NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 22. Juli 2026 | Lesedauer: ca. 8 Minuten

Seit dem Inkrafttreten des NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes (NIS2UmsuCG) stehen tausende deutsche Unternehmen vor einer zentralen Frage: Bin ich betroffen? Die Antwort ist entscheidend – denn wer die Meldepflichten, Sicherheitsanforderungen und Registrierungspflichten ignoriert, riskiert empfindliche Bußgelder nach §65 BSIG. Gleichzeitig schützt die Einhaltung der Richtlinie das Unternehmen vor realen Cyberbedrohungen, die in 2026 auf einem neuen Hochstand angelangt sind.

Dieser Artikel führt Sie systematisch durch die NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland – mit klaren Kriterien, einem strukturierten Selbsttest und konkreten Handlungsempfehlungen.

Was ist die NIS2-Richtlinie und warum ist sie relevant?

Die NIS2-Richtlinie (EU 2022/2555) ist die überarbeitete Fassung der ursprünglichen Netz- und Informationssicherheitsrichtlinie von 2016. Sie erweitert den Anwendungsbereich erheblich: Statt weniger hundert Betreiber kritischer Infrastrukturen (KRITIS) sind nun schätzungsweise 30.000 bis 40.000 deutsche Unternehmen potenziell betroffen – darunter viele Mittelständler, die sich bislang nicht als sicherheitsrelevant eingestuft haben.

Das nationale Umsetzungsgesetz, das NIS2UmsuCG, verankert die europäischen Vorgaben im deutschen Recht und konkretisiert in §3 NIS2UmsuCG, welche Einrichtungen unter den Anwendungsbereich fallen. Die Klassifikation erfolgt nach zwei zentralen Dimensionen: Sektor und Unternehmensgröße.

Schritt 1: Gehört Ihr Unternehmen zu einem betroffenen Sektor?

Der erste Filter bei der NIS2-Betroffenheitsprüfung ist die Sektorzugehörigkeit. Das Gesetz unterscheidet zwei Anlagenkategorien:

Anlage 1: Sektoren mit hoher Kritikalität (wesentliche Einrichtungen)

Diese Sektoren gelten als besonders kritisch für Gesellschaft und Wirtschaft. Unternehmen in diesen Bereichen unterliegen strengeren Anforderungen:

• Energie (Strom, Gas, Fernwärme, Erdöl, Wasserstoff)
• Verkehr (Luft-, Schienen-, Wasser- und Straßenverkehr)
• Bankwesen (Kreditinstitute)
• Finanzmarktinfrastrukturen (Handelsplätze, zentrale Gegenparteien)
• Gesundheitswesen (Krankenhäuser, Labore, Hersteller von Medizinprodukten)
• Trinkwasser und Abwasser
• Digitale Infrastruktur (DNS-Anbieter, TLD-Registrare, Rechenzentrumsbetreiber, Cloud-Anbieter, CDN-Betreiber, Vertrauensdiensteanbieter)
• Verwaltung von IKT-Diensten (Managed Service Provider, Managed Security Service Provider)
• Weltraum (Betreiber von Bodeninfrastruktur)
• Öffentliche Verwaltung (Bundesbehörden, Landesbehörden)

Anlage 2: Sonstige kritische Sektoren (wichtige Einrichtungen)

Diese Sektoren unterliegen ebenfalls NIS2, jedoch mit etwas weniger strikten Aufsichtsanforderungen:

• Post- und Kurierdienste
• Abfallbewirtschaftung
• Chemie (Herstellung und Handel)
• Lebensmittel (Herstellung, Verarbeitung, Vertrieb)
• Verarbeitendes Gewerbe (Hersteller von Medizingeräten, Datenverarbeitungsgeräten, Maschinen, Kraftfahrzeugen und sonstigen Fahrzeugen)
• Digitale Dienste (Online-Marktplätze, Online-Suchmaschinen, soziale Netzwerke)
• Forschung (Forschungseinrichtungen)

Praxishinweis: Auch wenn Ihr Kerngeschäft nicht in diesen Sektoren liegt, sollten Sie prüfen, ob Sie als Lieferant oder Dienstleister für Unternehmen in diesen Sektoren tätig sind. Die Lieferkettensicherheit gemäß §30 Abs. 2 NIS2UmsuCG verpflichtet betroffene Einrichtungen, auch ihre Zulieferer auf angemessene Sicherheitsstandards zu verpflichten.

Schritt 2: Erfüllt Ihr Unternehmen die Größenkriterien?

Sektorzugehörigkeit allein reicht nicht aus. Das zweite Kriterium bei der NIS2-Betroffenheitsprüfung ist die Unternehmensgröße gemäß EU-Schwellenwerten:

Faustregel: Unternehmen mit 50 oder mehr Mitarbeitern und einem Jahresumsatz oder einer Bilanzsumme von mindestens 10 Millionen Euro, die in einem der genannten Sektoren tätig sind, fallen grundsätzlich unter NIS2.

Wichtige Ausnahme: Größenunabhängige Betroffenheit

Bestimmte Einrichtungen unterliegen NIS2 unabhängig von ihrer Größe, darunter:

• Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste
• Vertrauensdiensteanbieter
• TLD-Registrare und DNS-Diensteanbieter
• Einrichtungen, die für die öffentliche Sicherheit oder nationale Sicherheit als kritisch eingestuft werden
• Unternehmen, die bereits als KRITIS-Betreiber nach §28 BSIG eingestuft sind

Schritt 3: Wesentliche oder wichtige Einrichtung?

Die Klassifikation als wesentliche Einrichtung (Essential Entity, EE) oder wichtige Einrichtung (Important Entity, IE) hat direkte Auswirkungen auf die Aufsichtsintensität und die Bußgeldhöhe.

Wesentliche Einrichtungen (§28 Abs. 1 NIS2UmsuCG)

• Großunternehmen in Sektoren der Anlage 1
• Mittlere Unternehmen in besonders kritischen Teilbereichen (z.B. DNS, TLD, Vertrauensdienste, Cloud-Infrastruktur)
• Proaktive Aufsicht durch das BSI (ex-ante)
• Regelmäßige Sicherheitsaudits, auch ohne konkreten Anlass

Wichtige Einrichtungen (§28 Abs. 2 NIS2UmsuCG)

• Mittlere Unternehmen in Sektoren der Anlage 1
• Groß- und Mittelunternehmen in Sektoren der Anlage 2
• Reaktive Aufsicht durch das BSI (ex-post) – das BSI wird in der Regel erst bei Vorfällen oder Hinweisen tätig
• Weniger häufige Routineprüfungen, aber gleiche technische Anforderungen

Wichtig: Die Sicherheitsanforderungen nach §30 NIS2UmsuCG (Risikomanagement, Meldepflichten, Maßnahmen zur Cybersicherheit) gelten für beide Kategorien. Der Unterschied liegt primär in der Aufsichtsintensität und den maximalen Bußgeldern.

Interaktiver Selbsttest: Bin ich von NIS2 betroffen?

Nutzen Sie diese Checkliste für eine erste Einschätzung Ihrer NIS2-Betroffenheit:

✅ NIS2-Betroffenheitsprüfung – Schnelltest

Block A: Sektorzugehörigkeit
- [ ] Mein Unternehmen ist in einem Sektor aus Anlage 1 tätig
- [ ] Mein Unternehmen ist in einem Sektor aus Anlage 2 tätig
- [ ] Mein Unternehmen ist Lieferant oder Dienstleister für ein NIS2-betroffenes Unternehmen

Block B: Unternehmensgröße
- [ ] Mein Unternehmen beschäftigt 50 oder mehr Mitarbeiter
- [ ] Mein Jahresumsatz oder meine Bilanzsumme beträgt mindestens 10 Mio. €

Block C: Besondere Kriterien (größenunabhängig)
- [ ] Wir sind Anbieter öffentlicher Kommunikationsnetze oder -dienste
- [ ] Wir sind Vertrauensdiensteanbieter oder DNS-Anbieter
- [ ] Wir wurden vom BSI oder einer Behörde als kritisch eingestuft

Auswertung:
- Block A + Block B (beide Punkte): → Hohe Wahrscheinlichkeit der NIS2-Betroffenheit – professionelle Prüfung empfohlen
- Block C (ein Punkt): → NIS2-Betroffenheit unabhängig von Größe und Umsatz
- Nur Block A oder nur Block B: → Keine direkte Betroffenheit, aber Lieferkettenanforderungen prüfen!

Was droht bei Nichterfüllung? Bußgelder nach §65 BSIG

Die Konsequenzen bei Verstoß gegen NIS2-Pflichten sind erheblich. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat weitreichende Aufsichts- und Sanktionsbefugnisse erhalten:

Neben den finanziellen Sanktionen können Geschäftsführer und Vorstände nach §38 NIS2UmsuCG persönlich haftbar gemacht werden, wenn sie ihrer Sorgfaltspflicht bei der Cybersicherheitssteuerung nicht nachkommen. Dies ist ein in der Praxis oft unterschätzter Aspekt.

Konkreter Handlungsplan: 7 Schritte zur NIS2-Compliance

Wenn Ihre Betroffenheitsprüfung ein positives Ergebnis ergibt, empfehlen wir folgende strukturierte Vorgehensweise:

1. Formale Betroffenheitsprüfung dokumentieren: Halten Sie schriftlich fest, warum Ihr Unternehmen unter NIS2 fällt – Sektor, Größe, Kategorie (wesentlich/wichtig). Dies dient als Grundlage für alle weiteren Maßnahmen.

2. Registrierung beim BSI: Wesentliche und wichtige Einrichtungen sind verpflichtet, sich im BSI-Meldeportal zu registrieren. Die Registrierungspflicht gilt gemäß §33 NIS2UmsuCG bereits seit Inkrafttreten des Gesetzes.

3. Gap-Analyse gegenüber §30 NIS2UmsuCG: Vergleichen Sie Ihre bestehenden Sicherheitsmaßnahmen mit den gesetzlichen Mindestanforderungen: Risikoanalyse, Backup-Management, Incident Response, Lieferkettensicherheit, Kryptografie, MFA und mehr.

4. Risikomanagementprozess etablieren: Implementieren Sie ein systematisches Informationssicherheits-Managementsystem (ISMS) – idealerweise auf Basis von ISO/IEC 27001 oder dem IT-Grundschutz des BSI.

5. Meldeprozesse aufbauen: Sicherheitsvorfälle müssen nach §32 NIS2UmsuCG innerhalb definierter Fristen gemeldet werden: Erstmeldung innerhalb von 24 Stunden, detaillierte Meldung innerhalb von 72 Stunden, Abschlussbericht innerhalb von einem Monat.

6. Schulungen und Awareness: Führungskräfte und Mitarbeiter müssen regelmäßig in Cybersicherheitsthemen geschult werden. §38 NIS2UmsuCG verpflichtet explizit die Geschäftsleitung zur aktiven Mitwirkung.

7. Lieferkette überprüfen: Identifizieren Sie kritische Dienstleister und Lieferanten und schließen Sie angemessene Sicherheitsverträge ab oder passen Sie bestehende Vereinbarungen an.

Häufige Irrtümer bei der NIS2-Betroffenheitsprüfung

Irrtum 1: „Wir sind zu klein für NIS2."
Ab 50 Mitarbeitern und 10 Mio. € Umsatz in einem betroffenen Sektor sind Sie potenziell erfasst. Prüfen Sie Ihre tatsächliche Größe sorgfältig – inklusive verbundener Unternehmen.

Irrtum 2: „Wir sind kein KRITIS-Betreiber, also gilt NIS2 nicht für uns."
NIS2 geht weit über den bisherigen KRITIS-Bereich hinaus. Viele Mittelständler im verarbeitenden Gewerbe, in der Chemie oder im Lebensmittelbereich sind erstmals betroffen.

Irrtum 3: „Wir müssen erst aktiv werden, wenn das BSI uns kontaktiert."
Die Registrierungspflicht und die Umsetzung der Sicherheitsmaßnahmen sind proaktiv vom Unternehmen zu erfüllen. Wer wartet, riskiert Bußgelder.

Irrtum 4: „ISO 27001 reicht aus."
ISO 27001 ist eine sehr gute Grundlage, deckt aber nicht alle NIS2-spezifischen Anforderungen ab – insbesondere nicht die Meldepflichten und spezifischen technischen Mindestmaßnahmen nach §30 NIS2UmsuCG.

Fazit: Jetzt handeln, bevor das BSI klopft

Die NIS2-Betroffenheitsprüfung ist kein bürokratischer Formalismus – sie ist der Startpunkt für eine zukunftsfähige Cybersicherheitsstrategie. Mit dem stetig wachsenden Bedrohungsumfeld und einer aktiv aufsichtsführenden Behörde (BSI) ist Abwarten keine Option mehr.

Ihre nächsten Schritte auf einen Blick:
- Sektor prüfen (Anlage 1 oder Anlage 2?)
- Unternehmensgröße verifizieren (50+ MA, 10 Mio. € Schwelle?)
- Einrichtungstyp bestimmen (wesentlich oder wichtig?)
- BSI-Registrierung durchführen
- Gap-Analyse starten und ISMS aufbauen

💡 Ihr nächster Schritt: Betroffenheit digital prüfen und Compliance dokumentieren

Die manuelle NIS2-Betroffenheitsprüfung ist ein guter Anfang – aber für die laufende Compliance-Dokumentation, das Risikomanagement und die fristgerechte Meldung von Sicherheitsvorfällen empfehlen Praktiker den Einsatz einer spezialisierten NIS2-Compliance-Software oder eines ISMS-Tools. Diese Lösungen helfen Ihnen dabei, die Betroffenheit zu dokumentieren, erforderliche Richtlinien und Nachweise zu erstellen, Fristen zu überwachen und im Ernstfall schnell und strukturiert zu reagieren – genau so, wie es §30 und §32 NIS2UmsuCG fordern. Viele Tools bieten auch vorgefertigte Dokumentenvorlagen speziell für NIS2, die Sie erheblich Zeit und Aufwand sparen.

Quellen: NIS2UmsuCG (BGBl. 2024), BSIG n.F., BSI-Leitfaden zur NIS2-Umsetzung, ENISA NIS2 Implementation Guide, EU-Richtlinie 2022/2555