NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 22. Oktober 2026 | Lesedauer: ca. 8 Minuten

Seit der Umsetzung der EU-Richtlinie 2022/2555 in deutsches Recht durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) stehen tausende Unternehmen in Deutschland vor einer grundlegenden Frage: Bin ich überhaupt betroffen? Die Antwort ist für viele Betriebe komplizierter als erwartet – und die Konsequenzen einer Fehleinschätzung können erheblich sein. Dieser Artikel führt Sie systematisch durch die NIS2-Betroffenheitsprüfung und erklärt, was im Jahr 2025 und darüber hinaus für Ihr Unternehmen gilt.

Was ist die NIS2-Betroffenheitsprüfung und warum ist sie so wichtig?

Die NIS2-Richtlinie verpflichtet bestimmte Einrichtungen dazu, umfangreiche Cybersicherheitsmaßnahmen zu implementieren, Sicherheitsvorfälle zu melden und sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) zu registrieren. Wer irrtümlich glaubt, nicht betroffen zu sein, riskiert empfindliche Bußgelder – im schlimmsten Fall bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (§ 65 BSIG).

Die rechtliche Grundlage für die Betroffenheitsprüfung findet sich in § 3 NIS2UmsuCG in Verbindung mit den Anlagen 1 und 2 des Gesetzes. Dort sind sowohl die betroffenen Sektoren als auch die Größenkriterien definiert, anhand derer Einrichtungen als „wesentlich" oder „wichtig" eingestuft werden.

Schritt 1: Fällt Ihr Sektor unter NIS2?

Der erste Prüfschritt betrifft Ihren Tätigkeitsbereich. NIS2 unterscheidet zwischen zwei Kategorien von Sektoren, die in Anlage 1 und Anlage 2 des NIS2UmsuCG aufgelistet sind.

Anlage 1 – Sektoren mit hoher Kritikalität (Wesentliche Einrichtungen)

Diese Sektoren gelten als besonders kritisch für das Funktionieren von Staat und Gesellschaft:

• Energie (Strom, Gas, Fernwärme, Erdöl, Wasserstoff)
• Verkehr (Luft, Schiene, Wasser, Straße)
• Bankwesen und Finanzmarktinfrastrukturen
• Gesundheitswesen (Krankenhäuser, Labore, Forschung)
• Trinkwasser und Abwasser
• Digitale Infrastruktur (Internet-Exchange-Points, DNS, TLD-Register, Cloud-Anbieter, Rechenzentren, Vertrauensdiensteanbieter, öffentliche Kommunikationsnetze)
• IKT-Dienste-Management (B2B-Managed-Service-Provider)
• Öffentliche Verwaltung (Bundes- und Landesbehörden)
• Weltraum (Betreiber von Bodeninfrastrukturen)

Anlage 2 – Sonstige kritische Sektoren (Wichtige Einrichtungen)

Diese Sektoren sind ebenfalls reguliert, unterliegen jedoch weniger strengen Aufsichtsanforderungen:

• Post- und Kurierdienste
• Abfallwirtschaft
• Chemische Industrie (Herstellung und Handel)
• Lebensmittelindustrie (Produktion, Verarbeitung, Vertrieb)
• Verarbeitendes Gewerbe/Herstellung von Waren (u. a. Medizinprodukte, Maschinen, Fahrzeuge, Elektronik)
• Digitale Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke)
• Forschungseinrichtungen

Praxis-Tipp: Viele Unternehmen sind sich ihrer Zugehörigkeit zu Anlage 2 nicht bewusst – insbesondere mittelständische Hersteller aus dem Maschinenbau oder der Lebensmittelindustrie. Prüfen Sie anhand des NACE-Codes Ihrer Haupttätigkeit, in welchen Sektor Sie fallen.

Schritt 2: Erfüllen Sie die Größenkriterien?

Allein die Zugehörigkeit zu einem Sektor reicht nicht aus. Entscheidend sind zusätzlich die Unternehmensgröße und der Jahresumsatz bzw. die Jahresbilanzsumme, wie in § 3 NIS2UmsuCG geregelt.

Größenschwellen im Überblick

Diese Schwellenwerte orientieren sich an der EU-Definition für mittlere und große Unternehmen (KMU-Definition der Europäischen Kommission). Kleinstunternehmen und Kleinunternehmen sind in der Regel ausgenommen – es sei denn, sie betreiben kritische Infrastrukturen oder sind in bestimmten Sektoren der Anlage 1 tätig.

Achtung bei Konzernstrukturen: Bei der Berechnung der Mitarbeiterzahl und des Umsatzes sind verbundene Unternehmen und Partnerunternehmen gemäß KMU-Definition einzubeziehen. Eine GmbH mit 45 eigenen Mitarbeitern, die Tochter eines Konzerns mit 500 Mitarbeitern ist, kann trotzdem als wichtige Einrichtung gelten.

Schritt 3: Wesentliche vs. Wichtige Einrichtung – Was bedeutet das konkret?

Die Unterscheidung zwischen wesentlichen und wichtigen Einrichtungen hat direkte Auswirkungen auf die Intensität der Aufsicht und die Höhe möglicher Sanktionen.

Wesentliche Einrichtungen (§ 28 BSIG)

• Unterliegen der proaktiven Aufsicht durch das BSI
• BSI kann jederzeit Audits, Sicherheitsüberprüfungen und Inspektionen anordnen
• Bußgelder bei Verstößen: bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes
• Geschäftsleiterhaftung ist möglich (§ 38 BSIG)

Wichtige Einrichtungen (§ 30 BSIG)

• Unterliegen der reaktiven Aufsicht – das BSI wird primär bei Vorfällen oder Hinweisen aktiv
• Bußgelder bei Verstößen: bis zu 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes
• Ebenfalls Registrierungspflicht beim BSI

Beide Kategorien sind verpflichtet, Risikoanalysen durchzuführen, Sicherheitsmaßnahmen zu implementieren, Sicherheitsvorfälle zu melden und eine Registrierung beim BSI vorzunehmen.

Interaktiver Selbsttest: Bin ich von NIS2 betroffen?

Gehen Sie die folgenden Fragen der Reihe nach durch:

Frage 1: Ist Ihr Unternehmen in einem der Sektoren der Anlage 1 oder 2 des NIS2UmsuCG tätig?
- ❌ Nein → Sie sind wahrscheinlich nicht betroffen (Ausnahmen prüfen!)
- ✅ Ja → Weiter zu Frage 2

Frage 2: Beschäftigt Ihr Unternehmen (inkl. verbundener Unternehmen) 50 oder mehr Mitarbeiter?
- ❌ Nein → Nicht betroffen (außer Sie betreiben kritische Infrastruktur unabhängig von Größe)
- ✅ Ja → Weiter zu Frage 3

Frage 3: Übersteigt Ihr Jahresumsatz oder Ihre Jahresbilanzsumme 10 Mio. Euro?
- ❌ Nein → Nicht betroffen (Kleinunternehmen-Ausnahme)
- ✅ Ja → Weiter zu Frage 4

Frage 4: Beschäftigen Sie 250 oder mehr Mitarbeiter und übersteigt Ihr Umsatz 50 Mio. Euro oder Ihre Bilanzsumme 43 Mio. Euro?
- ✅ Ja, Anlage-1-Sektor → Wesentliche Einrichtung
- ✅ Ja, Anlage-2-Sektor → Ebenfalls möglicherweise wesentliche Einrichtung
- ❌ Nein (aber ≥ 50 MA und > 10 Mio. €) → Wichtige Einrichtung

Hinweis: Dieser Selbsttest ersetzt keine rechtliche Fachberatung. Insbesondere bei Grenzfällen, Konzernstrukturen oder Tätigkeiten in mehreren Sektoren empfiehlt sich die Konsultation eines auf IT-Recht spezialisierten Anwalts.

Konsequenzen bei Nichterfüllung: Was droht bei Verstößen?

Wer die NIS2-Pflichten missachtet – ob aus Unwissen oder Ignoranz – muss mit erheblichen Konsequenzen rechnen. § 65 BSIG definiert den Bußgeldrahmen:

Besonders brisant: Das BSI kann bei schwerwiegenden Verstößen als letztes Mittel die Geschäftsleitung vorübergehend von der Ausübung ihrer Leitungsaufgaben ausschließen (§ 61 Abs. 5 BSIG). Dies unterstreicht die persönliche Verantwortung der Unternehmensführung im Bereich Cybersicherheit.

Konkrete Handlungsempfehlungen in 7 Schritten

Wenn Sie festgestellt haben, dass Ihr Unternehmen unter NIS2 fällt, empfehlen wir folgendes Vorgehen:

1. Betroffenheit dokumentieren: Erstellen Sie eine schriftliche Selbsteinschätzung auf Basis von § 3 NIS2UmsuCG. Halten Sie Sektorenzugehörigkeit, Mitarbeiterzahl und Umsatzdaten fest.

2. Beim BSI registrieren: Die Registrierungspflicht gilt für alle wesentlichen und wichtigen Einrichtungen. Nutzen Sie das BSI-Registrierungsportal und registrieren Sie sich zeitnah, sofern noch nicht geschehen.

3. Risikoanalyse durchführen: Gemäß § 30 Abs. 1 NIS2UmsuCG sind alle betroffenen Einrichtungen verpflichtet, Risiken für ihre Netz- und Informationssysteme systematisch zu identifizieren und zu bewerten.

4. Sicherheitsmaßnahmen implementieren: Dazu gehören u. a. Zugangskontrolle, Verschlüsselung, Incident Response, Business Continuity Management und Lieferkettensicherheit (§ 30 Abs. 2 NIS2UmsuCG).

5. Meldeprozesse etablieren: Sicherheitsvorfälle müssen innerhalb von 24 Stunden (Erstmeldung) und 72 Stunden (detaillierte Meldung) an das BSI gemeldet werden.

6. Lieferkette prüfen: NIS2 schließt ausdrücklich die Sicherheit der Lieferkette ein. Prüfen Sie Verträge mit IT-Dienstleistern und Subunternehmern auf Cybersicherheitsanforderungen.

7. Schulungen durchführen: Geschäftsführung und leitende Mitarbeiter müssen gemäß § 38 NIS2UmsuCG nachweislich in Cybersicherheitsthemen geschult sein.

Sonderfall: Kleinere Unternehmen in der Lieferkette

Auch wenn Ihr Unternehmen die Größenschwellen nicht erreicht, können Sie indirekt von NIS2 betroffen sein. Als Zulieferer oder IT-Dienstleister einer wesentlichen oder wichtigen Einrichtung werden Cybersicherheitsanforderungen zunehmend vertraglich weitergegeben. NIS2-betroffene Unternehmen sind verpflichtet, die Sicherheit ihrer Lieferkette zu managen – und werden entsprechende Anforderungen in Verträge aufnehmen.

Fazit: Jetzt handeln, nicht warten

Die NIS2-Betroffenheitsprüfung ist kein einmaliger Akt, sondern ein kontinuierlicher Prozess. Unternehmen wachsen, Tätigkeitsbereiche ändern sich – und damit möglicherweise auch der regulatorische Status. Wer heute unter den Schwellenwerten liegt, kann morgen bereits als wichtige Einrichtung eingestuft werden.

Ihre nächsten Schritte auf einen Blick:

• ✅ Sektorzugehörigkeit anhand der Anlagen 1 und 2 des NIS2UmsuCG prüfen
• ✅ Mitarbeiterzahl und Umsatz (inkl. verbundener Unternehmen) ermitteln
• ✅ Einrichtungstyp bestimmen (wesentlich oder wichtig)
• ✅ BSI-Registrierung vornehmen
• ✅ Maßnahmenplan gemäß § 30 NIS2UmsuCG erstellen
• ✅ Rechtliche Beratung bei Grenzfällen einholen

Nächster Schritt: NIS2-Compliance strukturiert angehen

Die Betroffenheitsprüfung ist erst der Anfang. Wer feststellt, dass sein Unternehmen unter NIS2 fällt, steht vor der Aufgabe, ein vollständiges Informationssicherheits-Managementsystem (ISMS) aufzubauen und zu dokumentieren. Spezialisierte NIS2-Compliance-Software kann dabei erheblich helfen: Sie führt strukturiert durch die notwendigen Maßnahmen, unterstützt bei der Erstellung gesetzeskonformer Dokumentation (Risikoanalysen, Sicherheitsrichtlinien, Meldeprozesse) und erleichtert die Vorbereitung auf BSI-Audits. Viele Lösungen bieten zudem integrierte Betroffenheitsprüfungen an, mit denen Sie Ihren regulatorischen Status jederzeit aktuell halten können. Eine investierte Stunde in die richtige Software spart im Ernstfall deutlich mehr als die Zeit eines Bußgeldverfahrens.

Quellen: NIS2UmsuCG (Bundesgesetzblatt 2024), BSIG in der Fassung des NIS2UmsuCG, ENISA NIS2 Implementation Guide 2024, BSI-Webseite (bsi.bund.de), EU-Richtlinie 2022/2555 (NIS2-Richtlinie)