NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 17. Oktober 2026 | Lesezeit: ca. 8 Minuten

Seit dem Inkrafttreten des NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes (NIS2UmsuCG) steht eine entscheidende Frage im Raum, die Tausende von deutschen Unternehmen beschäftigt: Bin ich betroffen? Die Antwort ist für viele Verantwortliche komplizierter als erwartet – und die Konsequenzen einer falschen Einschätzung können erheblich sein. Dieser Artikel liefert Ihnen eine strukturierte NIS2-Betroffenheitsprüfung, erklärt die relevanten Schwellenwerte und zeigt, welche konkreten Pflichten auf Ihr Unternehmen zukommen.

Was regelt §3 NIS2UmsuCG – und warum ist er so entscheidend?

Der Anwendungsbereich des deutschen NIS2-Umsetzungsgesetzes wird maßgeblich durch §3 NIS2UmsuCG definiert. Dieser Paragraph legt fest, welche Einrichtungen als „wesentlich" oder „wichtig" eingestuft werden und damit den umfangreichen Anforderungen des Gesetzes unterliegen. Ergänzend dazu orientiert sich das Gesetz an den Anlagen 1 und 2 des NIS2UmsuCG, die die betroffenen Sektoren abschließend aufführen.

Entscheidend: Im Gegensatz zu früheren Regulierungsmodellen, bei denen der Staat Unternehmen aktiv benachrichtigte, liegt die Pflicht zur Selbsteinschätzung nun bei den Unternehmen selbst. Wer diese Prüfung vernachlässigt, riskiert nicht nur Bußgelder, sondern auch Haftungsansprüche gegenüber der Geschäftsführung persönlich.

Schritt 1: Gehört Ihr Sektor zu den regulierten Bereichen?

Anlage 1 – Sektoren mit hoher Kritikalität (wesentliche Einrichtungen)

Die Anlage 1 des NIS2UmsuCG umfasst Sektoren, die als besonders kritisch für das gesellschaftliche und wirtschaftliche Funktionieren Deutschlands gelten:

  • Energie (Strom, Fernwärme, Erdöl, Erdgas, Wasserstoff)
  • Verkehr (Luft, Schiene, Wasser, Straße)
  • Bankwesen und Finanzmarktinfrastrukturen
  • Gesundheitswesen (Krankenhäuser, Labore, Pharmahersteller)
  • Trinkwasser und Abwasser
  • Digitale Infrastruktur (DNS-Dienste, TLD-Register, Cloud-Anbieter, Rechenzentren)
  • IKT-Dienstemanagement (Managed Service Provider, Managed Security Service Provider)
  • Öffentliche Verwaltung (Bundes- und Landesbehörden)
  • Weltraum (Betreiber von Bodeninfrastrukturen)

Anlage 2 – Sonstige kritische Sektoren (wichtige Einrichtungen)

Die Anlage 2 erweitert den Geltungsbereich auf weitere wirtschaftlich bedeutsame Bereiche:

  • Post- und Kurierdienste
  • Abfallbewirtschaftung
  • Chemische Industrie
  • Lebensmittelproduktion und -vertrieb
  • Verarbeitendes Gewerbe / Maschinenbau (u. a. Medizinprodukte, Fahrzeuge, Elektronik)
  • Digitale Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke)
  • Forschung (bestimmte Forschungseinrichtungen)

Praxishinweis: Auch wenn Ihr Unternehmen nicht primär in einem dieser Sektoren tätig ist, können Sie als Zulieferer oder Dienstleister für regulierte Unternehmen mittelbar betroffen sein. Die NIS2-Anforderungen wirken oft durch vertragliche Pflichten in Lieferketten weiter.

Schritt 2: Erfüllen Sie die Größenkriterien?

Die Sektorzugehörigkeit allein reicht nicht aus. Hinzukommen müssen bestimmte Größenschwellen, die sich an der EU-Empfehlung 2003/361/EG orientieren:

Einrichtungstyp Mitarbeiterzahl Jahresumsatz ODER Jahresbilanzsumme
Wesentliche Einrichtung (Anlage 1) ≥ 250 Mitarbeitende ≥ 50 Mio. € Umsatz oder ≥ 43 Mio. € Bilanzsumme
Wichtige Einrichtung (Anlage 1 & 2) ≥ 50 Mitarbeitende ≥ 10 Mio. € Umsatz oder ≥ 10 Mio. € Bilanzsumme
Unabhängig von der Größe Keine Schwelle Bestimmte Einrichtungen (z. B. kritische Infrastruktur, TLD-Register, Vertrauensdiensteanbieter)

Sonderregelungen: Größenunabhängige Betroffenheit

Achtung: Einige Kategorien unterliegen unabhängig von ihrer Größe den NIS2-Anforderungen. Dazu zählen laut §3 NIS2UmsuCG insbesondere:

  • Betreiber kritischer Anlagen im Sinne des BSIG
  • Vertrauensdiensteanbieter nach der eIDAS-Verordnung
  • Anbieter öffentlich zugänglicher elektronischer Kommunikationsnetze
  • Einrichtungen der öffentlichen Verwaltung auf Bundesebene

Wesentliche vs. wichtige Einrichtungen: Was ist der Unterschied?

Die Unterscheidung ist praktisch relevant, weil sie Aufsichtsintensität und Bußgeldhöhe beeinflusst:

Wesentliche Einrichtungen

  • Unterliegen der proaktiven Aufsicht durch das BSI
  • Regelmäßige Überprüfungen und Audits möglich
  • Höhere Bußgelder bei Verstößen
  • Pflicht zur Registrierung beim BSI

Wichtige Einrichtungen

  • Unterliegen der reaktiven Aufsicht (BSI wird in der Regel erst bei Vorfällen tätig)
  • Geringere, aber immer noch erhebliche Bußgelder
  • Ebenfalls Registrierungspflicht

Beide Kategorien müssen jedoch dieselben Kernpflichten erfüllen: Risikomanagement, Meldepflichten, Sicherheitsmaßnahmen und Governance-Anforderungen.

Interaktiver Selbsttest: Ist Ihr Unternehmen NIS2-pflichtig?

Gehen Sie diese Fragen systematisch durch:

Frage 1: Ist Ihr Unternehmen in einem der Sektoren aus Anlage 1 oder Anlage 2 des NIS2UmsuCG tätig?
- ☐ Ja → weiter zu Frage 2
- ☐ Nein → Sie sind wahrscheinlich nicht direkt betroffen (prüfen Sie dennoch Zuliefererpflichten)

Frage 2: Beschäftigt Ihr Unternehmen mindestens 50 Mitarbeitende?
- ☐ Ja → weiter zu Frage 3
- ☐ Nein → Prüfen Sie, ob Sie unter eine Sonderregelung fallen (Frage 5)

Frage 3: Übersteigt Ihr Jahresumsatz 10 Millionen Euro?
- ☐ Ja → Sie fallen wahrscheinlich unter NIS2 (mindestens als wichtige Einrichtung)
- ☐ Nein → Wahrscheinlich nicht betroffen (Sonderregelungen prüfen)

Frage 4: Beschäftigen Sie mehr als 250 Mitarbeitende UND übersteigt Ihr Umsatz 50 Mio. € (oder Bilanzsumme 43 Mio. €)?
- ☐ Ja → Sie sind wahrscheinlich eine wesentliche Einrichtung (Anlage 1)
- ☐ Nein → Möglicherweise wichtige Einrichtung

Frage 5: Sind Sie Betreiber kritischer Anlagen, Vertrauensdiensteanbieter, TLD-Registrar oder öffentlicher Kommunikationsnetzbetreiber?
- ☐ Ja → Sie fallen unabhängig von Ihrer Größe unter NIS2

Konsequenzen bei Nichterfüllung: §65 BSIG und persönliche Haftung

Die Unterschätzung der NIS2-Anforderungen kann teuer werden. §65 BSIG (Bußgeldvorschriften) sieht folgende Sanktionen vor:

Bußgeldrahmen

  • Wesentliche Einrichtungen: Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (der höhere Wert gilt)
  • Wichtige Einrichtungen: Bußgelder bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes

Persönliche Haftung der Geschäftsführung

Besonders einschneidend ist die persönliche Haftung von Geschäftsführern und Vorständen: Sie können gemäß den NIS2-Vorgaben (umgesetzt in §38 NIS2UmsuCG) für die Genehmigung und Überwachung von Cybersicherheitsmaßnahmen persönlich verantwortlich gemacht werden. Eine Enthaftung durch D&O-Versicherungen ist hier nicht in jedem Fall möglich.

Weitere Konsequenzen

  • Öffentliche Bekanntmachung von Verstößen (Name-and-Shame)
  • Temporäres Verbot der Ausübung von Leitungsfunktionen
  • Entzug von Zertifizierungen
  • Reputationsschäden gegenüber Kunden und Partnern

Konkrete Handlungsempfehlungen: Was tun, wenn Sie betroffen sind?

Wenn Ihre Betroffenheitsprüfung ergibt, dass Sie unter NIS2 fallen, empfehlen wir folgende strukturierte Vorgehensweise:

  1. Betroffenheit dokumentieren: Halten Sie schriftlich fest, warum Sie sich als wesentliche oder wichtige Einrichtung einstufen. Diese Dokumentation schützt Sie bei Aufsichtsgesprächen.

  2. Beim BSI registrieren: Wesentliche und wichtige Einrichtungen müssen sich über das BSI-Portal registrieren. Die Frist für die Erstregistrierung sollte unverzüglich nach Feststellung der Betroffenheit eingehalten werden.

  3. Gap-Analyse durchführen: Vergleichen Sie Ihre aktuellen Sicherheitsmaßnahmen mit den Anforderungen aus §30 NIS2UmsuCG (Risikomanagement). Typische Lücken finden sich bei Incident-Response-Plänen, Lieferkettenmanagement und Schulungsmaßnahmen.

  4. Risikomanagement-Framework etablieren: Implementieren Sie ein dokumentiertes ISMS, idealerweise auf Basis von ISO/IEC 27001 oder dem BSI IT-Grundschutz. Das ISMS muss regelmäßig überprüft und aktualisiert werden.

  5. Meldeprozesse definieren: Richten Sie klare interne Eskalationswege ein. Sicherheitsvorfälle müssen dem BSI innerhalb von 24 Stunden (Erstmeldung) und 72 Stunden (detaillierte Meldung) gemeldet werden.

  6. Lieferkette prüfen: Identifizieren Sie kritische Dienstleister und Zulieferer und fordern Sie Nachweise zu deren Cybersicherheitsmaßnahmen. Passen Sie Verträge entsprechend an.

  7. Geschäftsführung einbinden: Sensibilisieren Sie die Leitungsebene für ihre persönliche Verantwortung. Cybersicherheit ist keine reine IT-Aufgabe mehr, sondern Chefsache.

  8. Regelmäßige Schulungen sicherstellen: NIS2 verlangt nachweisbare Schulungen für Mitarbeitende und Leitungspersonen. Planen Sie diese als festen Bestandteil des Jahresprogramms.

Häufige Irrtümer bei der NIS2-Betroffenheitsprüfung

Irrtum 1: „Wir sind zu klein."
Viele Unternehmen unterschätzen ihre Größe, weil sie verbundene Unternehmen nicht korrekt einberechnen. Gemäß EU-KMU-Definition müssen Tochtergesellschaften und Beteiligungen konsolidiert werden.

Irrtum 2: „Wir wurden nicht benachrichtigt."
Es gibt keine staatliche Benachrichtigungspflicht. Die Selbsteinschätzung liegt allein beim Unternehmen.

Irrtum 3: „Wir haben ISO 27001 – das reicht."
Eine bestehende ISO-27001-Zertifizierung ist hilfreich, ersetzt aber nicht die spezifischen NIS2-Anforderungen, insbesondere bei Meldepflichten und behördlicher Registrierung.

Irrtum 4: „NIS2 gilt nur für IT-Unternehmen."
Die Anlage 2 zeigt: Auch Lebensmittelproduzenten, Chemiebetriebe und Maschinenbauer können betroffen sein.

Fazit und nächste Schritte

Die NIS2-Betroffenheitsprüfung ist kein einmaliger Verwaltungsakt, sondern ein kontinuierlicher Prozess, der regelmäßig wiederholt werden sollte – insbesondere wenn sich Ihre Unternehmensstruktur, Ihr Umsatz oder Ihr Geschäftsfeld verändert.

Ihre nächsten Schritte auf einen Blick:

  • ✅ Sektorzugehörigkeit gemäß Anlage 1 und 2 NIS2UmsuCG prüfen
  • ✅ Größenschwellen (50 MA / 10 Mio. € bzw. 250 MA / 50 Mio. €) ermitteln
  • ✅ Einstufung als wesentliche oder wichtige Einrichtung dokumentieren
  • ✅ Registrierung beim BSI veranlassen
  • ✅ Gap-Analyse und ISMS-Aufbau starten
  • ✅ Meldeprozesse und Schulungsprogramme etablieren

Wer jetzt handelt, vermeidet nicht nur empfindliche Bußgelder nach §65 BSIG, sondern stärkt auch das Vertrauen von Kunden, Partnern und Behörden in die eigene Cybersicherheitsreife.

Tipp: NIS2-Compliance effizienter umsetzen

Die Dokumentation aller NIS2-relevanten Prozesse, Risikoanalysen und Meldepflichten ist zeitaufwändig – besonders für Unternehmen ohne dediziertes Sicherheitsteam. Spezialisierte ISMS- und Compliance-Software kann Ihnen helfen, die Betroffenheitsprüfung zu strukturieren, ISMS-Dokumente rechtskonform zu erstellen und Fristen für BSI-Meldungen im Blick zu behalten. Viele Lösungen bieten mittlerweile NIS2-spezifische Templates und automatisierte Gap-Analysen an – ein sinnvoller erster Schritt, um den Compliance-Prozess systematisch und nachvollziehbar aufzusetzen.

Dieser Artikel dient der allgemeinen Information und ersetzt keine individuelle Rechts- oder Sicherheitsberatung. Für eine verbindliche Einschätzung Ihrer NIS2-Betroffenheit empfehlen wir die Konsultation eines spezialisierten Rechtsanwalts oder IT-Sicherheitsberaters.