NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 11. Oktober 2026 | Lesezeit: ca. 8 Minuten

Die NIS2-Richtlinie ist seit dem Inkrafttreten des NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes (NIS2UmsuCG) in deutsches Recht überführt – doch viele Unternehmen sind sich noch immer unsicher, ob sie überhaupt betroffen sind. Diese Unklarheit ist gefährlich: Wer die eigene Betroffenheit falsch einschätzt, riskiert empfindliche Bußgelder und bleibt ohne die nötigen Schutzmaßnahmen. Dieser Artikel erklärt Ihnen Schritt für Schritt, wie Sie eine fundierte NIS2-Betroffenheitsprüfung für Ihr Unternehmen in Deutschland durchführen – und was zu tun ist, wenn Sie unter die Richtlinie fallen.

Was ist die NIS2-Betroffenheitsprüfung und warum ist sie so wichtig?

Die NIS2-Richtlinie (EU 2022/2555) verpflichtet Mitgliedstaaten, einen erweiterten Kreis an Unternehmen zu regulieren. In Deutschland ist dies durch das NIS2UmsuCG umgesetzt worden, das die Anforderungen im Wesentlichen im novellierten BSI-Gesetz (BSIG) verankert. Maßgeblich für die Frage, ob Ihr Unternehmen betroffen ist, sind §3 NIS2UmsuCG sowie die Anlagen 1 und 2 zum BSIG.

Eine systematische Betroffenheitsprüfung ist der erste und entscheidende Schritt auf dem Weg zur NIS2-Compliance. Sie schützt Ihr Unternehmen vor:

• Bußgeldern von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (§65 BSIG)
• Haftungsrisiken für Geschäftsführer und Vorstände
• Reputationsschäden durch Sicherheitsvorfälle ohne ausreichende Schutzmaßnahmen
• Betriebsunterbrechungen ohne vorbereitete Notfallpläne

Schritt 1: Fällt Ihr Sektor unter NIS2?

Der erste Prüfpunkt ist die Sektorzugehörigkeit. Das NIS2UmsuCG unterscheidet zwischen zwei Kategorien von Sektoren, die in den Anlagen 1 und 2 des BSIG aufgeführt sind.

Anlage 1: Sektoren mit hoher Kritikalität

Diese Sektoren gelten als besonders systemrelevant. Unternehmen in diesen Bereichen werden – abhängig von ihrer Größe – als wesentliche Einrichtungen eingestuft:

Anlage 2: Sonstige kritische Sektoren

Diese Sektoren werden als wichtige Einrichtungen eingestuft, sofern die Größenkriterien erfüllt sind:

Praxis-Tipp: Viele mittelständische Unternehmen im verarbeitenden Gewerbe oder in der Logistik übersehen ihre Betroffenheit, weil sie sich nicht als „kritische Infrastruktur" verstehen. Prüfen Sie Ihre Lieferkette: Sind Sie Zulieferer für kritische Sektoren? Auch das kann relevant sein.

Schritt 2: Erfüllen Sie die Größenkriterien?

Sektorzugehörigkeit allein reicht nicht aus – auch die Unternehmensgröße ist ein entscheidendes Kriterium nach §3 NIS2UmsuCG. Die EU-Schwellenwerte orientieren sich an der KMU-Definition der Europäischen Kommission:

Größenkriterien im Überblick

Grundregel: Unternehmen mit mindestens 50 Mitarbeitern und einem Jahresumsatz oder einer Bilanzsumme von mindestens 10 Millionen Euro, die einem der genannten Sektoren angehören, fallen in der Regel unter NIS2.

Wichtige Ausnahmen: Unabhängig von der Größe betroffen

In bestimmten Fällen gilt NIS2 unabhängig von der Unternehmensgröße:

• Qualifizierte Vertrauensdiensteanbieter (z. B. elektronische Signaturen)
• TLD-Registries und DNS-Diensteanbieter
• Alleinige Anbieter eines kritischen Dienstes in einem Mitgliedstaat
• Kritische Anlagen nach §28 BSIG (ehemals KRITIS)
• Einrichtungen, die vom BSI gesondert als kritisch eingestuft werden

Schritt 3: Wesentliche oder wichtige Einrichtung?

Das NIS2UmsuCG unterscheidet zwischen zwei Regulierungsstufen, die unterschiedliche Pflichten und Sanktionsniveaus mit sich bringen.

Wesentliche Einrichtungen (§28 Abs. 1 BSIG)

Als wesentliche Einrichtung gelten:
- Große Unternehmen aus Anlage-1-Sektoren
- Mittlere Unternehmen aus bestimmten Anlage-1-Sektoren (z. B. digitale Infrastruktur)
- Qualifizierte Vertrauensdiensteanbieter
- TLD-Registries und DNS-Anbieter

Maximales Bußgeld: bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (§65 Abs. 1 BSIG)

Wichtige Einrichtungen (§28 Abs. 2 BSIG)

Als wichtige Einrichtung gelten:
- Mittlere Unternehmen aus Anlage-1-Sektoren (soweit nicht wesentlich)
- Mittlere und große Unternehmen aus Anlage-2-Sektoren

Maximales Bußgeld: bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes (§65 Abs. 2 BSIG)

Selbsttest: Bin ich NIS2-pflichtig?

Beantworten Sie die folgenden Fragen, um Ihre vorläufige Betroffenheit einzuschätzen:

NIS2-Betroffenheits-Checkliste

• [ ] Sektor: Gehört mein Unternehmen zu einem Sektor aus Anlage 1 oder Anlage 2 des BSIG?
• [ ] Mitarbeiter: Beschäftigt mein Unternehmen 50 oder mehr Mitarbeiter (Vollzeitäquivalente)?
• [ ] Umsatz/Bilanzsumme: Liegt der Jahresumsatz oder die Bilanzsumme bei mindestens 10 Millionen Euro?
• [ ] Konzernstruktur: Gehöre ich zu einem Konzern, der die Schwellenwerte insgesamt überschreitet?
• [ ] Sonderregelung: Bin ich ein qualifizierter Vertrauensdiensteanbieter, DNS-Betreiber oder TLD-Registry?
• [ ] Kritische Anlage: Wurde meine Einrichtung vom BSI als kritische Anlage eingestuft?
• [ ] Einziger Anbieter: Bin ich der einzige Anbieter eines essenziellen Dienstes in Deutschland?

Auswertung:
- Wenn Sie Frage 1 und (Fragen 2 + 3) oder eine der Fragen 4–7 mit Ja beantwortet haben, sind Sie wahrscheinlich NIS2-pflichtig.
- Bei Unsicherheit empfiehlt sich eine rechtliche und technische Beratung sowie die Nutzung des BSI-Selbstauskunftssystems.

Konsequenzen bei Nichterfüllung: Was droht Ihrem Unternehmen?

Wer die eigene NIS2-Betroffenheit ignoriert oder die Anforderungen nicht umsetzt, riskiert erhebliche Konsequenzen – und diese sind keine leeren Drohungen.

Bußgelder nach §65 BSIG

Das BSI ist als zuständige nationale Behörde berechtigt, empfindliche Bußgelder zu verhängen. Für wesentliche Einrichtungen drohen bis zu 10 Millionen Euro oder 2 % des globalen Jahresumsatzes. Für wichtige Einrichtungen beläuft sich die Höchststrafe auf 7 Millionen Euro oder 1,4 % des Umsatzes. Die jeweils höhere Summe ist maßgeblich.

Persönliche Haftung der Geschäftsführung

Eine der wichtigsten Neuerungen des NIS2UmsuCG ist die explizite Managementhaftung: Leitungsorgane können persönlich in Haftung genommen werden, wenn sie ihre Aufsichtspflichten im Bereich der Cybersicherheit vernachlässigen. Gemäß §38 BSIG müssen Geschäftsführer und Vorstände Risikomanagementmaßnahmen aktiv billigen und deren Umsetzung überwachen.

Aufsichtsmaßnahmen des BSI

Neben Bußgeldern kann das BSI bei wesentlichen Einrichtungen auch:
- Aufsichtspersonen einsetzen (§61 BSIG)
- Zertifizierungen aussetzen oder entziehen
- die öffentliche Bekanntmachung von Verstößen anordnen
- die vorübergehende Untersagung von Leitungsfunktionen veranlassen

Konkrete Handlungsempfehlungen: So starten Sie jetzt

Wenn Sie festgestellt haben, dass Ihr Unternehmen unter NIS2 fällt, empfehlen wir folgende priorisierte Maßnahmen:

1. Betroffenheit dokumentieren: Halten Sie schriftlich fest, warum und in welchem Umfang Ihr Unternehmen NIS2-pflichtig ist (Sektor, Größenklasse, Einrichtungstyp). Dies ist Ausgangspunkt aller weiteren Maßnahmen.

2. Beim BSI registrieren: Wesentliche und wichtige Einrichtungen sind verpflichtet, sich im BSI-Meldeportal zu registrieren (§33 BSIG). Holen Sie dies schnellstmöglich nach, wenn noch nicht geschehen.

3. Gap-Analyse durchführen: Vergleichen Sie Ihren aktuellen Sicherheitsstand mit den Anforderungen des §30 BSIG (Risikomanagement). Identifizieren Sie Lücken in den Bereichen Incident Management, Netzwerksicherheit, Backup, Kryptografie und Lieferkette.

4. Informationssicherheits-Managementsystem (ISMS) aufbauen oder anpassen: NIS2 verlangt ein strukturiertes ISMS. Orientieren Sie sich dabei an ISO/IEC 27001 oder dem BSI IT-Grundschutz – beide sind anerkannte Referenzrahmen.

5. Meldeprozesse implementieren: Sicherheitsvorfälle müssen nach §32 BSIG innerhalb von 24 Stunden (Erstmeldung) und 72 Stunden (detaillierter Bericht) gemeldet werden. Richten Sie entsprechende interne Eskalationswege ein.

6. Lieferkette überprüfen: §30 Abs. 2 BSIG verlangt explizit die Berücksichtigung von Sicherheitsrisiken in der Lieferkette. Führen Sie Dienstleister- und Lieferantenbewertungen durch.

7. Geschäftsführung sensibilisieren und schulen: Organisieren Sie eine NIS2-spezifische Schulung für Ihr Leitungsorgan. Haftung und Verantwortlichkeit müssen von der Führungsebene verstanden und getragen werden (§38 BSIG).

8. Externe Unterstützung einbinden: Bei komplexen Strukturen oder wenn interne Ressourcen fehlen, sollten Sie einen spezialisierten IT-Sicherheitsberater oder eine auf NIS2 spezialisierte Kanzlei hinzuziehen.

Fazit: NIS2-Betroffenheitsprüfung als Grundlage jeder Compliance-Strategie

Die NIS2-Betroffenheitsprüfung ist kein bürokratischer Selbstzweck – sie ist die Grundlage jeder seriösen Cybersicherheitsstrategie für regulierte Unternehmen in Deutschland. Mit den richtigen Schritten – Sektoranalyse, Größenprüfung, Einrichtungsklassifizierung und anschließender Gap-Analyse – schaffen Sie die Basis für eine strukturierte und nachhaltige Compliance.

Die nächsten Schritte auf einen Blick:
1. Nutzen Sie die Checkliste aus diesem Artikel für eine erste Selbsteinschätzung.
2. Konsultieren Sie das BSI-Portal (bsi.bund.de) für aktuelle Orientierungshilfen.
3. Leiten Sie eine formale Betroffenheitsanalyse in die Wege – idealerweise mit rechtlicher und technischer Begleitung.
4. Starten Sie Ihre ISMS-Dokumentation und registrieren Sie sich beim BSI.

Nützlicher Tipp: NIS2-Compliance strukturiert managen

Die Fülle an Dokumentations-, Melde- und Nachweispflichten unter NIS2 lässt sich kaum noch sinnvoll in Tabellenkalkulationen oder manuell gepflegten Dokumenten abbilden. Spezialisierte NIS2-Compliance-Software und ISMS-Plattformen helfen Ihnen dabei, die gesetzlichen Anforderungen nach §30 ff. BSIG strukturiert abzubilden, Risikobewertungen zu dokumentieren, Sicherheitsvorfälle fristgerecht zu melden und den Nachweis gegenüber Aufsichtsbehörden zu erbringen. Viele Lösungen bieten zudem vorkonfigurierte Vorlagen für die NIS2-Betroffenheitsprüfung und Gap-Analysen – ein echter Zeitgewinn für IT-Verantwortliche und Compliance-Teams.

Haben Sie Fragen zur NIS2-Betroffenheitsprüfung für Ihr Unternehmen? Teilen Sie diesen Artikel mit Ihrem Team oder hinterlassen Sie einen Kommentar.