NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 19. Juli 2026 | Lesezeit: ca. 10 Minuten

Die NIS2-Richtlinie der Europäischen Union hat die Cybersicherheitslandschaft in Deutschland grundlegend verändert. Seit dem Inkrafttreten des NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes (NIS2UmsuCG) unterliegen tausende Unternehmen in Deutschland verschärften Pflichten – von der Risikoanalyse bis zur Meldepflicht bei Sicherheitsvorfällen. Doch wer ist überhaupt betroffen?

Genau diese Frage stellen sich derzeit viele IT-Verantwortliche und Geschäftsführer. Die Antwort ist nicht immer eindeutig – und die Konsequenzen einer falschen Einschätzung können empfindlich sein. Dieser Artikel hilft Ihnen, systematisch zu prüfen, ob Ihr Unternehmen unter die NIS2-Richtlinie fällt, welche Pflichten sich daraus ergeben und wie Sie die Betroffenheitsprüfung strukturiert durchführen können.

Was ist die NIS2-Richtlinie und warum betrifft sie Sie?

Die NIS2-Richtlinie (EU 2022/2555) ist die überarbeitete Fassung der ursprünglichen NIS-Richtlinie aus dem Jahr 2016. Sie wurde in nationales Recht überführt und regelt in Deutschland die Cybersicherheitsanforderungen für Unternehmen in kritischen und wichtigen Sektoren. Die rechtliche Grundlage bildet das NIS2UmsuCG, das das Bundesamt für Sicherheit in der Informationstechnik (BSI) als zentrale Aufsichtsbehörde stärkt.

Der entscheidende Paragraph für die Betroffenheitsprüfung ist §3 NIS2UmsuCG, der den Anwendungsbereich des Gesetzes definiert. Hier wird festgelegt, welche Einrichtungen als „wesentlich" oder „wichtig" eingestuft werden und damit den Anforderungen des Gesetzes unterliegen.

Schritt 1: Sektorzugehörigkeit prüfen – Anlage 1 und Anlage 2

Der erste Schritt jeder NIS2-Betroffenheitsprüfung ist die Frage: In welchem Sektor ist mein Unternehmen tätig?

Das NIS2UmsuCG unterscheidet zwischen zwei Anlagen:

Anlage 1: Sektoren mit hoher Kritikalität (wesentliche Einrichtungen)

Diese Sektoren gelten als besonders kritisch für die öffentliche Versorgung und gesellschaftliche Grundfunktionen:

  • Energie (Strom, Gas, Fernwärme, Erdöl, Wasserstoff)
  • Verkehr (Luftfahrt, Bahn, Schifffahrt, Straßenverkehr)
  • Bankwesen (Kreditinstitute)
  • Finanzmarktinfrastrukturen (Handelsplätze, zentrale Gegenparteien)
  • Gesundheitswesen (Krankenhäuser, Labore, Pharmaunternehmen)
  • Trinkwasser und Abwasser
  • Digitale Infrastruktur (Internet-Knoten, DNS, TLD-Registries, Rechenzentren, Cloud-Anbieter)
  • IKT-Dienste-Management (Managed Service Provider, Managed Security Service Provider)
  • Öffentliche Verwaltung (Bundesbehörden, Landesbehörden)
  • Weltraum (Bodeninfrastrukturen)

Anlage 2: Sonstige kritische Sektoren (wichtige Einrichtungen)

Diese Sektoren sind zwar nicht mit der höchsten Kritikalitätsstufe versehen, unterliegen aber dennoch den NIS2-Anforderungen:

  • Post- und Kurierdienste
  • Abfallbewirtschaftung
  • Chemische Industrie (Herstellung, Erzeugung, Handel)
  • Lebensmittelwirtschaft (Herstellung, Verarbeitung, Vertrieb)
  • Verarbeitendes Gewerbe / Herstellung von Waren (u.a. Medizinprodukte, Maschinen, Fahrzeuge, Elektroprodukte)
  • Digitale Dienste (Online-Marktplätze, Online-Suchmaschinen, soziale Netzwerke)
  • Forschungseinrichtungen

Praxistipp: Viele Unternehmen unterschätzen ihre Sektorzugehörigkeit. Ein mittelständischer Maschinenbauer, der Teile für die Automobilindustrie produziert, kann über die Anlage 2 (verarbeitendes Gewerbe) betroffen sein. Prüfen Sie Ihre Haupt-WZ-Klassifikation (Wirtschaftszweig) genau.

Schritt 2: Größenkriterien prüfen – Mitarbeiterzahl und Umsatz

Die Sektorzugehörigkeit allein reicht nicht aus. Zusätzlich müssen bestimmte Schwellenwerte überschritten werden. Diese orientieren sich an der EU-Definition für mittlere und große Unternehmen:

Unternehmenstyp Mitarbeiter Jahresumsatz ODER Jahresbilanzsumme
Mittleres Unternehmen ≥ 50 ≥ 10 Mio. €
Großes Unternehmen ≥ 250 ≥ 50 Mio. € (Umsatz) oder ≥ 43 Mio. € (Bilanz)
Kleinstunternehmen / KMU < 50 < 10 Mio. € (in der Regel nicht betroffen)

Wichtig: Beide Kriterien (Sektor UND Größe) müssen erfüllt sein. Ein 200-Mitarbeiter-Unternehmen aus der Lebensmittelbranche mit 12 Mio. € Jahresumsatz fällt unter die NIS2-Richtlinie. Ein gleich großes Unternehmen aus einer nicht gelisteten Branche hingegen nicht.

Ausnahmen und Sonderfälle

Für bestimmte Einrichtungen gelten unabhängig von der Größe NIS2-Pflichten:

  • Anbieter öffentlicher elektronischer Kommunikationsnetze
  • Vertrauensdiensteanbieter (qualifiziert und nicht qualifiziert)
  • Top-Level-Domain-Registries und DNS-Diensteanbieter
  • Einrichtungen der öffentlichen Verwaltung (Bundes- und Landesebene)
  • Einrichtungen, bei denen ein Ausfall erhebliche gesellschaftliche oder wirtschaftliche Auswirkungen hätte (BSI kann dies individuell feststellen)

Schritt 3: Wesentliche vs. wichtige Einrichtungen – Was ist der Unterschied?

Nach der Sektorzuordnung und dem Größencheck stellt sich die Frage: Sind Sie eine wesentliche oder eine wichtige Einrichtung? Die Unterscheidung ist nicht akademisch, sondern hat direkte Auswirkungen auf die Aufsichtsintensität und mögliche Bußgelder.

Wesentliche Einrichtungen (Anlage 1, große Unternehmen)

  • Unternehmen aus Anlage 1 mit ≥ 250 Mitarbeitern oder ≥ 50 Mio. € Umsatz
  • Unterliegen proaktiver Aufsicht durch das BSI
  • Regelmäßige Kontrollen auch ohne konkreten Anlass
  • Höhere Bußgelder bei Verstößen (bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes)

Wichtige Einrichtungen (Anlage 1 mittlere + Anlage 2)

  • Mittlere Unternehmen aus Anlage 1 (50–249 Mitarbeiter)
  • Unternehmen aus Anlage 2 ab mittlerer Größe
  • Unterliegen reaktiver Aufsicht – das BSI wird in der Regel anlassbezogen tätig
  • Bußgelder bis zu 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes

Selbsttest: Fällt Ihr Unternehmen unter NIS2?

Nutzen Sie diese strukturierte Checkliste für Ihre interne Betroffenheitsprüfung:

✅ Schnell-Checkliste NIS2-Betroffenheit

Block A – Sektorzugehörigkeit
- [ ] Mein Unternehmen ist in einem der Sektoren aus Anlage 1 tätig
- [ ] Mein Unternehmen ist in einem der Sektoren aus Anlage 2 tätig
- [ ] Mein Unternehmen erbringt digitale Infrastrukturleistungen (Cloud, RZ, DNS)

Block B – Größenkriterien
- [ ] Mein Unternehmen beschäftigt 50 oder mehr Mitarbeiter (Vollzeitäquivalente)
- [ ] Mein Unternehmen erzielt einen Jahresumsatz von 10 Mio. € oder mehr
- [ ] Mein Unternehmen überschreitet die Jahresbilanzsumme von 10 Mio. €

Block C – Sondertatbestände
- [ ] Mein Unternehmen ist ein qualifizierter oder nicht qualifizierter Vertrauensdiensteanbieter
- [ ] Mein Unternehmen betreibt öffentliche Kommunikationsnetze
- [ ] Das BSI hat mein Unternehmen individuell als kritisch eingestuft

Auswertung:
- Block A (mindestens eine Box) + Block B (mindestens zwei Boxen) → Sie sind sehr wahrscheinlich betroffen
- Block C (mindestens eine Box) → Sie sind betroffen, unabhängig von Größe und Sektor
- Keine Box angekreuzt → Sie sind wahrscheinlich nicht direkt betroffen (prüfen Sie trotzdem Lieferkettenpflichten)

Hinweis: Dieser Schnelltest ersetzt keine rechtliche Beratung. Bei Unsicherheiten empfiehlt sich die Konsultation eines auf IT-Recht spezialisierten Anwalts oder die Nutzung des offiziellen BSI-Leitfadens.

Konsequenzen bei Nichterfüllung: Bußgelder nach §65 BSIG

Die Frage „Was passiert, wenn wir die Anforderungen nicht erfüllen?" ist für viele Geschäftsführer besonders relevant. Die Antwort ist klar: Die Konsequenzen sind erheblich und betreffen auch persönlich die Geschäftsführung.

§65 BSIG regelt den Bußgeldkatalog für NIS2-Verstöße:

  • Wesentliche Einrichtungen: Bußgelder bis zu 10.000.000 € oder 2 % des gesamten weltweiten Jahresumsatzes (der höhere Wert gilt)
  • Wichtige Einrichtungen: Bußgelder bis zu 7.000.000 € oder 1,4 % des gesamten weltweiten Jahresumsatzes
  • Persönliche Haftung der Geschäftsleitung: Laut §38 NIS2UmsuCG sind Geschäftsführer verpflichtet, Cybersicherheitsmaßnahmen zu billigen und deren Umsetzung zu überwachen – bei Verstößen droht auch persönliche Haftung

Neben Bußgeldern drohen bei schwerwiegenden Verstößen:
- Öffentliche Bekanntmachung des Verstoßes (Naming and Shaming)
- Anordnung von Sofortmaßnahmen durch das BSI
- Im Extremfall: vorübergehende Untersagung von Managementfunktionen bei wesentlichen Einrichtungen

Konkrete Handlungsempfehlungen für Ihr Unternehmen

Wenn Ihre Betroffenheitsprüfung ergibt, dass Sie unter die NIS2-Richtlinie fallen, sollten Sie jetzt handeln. Hier sind die wichtigsten nächsten Schritte:

  1. Registrierung beim BSI: Wesentliche und wichtige Einrichtungen müssen sich beim BSI registrieren. Nutzen Sie dafür das offizielle Meldeportal des BSI (MELDP).

  2. Gap-Analyse durchführen: Vergleichen Sie Ihren aktuellen Sicherheitsstatus mit den Anforderungen aus §30 NIS2UmsuCG (Risikomanagementmaßnahmen). Bereiche: Netzwerksicherheit, Incident Response, Business Continuity, Lieferkettensicherheit.

  3. Informationssicherheits-Managementsystem (ISMS) aufbauen: Ein ISMS nach ISO 27001 oder BSI IT-Grundschutz erfüllt die technischen und organisatorischen Anforderungen der NIS2 weitgehend. Erstellen Sie zunächst eine Risikoanalyse und ein Sicherheitskonzept.

  4. Meldeprozesse etablieren: Sicherheitsvorfälle müssen nach §32 NIS2UmsuCG innerhalb von 24 Stunden (Erstmeldung) und 72 Stunden (detaillierte Meldung) an das BSI gemeldet werden. Definieren Sie interne Eskalationsprozesse.

  5. Lieferkette unter die Lupe nehmen: Prüfen Sie Ihre wichtigsten Zulieferer und Dienstleister auf deren Cybersicherheitsstandards. Die NIS2-Richtlinie verpflichtet zur Berücksichtigung der Sicherheit in der Lieferkette.

  6. Schulungen für Geschäftsleitung und Mitarbeiter: §38 NIS2UmsuCG fordert explizit, dass die Geschäftsführung an Cybersicherheitsschulungen teilnimmt. Planen Sie entsprechende Maßnahmen ein.

  7. Rechtlichen Rat einholen: Beauftragen Sie einen IT-Rechtsanwalt oder Datenschutzbeauftragten zur Überprüfung Ihrer Compliance-Situation, insbesondere bei Schnittstellen zur DSGVO.

Fazit und nächste Schritte

Die NIS2-Betroffenheitsprüfung ist kein einmaliger Vorgang, sondern sollte regelmäßig – mindestens jährlich – wiederholt werden, da sich Unternehmensstruktur, Umsatz und Sektorzugehörigkeit ändern können. Die drei zentralen Fragen lauten:

  1. Bin ich in einem relevanten Sektor tätig? (Anlage 1 oder Anlage 2)
  2. Erfülle ich die Größenkriterien? (≥ 50 MA und ≥ 10 Mio. € Umsatz)
  3. Gibt es Sondertatbestände, die mich unabhängig von Größe und Sektor betreffen?

Wer diese Fragen mit „Ja" beantwortet, sollte sofort handeln – die gesetzlichen Anforderungen gelten bereits, und das BSI intensiviert seine Aufsichtstätigkeit zunehmend. Wer jetzt investiert, schützt nicht nur sein Unternehmen vor Bußgeldern, sondern auch vor den weitaus teureren Folgen eines erfolgreichen Cyberangriffs.

💡 Jetzt Betroffenheit digital prüfen und ISMS aufbauen

Für Unternehmen, die ihre NIS2-Betroffenheitsprüfung strukturiert und rechtssicher durchführen möchten, empfiehlt sich der Einsatz spezialisierter NIS2-Compliance-Software. Moderne Plattformen führen Sie Schritt für Schritt durch die Betroffenheitsanalyse, helfen beim Aufbau Ihres ISMS, erstellen automatisch die erforderlichen Dokumentationen (Risikoanalysen, Sicherheitskonzepte, Meldeprozesse) und erinnern Sie an Fristen und Pflichten. So behalten Sie den Überblick – und können im Fall einer BSI-Prüfung lückenlose Nachweise vorlegen.

Quellen und weiterführende Informationen: BSI (bsi.bund.de), NIS2UmsuCG (Bundesgesetzblatt), ENISA NIS2-Leitfäden, EU-Richtlinie 2022/2555