NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 25. Juli 2026 | Lesezeit: ca. 10 Minuten

Die NIS2-Richtlinie der EU ist seit ihrer Umsetzung in deutsches Recht durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) für tausende Unternehmen in Deutschland verbindlich. Dennoch herrscht in vielen Betrieben bis heute Unsicherheit: Bin ich überhaupt betroffen? Diese Frage ist keine Kleinigkeit – wer die Betroffenheit falsch einschätzt, riskiert empfindliche Bußgelder und Reputationsschäden. Dieser Artikel liefert Ihnen eine strukturierte NIS2-Betroffenheitsprüfung mit konkreten Kriterien, einem praktischen Selbsttest und klaren Handlungsempfehlungen für Unternehmen in Deutschland im Jahr 2025.

Was regelt §3 NIS2UmsuCG – die gesetzliche Grundlage der Betroffenheit

Der Anwendungsbereich der deutschen NIS2-Umsetzung ergibt sich primär aus §3 NIS2UmsuCG (Anwendungsbereich). Dort wird geregelt, welche Einrichtungen als wesentlich oder wichtig eingestuft werden und damit unter die verschärften Cybersicherheitspflichten fallen. Das Gesetz übernimmt dabei die EU-Systematik aus Artikel 3 der NIS2-Richtlinie (EU 2022/2555) und konkretisiert sie für den deutschen Rechtsraum.

Grundsätzlich gilt: Ein Unternehmen ist betroffen, wenn es gleichzeitig:

1. in einem der regulierten Sektoren tätig ist (Anlage 1 oder Anlage 2 NIS2UmsuCG), und
2. die Größenkriterien überschreitet (mindestens 50 Mitarbeitende oder mindestens 10 Mio. € Jahresumsatz und 10 Mio. € Jahresbilanzsumme).

Hinzu kommen sektorspezifische Ausnahmen, bei denen die Größenkriterien nicht gelten – etwa bei Betreibern kritischer Anlagen (KRITIS) oder Vertrauensdiensteanbietern.

Die regulierten Sektoren: Anlage 1 und Anlage 2 im Überblick

Anlage 1: Sektoren mit hoher Kritikalität (wesentliche Einrichtungen)

Unternehmen in diesen Bereichen gelten in der Regel als wesentliche Einrichtungen und unterliegen den strengsten Anforderungen:

Anlage 2: Sonstige kritische Sektoren (wichtige Einrichtungen)

Unternehmen in diesen Bereichen werden als wichtige Einrichtungen eingestuft und unterliegen zwar etwas geringeren, aber weiterhin substanziellen Anforderungen:

Wichtig: Die Sektorzugehörigkeit allein reicht nicht aus. Erst in Kombination mit den Größenkriterien entsteht die Betroffenheit.

Die Größenkriterien: Ab wann gilt Ihr Unternehmen als betroffen?

Das NIS2UmsuCG orientiert sich an den EU-Empfehlungen zur KMU-Definition. Die relevanten Schwellenwerte lauten:

Mittlere und große Unternehmen (grundsätzlich betroffen)

• Mitarbeitende: ≥ 50 Vollzeitäquivalente, oder
• Jahresumsatz: ≥ 10 Millionen Euro und
• Jahresbilanzsumme: ≥ 10 Millionen Euro

Unternehmen, die beide finanziellen Schwellen überschreiten oder mindestens 50 Mitarbeitende beschäftigen, fallen damit grundsätzlich in den Anwendungsbereich – sofern sie einem der geregelten Sektoren angehören.

Kleine Unternehmen (< 50 MA, < 10 Mio. €) – Ausnahmen beachten

Kleinere Unternehmen sind in der Regel nicht betroffen. Jedoch gibt es wichtige Ausnahmen nach §3 Abs. 2 NIS2UmsuCG:

• Betreiber kritischer Anlagen nach BSIG (unabhängig von der Unternehmensgröße)
• Vertrauensdiensteanbieter im Sinne der eIDAS-Verordnung
• Anbieter von TLD-Namenregistern und DNS-Diensten
• Anbieter, die in ihrem Mitgliedsstaat der einzige Anbieter eines essenziellen Dienstes sind
• Anbieter, deren Ausfall erhebliche Auswirkungen auf die öffentliche Sicherheit hätte

Wesentliche vs. wichtige Einrichtungen: Was ist der Unterschied?

Die Unterscheidung zwischen wesentlichen und wichtigen Einrichtungen ist praxisrelevant, weil sie direkte Auswirkungen auf Aufsicht und Sanktionen hat:

NIS2-Selbsttest: Fällt Ihr Unternehmen unter die Richtlinie?

Nutzen Sie diese strukturierte Checkliste für Ihre erste NIS2-Betroffenheitsprüfung. Beantworten Sie jede Frage mit Ja oder Nein:

Schritt 1: Sektorzugehörigkeit prüfen

• [ ] Ist mein Unternehmen in einem Sektor aus Anlage 1 des NIS2UmsuCG tätig?
• [ ] Ist mein Unternehmen in einem Sektor aus Anlage 2 des NIS2UmsuCG tätig?
• [ ] Biete ich digitale Dienste (Cloud, Rechenzentrum, MSP) für andere Unternehmen an?
• [ ] Bin ich Teil der Lieferkette eines wesentlichen oder wichtigen Unternehmens?

➡️ Mindestens ein "Ja"? → Weiter zu Schritt 2.
➡️ Alle "Nein"? → Wahrscheinlich nicht direkt betroffen (Lieferkettenpflichten trotzdem beachten!).

Schritt 2: Größenkriterien prüfen

• [ ] Beschäftigt mein Unternehmen 50 oder mehr Mitarbeitende (Vollzeitäquivalente)?
• [ ] Überschreitet mein Jahresumsatz 10 Millionen Euro?
• [ ] Überschreitet meine Jahresbilanzsumme 10 Millionen Euro?

➡️ Erste Frage oder beide Finanzfragen mit "Ja" beantwortet? → Ihre Größe fällt in den Anwendungsbereich.

Schritt 3: Sonderregelungen prüfen

• [ ] Bin ich als KRITIS-Betreiber nach BSIG eingestuft?
• [ ] Bin ich Vertrauensdiensteanbieter gemäß eIDAS?
• [ ] Bin ich der einzige Anbieter eines essenziellen Dienstes in Deutschland?

➡️ Ein "Ja"? → Betroffenheit gilt unabhängig von der Unternehmensgröße.

Ergebnis: Wer Schritt 1 (Sektor) und Schritt 2 (Größe) mit "Ja" beantwortet oder in Schritt 3 eine Ausnahme erfüllt, ist nach aktuellem Stand von NIS2 betroffen und muss entsprechende Maßnahmen ergreifen.

Konsequenzen bei Nichterfüllung: Die Bußgeldregeln nach §65 BSIG

Wer die NIS2-Anforderungen ignoriert, riskiert empfindliche Sanktionen. §65 BSIG (Bußgeldvorschriften) regelt die Konsequenzen bei Verstößen:

Bußgelder für wesentliche Einrichtungen

• Bis zu 10.000.000 Euro oder
• 2 % des gesamten weltweiten Jahresumsatzes des vorherigen Geschäftsjahres – je nachdem, welcher Betrag höher ist.

Bußgelder für wichtige Einrichtungen

• Bis zu 7.000.000 Euro oder
• 1,4 % des gesamten weltweiten Jahresumsatzes – wiederum der höhere Betrag.

Persönliche Haftung der Geschäftsleitung

Besonders kritisch: Das NIS2UmsuCG verankert ausdrücklich die persönliche Verantwortung der Geschäftsleitung. Geschäftsführer und Vorstände können bei nachgewiesenem Verschulden persönlich haftbar gemacht werden. Zudem können Aufsichtsbehörden natürlichen Personen in Leitungsfunktionen vorübergehend die Ausübung ihrer Tätigkeit untersagen.

Weitere Konsequenzen

• Öffentliche Bekanntmachung von Verstößen (Naming & Shaming)
• Anordnung von Sicherheitsaudits durch das BSI
• Einschränkung oder Untersagung des Betriebs von Diensten

Sieben konkrete Handlungsempfehlungen für betroffene Unternehmen

Wenn Ihre Betroffenheitsprüfung ergeben hat, dass Sie unter NIS2 fallen, empfehlen wir folgende Schritte in dieser Reihenfolge:

1. Formale Betroffenheitsanalyse dokumentieren: Halten Sie schriftlich fest, auf welcher Grundlage (Sektor, Größe, Ausnahme) Ihr Unternehmen betroffen ist. Dies ist gleichzeitig Ausgangspunkt für Ihr ISMS.

2. Registrierung beim BSI: Wesentliche und wichtige Einrichtungen sind verpflichtet, sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) zu registrieren. Nutzen Sie das BSI-Meldeportal und halten Sie die Fristen ein.

3. Gap-Analyse durchführen: Vergleichen Sie Ihre aktuellen Cybersicherheitsmaßnahmen mit den Mindestanforderungen aus §30 NIS2UmsuCG (Risikomanagementmaßnahmen). Identifizieren Sie Lücken systematisch.

4. ISMS aufbauen oder anpassen: Implementieren Sie ein Informationssicherheits-Managementsystem auf Basis von ISO/IEC 27001 oder dem BSI IT-Grundschutz. Bestehende ISMS sind auf NIS2-Konformität zu prüfen.

5. Incident-Response-Prozesse etablieren: Richten Sie klare Meldeprozesse für Sicherheitsvorfälle ein: 24-Stunden-Erstmeldung, 72-Stunden-Detailmeldung, Abschlussbericht nach einem Monat – alle an das BSI.

6. Lieferkette überprüfen: Prüfen Sie die Cybersicherheitsmaßnahmen Ihrer Zulieferer und Dienstleister. NIS2 macht auch Sicherheit in der Supply Chain zur Pflicht (§30 Abs. 2 Nr. 4 NIS2UmsuCG).

7. Geschäftsleitung schulen und einbinden: Sensibilisieren Sie Ihr Management für NIS2-Pflichten. Die persönliche Haftung macht Cybersicherheit zur Chefsache – entsprechende Nachweise über Schulungsmaßnahmen sollten dokumentiert werden.

Fazit: Nächste Schritte zur NIS2-Compliance

Die NIS2-Betroffenheitsprüfung ist der unverzichtbare erste Schritt auf dem Weg zur Compliance. Viele Unternehmen in Deutschland unterschätzen noch immer, wie weit der Anwendungsbereich des NIS2UmsuCG reicht – gerade im Bereich digitaler Dienste, Gesundheitsversorgung und verarbeitendem Gewerbe.

Zusammenfassung der nächsten Schritte:

• Jetzt prüfen: Sektor + Größe → bin ich betroffen?
• Registrieren: Meldung beim BSI nicht versäumen
• Analysieren: Gap-Analyse auf Basis §30 NIS2UmsuCG
• Umsetzen: ISMS, Incident Response, Supply Chain Security
• Dokumentieren: Alle Maßnahmen revisionssicher festhalten

Die Sanktionen nach §65 BSIG sind keine theoretische Gefahr mehr – das BSI hat seine Aufsichtskapazitäten erheblich ausgebaut. Wer jetzt handelt, schützt nicht nur sein Unternehmen vor Bußgeldern, sondern stärkt auch das Vertrauen von Kunden und Partnern nachhaltig.

Ihr nächster Schritt: NIS2-Compliance digital managen

Die strukturierte Betroffenheitsprüfung, Gap-Analysen, ISMS-Dokumentation und Incident-Response-Prozesse lassen sich erheblich effizienter gestalten, wenn Sie auf spezialisierte NIS2-Compliance-Software setzen. Moderne Plattformen unterstützen Sie dabei, Ihre Betroffenheit rechtssicher zu dokumentieren, Maßnahmen zu tracken, BSI-Meldungen vorzubereiten und Ihre Lieferkette zu bewerten – alles in einem zentralen System. Informieren Sie sich über verfügbare ISMS- und GRC-Tools, die explizit auf die Anforderungen des NIS2UmsuCG ausgerichtet sind, und lassen Sie sich von einem zertifizierten Informationssicherheitsbeauftragten beraten.

Quellen und weiterführende Informationen: BSI (bsi.bund.de), NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), BSIG (Bundesgesetz über das Bundesamt für Sicherheit in der Informationstechnik), EU-Richtlinie 2022/2555 (NIS2), ENISA Threat Landscape 2024.