bei verbundenen Unternehmen oder Partnerunternehmen werden die Kennzahlen unter Umständen konsolidiert berechnet. Eine 100-prozentige Tochtergesellschaft mit 30 Mitarbeitern kann trotzdem betroffen sein, wenn die Muttergesellschaft die Schwellenwerte überschreitet.

Ausnahmen von den Größenkriterien

Einige Einrichtungen fallen unabhängig von ihrer Größe unter NIS2, sofern sie in bestimmten kritischen Sektoren tätig sind:

• Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste
• Qualifizierte Vertrauensdiensteanbieter und TLD-Registries
• Einrichtungen, die als einzige in einem Mitgliedstaat einen kritischen Dienst erbringen
• Kritische Anlagen gemäß KRITIS-Dachgesetz

Wesentliche vs. wichtige Einrichtungen: Was ist der Unterschied?

Die Einstufung als wesentliche Einrichtung (Essential Entity, EE) oder wichtige Einrichtung (Important Entity, IE) hat erhebliche Auswirkungen auf die aufsichtsrechtlichen Pflichten und das Haftungsrisiko.

Selbsttest: Bin ich von NIS2 betroffen?

Nutzen Sie die folgende Checkliste für eine erste Einschätzung. Dies ersetzt keine rechtliche Beratung, gibt aber eine schnelle Orientierung.

Schritt 1: Sektorzugehörigkeit

• [ ] Mein Unternehmen ist in einem der Sektoren aus Anlage 1 tätig
• [ ] Mein Unternehmen ist in einem der Sektoren aus Anlage 2 tätig
• [ ] Mein Unternehmen ist Managed Service Provider oder MSSP (→ automatisch Anlage 1)

Schritt 2: Unternehmensgrößen

• [ ] Wir beschäftigen 50 oder mehr Mitarbeiter (Vollzeitäquivalente)
• [ ] Unser Jahresumsatz beträgt 10 Millionen Euro oder mehr
• [ ] Unsere Jahresbilanzsumme beträgt 10 Millionen Euro oder mehr
• [ ] Wir gehören zu einem Konzernverbund, der diese Schwellen überschreitet

Schritt 3: Sonderregelungen

• [ ] Wir sind der einzige Anbieter eines kritischen Dienstes in Deutschland
• [ ] Wir betreiben Telekommunikationsinfrastruktur
• [ ] Wir sind eine Bundesbehörde oder nachgeordnete Behörde

Auswertung:
- Mindestens ein Häkchen in Schritt 1 und mindestens ein Häkchen in Schritt 2 (oder ein Häkchen in Schritt 3): → Sie sind höchstwahrscheinlich von NIS2 betroffen.
- Kein Häkchen in Schritt 1 oder kein Häkchen in Schritt 2: → Aktuell keine direkte NIS2-Pflicht, aber prüfen Sie Ihre Lieferkettenverpflichtungen gegenüber betroffenen Auftraggebern.

Was passiert, wenn Sie NIS2 ignorieren? – Bußgelder und Haftung

Die Konsequenzen einer unterlassenen NIS2-Compliance sind gravierend. Das BSI als zuständige nationale Aufsichtsbehörde hat weitreichende Befugnisse erhalten:

Bußgelder nach §65 BSIG

• Wesentliche Einrichtungen: Bußgelder bis zu 10 Millionen Euro oder 2 % des gesamten weltweiten Jahresumsatzes des Unternehmens (der jeweils höhere Betrag gilt)
• Wichtige Einrichtungen: Bußgelder bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes
• Individuelle Verstöße (z. B. fehlende Meldung eines Sicherheitsvorfalls): Bußgelder von bis zu 500.000 Euro

Persönliche Geschäftsführerhaftung nach §38 NIS2UmsuCG

Ein oft unterschätzter Aspekt: Die Geschäftsleitung von wesentlichen und wichtigen Einrichtungen ist persönlich verpflichtet, Cybersicherheitsmaßnahmen zu genehmigen, deren Umsetzung zu überwachen und Schulungen zu absolvieren. Bei Pflichtverletzungen droht persönliche Haftung – und bei wesentlichen Einrichtungen kann das BSI sogar ein vorübergehendes Tätigkeitsverbot gegen Geschäftsführer aussprechen.

Konkrete Handlungsempfehlungen für Ihr Unternehmen

Wenn Sie nach dem Selbsttest zu dem Schluss gekommen sind, dass NIS2 für Sie relevant ist, empfehlen wir folgende Schritte:

1. Betroffenheit formell dokumentieren: Erstellen Sie ein internes Dokument, das Ihre Sektorzugehörigkeit, Unternehmensgröße und die daraus resultierende Einordnung als wesentliche oder wichtige Einrichtung nachvollziehbar festhält. Das BSI kann diese Dokumentation einfordern.

2. Registrierung beim BSI durchführen: Wesentliche und wichtige Einrichtungen sind verpflichtet, sich beim BSI zu registrieren. Nutzen Sie das BSI-Portal und halten Sie alle erforderlichen Angaben (Ansprechpartner, Sektorzugehörigkeit, Dienste) bereit.

3. Gap-Analyse gegenüber §30 NIS2UmsuCG: Prüfen Sie, welche der geforderten Sicherheitsmaßnahmen (Risikoanalyse, Incident Response, Business Continuity, Supply-Chain-Sicherheit, Kryptografie, Zugangskontrollen etc.) bereits implementiert sind und wo Lücken bestehen.

4. Meldeprozesse für Sicherheitsvorfälle etablieren: Nach §32 NIS2UmsuCG müssen erhebliche Sicherheitsvorfälle dem BSI innerhalb von 24 Stunden (Frühwarnung) und 72 Stunden (detaillierter Bericht) gemeldet werden. Stellen Sie sicher, dass dieser Prozess steht.

5. Lieferkette prüfen: NIS2 verpflichtet zur Bewertung der Cybersicherheit von Lieferanten und Dienstleistern. Integrieren Sie Sicherheitsanforderungen in Ihre Verträge und führen Sie Lieferantenrisikobewertungen durch.

6. Schulung der Geschäftsführung: §38 NIS2UmsuCG ist eindeutig: Die Leitungsebene muss regelmäßig an Cybersicherheitsschulungen teilnehmen. Planen Sie entsprechende Trainings für Ihr Management-Team ein.

7. Rechtliche Prüfung bei Unsicherheit: Bei komplexen Konzernstrukturen, gemischten Tätigkeitsfeldern oder grenzüberschreitenden Diensten sollten Sie eine spezialisierte Rechtsberatung hinzuziehen, um Ihre genaue Einordnung sicherzustellen.

Fazit: Nächste Schritte jetzt einleiten

Die NIS2-Betroffenheitsprüfung ist kein einmaliges Projekt – sie sollte als kontinuierlicher Prozess verstanden werden. Unternehmen wachsen, Tätigkeitsfelder ändern sich, und neue Sektoren können in den Anwendungsbereich geraten. Wer heute unter den Schwellenwerten liegt, kann morgen durch Wachstum oder Unternehmensübernahmen in den Regulierungsbereich rutschen.

Ihre nächsten Schritte auf einen Blick:

• ✅ Selbsttest anhand der obigen Checkliste durchführen
• ✅ Sektorzugehörigkeit und Unternehmensgröße formal dokumentieren
• ✅ BSI-Registrierung prüfen und ggf. vornehmen
• ✅ Gap-Analyse zur Umsetzung der Sicherheitsanforderungen starten
• ✅ Meldeprozesse und Verantwortlichkeiten intern klären

Die gute Nachricht: Wer die Betroffenheitsprüfung ernst nimmt und strukturiert vorgeht, legt gleichzeitig das Fundament für ein robustes Informationssicherheitsmanagementsystem (ISMS) – was nicht nur regulatorisch geboten, sondern auch geschäftlich sinnvoll ist.

Jetzt Betroffenheit digital prüfen und ISMS-Dokumentation erstellen

Wenn Sie die NIS2-Betroffenheitsprüfung nicht manuell anhand von Checklisten durchführen möchten, lohnt sich der Einsatz spezialisierter NIS2-Compliance-Software. Moderne Plattformen führen Sie schrittweise durch den Prüfprozess, ordnen Ihr Unternehmen automatisch dem richtigen Einrichtungstyp zu, und unterstützen Sie anschließend bei der Erstellung der geforderten ISMS-Dokumentation – von der Risikoanalyse bis zum Vorfallsmeldeprotokoll. So sparen Sie Zeit, reduzieren Fehlerquellen und haben im Fall einer BSI-Prüfung alle Nachweise revisionssicher griffbereit.

Quellen: BSI-Gesetz (BSIG), NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), ENISA NIS2 Implementation Report 2024, EU-Richtlinie 2022/2555 (NIS2), Empfehlung 2003/361/EG der EU-Kommission (KMU-Definition)