NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 20. Juli 2026 | Lesezeit: ca. 8 Minuten

Seit dem Inkrafttreten des NIS2-Umsetzungsgesetzes (NIS2UmsuCG) stehen tausende deutsche Unternehmen vor einer zentralen Frage: Bin ich überhaupt betroffen? Die Antwort darauf ist nicht trivial – und die Konsequenzen einer falschen Einschätzung können teuer werden. Wer irrtümlich davon ausgeht, nicht unter die NIS2-Richtlinie zu fallen, riskiert empfindliche Bußgelder, Haftungsrisiken für die Geschäftsführung und im Ernstfall erhebliche Reputationsschäden.

Dieser Artikel liefert Ihnen eine strukturierte NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland, erklärt die relevanten Kriterien nach §3 NIS2UmsuCG, unterscheidet zwischen wesentlichen und wichtigen Einrichtungen und zeigt Ihnen, welche Schritte Sie jetzt konkret einleiten sollten.

Was ist die NIS2-Richtlinie – und warum betrifft sie mehr Unternehmen als gedacht?

Die NIS2-Richtlinie (EU 2022/2555) ist die überarbeitete Fassung der ursprünglichen NIS-Richtlinie aus dem Jahr 2016. Sie wurde in deutsches Recht durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) transformiert und erweitert den Kreis der betroffenen Unternehmen erheblich. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) schätzt, dass in Deutschland rund 30.000 Unternehmen und Organisationen unter die neuen Regelungen fallen – gegenüber zuvor etwa 4.500 nach der alten KRITIS-Regulierung.

Der Grund für diese drastische Ausweitung: NIS2 denkt Cybersicherheit nicht mehr nur in kritischen Infrastrukturen, sondern in kritischen Sektoren – und fasst dabei sowohl Dienstleister als auch Zulieferer und Betreiber digitaler Infrastrukturen ein.

Die Kernfrage: Was regelt §3 NIS2UmsuCG?

Der §3 NIS2UmsuCG definiert den Anwendungsbereich des Gesetzes und legt fest, welche Einrichtungen als „wesentlich" oder „wichtig" eingestuft werden. Die Klassifikation erfolgt entlang von zwei Achsen:

1. Sektorzugehörigkeit (Anlage 1 oder Anlage 2 des NIS2UmsuCG)
2. Größenkriterien (Mitarbeiterzahl und Jahresumsatz/-bilanzsumme)

Wichtig: Beide Bedingungen müssen in der Regel gleichzeitig erfüllt sein, damit ein Unternehmen in den Anwendungsbereich fällt. Es gibt jedoch Ausnahmen – sogenannte unabhängig von der Größe betroffene Einrichtungen – auf die wir weiter unten eingehen.

Schritt 1: Sektorzugehörigkeit prüfen – Anlage 1 und Anlage 2

Anlage 1: Sektoren für wesentliche Einrichtungen

Die Anlage 1 des NIS2UmsuCG umfasst hochkritische Sektoren, deren Ausfall schwerwiegende gesamtgesellschaftliche Folgen hätte:

• Energie (Strom, Gas, Fernwärme, Erdöl, Wasserstoff)
• Verkehr (Luft, Bahn, Wasser, Straße)
• Bankwesen und Finanzmarktinfrastrukturen
• Gesundheitswesen (Krankenhäuser, Labore, Pharmahersteller)
• Trinkwasser und Abwasser
• Digitale Infrastruktur (DNS-Resolver, TLD-Registries, Rechenzentrumsbetreiber, Cloud-Dienste)
• IKT-Dienstemanagement (B2B-Managed-Service-Provider)
• Öffentliche Verwaltung (Bundesbehörden, bestimmte Landesbehörden)
• Weltraum

Anlage 2: Sektoren für wichtige Einrichtungen

Die Anlage 2 erfasst weitere kritische Sektoren, die ebenfalls unter NIS2 fallen, jedoch mit etwas abgeschwächten Anforderungen:

• Post- und Kurierdienste
• Abfallbewirtschaftung
• Chemie
• Lebensmittel (Produktion, Verarbeitung, Vertrieb)
• Verarbeitendes Gewerbe / Herstellung von Waren (u. a. Medizinprodukte, Elektronik, Maschinenbau, Fahrzeuge)
• Anbieter digitaler Dienste (Online-Marktplätze, Online-Suchmaschinen, soziale Netzwerke)
• Forschung

Praxishinweis: Gerade im verarbeitenden Gewerbe unterschätzen viele mittelständische Unternehmen ihre Sektorzugehörigkeit. Ein Maschinenbauer, der Automatisierungskomponenten für die Lebensmittelindustrie liefert, kann über die Anlage 2 in den Anwendungsbereich fallen.

Schritt 2: Größenkriterien prüfen

Die Größenkriterien folgen der EU-Empfehlung 2003/361/EG zur Definition von KMU. Für die NIS2-Betroffenheit gelten folgende Schwellenwerte:

Wer ist unabhängig von der Größe betroffen?

Bestimmte Einrichtungen fallen unabhängig von ihrer Größe unter NIS2, darunter:

• Anbieter öffentlicher elektronischer Kommunikationsnetze und -dienste
• Vertrauensdiensteanbieter (qualifiziert und nicht qualifiziert)
• TLD-Registries und DNS-Dienste
• Einrichtungen der öffentlichen Verwaltung auf Bundesebene
• Kritische Anlagen nach BSI-KRITIS-Verordnung

Auch kleine Unternehmen, die als einzige Anbieter eines systemrelevanten Dienstes in einem Mitgliedstaat gelten, können unabhängig von ihrer Größe erfasst werden.

Schritt 3: Wesentliche vs. wichtige Einrichtung – Was ist der Unterschied?

Die Unterscheidung zwischen wesentlichen (§28 NIS2UmsuCG) und wichtigen Einrichtungen (§29 NIS2UmsuCG) ist entscheidend, da sie unterschiedliche Pflichten und Aufsichtsintensitäten nach sich zieht:

Wichtig: Auch „nur" wichtige Einrichtungen müssen denselben technischen und organisatorischen Maßnahmenkatalog (§30 NIS2UmsuCG) implementieren. Der Unterschied liegt primär in der Aufsichtsintensität und der Bußgeldhöhe.

Selbsttest: Ist Ihr Unternehmen NIS2-pflichtig?

Nutzen Sie diese Checkliste als erste Orientierung für Ihre NIS2-Betroffenheitsprüfung:

Block A – Grundvoraussetzungen
- [ ] Mein Unternehmen ist in Deutschland niedergelassen oder erbringt Dienstleistungen für Einrichtungen/Nutzer in Deutschland
- [ ] Mein Unternehmen gehört einem der Sektoren aus Anlage 1 oder Anlage 2 an

Block B – Größenkriterien (mindestens eines muss zutreffen)
- [ ] Anlage-1-Sektor + ≥ 250 Mitarbeiter + > 50 Mio. € Umsatz oder > 43 Mio. € Bilanzsumme
- [ ] Anlage-1- oder Anlage-2-Sektor + ≥ 50 Mitarbeiter + > 10 Mio. € Umsatz oder > 10 Mio. € Bilanzsumme

Block C – Unabhängig von der Größe
- [ ] Mein Unternehmen ist Vertrauensdiensteanbieter, TLD-Registry, Anbieter öffentlicher Kommunikationsnetze oder Teil der kritischen KRITIS-Infrastruktur

Auswertung: Wenn Sie in Block A beide Punkte und in Block B oder C mindestens einen Punkt bejahen, ist Ihr Unternehmen mit hoher Wahrscheinlichkeit NIS2-pflichtig. Lassen Sie die finale Einschätzung durch einen NIS2-Fachberater oder Ihren Datenschutzbeauftragten bestätigen.

Die Konsequenzen: Was passiert bei Nichterfüllung?

Wer die NIS2-Pflichten ignoriert, riskiert empfindliche Sanktionen. §65 BSIG (Bußgeldvorschriften) sieht folgende Maximalstrafen vor:

• Wesentliche Einrichtungen: Bis zu 10 Millionen Euro oder 2 % des gesamten weltweiten Jahresumsatzes (der höhere Wert gilt)
• Wichtige Einrichtungen: Bis zu 7 Millionen Euro oder 1,4 % des gesamten weltweiten Jahresumsatzes

Darüber hinaus können Geschäftsführer und Vorstände gemäß §38 NIS2UmsuCG persönlich haftbar gemacht werden, wenn sie ihre Aufsichtspflichten verletzen. Das BSI kann zudem Zwangsmaßnahmen anordnen, darunter Betriebsaussetzungen oder den Entzug von Zertifizierungen.

Neben den direkten Bußgeldern drohen:
- Meldepflichten bei Sicherheitsvorfällen (§32 NIS2UmsuCG): Vorfälle müssen innerhalb von 24 Stunden gemeldet werden
- Reputationsschäden durch öffentliche Bekanntmachung von Verstößen durch das BSI
- Vertragliche Konsequenzen gegenüber Kunden und Partnern, die selbst NIS2-pflichtig sind und ihre Lieferkette absichern müssen

Handlungsempfehlungen: So gehen Sie jetzt vor

Wenn Sie nach dieser Betroffenheitsprüfung davon ausgehen, unter NIS2 zu fallen – oder noch unsicher sind –, empfehlen wir folgende konkrete nächste Schritte:

1. Sektorzuordnung dokumentieren: Prüfen Sie anhand der Anlagen 1 und 2 des NIS2UmsuCG, welchem Sektor Ihre Kerndienstleistungen zuzuordnen sind. Holen Sie bei Unklarheiten eine rechtliche Einschätzung ein.

2. Mitarbeiterzahl und Umsatz exakt ermitteln: Beachten Sie, dass bei Unternehmensgruppen die Gesamtzahlen des Konzerns relevant sein können – nicht nur die des einzelnen Rechtsträgers.

3. Registrierung beim BSI einleiten (§33 NIS2UmsuCG): Betroffene Einrichtungen sind verpflichtet, sich beim BSI zu registrieren. Die Registrierung erfolgt über das BSI-Portal (MELDEPLATTFORM). Versäumisse bei der Registrierung können bereits bußgeldbewehrt sein.

4. Gap-Analyse durchführen: Vergleichen Sie Ihre bestehenden Sicherheitsmaßnahmen mit den Anforderungen aus §30 NIS2UmsuCG (technische und organisatorische Maßnahmen) und identifizieren Sie Lücken.

5. ISMS etablieren oder aufrüsten: Implementieren Sie ein Informationssicherheits-Managementsystem auf Basis von ISO/IEC 27001 oder dem BSI IT-Grundschutz. Diese Frameworks sind die anerkannte Grundlage für die Erfüllung der NIS2-Anforderungen.

6. Meldeprozesse für Sicherheitsvorfälle definieren: Die 24-Stunden-Meldepflicht erfordert klare interne Eskalationswege. Legen Sie fest, wer meldet, wie gemeldet wird und welche Informationen erforderlich sind.

7. Lieferkettensicherheit adressieren: Prüfen Sie Ihre Zulieferer und Dienstleister auf deren Sicherheitsniveau. §30 Abs. 2 Nr. 4 NIS2UmsuCG verlangt explizit die Absicherung der Lieferkette.

8. Schulungen für Geschäftsführung und Management: Laut §38 NIS2UmsuCG müssen Leitungsorgane Sicherheitsschulungen absolvieren und die Umsetzung der Maßnahmen aktiv überwachen.

Fazit: Jetzt handeln, bevor es teuer wird

Die NIS2-Betroffenheitsprüfung ist der erste und wichtigste Schritt auf dem Weg zur Compliance. Wer im Jahr 2026 noch immer nicht geprüft hat, ob er unter das NIS2UmsuCG fällt, spielt mit dem Feuer – denn das BSI hat seine Aufsichtstätigkeit deutlich intensiviert und führt proaktive Überprüfungen bei Unternehmen der Anlage-1-Sektoren durch.

Ihre drei wichtigsten nächsten Schritte zusammengefasst:
1. Heute: Selbsttest anhand der Checkliste durchführen und Sektorzugehörigkeit klären
2. Diese Woche: Registrierungsprozess beim BSI anstoßen (§33 NIS2UmsuCG)
3. Nächsten Monat: Gap-Analyse abschließen und Maßnahmenplan aufstellen

Die gute Nachricht: NIS2-Compliance ist kein einmaliges Projekt, sondern ein strukturierter Prozess – und mit den richtigen Werkzeugen und klarer Dokumentation gut beherrschbar.

Jetzt NIS2-Compliance effizient umsetzen

Unternehmen, die ihre NIS2-Betroffenheitsprüfung systematisch angehen und gleichzeitig die Compliance-Dokumentation aufbauen wollen, profitieren von spezialisierten NIS2-Compliance-Softwarelösungen. Diese Tools helfen dabei, die Sektorzuordnung zu dokumentieren, Gap-Analysen durchzuführen, Maßnahmenpläne zu verwalten, Meldeprozesse abzubilden und ISMS-Dokumente normkonform zu erstellen. Viele Lösungen sind auf die spezifischen Anforderungen des NIS2UmsuCG und des BSIG ausgerichtet und erleichtern insbesondere die Nachweisführung gegenüber dem BSI erheblich. Eine strukturierte Softwareunterstützung reduziert den manuellen Aufwand und minimiert das Risiko, wichtige Compliance-Anforderungen zu übersehen.

Quellen und weiterführende Referenzen:
- NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), insbesondere §3, §28–§33, §38, §65
- Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG), §65 Bußgeldvorschriften
- BSI: Orientierungshilfe zur NIS2-Umsetzung (Stand: 2025)
- ENISA: NIS2 Implementation Guidance (2024)
- EU-Richtlinie 2022/2555 (NIS2)