NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 16. Oktober 2026 | Lesezeit: ca. 8 Minuten

Die NIS2-Richtlinie ist längst keine abstrakte EU-Gesetzgebung mehr – sie ist geltendes Recht in Deutschland. Mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) wurde die europäische Richtlinie in nationales Recht überführt. Doch eine entscheidende Frage beschäftigt nach wie vor tausende Unternehmen in Deutschland: Bin ich überhaupt betroffen?

Die Antwort ist komplexer, als sie auf den ersten Blick erscheint. Weder Unternehmensgröße allein noch die Branche entscheiden – es kommt auf die Kombination beider Kriterien an. Wer die Betroffenheitsprüfung versäumt oder falsch bewertet, riskiert empfindliche Bußgelder nach §65 BSIG und erhebliche Reputationsschäden. Dieser Artikel gibt Ihnen die notwendigen Werkzeuge, um Ihre Betroffenheit rechtssicher einzuschätzen.

Was regelt §3 NIS2UmsuCG?

Der zentrale Anker für die Betroffenheitsprüfung ist §3 NIS2UmsuCG, der den Anwendungsbereich des Gesetzes definiert. Er legt fest, welche Einrichtungen als wesentliche (Essential Entities) oder wichtige Einrichtungen (Important Entities) eingestuft werden. Diese Einstufung ist keine Formalie – sie bestimmt direkt den Umfang Ihrer Pflichten, die Intensität der Aufsicht durch das BSI und die maximal mögliche Bußgeldhöhe im Falle von Verstößen.

§3 NIS2UmsuCG verweist dabei auf zwei entscheidende Anlagen: Anlage 1 und Anlage 2 des Gesetzes, die die relevanten Sektoren und Teilsektoren auflisten. Ohne Blick in diese Anlagen ist eine fundierte Betroffenheitsprüfung schlicht nicht möglich.

Die zwei Kerndimensionen der Betroffenheitsprüfung

1. Sektorzugehörigkeit: Anlage 1 und Anlage 2

Das NIS2UmsuCG unterscheidet zwischen hochkritischen Sektoren (Anlage 1) und sonstigen kritischen Sektoren (Anlage 2). Ihre Sektorzugehörigkeit bestimmt, ob Sie als wesentliche oder wichtige Einrichtung gelten.

Anlage 1 – Hochkritische Sektoren:

Anlage 2 – Sonstige kritische Sektoren:

Wichtig: Allein die Sektorzugehörigkeit reicht nicht aus. Zusätzlich müssen die Größenkriterien erfüllt sein – mit einer bedeutenden Ausnahme (dazu unten mehr).

2. Größenkriterien: Die 50/10-Regel

NIS2 orientiert sich an der EU-Empfehlung 2003/361/EG zu Unternehmensgrößen. Für die Betroffenheit gelten folgende Schwellenwerte:

Achtung bei verbundenen Unternehmen: Bei Konzernstrukturen werden Mitarbeiterzahlen und Umsätze von Mutter- und Tochterunternehmen nach EU-Recht unter Umständen zusammengerechnet. Was auf den ersten Blick wie ein mittelständisches Unternehmen wirkt, kann durch Konzernzugehörigkeit die Schwellenwerte überschreiten.

Wesentliche vs. wichtige Einrichtungen: Was ist der Unterschied?

Die Unterscheidung zwischen wesentlichen und wichtigen Einrichtungen ist praxisrelevant, denn sie bestimmt die Intensität der Aufsicht und die Bußgeldhöhe.

Wesentliche Einrichtungen (Essential Entities)

• Großunternehmen aus Anlage 1 (≥ 250 MA, ≥ 50 Mio. € Umsatz)
• Bestimmte Einrichtungen unabhängig von der Größe (z. B. qualifizierte Vertrauensdiensteanbieter, TLD-Registries, bestimmte Betreiber kritischer Infrastrukturen nach KRITIS-Dachgesetz)
• Proaktive Aufsicht durch das BSI
• Bußgeld bei Verstößen: bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes

Wichtige Einrichtungen (Important Entities)

• Mittlere und große Unternehmen aus Anlage 1 und 2 (≥ 50 MA, ≥ 10 Mio. € Umsatz)
• Reaktive Aufsicht durch das BSI (Kontrolle bei Vorfällen oder Hinweisen)
• Bußgeld bei Verstößen: bis zu 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes

Selbsttest: Fällt Ihr Unternehmen unter NIS2?

Nutzen Sie die folgende Checkliste als ersten Orientierungsrahmen. Dieser Selbsttest ersetzt keine rechtliche Beratung, gibt Ihnen aber eine belastbare Ersteinschätzung.

Schritt 1: Sektorzugehörigkeit prüfen

• [ ] Ist mein Unternehmen in einem der Sektoren aus Anlage 1 tätig?
• [ ] Ist mein Unternehmen in einem der Sektoren aus Anlage 2 tätig?
• [ ] Biete ich Dienstleistungen an, die anderen Sektoren als digitale Infrastruktur dienen (z. B. Cloud, Managed Services)?

Wenn keine dieser Fragen mit Ja beantwortet wird: Sie sind voraussichtlich nicht direkt betroffen. Prüfen Sie dennoch Ihre Lieferkette (§30 NIS2UmsuCG).

Schritt 2: Größenkriterien prüfen

• [ ] Hat mein Unternehmen 50 oder mehr Mitarbeiter?
• [ ] Liegt der Jahresumsatz oder die Jahresbilanzsumme bei 10 Mio. € oder mehr?
• [ ] Gehöre ich zu einem Konzern, der diese Grenzen zusammengerechnet überschreitet?

Wenn mindestens ein Größenkriterium erfüllt ist: Weiter zu Schritt 3.

Schritt 3: Automatische Betroffenheit prüfen

• [ ] Bin ich ein qualifizierter Vertrauensdiensteanbieter?
• [ ] Betreibe ich eine Top-Level-Domain-Registry oder DNS-Dienste?
• [ ] Bin ich als KRITIS-Betreiber nach dem IT-Sicherheitsgesetz 2.0 eingestuft?

Wenn ja: Sie sind unabhängig von Ihrer Unternehmensgröße als wesentliche Einrichtung einzustufen.

Konsequenzen bei Nichterfüllung: Was droht wirklich?

Viele Unternehmen unterschätzen die Konsequenzen einer fehlenden oder fehlerhaften Betroffenheitsprüfung. §65 BSIG regelt das Bußgeldregime und ist deutlich schärfer als sein Vorgänger.

Konkrete Bußgeldrisiken nach §65 BSIG

Für wesentliche Einrichtungen:
- Unterlassene Registrierungspflicht: bis zu 500.000 €
- Verstoß gegen Sicherheitspflichten (§30 NIS2UmsuCG): bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes
- Verstoß gegen Meldepflichten (§32 NIS2UmsuCG): bis zu 10 Mio. €

Für wichtige Einrichtungen:
- Vergleichbare Verstöße: bis zu 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes

Persönliche Haftung der Geschäftsführung: Nach §38 NIS2UmsuCG müssen Geschäftsführer und Vorstände die Umsetzung von Risikomanagementmaßnahmen aktiv überwachen. Bei grober Fahrlässigkeit oder Vorsatz droht eine persönliche Haftung – ein Novum im deutschen IT-Sicherheitsrecht, das die Tragweite dieser Pflichten unterstreicht.

Über Bußgelder hinaus: Weitere Konsequenzen

• Entzug von Betriebsgenehmigungen oder Zertifizierungen
• Öffentliche Bekanntmachung von Verstößen durch das BSI
• Reputationsschäden gegenüber Kunden und Geschäftspartnern
• Vertragsrechtliche Folgen bei Lieferkettenanforderungen von NIS2-pflichtigen Kunden

Fünf konkrete Handlungsempfehlungen für die NIS2-Betroffenheitsprüfung

1. Sektormapping durchführen: Analysieren Sie Ihr gesamtes Geschäftsmodell anhand der Anlagen 1 und 2 des NIS2UmsuCG. Berücksichtigen Sie auch Sekundäraktivitäten – ein Maschinenbauunternehmen, das auch Cloud-Dienste anbietet, kann unter mehrere Sektoren fallen.

2. Konzernstruktur berücksichtigen: Beauftragen Sie eine konsolidierte Überprüfung der Mitarbeiterzahlen und Umsätze unter Einbeziehung aller verbundenen Unternehmen nach der EU-KMU-Definition. Holen Sie juristischen Rat ein, wenn Beteiligungsverhältnisse komplex sind.

3. Registrierungspflicht nicht vergessen: Betroffene Einrichtungen müssen sich beim BSI registrieren. Das BSI hat eine entsprechende Online-Registrierungsplattform bereitgestellt. Eine versäumte Registrierung ist bereits bußgeldbewehrt – unabhängig davon, ob Sicherheitsvorfälle aufgetreten sind.

4. Lieferkette analysieren: Selbst wenn Ihr Unternehmen nicht direkt unter NIS2 fällt, können Ihre Kunden NIS2-pflichtig sein und vertragliche Anforderungen an Sie stellen. §30 Abs. 2 NIS2UmsuCG verpflichtet betroffene Einrichtungen zur Berücksichtigung von Lieferkettenrisiken.

5. Dokumentation sicherstellen: Halten Sie die Ergebnisse Ihrer Betroffenheitsprüfung schriftlich fest – inklusive der zugrundeliegenden Annahmen und Daten. Im Falle einer BSI-Prüfung müssen Sie nachweisen können, dass Sie die Frage der Betroffenheit sorgfältig geprüft haben.

Sonderfall: Kleine Unternehmen unter NIS2

Grundsätzlich sind Unternehmen mit weniger als 50 Mitarbeitern und unter 10 Mio. € Umsatz von NIS2 ausgenommen. Ausnahmen gelten jedoch für:

• Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste (unabhängig von der Größe)
• Vertrauensdiensteanbieter (qualifizierte und nicht-qualifizierte)
• Einrichtungen, die als einziger Anbieter eines kritischen Dienstes in einem Mitgliedstaat auftreten
• Einrichtungen, bei denen eine Störung erhebliche Auswirkungen auf öffentliche Sicherheit oder Gesundheit hätte

Gerade in Nischenmärkten und bei spezialisierten IT-Dienstleistern lohnt sich eine individuelle Prüfung auch unterhalb der Größenschwellen.

Fazit: Betroffenheit klären – jetzt, nicht später

Die NIS2-Betroffenheitsprüfung ist kein bürokratischer Akt, sondern der erste und entscheidendste Schritt auf dem Weg zur Compliance. Wer diesen Schritt überspringt, baut sein Sicherheitskonzept auf unsicherem Fundament – und riskiert nicht nur Bußgelder nach §65 BSIG, sondern auch persönliche Haftung der Geschäftsführung.

Ihre nächsten Schritte:

1. Prüfen Sie Ihre Sektorzugehörigkeit anhand der Anlagen 1 und 2 des NIS2UmsuCG
2. Ermitteln Sie Ihre Mitarbeiterzahlen und Umsätze konsolidiert auf Konzernebene
3. Bestimmen Sie Ihren Einrichtungstyp (wesentlich oder wichtig)
4. Registrieren Sie sich beim BSI, falls Sie betroffen sind
5. Beginnen Sie mit der Umsetzung der Sicherheitsanforderungen nach §30 NIS2UmsuCG

Die Zeit der Orientierung ist vorbei. 2026 prüft das BSI aktiv – und zwar auch proaktiv bei wesentlichen Einrichtungen.

So unterstützt Sie spezialisierte Software bei der NIS2-Compliance

Die manuelle Betroffenheitsprüfung, das Erstellen eines ISMS-konformen Dokumentationsrahmens und die laufende Überwachung Ihrer Risikomanagementmaßnahmen sind zeitaufwendig und fehleranfällig. Spezialisierte NIS2-Compliance-Software kann diesen Prozess erheblich vereinfachen: von der geführten Betroffenheitsprüfung anhand der gesetzlichen Kriterien über die automatische Generierung von Pflichtdokumenten (Risikoanalyse, Sicherheitskonzept, Meldeprozesse) bis hin zur laufenden Gap-Analyse gegen die Anforderungen des §30 NIS2UmsuCG. Viele Tools bieten zudem Workflows für die BSI-Registrierung und integrieren Lieferketten-Assessments. Wenn Sie noch kein strukturiertes Werkzeug im Einsatz haben, ist der Aufbau einer softwaregestützten Compliance-Struktur ein sinnvoller nächster Schritt – bevor das BSI anklopft.

Haben Sie Fragen zur NIS2-Betroffenheitsprüfung? Die Referenzquellen für diesen Artikel sind das NIS2UmsuCG in der geltenden Fassung, das BSIG, die BSI-Orientierungshilfe zur NIS2 sowie die ENISA-Leitlinien zur NIS2-Implementierung.