NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Stand: 21. Juli 2026 | Lesedauer: ca. 8 Minuten

Die NIS2-Richtlinie der Europäischen Union ist längst kein theoretisches Konstrukt mehr – sie ist geltendes Recht. Mit dem NIS2-Umsetzungsgesetz (NIS2UmsuCG) hat Deutschland die EU-Vorgaben in nationales Recht überführt und dabei den Anwendungsbereich erheblich ausgeweitet. Schätzungen des BSI zufolge sind in Deutschland allein durch die neue Regelung rund 30.000 zusätzliche Unternehmen in den Geltungsbereich gefallen – viele davon wissen es noch nicht.

Genau hier liegt das Problem: Wer nicht weiß, dass er betroffen ist, trifft auch keine entsprechenden Vorkehrungen. Und wer trotz Betroffenheit untätig bleibt, riskiert empfindliche Bußgelder. Dieser Artikel hilft Ihnen, systematisch zu prüfen, ob Ihr Unternehmen unter die NIS2-Richtlinie fällt – und was als nächstes zu tun ist.

Was regelt §3 NIS2UmsuCG?

Der §3 NIS2UmsuCG (NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz) definiert den persönlichen Anwendungsbereich der Richtlinie. Er legt fest, welche Einrichtungen als „wesentlich" oder „wichtig" eingestuft werden und damit der Regulierung durch das BSI unterliegen.

Grundsätzlich gilt: Wer in einem der in Anlage 1 oder Anlage 2 genannten Sektoren tätig ist und bestimmte Größenschwellen überschreitet, fällt in den Anwendungsbereich. Hinzu kommen einige Kategorien, für die keine Größenschwellen gelten – etwa bestimmte Betreiber kritischer Infrastrukturen oder Anbieter öffentlicher elektronischer Kommunikationsnetze.

Schritt 1: Tätigkeitsbereich prüfen – Anlage 1 und Anlage 2

Der erste Schritt der NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland besteht darin, den eigenen Sektor zuzuordnen. Das NIS2UmsuCG unterscheidet zwischen zwei Listen von Sektoren.

Anlage 1: Sektoren mit hoher Kritikalität

Diese Sektoren gelten als besonders kritisch für Gesellschaft und Wirtschaft:

• Energie (Strom, Fernwärme, Öl, Gas, Wasserstoff)
• Verkehr (Luft, Schiene, Wasser, Straße)
• Bankwesen
• Finanzmarktinfrastrukturen
• Gesundheitswesen
• Trinkwasser
• Abwasser
• Digitale Infrastruktur (z. B. Cloud-Provider, DNS, TLD-Registries, Rechenzentren)
• Verwaltung von IKT-Diensten (B2B)
• Öffentliche Verwaltung
• Weltraum

Anlage 2: Sonstige kritische Sektoren

Diese Sektoren sind ebenfalls reguliert, gelten aber als weniger kritisch im Sinne der Richtlinie:

• Post- und Kurierdienste
• Abfallbewirtschaftung
• Chemische Industrie (Herstellung, Erzeugung, Handel)
• Lebensmittelproduktion und -verarbeitung
• Verarbeitendes Gewerbe / Herstellung von Waren (z. B. Medizinprodukte, Elektronik, Maschinenbau, Kfz)
• Anbieter digitaler Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke)
• Forschung

Hinweis: Auch wenn Ihr Unternehmen nur mittelbar zu einem dieser Sektoren beiträgt – etwa als Zulieferer oder IT-Dienstleister –, sollten Sie die Lieferkettenpflichten Ihrer Auftraggeber im Blick haben. Diese können vertragliche Cybersicherheitsanforderungen an Sie stellen, auch wenn Sie selbst nicht direkt betroffen sind.

Schritt 2: Größenkriterien prüfen

Die NIS2-Richtlinie orientiert sich an der EU-Definition für Unternehmensgrößen. Betroffen sind grundsätzlich mittlere und große Unternehmen im jeweiligen Sektor.

Maßgebliche Schwellenwerte

Regel: Unternehmen, die in einem der Sektoren (Anlage 1 oder 2) tätig sind und die Schwelle für mittlere Unternehmen überschreiten (≥ 50 Mitarbeitende und ≥ 10 Mio. € Jahresumsatz), fallen grundsätzlich in den Geltungsbereich.

Wichtige Ausnahme: Für einige Einrichtungen gelten die Größenschwellen nicht. Dazu zählen u. a. Betreiber kritischer Infrastrukturen im Sinne des BSIG, qualifizierte Vertrauensdiensteanbieter, TLD-Registries und bestimmte Anbieter öffentlicher Kommunikationsnetze. Auch die alleinige Größe reicht nicht aus – die sektorale Zugehörigkeit ist zwingend.

Schritt 3: Einordnung als wesentliche oder wichtige Einrichtung

Wer in den Geltungsbereich fällt, wird als wesentliche Einrichtung oder wichtige Einrichtung eingestuft. Diese Unterscheidung ist nicht nur akademisch – sie hat direkte Auswirkungen auf Aufsichtspflichten, Meldepflichten und das Bußgeldregime.

Wesentliche Einrichtungen (Essential Entities)

Als wesentliche Einrichtungen gelten:

• Große Unternehmen (≥ 250 MA, ≥ 50 Mio. € Umsatz) in Sektoren der Anlage 1
• Bestimmte Einrichtungen unabhängig von der Größe (z. B. Betreiber kritischer Infrastrukturen, qualifizierte Vertrauensdiensteanbieter)
• Öffentliche Verwaltung auf Bundes- und Landesebene

Wichtige Einrichtungen (Important Entities)

Als wichtige Einrichtungen gelten:

• Mittlere Unternehmen in Sektoren der Anlage 1, die noch nicht als wesentlich eingestuft sind
• Mittlere und große Unternehmen in Sektoren der Anlage 2

Praktische Auswirkungen der Einstufung

Selbsttest: Bin ich NIS2-pflichtig?

Nutzen Sie diese strukturierte Checkliste für eine erste Einschätzung. Bitte beachten Sie: Dies ersetzt keine rechtliche Beratung.

Checkliste zur NIS2-Betroffenheitsprüfung

• [ ] Ist mein Unternehmen in einem Sektor gemäß Anlage 1 des NIS2UmsuCG tätig?
• [ ] Ist mein Unternehmen in einem Sektor gemäß Anlage 2 des NIS2UmsuCG tätig?
• [ ] Beschäftigt mein Unternehmen mindestens 50 Mitarbeitende?
• [ ] Überschreitet mein Jahresumsatz oder meine Bilanzsumme 10 Millionen Euro?
• [ ] Betreibe ich Dienste oder Infrastruktur, die als kritisch für die öffentliche Versorgung gelten?
• [ ] Bin ich als qualifizierter Vertrauensdiensteanbieter tätig?
• [ ] Gehöre ich zur öffentlichen Verwaltung (Bund oder Land)?

Auswertung:
- Mindestens eine der sektoralen Fragen (1 oder 2) + beide Größenfragen (3 und 4) beantwortet: → Wahrscheinlich betroffen – weiterführende Prüfung dringend empfohlen
- Frage 5, 6 oder 7 bejaht: → Betroffenheit unabhängig von der Größe prüfen – ggf. keine Größenschwelle anwendbar
- Keine der Fragen bejaht: → Aktuell vermutlich nicht direkt betroffen, aber Lieferkettenpflichten beachten

Was droht bei Nichterfüllung? Bußgelder nach §65 BSIG

Wer die NIS2-Pflichten ignoriert, geht ein erhebliches finanzielles und persönliches Risiko ein. §65 BSIG sieht ein gestaffeltes Bußgeldregime vor, das sich an der Kategorie der Einrichtung orientiert:

• Wesentliche Einrichtungen: Bußgelder bis zu 10 Millionen Euro oder 2 % des gesamten weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist.
• Wichtige Einrichtungen: Bußgelder bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes.

Besonders gravierend: Das Gesetz sieht in bestimmten Fällen eine persönliche Haftung von Geschäftsführern und Vorstandsmitgliedern vor. Laut §38 BSIG müssen Leitungsorgane die Umsetzung von Cybersicherheitsmaßnahmen aktiv überwachen und können sich bei Verstößen nicht hinter der juristischen Person verstecken. Das BSI hat zudem die Möglichkeit, verantwortliche Personen temporär von Leitungsfunktionen auszuschließen – eine Maßnahme, die in der Unternehmenspraxis kaum unterschätzt werden sollte.

Konkrete Handlungsempfehlungen für Unternehmen

Wenn Ihre Betroffenheitsprüfung ergibt, dass Sie unter die NIS2-Richtlinie fallen, empfehlen sich folgende Sofortmaßnahmen:

1. Formale Betroffenheitsanalyse durchführen: Lassen Sie die Einstufung (wesentlich vs. wichtig) durch einen Rechtsanwalt oder IT-Sicherheitsberater bestätigen. Die sektorale Zuordnung ist nicht immer eindeutig.

2. Beim BSI registrieren: Betroffene Einrichtungen sind verpflichtet, sich im BSI-Portal zu registrieren. Die Registrierung ist Voraussetzung für die Erfüllung weiterer Pflichten.

3. Gap-Analyse auf Basis §30 BSIG: Prüfen Sie, welche der geforderten Sicherheitsmaßnahmen (Risikomanagement, Zugriffskontrolle, Kryptografie, Incident Response etc.) in Ihrem Unternehmen bereits umgesetzt sind und wo Lücken bestehen.

4. Informationssicherheits-Managementsystem (ISMS) etablieren: Ein ISMS nach ISO/IEC 27001 bietet eine anerkannte Grundlage für die Erfüllung der NIS2-Anforderungen. Auch ohne Zertifizierung schafft es Struktur und Nachweisbarkeit.

5. Meldeprozesse für Sicherheitsvorfälle einrichten: NIS2 verlangt eine Erstmeldung erheblicher Sicherheitsvorfälle innerhalb von 24 Stunden an das BSI, gefolgt von einem detaillierten Bericht nach 72 Stunden. Diese Prozesse müssen vor einem Vorfall definiert sein.

6. Lieferkette und Drittanbieter prüfen: Überprüfen Sie Ihre Dienstleister und IT-Lieferanten auf deren Sicherheitsniveau. §30 Abs. 2 BSIG verpflichtet betroffene Einrichtungen explizit zur Beachtung von Sicherheitsrisiken in der Lieferkette.

7. Schulungen für Führungskräfte und Mitarbeitende: Die Geschäftsleitung muss nachweislich in NIS2-Anforderungen geschult sein. Cybersicherheitsbewusstsein muss auf allen Ebenen des Unternehmens verankert werden.

8. Dokumentation sicherstellen: Alle Maßnahmen, Risikoanalysen und Sicherheitskonzepte müssen nachvollziehbar dokumentiert werden. Im Falle einer BSI-Prüfung sind diese Unterlagen vorzulegen.

Häufige Missverständnisse bei der Betroffenheitsprüfung

„Wir sind zu klein." Viele mittelständische Unternehmen unterschätzen ihre eigene Größe oder übersehen, dass auch Konzernteile eigenständig bewertet werden können. Prüfen Sie die Mitarbeiterzahlen und Umsätze sorgfältig.

„Wir sind kein IT-Unternehmen." NIS2 betrifft nicht nur die Tech-Branche. Ein Lebensmittelhersteller mit 200 Mitarbeitenden und 15 Mio. € Umsatz fällt unter Anlage 2 – genauso wie ein mittelständischer Maschinenbauer.

„Wir haben das ISO-27001-Zertifikat – das reicht." Eine ISO-27001-Zertifizierung ist hilfreich, aber kein automatischer Freifahrtschein. NIS2 stellt zusätzliche spezifische Anforderungen, etwa zu Meldepflichten und Registrierung beim BSI.

Fazit: Jetzt handeln, nicht abwarten

Die NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland ist kein bürokratischer Selbstzweck – sie ist der erste, notwendige Schritt zur Rechtssicherheit und zu robuster Cybersicherheit. Angesichts steigender Cyberangriffe auf Unternehmen aller Größen und Branchen ist NIS2 auch als strategische Investition zu verstehen, nicht nur als Compliance-Pflicht.

Ihre nächsten Schritte auf einen Blick:

1. Sektor-Zugehörigkeit anhand Anlage 1 und 2 prüfen
2. Größenkriterien verifizieren (≥ 50 MA, ≥ 10 Mio. € Umsatz/Bilanzsumme)
3. Einordnung als wesentliche oder wichtige Einrichtung klären
4. Registrierung beim BSI vorbereiten
5. Gap-Analyse starten und ISMS aufbauen

Nächste Schritte mit der richtigen Software-Unterstützung

Die Dokumentation und operative Umsetzung der NIS2-Anforderungen ist aufwändig – besonders wenn Sie gleichzeitig das Tagesgeschäft managen müssen. Spezialisierte NIS2-Compliance-Softwarelösungen unterstützen Sie dabei, Ihre Betroffenheit zu dokumentieren, Risikoanalysen zu strukturieren, Sicherheitsmaßnahmen nachzuverfolgen und Meldeprozesse vorzubereiten. Viele Tools bieten integrierte Checklisten auf Basis des BSIG und der ISO/IEC 27001, die Ihnen helfen, den Überblick zu behalten – von der ersten Gap-Analyse bis zur laufenden Compliance-Überwachung.

Nutzen Sie digitale Hilfsmittel, um aus der NIS2-Pflicht eine strukturierte, nachvollziehbare und dauerhaft belastbare Sicherheitsstrategie zu machen.

Quellen und Referenzen: NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), BSIG in der geltenden Fassung, BSI-Leitfaden zur NIS2-Umsetzung, ENISA NIS2 Guideline, EU-Richtlinie 2022/2555 (NIS2).