NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 23. Juli 2026 | Lesezeit: ca. 10 Minuten

Seit dem Inkrafttreten des NIS2-Umsetzungsgesetzes (NIS2UmsuCG) stehen tausende deutsche Unternehmen vor einer entscheidenden Frage: Bin ich betroffen? Die Antwort ist alles andere als trivial – und die Konsequenzen bei Nichtbeachtung können empfindlich sein. Dieser Artikel führt Sie systematisch durch die NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland und zeigt Ihnen, welche konkreten Schritte Sie jetzt einleiten müssen.

Was ist die NIS2-Richtlinie – und warum betrifft sie mehr Unternehmen als gedacht?

Die NIS2-Richtlinie (Network and Information Security Directive 2) ist die überarbeitete EU-weite Cybersicherheitsrichtlinie, die die ursprüngliche NIS-Richtlinie von 2016 ersetzt. In Deutschland wurde sie durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in nationales Recht überführt, das maßgeblich das Bundesgesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG) novelliert.

Der zentrale Paragraf für die Betroffenheitsprüfung ist §3 NIS2UmsuCG in Verbindung mit den Anlagen 1 und 2 des Gesetzes. Gegenüber der Vorgängerregelung hat sich der Anwendungsbereich erheblich ausgeweitet: Schätzungen des BSI zufolge fallen in Deutschland rund 30.000 Einrichtungen unter die neuen Regelungen – gegenüber ca. 2.000 unter der alten NIS-Richtlinie. Ein klarer Grund, warum die NIS2 Betroffenheitsprüfung für Unternehmen in Deutschland 2025 und darüber hinaus so dringend ist.

Die zwei zentralen Prüfkriterien: Sektor und Größe

Die Betroffenheit ergibt sich grundsätzlich aus dem Zusammenspiel zweier Kriterien: dem Tätigkeitssektor Ihres Unternehmens und der Unternehmensgröße. Erst wenn beide Kriterien erfüllt sind, greifen die Pflichten des NIS2UmsuCG – mit einigen wichtigen Ausnahmen nach oben und unten.

Kriterium 1: Sektorzugehörigkeit (Anlagen 1 und 2 NIS2UmsuCG)

Das Gesetz unterscheidet zwei Kategorien von Sektoren:

Anlage 1 – Sektoren mit hoher Kritikalität (Wesentliche Einrichtungen):
- Energie (Strom, Gas, Öl, Fernwärme, Wasserstoff)
- Verkehr (Luft, Bahn, Wasser, Straße)
- Bankwesen und Finanzmarktinfrastrukturen
- Gesundheitswesen (Krankenhäuser, Labore, Pharmaunternehmen)
- Trinkwasser und Abwasser
- Digitale Infrastruktur (DNS, TLD, Cloud-Dienste, Rechenzentren, CDN)
- IKT-Dienste-Management (B2B-Managed Services)
- Öffentliche Verwaltung (Bund und Länder)
- Weltraum

Anlage 2 – Sonstige kritische Sektoren (Wichtige Einrichtungen):
- Post- und Kurierdienste
- Abfallbewirtschaftung
- Herstellung, Produktion und Handel mit chemischen Stoffen
- Lebensmittelproduktion und -verarbeitung
- Verarbeitendes Gewerbe / Herstellung (u.a. Medizinprodukte, Maschinenbau, Fahrzeugbau, Elektronik)
- Digitale Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke)
- Forschung

Praxishinweis: Auch wenn Ihr Kerngeschäft nicht in einem dieser Sektoren liegt, können Dienstleistungen oder Lieferbeziehungen für betroffene Unternehmen zur mittelbaren Relevanz führen. Prüfen Sie daher Ihren tatsächlichen wirtschaftlichen Tätigkeitsschwerpunkt sorgfältig.

Kriterium 2: Unternehmensgröße

Grundsätzlich gilt: Die NIS2-Pflichten greifen bei Unternehmen, die mindestens mittelgroß sind. Die Schwellenwerte orientieren sich an der EU-KMU-Definition:

Wichtige Ausnahmen vom Größenkriterium: Bestimmte Einrichtungen unterliegen den Pflichten unabhängig von ihrer Größe, darunter:
- Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste
- Qualifizierte Vertrauensdiensteanbieter
- TLD-Namenregister und DNS-Diensteanbieter
- Einrichtungen der öffentlichen Verwaltung
- Einrichtungen, die als kritische Anlage nach dem KRITIS-Dachgesetz eingestuft sind

Wesentliche vs. Wichtige Einrichtungen: Der entscheidende Unterschied

Nicht alle betroffenen Unternehmen werden gleich behandelt. Das NIS2UmsuCG unterscheidet zwischen wesentlichen Einrichtungen (Essential Entities) und wichtigen Einrichtungen (Important Entities). Diese Unterscheidung hat direkte Konsequenzen für den Prüfumfang, die Aufsicht und mögliche Sanktionen.

Wesentliche Einrichtungen

Als wesentliche Einrichtungen gelten:
- Große Unternehmen (≥ 250 MA oder entsprechende Bilanzkennzahlen) in Sektoren der Anlage 1
- Mittlere Unternehmen in bestimmten besonders kritischen Subsektoren (z.B. qualifizierte Vertrauensdiensteanbieter, TLD-Register)
- Einrichtungen, die von der zuständigen Behörde als solche eingestuft wurden

Wichtige Einrichtungen

Als wichtige Einrichtungen gelten:
- Mittlere Unternehmen (≥ 50 MA, ≥ 10 Mio. €) in Sektoren der Anlage 1
- Mittlere und große Unternehmen in Sektoren der Anlage 2

Konsequenzen der Einstufung

NIS2-Selbsttest: Fällt Ihr Unternehmen unter die Richtlinie?

Nutzen Sie die folgende strukturierte Prüfreihenfolge als interaktiven Selbsttest:

Schritt 1: Sektorcheck

Frage: Ist Ihr Unternehmen in einem der Sektoren aus Anlage 1 oder Anlage 2 des NIS2UmsuCG tätig?

• ✅ Ja → Weiter mit Schritt 2
• ❌ Nein → Aktuell keine direkte NIS2-Pflicht (Lieferkettenpflichten prüfen!)

Schritt 2: Größencheck

Frage: Beschäftigt Ihr Unternehmen mindestens 50 Mitarbeiter und erzielt mindestens 10 Mio. € Jahresumsatz oder Jahresbilanzsumme?

• ✅ Ja → Weiter mit Schritt 3
• ❌ Nein → Prüfen Sie Ausnahmen (Schritt 2a)

Schritt 2a (Ausnahmeprüfung): Betreiben Sie öffentliche Kommunikationsnetze, qualifizierte Vertrauensdienste oder sind Sie als KRITIS-Betreiber eingestuft?
- ✅ Ja → NIS2-Pflichten gelten unabhängig von der Größe
- ❌ Nein → Aktuell keine direkte NIS2-Pflicht

Schritt 3: Einordnung

Frage: Gehört Ihr Unternehmen zur Anlage 1 und hat ≥ 250 Mitarbeitende?

• ✅ Ja → Wesentliche Einrichtung (höchste Anforderungen)
• ❌ Nein, aber Anlage 1 mit 50–249 MA → Wichtige Einrichtung
• ❌ Anlage 2, ≥ 50 MA → Wichtige Einrichtung

Schritt 4: Registrierungspflicht

Betroffene Einrichtungen sind verpflichtet, sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) zu registrieren. Das BSI hat hierfür das ORCA-Portal (Online-Registrierung und Compliance-Abfrage) eingerichtet. Die Registrierung ist keine Kür, sondern gesetzliche Pflicht.

Welche Pflichten kommen auf betroffene Unternehmen zu?

Die Betroffenheit löst ein umfangreiches Pflichtenprogramm aus, das sich im Wesentlichen aus §30 BSIG (Risikomanagementmaßnahmen) und §32 BSIG (Meldepflichten) ergibt:

Technische und organisatorische Maßnahmen (§30 BSIG):
1. Risikoanalyse und Sicherheitskonzepte für Informationssysteme
2. Behandlung von Sicherheitsvorfällen (Incident Response)
3. Business Continuity Management (BCM) und Krisenmanagement
4. Sicherheit der Lieferkette
5. Sicherheit in der Beschaffung, Entwicklung und Wartung von Netz- und Informationssystemen
6. Schulungen zur Cybersicherheit für Mitarbeitende und Führungskräfte
7. Einsatz von Kryptografie und Verschlüsselung
8. Multifaktor-Authentifizierung und sichere Kommunikation

Meldepflichten (§32 BSIG):
- 24 Stunden: Erstmeldung bei erheblichen Sicherheitsvorfällen (Frühwarnung)
- 72 Stunden: Vollständige Erstmeldung mit Bewertung
- 1 Monat: Abschlussbericht mit detaillierter Analyse

Konsequenzen bei Nichterfüllung: Bußgelder nach §65 BSIG

Die Zeiten, in denen Cybersicherheitsvorschriften zahnlose Tiger waren, sind vorbei. §65 BSIG sieht empfindliche Sanktionen vor:

• Wesentliche Einrichtungen: Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist
• Wichtige Einrichtungen: Bußgelder bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes
• Persönliche Haftung der Geschäftsführung: Leitungsorgane können für Verstöße persönlich haftbar gemacht werden, wenn sie ihre Aufsichtspflicht verletzt haben

Das BSI hat im Jahr 2025 erste Pilotverfahren eingeleitet und macht damit deutlich, dass die Aufsicht ernst genommen wird. Für Unternehmen, die die Registrierungspflicht oder grundlegende Sicherheitsmaßnahmen ignorieren, wird das Risiko einer Sanktion spürbar real.

7 konkrete Handlungsempfehlungen für betroffene Unternehmen

Wenn Ihre Betroffenheitsprüfung ein positives Ergebnis geliefert hat, sollten Sie strukturiert vorgehen:

1. Formale Einstufung dokumentieren: Halten Sie schriftlich fest, warum und als welche Art von Einrichtung Ihr Unternehmen einzustufen ist – mit Verweis auf den konkreten Sektor und die Größenkennzahlen. Diese Dokumentation schützt Sie im Prüfungsfall.

2. BSI-Registrierung unverzüglich vornehmen: Nutzen Sie das ORCA-Portal des BSI und registrieren Sie Ihre Einrichtung. Die Registrierung ist eine eigenständige Pflicht, deren Verletzung bereits bußgeldbewehrt ist.

3. Gap-Analyse durchführen: Vergleichen Sie Ihre bestehenden Sicherheitsmaßnahmen mit den Anforderungen aus §30 BSIG. Identifizieren Sie konkrete Lücken in den Bereichen Risikoanalyse, Vorfallsmanagement und Lieferkettensicherheit.

4. ISMS aufbauen oder anpassen: Ein nach ISO 27001 zertifiziertes Informationssicherheits-Managementsystem (ISMS) deckt die meisten NIS2-Anforderungen strukturell ab. Falls noch nicht vorhanden, starten Sie mit einem pragmatischen, dokumentierten ISMS-Grundrahmen.

5. Meldeprozesse definieren und testen: Etablieren Sie klare interne Eskalationswege, damit im Ernstfall die 24-Stunden-Frist für die BSI-Frühwarnung eingehalten werden kann. Üben Sie den Prozess in einem Tabletop-Exercise.

6. Lieferkette prüfen: NIS2 verpflichtet nicht nur Sie selbst, sondern verlangt auch, dass Sie die Cybersicherheit Ihrer wesentlichen Dienstleister und Lieferanten prüfen und vertraglich absichern.

7. Geschäftsführung sensibilisieren: Die Pflicht zur Genehmigung und Überwachung der Cybersicherheitsmaßnahmen liegt explizit beim Leitungsorgan. Schulungen für Geschäftsführer und Vorstände sind keine Empfehlung, sondern gesetzliche Anforderung.

Fazit und nächste Schritte

Die NIS2-Betroffenheitsprüfung ist kein bürokratisches Formular, sondern der strategische Startpunkt für Ihre Cybersicherheits-Roadmap 2025 und darüber hinaus. Die zentralen Erkenntnisse auf einen Blick:

• Sektorcheck zuerst: Anlagen 1 und 2 des NIS2UmsuCG definieren die relevanten Branchen
• Größenkriterium: 50+ Mitarbeitende und 10 Mio. € Umsatz/Bilanzsumme als Untergrenze
• Einstufung entscheidet: Wesentliche Einrichtungen unterliegen schärferer Aufsicht und höheren Bußgeldern
• Registrierung beim BSI ist Pflicht, nicht Option
• Persönliche Haftung der Geschäftsführung ist real und wird durchgesetzt

Die NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland ist der erste, aber entscheidende Schritt. Wer jetzt handelt, vermeidet nicht nur Bußgelder – er schafft auch die Grundlage für eine nachhaltig sichere digitale Infrastruktur.

So geht es weiter: Digitale Unterstützung nutzen

Für Unternehmen, die die NIS2-Compliance strukturiert angehen möchten, empfiehlt sich der Einsatz einer spezialisierten NIS2-Compliance-Software. Moderne Plattformen unterstützen Sie dabei, die Betroffenheitsprüfung zu dokumentieren, eine automatisierte Gap-Analyse durchzuführen, ISMS-Dokumente gesetzeskonform zu erstellen und Meldepflichten fristgerecht zu verwalten. Tools wie diese reduzieren den manuellen Aufwand erheblich und stellen sicher, dass keine gesetzliche Anforderung übersehen wird. Achten Sie bei der Auswahl auf eine Lösung, die explizit auf die deutschen NIS2UmsuCG- und BSIG-Anforderungen zugeschnitten ist und sich nahtlos in bestehende ISMS-Prozesse integrieren lässt.

Rechtlicher Hinweis: Dieser Artikel dient der allgemeinen Information und ersetzt keine individuelle Rechtsberatung. Für eine rechtssichere Einstufung Ihres Unternehmens empfehlen wir die Konsultation eines auf IT-Recht und Cybersicherheit spezialisierten Rechtsanwalts sowie die direkte Abstimmung mit dem BSI.