NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 15. Oktober 2026 | Lesedauer: ca. 8 Minuten

Die NIS2-Richtlinie der Europäischen Union und ihre deutsche Umsetzung durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) haben die Cybersicherheitslandschaft in Deutschland grundlegend verändert. Doch noch immer fragen sich viele Geschäftsführer und IT-Verantwortliche: Bin ich überhaupt betroffen? Diese Frage ist keine akademische Übung — wer die Betroffenheitsprüfung verschläft, riskiert empfindliche Bußgelder nach § 65 BSIG und erhebliche Reputationsschäden. Dieser Artikel führt Sie Schritt für Schritt durch die NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland und gibt Ihnen konkrete Handlungsempfehlungen an die Hand.

Was ist die NIS2-Betroffenheitsprüfung und warum ist sie kritisch?

Die NIS2-Betroffenheitsprüfung ist der erste und wichtigste Schritt auf dem Weg zur gesetzeskonformen Cybersicherheit. Gemäß § 3 NIS2UmsuCG werden Unternehmen als „wesentliche" oder „wichtige Einrichtungen" eingestuft — abhängig von ihrer Branchenzugehörigkeit und Unternehmensgröße. Diese Einstufung bestimmt maßgeblich, welche Pflichten, Meldewege und Sanktionen für Ihr Unternehmen gelten.

Das Problem: Die Selbsteinstufungspflicht liegt beim Unternehmen selbst. Das BSI wartet nicht darauf, Sie aktiv zu kontaktieren. Wer keine Betroffenheitsprüfung durchführt, befindet sich möglicherweise im Verstoß — ohne es zu wissen.

Neuerungen im Überblick

Die NIS2-Richtlinie (EU 2022/2555) erweitert den Anwendungsbereich der ursprünglichen NIS1-Richtlinie erheblich. Schätzungen zufolge fallen in Deutschland rund 30.000 Unternehmen unter den neuen Rechtsrahmen — gegenüber nur etwa 2.000 unter der Vorgängerregelung. Das entspricht einer Versechzehnfachung des betroffenen Kreises.

Schritt 1: Gehört Ihr Unternehmen zu einem regulierten Sektor?

Die erste und grundlegende Frage lautet: Ist Ihre Branche überhaupt erfasst? Das NIS2UmsuCG unterscheidet dabei zwischen Anlage 1 (besonders kritische Sektoren) und Anlage 2 (weitere wichtige Sektoren).

Anlage 1 – Sektoren mit hoher Kritikalität

Diese Sektoren gelten als besonders systemrelevant. Unternehmen hier werden — bei Erfüllung der Größenkriterien — in der Regel als wesentliche Einrichtungen eingestuft:

Anlage 2 – Sonstige kritische Sektoren

Unternehmen in diesen Sektoren werden — wiederum bei Erfüllung der Größenkriterien — als wichtige Einrichtungen eingestuft:

Praktischer Hinweis: Viele mittelständische Unternehmen unterschätzen ihre Sektorzugehörigkeit. Ein Maschinenbauer, der Komponenten für Energieanlagen liefert, oder ein IT-Dienstleister, der Krankenhäuser betreut, kann indirekt in den regulierten Bereich fallen — auch als Zulieferer oder Subunternehmer.

Schritt 2: Erfüllt Ihr Unternehmen die Größenkriterien?

Die Sektorzugehörigkeit allein reicht nicht aus. Das NIS2UmsuCG stützt sich auf die europäischen KMU-Schwellenwerte:

Die drei Größenklassen im Überblick

Faustregel: Wer in einem der regulierten Sektoren tätig ist und mindestens 50 Mitarbeiter beschäftigt oder einen Jahresumsatz von mehr als 10 Millionen Euro erzielt, sollte die Betroffenheit sehr ernst nehmen.

Wichtige Ausnahmen für kleinere Unternehmen

Auch Unternehmen unterhalb der Größenschwellen können betroffen sein, wenn sie:
- als einziger Anbieter eines kritischen Dienstes in Deutschland fungieren,
- als Top-Level-Domain-Registry oder Anbieter kritischer digitaler Infrastruktur tätig sind,
- durch das BSI im Einzelfall als systemrelevant eingestuft wurden.

Schritt 3: Wesentliche vs. wichtige Einrichtung — Was ist der Unterschied?

Die Einstufung als „wesentliche" oder „wichtige" Einrichtung hat direkte Auswirkungen auf Ihre Pflichten und das Bußgeldrisiko:

Selbsttest: Bin ich von NIS2 betroffen?

Beantworten Sie die folgenden Fragen ehrlich. Wenn Sie alle drei Fragen mit „Ja" beantworten, besteht eine hohe Wahrscheinlichkeit, dass Ihr Unternehmen unter das NIS2UmsuCG fällt:

Checkliste zur NIS2-Betroffenheitsprüfung:

• [ ] Sektor: Ist mein Unternehmen in einem der Sektoren aus Anlage 1 oder Anlage 2 des NIS2UmsuCG tätig?
• [ ] Größe: Beschäftigt mein Unternehmen mindestens 50 Mitarbeiter oder erzielt es einen Jahresumsatz bzw. eine Jahresbilanzsumme von über 10 Millionen Euro?
• [ ] Wirkungsbereich: Erbringt mein Unternehmen Dienste oder Produkte, die maßgeblich für die Versorgung der Gesellschaft, der Wirtschaft oder anderer Unternehmen in Deutschland sind?

Zusatzfragen für kritische Sonderfälle:

• [ ] Bin ich der einzige oder einer von sehr wenigen Anbietern eines wesentlichen Dienstes in Deutschland?
• [ ] Verarbeite ich kritische Infrastrukturen oder Daten, die bei einem Ausfall erhebliche gesellschaftliche Folgen hätten?
• [ ] Bin ich als Zulieferer oder IT-Dienstleister für ein bereits reguliertes Unternehmen tätig (Lieferkettenpflicht nach § 30 NIS2UmsuCG)?

Was passiert bei Nichterfüllung? Die Bußgeldrisiken nach § 65 BSIG

Wer die Betroffenheitsprüfung ignoriert oder NIS2-Anforderungen nicht erfüllt, muss mit erheblichen Konsequenzen rechnen. § 65 BSIG regelt den Bußgeldkatalog:

• Wesentliche Einrichtungen: Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes — je nachdem, welcher Betrag höher ist.
• Wichtige Einrichtungen: Bußgelder bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes.
• Persönliche Haftung der Geschäftsleitung: Gemäß § 38 NIS2UmsuCG können Geschäftsführer und Vorstände persönlich für die Einhaltung der Cybersicherheitspflichten haftbar gemacht werden. Das BSI kann zudem die vorübergehende Abberufung von Führungskräften anordnen.

Hinzu kommen operative Konsequenzen: Betriebsunterbrechungen, Reputationsverlust, vertragliche Haftungsansprüche von Kunden und Partnern sowie mögliche Einschränkungen bei öffentlichen Aufträgen.

Konkrete Handlungsempfehlungen: So starten Sie jetzt

Wenn Sie nach diesem Artikel vermuten oder wissen, dass Ihr Unternehmen von NIS2 betroffen ist, sollten Sie folgende Schritte unverzüglich einleiten:

1. Betroffenheitsanalyse dokumentieren: Führen Sie eine schriftliche Selbstprüfung durch, in der Sie Sektorzugehörigkeit, Unternehmensgröße und Dienstleistungsumfang analysieren und dokumentieren. Dies dient als Nachweis gegenüber dem BSI.

2. Beim BSI registrieren: Betroffene Einrichtungen sind verpflichtet, sich im BSI-Portal zu registrieren. Die Registrierung ist der erste formale Schritt zur Compliance und sollte nicht aufgeschoben werden.

3. Risikoanalyse durchführen: Gemäß § 30 NIS2UmsuCG müssen Risikoanalysen für Ihre Netz- und Informationssysteme erstellt werden. Beginnen Sie mit einer Asset-Inventur und einer Bedrohungsmodellierung.

4. Technische und organisatorische Maßnahmen (TOM) implementieren: NIS2 fordert Maßnahmen in mindestens zehn Bereichen, darunter Zugangskontrollen, Verschlüsselung, Incident Management, Business Continuity und Supply Chain Security.

5. Meldeprozesse einrichten: Definieren Sie interne Eskalationswege und externe Meldeprozesse für Sicherheitsvorfälle. Die gesetzlichen Fristen sind strikt: 24 Stunden für die Erstmeldung, 72 Stunden für die Detailmeldung und 1 Monat für den Abschlussbericht.

6. Schulungen für Führungskräfte organisieren: § 38 NIS2UmsuCG verpflichtet die Geschäftsleitung zur aktiven Teilnahme an Cybersicherheitsschulungen. Dies ist kein optionales Nice-to-have, sondern eine gesetzliche Pflicht.

7. Lieferkette überprüfen: Analysieren Sie, welche Ihrer Lieferanten und Dienstleister Zugang zu Ihren kritischen Systemen haben. NIS2 erfordert ein aktives Third-Party-Risk-Management.

8. Rechtlichen Beistand hinzuziehen: Bei Unklarheiten zur Sektorzugehörigkeit oder Einstufung empfiehlt sich die Beratung durch einen auf IT-Recht und Cybersicherheitsrecht spezialisierten Rechtsanwalt oder eine NIS2-erfahrene Unternehmensberatung.

Fazit: Jetzt handeln, bevor der Regulator kommt

Die NIS2-Betroffenheitsprüfung ist kein bürokratischer Selbstzweck — sie ist der Einstiegspunkt in ein strukturiertes Cybersicherheitsmanagement, das Ihr Unternehmen widerstandsfähiger gegen reale Bedrohungen macht. Die gesetzlichen Anforderungen sind klar: § 3 NIS2UmsuCG definiert, wer betroffen ist; § 65 BSIG legt fest, was bei Nichterfüllung droht.

Ihre nächsten Schritte auf einen Blick:

1. Prüfen Sie Ihre Sektorzugehörigkeit anhand der Anlagen 1 und 2 des NIS2UmsuCG.
2. Gleichen Sie Ihre Unternehmensgröße mit den Schwellenwerten ab (50+ MA / 10 Mio. € Umsatz).
3. Führen Sie die Betroffenheitsprüfung schriftlich durch und dokumentieren Sie das Ergebnis.
4. Registrieren Sie sich beim BSI, falls Sie betroffen sind.
5. Starten Sie mit dem Aufbau Ihres ISMS nach ISO 27001 oder BSI IT-Grundschutz.

Ihr nächster Schritt: NIS2-Compliance strukturiert angehen

Die größte Hürde für viele Unternehmen ist nicht das Wissen, was zu tun ist — sondern die strukturierte Umsetzung im Tagesgeschäft. Moderne NIS2-Compliance-Software und ISMS-Plattformen helfen Ihnen dabei, die Betroffenheitsprüfung digital zu dokumentieren, Risikoanalysen durchzuführen, technische und organisatorische Maßnahmen zu verwalten und Nachweise für das BSI oder externe Audits revisionssicher zu speichern.

Viele Lösungen bieten zudem geführte Workflows, die speziell auf die Anforderungen des NIS2UmsuCG ausgerichtet sind — inklusive Meldeprozessen, Schulungsnachweisen und Lieferantenbewertungen. Ein strukturiertes Tool spart nicht nur Zeit, sondern reduziert auch das Risiko, wichtige Compliance-Schritte zu übersehen.

Nutzen Sie die verfügbaren digitalen Hilfsmittel — Ihr nächster Schritt beginnt mit der Betroffenheitsprüfung.

Dieser Artikel wurde sorgfältig recherchiert und gibt den Stand der deutschen NIS2-Umsetzungsgesetzgebung zum Zeitpunkt der Veröffentlichung (Oktober 2026) wieder. Er ersetzt keine Rechtsberatung. Bei konkreten Fragen zur Betroffenheit empfehlen wir die Konsultation eines Fachanwalts für IT-Recht oder die direkte Kontaktaufnahme mit dem BSI.