NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 12. Oktober 2026 | Lesezeit: ca. 8 Minuten

Die NIS2-Richtlinie der Europäischen Union hat die Cybersicherheitslandschaft in Deutschland grundlegend verändert. Mit der Umsetzung durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) und der damit verbundenen Novelle des Bundesdatenschutzgesetzes für Netzwerk- und Informationssicherheit gelten heute deutlich strengere Anforderungen – und sie betreffen weit mehr Unternehmen als je zuvor. Doch viele Geschäftsführer und IT-Verantwortliche stellen sich nach wie vor dieselbe entscheidende Frage: Bin ich überhaupt betroffen?

Dieser Artikel liefert Ihnen eine strukturierte NIS2-Betroffenheitsprüfung, erklärt die relevanten Sektoren, Größenschwellen und Einrichtungstypen – und zeigt Ihnen, was bei Nichterfüllung droht.

Was regelt §3 NIS2UmsuCG – und warum ist er so wichtig?

Der §3 NIS2UmsuCG definiert den persönlichen Anwendungsbereich des Gesetzes. Er legt fest, welche Einrichtungen als „wesentlich" oder „wichtig" eingestuft werden und damit den vollständigen Pflichtenkatalog des Gesetzes erfüllen müssen. Diese Norm ist der gesetzliche Ausgangspunkt jeder Betroffenheitsprüfung.

Im Kern unterscheidet §3 NIS2UmsuCG zwei Kategorien:

• Wesentliche Einrichtungen (essential entities): Unterliegen dem schärfsten Aufsichtsregime, einschließlich proaktiver BSI-Kontrollen.
• Wichtige Einrichtungen (important entities): Unterliegen einem reaktiven Aufsichtsregime, d. h. Behörden handeln anlassbezogen.

Die Zuordnung hängt dabei von zwei zentralen Kriterien ab: dem Sektor, in dem das Unternehmen tätig ist, und der Unternehmensgröße.

Schritt 1: Tätigkeitsbereich prüfen – Anlage 1 und Anlage 2 des NIS2UmsuCG

Das Gesetz unterscheidet zwischen Sektoren mit hoher Kritikalität (Anlage 1) und sonstigen kritischen Sektoren (Anlage 2).

Anlage 1 – Sektoren mit hoher Kritikalität

Unternehmen in diesen Bereichen gelten als besonders systemrelevant:

Anlage 2 – Sonstige kritische Sektoren

Diese Bereiche sind ebenfalls reguliert, jedoch mit geringfügig niedrigerem Aufsichtsdruck:

Praxis-Tipp: Wenn Ihr Unternehmen in einem dieser Sektoren tätig ist – auch als Zulieferer oder Dienstleister – sollten Sie die Betroffenheitsprüfung unbedingt durchführen. Lieferketten sind ausdrücklich im Blickfeld der Regulatoren.

Schritt 2: Unternehmensgröße – Die Schwellenwerte verstehen

Neben dem Sektor entscheidet die Unternehmensgröße über die Betroffenheit. Hier gelten EU-weit einheitliche Kriterien:

Die drei Größenklassen im Überblick

Grundregel: Kleinstunternehmen und kleine Unternehmen sind in der Regel nicht von NIS2 betroffen – es sei denn, sie sind in besonders kritischen Teilbereichen tätig (z. B. als einziger Anbieter eines essenziellen Dienstes in einem Mitgliedstaat).

Wer ist wesentlich, wer ist wichtig?

• Wesentliche Einrichtungen: Große Unternehmen (≥ 250 MA oder ≥ 50 Mio. € Umsatz) in Sektoren der Anlage 1
• Wichtige Einrichtungen: Mittlere Unternehmen (≥ 50 MA oder ≥ 10 Mio. € Umsatz) in Sektoren der Anlage 1 sowie mittlere und große Unternehmen in Sektoren der Anlage 2

⚠️ Achtung Verbundunternehmen: Bei der Berechnung der Mitarbeiterzahl und des Umsatzes werden verbundene Unternehmen und Partnerunternehmen nach EU-Empfehlung 2003/361/EG konsolidiert. Konzernstrukturen können also dazu führen, dass eine rechtlich eigenständige Tochtergesellschaft plötzlich die Schwellenwerte überschreitet.

Selbsttest: Fällt Ihr Unternehmen unter NIS2?

Gehen Sie diese Fragen der Reihe nach durch. Wenn Sie eine Frage mit Ja beantworten können, fahren Sie zur nächsten fort.

Frage 1: Ist Ihr Unternehmen in einem der Sektoren aus Anlage 1 oder Anlage 2 tätig?
→ Nein: Sie sind wahrscheinlich nicht betroffen.
→ Ja: Weiter zu Frage 2.

Frage 2: Beschäftigt Ihr Unternehmen (inklusive verbundener Unternehmen) mindestens 50 Mitarbeiter ODER erzielt einen Jahresumsatz bzw. eine Jahresbilanzsumme von mindestens 10 Millionen Euro?
→ Nein: Wahrscheinlich nicht betroffen (Ausnahmen möglich).
→ Ja: Weiter zu Frage 3.

Frage 3: Beschäftigt Ihr Unternehmen mindestens 250 Mitarbeiter ODER erzielt einen Umsatz von mindestens 50 Millionen Euro UND sind Sie in einem Sektor der Anlage 1 tätig?
→ Ja: Sie sind voraussichtlich eine wesentliche Einrichtung.
→ Nein: Sie sind voraussichtlich eine wichtige Einrichtung.

Sonderfälle, die Sie unbedingt prüfen sollten:
- Ihr Unternehmen ist der einzige Anbieter eines kritischen Dienstes in Deutschland
- Sie betreiben kritische Infrastruktur nach dem BSIG (KRITIS-Betreiber)
- Sie sind als DNS-Resolver, TLD-Registrierungsstelle oder Vertrauensdiensteanbieter tätig
- Ihre Tätigkeit hat grenzüberschreitende Auswirkungen innerhalb der EU

Was bedeutet die Einstufung konkret – Pflichten im Überblick

Sobald Ihr Unternehmen als wesentliche oder wichtige Einrichtung eingestuft ist, greift ein umfangreicher Pflichtenkatalog. Die wichtigsten Anforderungen im Überblick:

Technische und organisatorische Maßnahmen (§30 NIS2UmsuCG)

• Einführung eines Risikomanagementsystems für Informationssicherheit (vergleichbar ISO/IEC 27001)
• Umsetzung von Maßnahmen zur Zugriffskontrolle und Multi-Faktor-Authentifizierung
• Incident Response-Prozesse und Business Continuity Management
• Lieferkettensicherheit: Sicherheitsanforderungen an Dienstleister und Zulieferer
• Regelmäßige Sicherheitsaudits und Penetrationstests
• Verschlüsselung und sicheres Schlüsselmanagement

Registrierungspflicht und Meldepflichten (§§ 32–35 NIS2UmsuCG)

• Registrierung beim Bundesamt für Sicherheit in der Informationstechnik (BSI)
• Meldung erheblicher Sicherheitsvorfälle innerhalb von 24 Stunden (Erstmeldung) und 72 Stunden (Detailmeldung)
• Abschlussbericht spätestens einen Monat nach dem Vorfall

Verantwortung der Geschäftsführung (§38 NIS2UmsuCG)

Ein oft unterschätzter Aspekt: Die Geschäftsleitung ist persönlich verantwortlich für die Einhaltung der NIS2-Anforderungen. Sie muss die Umsetzung aktiv überwachen und kann im Haftungsfall persönlich zur Verantwortung gezogen werden.

Welche Strafen drohen bei Nichterfüllung? – §65 BSIG

Die Sanktionen für Verstöße gegen die NIS2-Anforderungen sind erheblich und sollten als ernstzunehmender Risikofaktor in jede unternehmerische Entscheidung einfließen.

Gemäß §65 BSIG (Bußgeldvorschriften) drohen:

Zusätzlich kann das BSI:
- Anordnungen zur Mängelbeseitigung erlassen
- Bei wesentlichen Einrichtungen temporäre Tätigkeitsverbote für Geschäftsführer aussprechen
- Öffentliche Bekanntmachungen über Verstöße veranlassen (Naming and Shaming)

Diese Sanktionsrahmen sind vergleichbar mit der DSGVO und unterstreichen den politischen Willen, NIS2 konsequent durchzusetzen.

Konkrete Handlungsempfehlungen – So gehen Sie jetzt vor

1. Betroffenheitsanalyse dokumentieren: Führen Sie die Betroffenheitsprüfung schriftlich durch und archivieren Sie die Ergebnisse. Das BSI kann jederzeit Nachweise verlangen.

2. Registrierung beim BSI veranlassen: Betroffene Unternehmen müssen sich über die BSI-Plattform registrieren. Prüfen Sie, ob Ihr Unternehmen dieser Pflicht bereits nachgekommen ist.

3. Lückenanalyse (Gap-Assessment) durchführen: Vergleichen Sie Ihre aktuellen Sicherheitsmaßnahmen mit den Anforderungen des §30 NIS2UmsuCG und identifizieren Sie Defizite.

4. ISMS aufbauen oder anpassen: Falls noch nicht vorhanden, implementieren Sie ein Informationssicherheits-Managementsystem (ISMS) – idealerweise nach ISO/IEC 27001 oder BSI IT-Grundschutz.

5. Meldeprozesse etablieren: Definieren Sie klare interne Abläufe für die Erkennung, Klassifizierung und Meldung von Sicherheitsvorfällen an das BSI.

6. Lieferkettenrisiken bewerten: Erfassen Sie alle relevanten IT-Dienstleister und Zulieferer und integrieren Sie Sicherheitsanforderungen in Verträge.

7. Schulungen für Geschäftsleitung und Mitarbeiter: §38 NIS2UmsuCG verpflichtet zur Sensibilisierung der Führungsebene. Führen Sie nachweisliche Schulungsmaßnahmen durch.

8. Rechtsberatung hinzuziehen: Bei Unklarheiten über die Betroffenheit oder bei komplexen Konzernstrukturen empfiehlt sich die Einbindung eines auf IT-Recht spezialisierten Anwalts.

Fazit: Betroffenheitsprüfung ist Pflicht – nicht Kür

Die NIS2-Richtlinie ist keine bürokratische Übung, sondern eine Antwort auf die rasant wachsende Bedrohungslage im Cyberraum. Unternehmen, die die Betroffenheitsprüfung ignorieren oder auf die lange Bank schieben, riskieren nicht nur empfindliche Bußgelder nach §65 BSIG, sondern auch Reputationsschäden und operative Ausfälle im Falle eines Cyberangriffs.

Ihre nächsten Schritte zusammengefasst:

• ✅ Sektorcheck anhand Anlage 1 und Anlage 2 durchführen
• ✅ Mitarbeiterzahl und Umsatz (inkl. verbundener Unternehmen) prüfen
• ✅ Einrichtungstyp (wesentlich/wichtig) festlegen und dokumentieren
• ✅ BSI-Registrierung abschließen
• ✅ Gap-Assessment und ISMS-Aufbau einleiten

Ihr nächster Schritt: NIS2-Compliance strukturiert angehen

Die NIS2-Betroffenheitsprüfung ist der erste Schritt – aber nur einer von vielen auf dem Weg zur vollständigen Compliance. Spezialisierte NIS2-Compliance-Software unterstützt IT-Verantwortliche dabei, die Betroffenheit strukturiert zu dokumentieren, ein ISMS aufzubauen, Meldeprozesse zu verwalten und Nachweise für BSI-Prüfungen zu generieren. Lösungen wie ISMS-Plattformen mit integriertem NIS2-Modul helfen Ihnen, den Überblick zu behalten – von der ersten Gap-Analyse bis zur Lieferantenbewertung. Eine digitale Unterstützung ist angesichts des Umfangs der Anforderungen heute kein Luxus mehr, sondern ein praktischer Notwendigkeit.

Tipp: Das BSI stellt unter bsi.bund.de aktuelle Orientierungshilfen zur NIS2-Umsetzung bereit. Nutzen Sie diese kostenlosen Ressourcen als Einstieg in Ihre Compliance-Reise.

Dieser Artikel dient der allgemeinen Information und ersetzt keine individuelle Rechts- oder Fachberatung. Bei konkreten Fragen zur NIS2-Betroffenheit empfehlen wir die Konsultation eines spezialisierten IT-Rechtsanwalts oder eines zertifizierten Informationssicherheitsberaters.