NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 24. Juli 2026 | Lesedauer: ca. 8 Minuten

Die NIS2-Richtlinie (Network and Information Security Directive 2) ist seit der Umsetzung durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) fester Bestandteil des deutschen Rechtsrahmens. Dennoch herrscht in vielen Unternehmen noch immer Unsicherheit: Bin ich eigentlich betroffen? Diese Frage ist keineswegs trivial – denn wer die Betroffenheit falsch einschätzt, riskiert empfindliche Bußgelder nach §65 BSIG. Dieser Artikel führt Sie Schritt für Schritt durch die NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland 2025 und gibt Ihnen konkrete Handlungsempfehlungen an die Hand.

Was regelt §3 NIS2UmsuCG – und warum ist er entscheidend?

Der Anwendungsbereich der NIS2-Pflichten ist in §3 NIS2UmsuCG (in Verbindung mit den Anlagen 1 und 2 des Gesetzes) definiert. Dort wird festgelegt, welche Einrichtungen als wesentlich oder wichtig eingestuft werden und damit den umfangreichen Sicherheits- und Meldepflichten unterliegen.

Das Besondere: NIS2 gilt grundsätzlich als Selbsteinstufungspflicht. Unternehmen müssen eigenständig prüfen, ob sie in den Anwendungsbereich fallen, und sich gegebenenfalls beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren. Das BSI kann diese Registrierung zwar anmahnen und erzwingen – die Initiative liegt jedoch zunächst beim Unternehmen selbst.

Der erste Schritt: Sektor-Zugehörigkeit prüfen (Anlage 1 & Anlage 2)

Das NIS2UmsuCG unterscheidet zwischen zwei Kategorien von Sektoren, die in Anlage 1 (hochkritische Sektoren) und Anlage 2 (sonstige kritische Sektoren) aufgelistet sind.

Anlage 1 – Hochkritische Sektoren (KRITIS-Kern)

Einrichtungen in diesen Bereichen gelten unter den Größenkriterien grundsätzlich als wesentliche Einrichtungen:

  • Energie (Strom, Gas, Öl, Wärme, Wasserstoff)
  • Verkehr (Luft, Schiene, Wasser, Straße)
  • Bankwesen und Finanzmarktinfrastrukturen
  • Gesundheitswesen (Krankenhäuser, Labore, Pharmahersteller)
  • Trinkwasser und Abwasser
  • Digitale Infrastrukturen (DNS-Anbieter, TLD-Registries, Cloud-Computing, Rechenzentren)
  • Verwaltung von IKT-Diensten (B2B)
  • Weltraum

Anlage 2 – Sonstige kritische Sektoren

Unternehmen hier fallen in der Regel unter wichtige Einrichtungen:

  • Post- und Kurierdienste
  • Abfallwirtschaft
  • Produktion, Herstellung und Handel mit chemischen Stoffen
  • Lebensmittelproduktion und -verarbeitung
  • Verarbeitendes Gewerbe / Herstellung von Waren (u. a. Medizinprodukte, Maschinenbau, Fahrzeugbau, Elektronikhersteller)
  • Digitale Dienste (Online-Marktplätze, Online-Suchmaschinen, soziale Netzwerke)
  • Forschungseinrichtungen

Praxishinweis: Viele mittelständische Industrieunternehmen (z. B. Maschinenbauer, Automobilzulieferer) übersehen, dass sie über Anlage 2 in den Anwendungsbereich fallen können. Prüfen Sie Ihren NACE-Code sorgfältig.

Der zweite Schritt: Größenkriterien – die 50/10-Regel

Allein die Sektorzugehörigkeit reicht nicht aus. Zusätzlich müssen Größenschwellen überschritten werden (§3 NIS2UmsuCG i. V. m. der EU-Empfehlung 2003/361/EG zur KMU-Definition):

Kriterium Schwellenwert
Mitarbeiteranzahl ≥ 50 Vollzeitäquivalente
Jahresumsatz ≥ 10 Millionen Euro
Jahresbilanzsumme ≥ 10 Millionen Euro

Entscheidend: Es genügt, wenn entweder der Umsatz oder die Bilanzsumme die 10-Millionen-Euro-Grenze überschreitet – beide Bedingungen müssen nicht gleichzeitig erfüllt sein. Die Mitarbeiterzahl ist jedoch stets mit zu prüfen (50+ Mitarbeitende UND einer der Finanzschwellenwerte).

Sonderregelungen – auch Kleinstunternehmen können betroffen sein

Achtung: In bestimmten Fällen gilt NIS2 unabhängig von der Unternehmensgröße, etwa für:

  • Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste
  • Vertrauensdiensteanbieter (qualifiziert und nicht qualifiziert)
  • TLD-Namenregister und DNS-Dienste
  • Einrichtungen, die als einzige Anbieter eines kritischen Dienstes in einem Mitgliedstaat gelten
  • Einrichtungen, deren Ausfall erhebliche Auswirkungen auf die öffentliche Ordnung oder Sicherheit hätte

Wesentliche vs. wichtige Einrichtungen: Was ist der Unterschied?

Die Einstufung hat direkte Konsequenzen für die Intensität der Aufsicht und das Bußgeldregime:

Merkmal Wesentliche Einrichtung Wichtige Einrichtung
Sektorzugehörigkeit Anlage 1 Anlage 2
Größe (Regelfall) ≥ 250 MA oder ≥ 50 Mio. € Umsatz 50–249 MA und 10–49 Mio. € Umsatz
BSI-Aufsicht Proaktiv (ex-ante) Reaktiv (ex-post, anlassbezogen)
Max. Bußgeld (§65 BSIG) 10 Mio. € oder 2 % des weltweiten Jahresumsatzes 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes
Managerhaftung Ja (persönliche Haftung Geschäftsführung) Ja (persönliche Haftung Geschäftsführung)

Wichtig: Auch mittelgroße Unternehmen in Anlage-1-Sektoren (50–249 MA, 10–49 Mio. € Umsatz) können als wesentliche Einrichtungen eingestuft werden, wenn ihr Sektor dies vorschreibt.

Interaktiver Selbsttest: Bin ich von NIS2 betroffen?

Nutzen Sie diese Checkliste als erste Orientierung. Sie ersetzt keine Rechtsberatung, gibt aber eine fundierte erste Einschätzung:

Schritt 1: Sektorzugehörigkeit

  • [ ] Ist mein Unternehmen in einem der Sektoren aus Anlage 1 tätig?
  • [ ] Ist mein Unternehmen in einem der Sektoren aus Anlage 2 tätig?
  • [ ] Biete ich digitale Infrastruktur oder Vertrauensdienste an (größenunabhängig)?

Wenn keine Checkbox zutrifft → NIS2 wahrscheinlich nicht anwendbar.

Schritt 2: Größe

  • [ ] Beschäftigt mein Unternehmen 50 oder mehr Mitarbeitende (VZÄ)?
  • [ ] Beträgt mein Jahresumsatz 10 Millionen Euro oder mehr?
  • [ ] Beträgt meine Jahresbilanzsumme 10 Millionen Euro oder mehr?

Wenn Mitarbeiterkriterium + mindestens ein Finanzkriterium → Größenschwelle überschritten.

Schritt 3: Unternehmensgruppen

  • [ ] Bin ich Teil einer Unternehmensgruppe? (Konsolidierung der Kennzahlen prüfen!)
  • [ ] Erbringt mein Mutterkonzern oder eine Tochtergesellschaft NIS2-relevante Dienste?

Schritt 4: Registrierungspflicht

  • [ ] Habe ich mich bereits beim BSI registriert? (Pflicht seit Inkrafttreten des NIS2UmsuCG)
  • [ ] Liegt mir eine schriftliche Betroffenheitsanalyse vor?

Konsequenzen bei Nichterfüllung: §65 BSIG ist kein Papiertiger

Viele Unternehmen unterschätzen das Sanktionsrisiko. Das BSI hat seit dem NIS2UmsuCG deutlich erweiterte Befugnisse erhalten. §65 BSIG sieht folgendes Bußgeldregime vor:

  • Wesentliche Einrichtungen: Bis zu 10 Millionen Euro oder 2 % des gesamten weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist.
  • Wichtige Einrichtungen: Bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes.
  • Persönliche Haftung der Geschäftsleitung: Geschäftsführer und Vorstände können bei Pflichtverletzungen persönlich in Haftung genommen werden – Regress gegenüber D&O-Versicherungen ist begrenzt.

Konkrete Verstöße, die Bußgelder auslösen können:

  • Fehlende oder verspätete Registrierung beim BSI
  • Unterlassene oder fehlerhafte Sicherheitsvorfallsmeldungen (Meldefrist: 24 Stunden für erste Erstmeldung)
  • Fehlende technische und organisatorische Sicherheitsmaßnahmen (TOMs) gemäß §30 BSIG
  • Kein dokumentiertes Risikomanagement
  • Keine Regelungen zum Business Continuity Management (BCM)

Konkrete Handlungsempfehlungen: 7 Schritte zur NIS2-Compliance

  1. Betroffenheitsanalyse dokumentieren: Erstellen Sie eine schriftliche Analyse, die Ihre Sektor-Zugehörigkeit (Anlage 1 oder 2) und die Größenkriterien nachvollziehbar belegt. Diese dient auch als Nachweis gegenüber dem BSI.

  2. BSI-Registrierung vornehmen: Sofern noch nicht geschehen, registrieren Sie sich unverzüglich über das BSI-Portal. Die Registrierungspflicht gilt ab dem Zeitpunkt der Betroffenheit.

  3. Einrichtungstyp bestimmen: Klären Sie, ob Sie als wesentliche oder wichtige Einrichtung eingestuft werden. Dies beeinflusst die Anforderungen an Ihr Sicherheitsprogramm unmittelbar.

  4. Gap-Analyse durchführen: Vergleichen Sie Ihre bestehenden Sicherheitsmaßnahmen mit den Anforderungen aus §30 BSIG (Risikomanagement, Vorfallmeldung, BCM, Supply-Chain-Sicherheit, Kryptografie etc.).

  5. ISMS implementieren oder anpassen: Ein Information Security Management System (ISMS) nach ISO/IEC 27001 oder BSI IT-Grundschutz bildet die ideale Grundlage zur strukturierten NIS2-Erfüllung.

  6. Meldeprozesse etablieren: Definieren Sie klare interne Eskalations- und Meldeprozesse für Sicherheitsvorfälle. Die 24-Stunden-Frist für die Erstmeldung an das BSI ist kurz – Improvisation scheidet aus.

  7. Geschäftsführung sensibilisieren und schulen: NIS2 ist Chefsache. Gemäß §38 BSIG ist die Geschäftsleitung verpflichtet, an Schulungen zu Cybersicherheitsrisiken teilzunehmen und die Umsetzung aktiv zu überwachen.

Sonderfall: Lieferketten und Dienstleister

Auch wenn Ihr Unternehmen selbst nicht direkt unter NIS2 fällt, können Sie indirekt betroffen sein: Wenn Sie als IT-Dienstleister, Softwareanbieter oder kritischer Zulieferer für eine wesentliche oder wichtige Einrichtung tätig sind, werden diese Kunden vertraglich Sicherheitsanforderungen an Sie weitergeben (Supply-Chain-Security gemäß §30 Abs. 2 Nr. 4 BSIG). De-facto-NIS2-Anforderungen über vertragliche Klauseln sind bereits gängige Praxis in Ausschreibungen und Lieferantenaudits.

Fazit: Jetzt handeln – nicht abwarten

Die NIS2-Betroffenheitsprüfung ist kein einmaliger Vorgang, sondern sollte regelmäßig wiederholt werden – insbesondere bei Unternehmensveränderungen (Fusionen, neue Geschäftsbereiche, Umsatzwachstum). Die Kombination aus Sektor-Zugehörigkeit und Größenkriterien nach §3 NIS2UmsuCG ist der entscheidende Ausgangspunkt.

Ihre nächsten Schritte auf einen Blick:

  1. Prüfen Sie jetzt Ihre Anlage-1- oder Anlage-2-Zugehörigkeit anhand Ihrer NACE-Klassifikation.
  2. Vergleichen Sie Mitarbeiterzahl und Finanzkennzahlen mit den Schwellenwerten.
  3. Dokumentieren Sie das Ergebnis schriftlich.
  4. Registrieren Sie sich beim BSI, falls noch nicht erfolgt.
  5. Starten Sie Ihre Gap-Analyse auf Basis von §30 BSIG.

Die Zeit des "Abwartens" ist vorbei – das BSI intensiviert seine Aufsichtstätigkeit, und die ersten Bußgeldverfahren auf Basis des NIS2UmsuCG werden zunehmend öffentlich bekannt.

Ihr nächster praktischer Schritt: NIS2-Compliance strukturiert angehen

Für IT-Verantwortliche und Geschäftsführer, die ihre NIS2-Betroffenheitsprüfung und den anschließenden Compliance-Prozess strukturiert dokumentieren möchten, bieten spezialisierte NIS2-Compliance-Softwarelösungen eine erhebliche Arbeitserleichterung. Sie unterstützen bei der automatisierten Betroffenheitsprüfung, der Erstellung gesetzlich geforderter ISMS-Dokumente, der Verwaltung von Risikobewertungen und der fristgerechten Vorfallmeldung. Wer die Anforderungen aus §30 und §38 BSIG systematisch erfüllen will, sollte toolgestützte Ansätze frühzeitig in seine Compliance-Strategie einbinden – das spart Zeit, reduziert Fehlerrisiken und schafft nachweisbare Dokumentation gegenüber dem BSI.

Quellen und weiterführende Informationen: BSI-Grundschutz-Kompendium (Edition 2025), NIS2UmsuCG (BGBl. 2024), ENISA NIS2 Implementation Guidance, §§ 3, 30, 38, 65 BSIG n.F.