NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 13. Oktober 2026 | Lesedauer: ca. 8 Minuten

Viele Geschäftsführer und IT-Verantwortliche stellen sich noch immer dieselbe Frage: Betrifft uns NIS2 überhaupt? Die Antwort ist für tausende deutscher Unternehmen relevanter als gedacht. Seit dem Inkrafttreten des NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes (NIS2UmsuCG) unterliegen erheblich mehr Organisationen verbindlichen Cybersicherheitspflichten als unter der Vorgängerregelung. Wer die NIS2-Betroffenheitsprüfung für sein Unternehmen in Deutschland 2025 und 2026 noch nicht durchgeführt hat, riskiert empfindliche Bußgelder und Haftungsrisiken für die Geschäftsleitung.

Dieser Artikel erklärt Schritt für Schritt, wie Sie die Betroffenheit Ihres Unternehmens rechtssicher prüfen – inklusive Selbsttest, Erklärung der Größenkriterien und einem Überblick über die Konsequenzen bei Nichterfüllung.

Was ist die NIS2-Richtlinie und wer setzt sie in Deutschland um?

Die NIS2-Richtlinie (EU 2022/2555) der Europäischen Union ist die Nachfolgeregelung der ursprünglichen NIS-Richtlinie aus dem Jahr 2016. In Deutschland wurde sie durch das NIS2UmsuCG in nationales Recht überführt, das die Änderungen am Bundessicherheitsgesetz (BSI-Gesetz, BSIG) sowie weiteren Fachgesetzen regelt.

Die zentrale Rechtsgrundlage für die Betroffenheitsprüfung findet sich in § 3 NIS2UmsuCG in Verbindung mit den Anlagen 1 und 2 des BSIG. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) fungiert als nationale Aufsichtsbehörde und koordiniert die Registrierungspflichten sowie die Überwachung der betroffenen Einrichtungen.

Schritt 1: Gehört Ihre Branche zu den regulierten Sektoren?

Der erste Prüfschritt ist die Sektorzugehörigkeit. NIS2 unterscheidet zwei Kategorien von Sektoren, die in Anlage 1 und Anlage 2 des BSIG aufgeführt sind.

Anlage 1 – Sektoren mit hoher Kritikalität (Wesentliche Einrichtungen)

Diese Sektoren gelten als besonders kritisch für die Gesellschaft und Wirtschaft:

• Energie (Strom, Fernwärme, Erdöl, Erdgas, Wasserstoff)
• Verkehr (Luftfahrt, Schiene, Schifffahrt, Straßenverkehr)
• Bankwesen (Kreditinstitute)
• Finanzmarktinfrastrukturen (Handelsplätze, zentrale Gegenparteien)
• Gesundheitswesen (Krankenhäuser, Labore, Hersteller von Arzneimitteln)
• Trinkwasser (Versorger und Verteiler)
• Abwasser
• Digitale Infrastruktur (Internet-Knoten, DNS-Anbieter, TLD-Registries, Cloud-Dienste, Rechenzentren)
• Verwaltung von IKT-Diensten (Managed Service Provider, Managed Security Service Provider)
• Öffentliche Verwaltung (Bundesbehörden, Länderbehörden)
• Weltraum (Betreiber von Bodeninfrastrukturen)

Anlage 2 – Sonstige kritische Sektoren (Wichtige Einrichtungen)

Diese Sektoren sind ebenfalls reguliert, unterliegen jedoch einem weniger strikten Aufsichtsregime:

• Post- und Kurierdienste
• Abfallbewirtschaftung
• Produktion, Herstellung und Handel mit chemischen Stoffen
• Produktion, Verarbeitung und Vertrieb von Lebensmitteln
• Verarbeitendes Gewerbe / Herstellung von Waren (u. a. Medizinprodukte, Elektronik, Maschinenbau, Fahrzeugbau)
• Anbieter digitaler Dienste (Online-Marktplätze, Online-Suchmaschinen, soziale Netzwerke)
• Forschungseinrichtungen

Praxis-Hinweis: Auch Unternehmen, die nicht direkt in einem regulierten Sektor tätig sind, können betroffen sein – etwa als kritischer Zulieferer für eine wesentliche Einrichtung. Die Lieferkettensicherheit nach § 30 BSIG verpflichtet wesentliche Einrichtungen, Anforderungen an ihre Dienstleister weiterzureichen.

Schritt 2: Erfüllen Sie die Größenkriterien?

Die Sektorzugehörigkeit allein genügt nicht. Entscheidend ist zusätzlich die Unternehmensgröße. Grundsätzlich gilt: Unternehmen müssen die EU-Definition für mittlere Unternehmen erfüllen oder überschreiten.

Die Schwellenwerte im Überblick

Es gilt eine UND/ODER-Logik: Ein Unternehmen ist betroffen, wenn es die Mitarbeiterzahl und mindestens eines der finanziellen Kriterien erfüllt.

Ausnahmen von der Größenregel

Bestimmte Einrichtungen fallen unabhängig von ihrer Größe unter NIS2, darunter:

• Anbieter von öffentlichen elektronischen Kommunikationsnetzen oder -diensten
• Qualifizierte Vertrauensdiensteanbieter
• TLD-Registries und DNS-Diensteanbieter
• Betreiber kritischer Anlagen im Sinne des § 2 Absatz 10 BSIG (KRITIS)
• Einrichtungen, die als einziger Anbieter eines lebenswichtigen Dienstes in einem Mitgliedstaat gelten

Schritt 3: Wesentliche oder wichtige Einrichtung – was ist der Unterschied?

Die Einstufung Ihres Unternehmens als wesentliche Einrichtung (WE) oder wichtige Einrichtung (WiE) hat weitreichende Konsequenzen für die Pflichten und die Aufsichtsintensität.

Wesentliche Einrichtungen (§ 28 Abs. 1 BSIG)

Hierzu zählen Unternehmen aus Anlage-1-Sektoren mit:
- ≥ 250 Mitarbeitenden oder
- Jahresumsatz > 50 Mio. € und Bilanzsumme > 43 Mio. €

Für wesentliche Einrichtungen gelten die strengsten Anforderungen: proaktive BSI-Aufsicht, regelmäßige Audits und die höchsten Bußgeldrahmen.

Wichtige Einrichtungen (§ 28 Abs. 2 BSIG)

Hierzu zählen:
- Unternehmen aus Anlage-1-Sektoren, die die WE-Schwelle nicht erreichen (aber die Grundschwelle von 50 MA / 10 Mio. € überschreiten)
- Unternehmen aus Anlage-2-Sektoren (ab 50 MA / 10 Mio. €)

Für wichtige Einrichtungen gilt eine reaktive Aufsicht – das BSI wird in der Regel erst nach Vorfällen oder Hinweisen tätig.

Selbsttest: Sind Sie betroffen? (NIS2-Betroffenheitsprüfung)

Beantworten Sie die folgenden Fragen der Reihe nach. Bei einem „Ja" fahren Sie mit der nächsten Frage fort:

Frage 1: Ist Ihr Unternehmen in einem der Sektoren aus Anlage 1 oder Anlage 2 des BSIG tätig?
→ Nein: Sie fallen wahrscheinlich nicht unter NIS2 (Sonderfall Zulieferer prüfen)
→ Ja: Weiter zu Frage 2

Frage 2: Beschäftigt Ihr Unternehmen mindestens 50 Mitarbeitende (Vollzeitäquivalente)?
→ Nein: Wahrscheinlich nicht betroffen (Ausnahmen prüfen)
→ Ja: Weiter zu Frage 3

Frage 3: Beträgt Ihr Jahresumsatz oder Ihre Bilanzsumme mehr als 10 Millionen Euro?
→ Nein: Wahrscheinlich nicht betroffen
→ Ja: Ihr Unternehmen ist voraussichtlich NIS2-pflichtig

Frage 4 (Einstufung): Sind Sie in einem Anlage-1-Sektor tätig und haben ≥ 250 Mitarbeitende oder einen Umsatz > 50 Mio. €?
→ Ja: Sie sind voraussichtlich eine wesentliche Einrichtung
→ Nein: Sie sind voraussichtlich eine **wichtige Einrichtung

Hinweis: Dieser Selbsttest dient der ersten Orientierung und ersetzt keine rechtliche Beratung. Für eine verbindliche Einschätzung empfehlen wir die Konsultation eines auf IT-Recht spezialisierten Anwalts sowie die offizielle BSI-Registrierungsplattform.

Was droht bei Nichterfüllung? Bußgelder nach § 65 BSIG

Wer die NIS2-Pflichten ignoriert, riskiert erhebliche Sanktionen. Das BSIG sieht in § 65 BSIG gestaffelte Bußgelder vor:

Besonders gravierend: Das NIS2UmsuCG verankert in § 38 BSIG eine persönliche Haftung der Geschäftsleitung. Geschäftsführer und Vorstände können für Pflichtverletzungen im Bereich Cybersicherheit persönlich in Regress genommen werden – eine Haftungsfreistellung durch das Unternehmen ist ausdrücklich ausgeschlossen.

Neben Bußgeldern drohen bei schweren Verstößen:
- Öffentliche Bekanntmachung der Verstöße durch das BSI
- Temporäre Untersagung von Managementfunktionen
- Betriebsunterbrechungen durch BSI-Anordnungen

Konkrete Handlungsempfehlungen: Was Sie jetzt tun sollten

Wenn Ihre Betroffenheitsprüfung ergibt, dass Ihr Unternehmen unter NIS2 fällt, empfehlen wir folgende Schritte:

1. Registrierung beim BSI durchführen: Betroffene Einrichtungen sind zur Registrierung auf der BSI-Plattform verpflichtet (§ 33 BSIG). Die Registrierung sollte unmittelbar erfolgen.

2. Gap-Analyse durchführen: Vergleichen Sie Ihren aktuellen Sicherheitsstand mit den Anforderungen aus § 30 BSIG (technische und organisatorische Maßnahmen). Typische Pflichtbereiche sind Risikomanagementsysteme, Incident-Response-Prozesse, Business Continuity und Lieferkettensicherheit.

3. ISMS aufbauen oder zertifizieren lassen: Ein Informationssicherheits-Managementsystem (ISMS) nach ISO 27001 deckt den Großteil der NIS2-Anforderungen ab. Eine Zertifizierung kann als Nachweis gegenüber dem BSI dienen.

4. Meldepflichten implementieren: § 32 BSIG verpflichtet zur Meldung erheblicher Sicherheitsvorfälle: Erstmeldung innerhalb von 24 Stunden, Folgemeldung innerhalb von 72 Stunden, Abschlussbericht nach einem Monat.

5. Schulungen für Geschäftsleitung und Mitarbeitende: Die Geschäftsleitung muss nachweislich in Cybersicherheitsthemen geschult sein (§ 38 Abs. 3 BSIG). Dokumentieren Sie alle Schulungsmaßnahmen.

6. Lieferantenmanagement überprüfen: Erstellen Sie eine Übersicht kritischer Drittanbieter und verankern Sie Cybersicherheitsanforderungen vertraglich.

7. Rechtsberatung einholen: Klären Sie offene Abgrenzungsfragen (z. B. bei Unternehmensverbünden oder internationalen Konzernstrukturen) mit einem Fachanwalt für IT-Recht.

Fazit: NIS2-Betroffenheit ist kein Ermessensspielraum

Die NIS2-Richtlinie ist keine optional umsetzbare Empfehlung – sie ist geltendes Recht mit erheblichen Konsequenzen bei Verstoß. Mit der deutlich ausgeweiteten Sektorabdeckung und den gesenkten Größenschwellen sind in Deutschland schätzungsweise über 30.000 Unternehmen neu reguliert worden.

Ihre nächsten Schritte auf einen Blick:
- ✅ Sektorzugehörigkeit anhand Anlage 1 und 2 BSIG prüfen
- ✅ Größenkriterien (50+ MA, 10 Mio. € Umsatz/Bilanzsumme) verifizieren
- ✅ Einrichtungstyp (wesentlich oder wichtig) bestimmen
- ✅ BSI-Registrierung abschließen
- ✅ Gap-Analyse starten und ISMS aufbauen

Nächster Schritt: Betroffenheit digital prüfen und dokumentieren

Die manuelle Prüfung und Dokumentation der NIS2-Betroffenheit ist aufwendig – gerade für Unternehmen ohne dediziertes Compliance-Team. Spezialisierte NIS2-Compliance-Software kann dabei helfen, die Betroffenheitsprüfung strukturiert zu durchlaufen, relevante ISMS-Dokumente automatisiert zu erstellen und Nachweise für das BSI revisionssicher abzulegen. Viele Anbieter stellen dafür geführte Workflows bereit, die direkt auf die Anforderungen des BSIG ausgerichtet sind – ein sinnvoller erster Schritt, um Compliance-Lücken schnell zu identifizieren und zu schließen.

Quellen: BSI-Gesetz (BSIG) in der Fassung des NIS2UmsuCG, EU-Richtlinie 2022/2555 (NIS2), ENISA-Leitlinien zur NIS2-Implementierung, Bundesministerium des Innern und für Heimat (BMI)