NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 14. Oktober 2026 | Lesedauer: ca. 8 Minuten

Die NIS2-Richtlinie ist längst kein theoretisches Konstrukt mehr – sie ist geltendes Recht, und die Behörden schauen hin. Doch noch immer gibt es Geschäftsführer und IT-Verantwortliche, die unsicher sind: Betrifft uns das überhaupt? Diese Frage ist keine Kleinigkeit. Wer irrtümlich annimmt, nicht unter NIS2 zu fallen, riskiert empfindliche Bußgelder gemäß §65 BSIG und im schlimmsten Fall den Ausschluss aus wichtigen Lieferketten. Dieser Artikel führt Sie Schritt für Schritt durch die NIS2-Betroffenheitsprüfung – konkret, praxisnah und ohne juristisches Fachchinesisch.

Was ist die NIS2-Betroffenheitsprüfung – und warum ist sie so wichtig?

Die europäische NIS2-Richtlinie (EU 2022/2555) wurde in Deutschland durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in nationales Recht überführt. Der zentrale Paragraph für die Frage der Betroffenheit ist §3 NIS2UmsuCG, der definiert, welche Einrichtungen als „wesentlich" oder „wichtig" eingestuft werden und damit den Pflichten des Gesetzes unterliegen.

Die Betroffenheitsprüfung ist der notwendige erste Schritt, bevor Sie mit der eigentlichen Compliance-Arbeit beginnen. Denn: Nicht jedes Unternehmen ist betroffen – aber deutlich mehr als viele denken. Schätzungen des BSI gehen von über 30.000 betroffenen Unternehmen und Einrichtungen in Deutschland aus. Kleinere Betriebe gehen häufig davon aus, unter dem Radar zu fliegen – ein gefährlicher Irrtum.

Schritt 1: Gehört Ihr Unternehmen zu einem relevanten Sektor?

Der erste Filter ist die Sektorzugehörigkeit. Das NIS2UmsuCG unterscheidet zwischen zwei Anlagen, die direkt den NIS2-Anhängen I und II entsprechen:

Anlage 1: Sektoren mit hoher Kritikalität (Wesentliche Einrichtungen)

Anlage 2: Sonstige kritische Sektoren (Wichtige Einrichtungen)

Wichtig: Wenn Ihr Unternehmen in einem dieser Sektoren tätig ist, müssen Sie zum zweiten Schritt übergehen. Sollten Sie sich in keinem dieser Sektoren wiederfinden, ist eine NIS2-Betroffenheit in der Regel ausgeschlossen – es sei denn, Sie sind als Zulieferer oder Dienstleister in kritische Lieferketten eingebunden (hier können vertragliche Anforderungen entstehen, auch ohne gesetzliche Direktpflicht).

Schritt 2: Erfüllt Ihr Unternehmen die Größenkriterien?

Sektorzugehörigkeit allein reicht nicht aus. NIS2 greift grundsätzlich ab einer bestimmten Unternehmensgröße, die sich an EU-Schwellenwerten orientiert:

Die zwei maßgeblichen Schwellenwerte

• Mitarbeiteranzahl: 50 oder mehr Beschäftigte (Vollzeitäquivalente)
• Jahresumsatz oder Jahresbilanzsumme: mindestens 10 Millionen Euro

Beide Kriterien müssen gleichzeitig erfüllt sein, damit ein Unternehmen in den Anwendungsbereich fällt. Ein Unternehmen mit 60 Mitarbeitern, aber einem Umsatz von nur 7 Millionen Euro wäre demnach nicht automatisch betroffen.

Ausnahmen: Wenn Größe keine Rolle spielt

Es gibt Konstellationen, in denen die Größenkriterien nicht gelten und Unternehmen unabhängig von ihrer Größe als betroffene Einrichtungen eingestuft werden:

• Betreiber kritischer Anlagen im Sinne des §28 BSIG (KRITIS-Betreiber)
• Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste
• Einrichtungen, deren Ausfall erhebliche Auswirkungen auf die öffentliche Sicherheit, öffentliche Ordnung oder öffentliche Gesundheit hätte
• Einrichtungen, die von der zuständigen Behörde explizit als wesentlich oder wichtig identifiziert wurden

Schritt 3: Wesentliche oder wichtige Einrichtung – was ist der Unterschied?

Die Einstufung Ihres Unternehmens hat direkte Auswirkungen auf die Intensität der Aufsicht und die Höhe möglicher Bußgelder. Gemäß §3 NIS2UmsuCG gilt:

Wesentliche Einrichtungen (§3 Abs. 1 NIS2UmsuCG)

• Große Unternehmen (≥ 250 MA oder ≥ 50 Mio. € Umsatz und ≥ 43 Mio. € Bilanzsumme) aus Anlage 1
• Mittlere Unternehmen aus bestimmten Sektoren der Anlage 1 (z. B. Digitale Infrastruktur)
• Explizit durch Behörden identifizierte Einrichtungen

Wichtige Einrichtungen (§3 Abs. 2 NIS2UmsuCG)

• Mittlere Unternehmen (≥ 50 MA oder ≥ 10 Mio. € Umsatz) aus Anlage 1 oder 2, die nicht als wesentlich gelten
• Bestimmte Anbieter digitaler Dienste

Praktische Konsequenz: Wesentliche Einrichtungen unterliegen einer proaktiven Aufsicht durch das BSI, während wichtige Einrichtungen nur reaktiv überwacht werden – also dann, wenn es Hinweise auf Verstöße gibt. Trotzdem gelten für beide Kategorien weitgehend identische Sicherheitspflichten.

Interaktiver Selbsttest: Bin ich betroffen?

Nutzen Sie diese Checkliste für eine erste Einschätzung. Beantworten Sie jede Frage mit Ja oder Nein:

NIS2-Selbsttest für Unternehmen in Deutschland

Auswertung:
- Fragen 1 + 2 + 3 alle mit Ja → Sie sind mit hoher Wahrscheinlichkeit betroffen
- Frage 4 oder 5 oder 6 mit Ja → Sie sind betroffen, unabhängig von der Unternehmensgröße
- Alle Fragen mit Nein → Wahrscheinlich keine direkte Betroffenheit (rechtliche Prüfung empfohlen)

⚠️ Hinweis: Dieser Selbsttest ersetzt keine rechtliche oder fachkundige Beratung. Bei Unsicherheit empfiehlt sich die Konsultation eines NIS2-Experten oder Rechtsanwalts.

Was droht bei Nichterfüllung? Die Bußgeldregeln nach §65 BSIG

Wer unter NIS2 fällt und die Pflichten ignoriert, riskiert erhebliche finanzielle Konsequenzen. §65 BSIG sieht gestaffelte Bußgelder vor:

Bußgeldrahmen nach Einrichtungstyp

Hinzu kommen mögliche persönliche Haftungsrisiken für Geschäftsführer und Vorstände, die ihre Aufsichtspflichten vernachlässigen. Das BSI kann zudem Anordnungen zur Mängelbeseitigung erlassen, Zertifikate aussetzen und im Extremfall die vorübergehende Untersagung von Managementfunktionen veranlassen.

Das sind keine leeren Drohungen: Die europäischen Aufsichtsbehörden haben seit der NIS1-Ära zunehmend Praxis in der Sanktionierung aufgebaut, und das BSI hat seine Kapazitäten für die NIS2-Aufsicht deutlich ausgebaut.

Handlungsempfehlungen: Was jetzt konkret zu tun ist

Wenn Sie nach der Betroffenheitsprüfung festgestellt haben, dass Ihr Unternehmen unter NIS2 fällt – oder wenn Sie noch unsicher sind – empfehlen wir folgende strukturierte Vorgehensweise:

1. Formale Betroffenheitsprüfung dokumentieren: Halten Sie den Prüfprozess schriftlich fest. Wer hat geprüft, nach welchen Kriterien, mit welchem Ergebnis? Diese Dokumentation kann im Aufsichtsfall entscheidend sein.

2. Registrierung beim BSI vornehmen: Betroffene Einrichtungen sind verpflichtet, sich beim BSI zu registrieren. Nutzen Sie dafür das offizielle Meldeportal des BSI. Die Registrierung ist ein aktiver Rechtsakt, keine Kann-Bestimmung.

3. Gap-Analyse durchführen: Vergleichen Sie Ihre aktuelle Sicherheitslage mit den Anforderungen aus §30 BSIG (Risikomanagementmaßnahmen). Typische Lücken finden sich bei Incident-Response-Prozessen, Lieferkettenmanagement und MFA.

4. Risikobasiertes ISMS aufbauen oder anpassen: Ein Informationssicherheitsmanagementsystem (ISMS) nach ISO 27001 oder BSI IT-Grundschutz bildet die solide Grundlage für NIS2-Compliance. Bestehende Systeme müssen auf NIS2-Anforderungen ausgerichtet werden.

5. Meldepflichten für Sicherheitsvorfälle etablieren: NIS2 schreibt enge Meldefristen vor: 24 Stunden für eine erste Frühwarnung, 72 Stunden für einen vollständigen Bericht an das BSI (gemäß §32 BSIG). Ohne eingespielten Prozess werden diese Fristen regelmäßig gerissen.

6. Geschäftsführung sensibilisieren und einbinden: NIS2 macht Cybersicherheit zur Chefsache. Die Geschäftsleitung muss Sicherheitsmaßnahmen nicht nur genehmigen, sondern aktiv überwachen. Schulungen und regelmäßige Lageberichte sind Pflicht.

7. Lieferkette unter die Lupe nehmen: Auch Ihre Dienstleister und Zulieferer müssen auf Cybersicherheitsanforderungen geprüft werden. Integrieren Sie Sicherheitsanforderungen in Verträge und führen Sie regelmäßige Lieferantenbewertungen durch.

8. Externe Expertise hinzuziehen: Gerade für mittelständische Unternehmen ohne große IT-Abteilung empfiehlt sich die Zusammenarbeit mit spezialisierten NIS2-Beratern oder Managed Security Service Providern (MSSPs).

Fazit: Jetzt handeln – nicht warten

Die NIS2-Betroffenheitsprüfung ist kein bürokratischer Selbstzweck. Sie ist der Ausgangspunkt für einen strukturierten Weg zur Cybersicherheit, der Ihr Unternehmen widerstandsfähiger gegen reale Bedrohungen macht – und gleichzeitig rechtliche Risiken minimiert.

Die wichtigsten nächsten Schritte auf einen Blick:

• ✅ Sektorzugehörigkeit anhand Anlage 1 und 2 des NIS2UmsuCG prüfen
• ✅ Größenkriterien (50+ MA, 10 Mio. € Umsatz/Bilanzsumme) verifizieren
• ✅ Einstufung als wesentliche oder wichtige Einrichtung bestimmen
• ✅ Betroffenheitsprüfung schriftlich dokumentieren
• ✅ Registrierung beim BSI einleiten
• ✅ Gap-Analyse und ISMS-Aufbau starten

Zeit ist kein Luxus, den Sie noch haben: Das BSI intensiviert seine Aufsichtstätigkeit, und Bußgeldverfahren nach §65 BSIG werden kein Einzelfall bleiben.

💡 Nächster Schritt: Compliance strukturiert angehen

Die gute Nachricht: Sie müssen das nicht alleine stemmen. Moderne NIS2-Compliance-Software unterstützt Sie dabei, die Betroffenheitsprüfung systematisch zu dokumentieren, ein ISMS aufzubauen, Risiken zu bewerten und Meldepflichten fristgerecht einzuhalten. Viele Lösungen bieten vorgefertigte Richtlinienvorlagen, automatisierte Nachweisführung und integrierte Aufgabenverwaltung – das spart erheblich Zeit und reduziert das Fehlerrisiko. Informieren Sie sich über spezialisierte ISMS-Tools, die explizit auf NIS2 und BSI IT-Grundschutz ausgerichtet sind, und starten Sie mit einer kostenlosen Betroffenheitsanalyse direkt in der Plattform.

Quellen und weiterführende Referenzen: NIS2-Richtlinie (EU) 2022/2555; NIS2UmsuCG §§ 3, 28, 30, 32, 65; BSI-Gesetz (BSIG); BSI-Leitfaden zur NIS2-Umsetzung; ENISA-Richtlinien zur Netzwerk- und Informationssicherheit