NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 26. Juli 2026 | Lesezeit: ca. 8 Minuten

Die NIS2-Richtlinie ist seit ihrer Umsetzung ins deutsche Recht durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) für tausende Unternehmen in Deutschland bindend. Dennoch herrscht in vielen Geschäftsführerbüros und IT-Abteilungen nach wie vor Unsicherheit: Bin ich überhaupt betroffen? Diese Frage ist keine Kleinigkeit – denn wer die Betroffenheit falsch einschätzt und Pflichten ignoriert, riskiert empfindliche Bußgelder nach § 65 BSIG in Millionenhöhe.

Dieser Artikel führt Sie Schritt für Schritt durch die NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland 2025 – mit klaren Kriterien, einem strukturierten Selbsttest und konkreten Handlungsempfehlungen.

Was regelt §3 NIS2UmsuCG – und warum ist er entscheidend?

Der § 3 NIS2UmsuCG definiert den persönlichen Anwendungsbereich des Gesetzes. Er legt fest, welche Einrichtungen als „wesentlich" oder „wichtig" eingestuft werden und damit den Pflichten der NIS2-Richtlinie unterliegen. Die Einordnung hängt von zwei zentralen Faktoren ab:

1. Sektor/Branche: Gehört Ihr Unternehmen zu einem der in Anlage 1 oder Anlage 2 des NIS2UmsuCG gelisteten Sektoren?
2. Unternehmensgröße: Überschreitet Ihr Unternehmen die definierten Schwellenwerte bei Mitarbeiterzahl und Jahresumsatz?

Nur wenn beide Kriterien erfüllt sind, unterliegt ein Unternehmen grundsätzlich der NIS2-Regulierung – mit einer wichtigen Ausnahme: Bestimmte Einrichtungen fallen unabhängig von ihrer Größe in den Anwendungsbereich (sogenannte „unabhängig von der Größe betroffene Einrichtungen"), zum Beispiel Betreiber kritischer Infrastrukturen, die bereits nach KRITIS-Recht reguliert sind, oder qualifizierte Vertrauensdiensteanbieter.

Schritt 1: Sektor-Check – Anlage 1 und Anlage 2 im Überblick

Das NIS2UmsuCG unterscheidet zwischen hochkritischen Sektoren (Anlage 1) und sonstigen kritischen Sektoren (Anlage 2). Diese Unterscheidung ist maßgeblich für die Einstufung als wesentliche oder wichtige Einrichtung.

Anlage 1 – Hochkritische Sektoren (führen zu „wesentlichen Einrichtungen")

Anlage 2 – Sonstige kritische Sektoren (führen zu „wichtigen Einrichtungen")

Praxis-Tipp: Viele Unternehmen sind sich nicht bewusst, dass sie als Zulieferer oder Dienstleister für regulierte Sektoren tätig sind und dadurch indirekt in den Anwendungsbereich geraten können – etwa als IT-Dienstleister für Krankenhäuser oder als Logistikpartner für Energieversorger. Auch wenn Sie selbst nicht direkt reguliert sind, sollten Sie prüfen, ob Ihre Kunden NIS2-konforme Lieferketten verlangen.

Schritt 2: Größenkriterien – Ab wann ist Ihr Unternehmen betroffen?

Der zweite Prüfungsschritt betrifft die Unternehmensgröße. Das NIS2UmsuCG übernimmt die EU-Schwellenwerte aus der Empfehlung 2003/361/EG:

Größenkriterien im Überblick

• Wesentliche Einrichtungen (Anlage 1, große Unternehmen): Mitarbeiterzahl ≥ 250 oder Jahresumsatz ≥ 50 Mio. €
• Wichtige Einrichtungen (Anlage 1 mittlere Unternehmen & Anlage 2 mittlere und große Unternehmen): Mitarbeiterzahl ≥ 50 oder Jahresumsatz ≥ 10 Mio. €

Achtung: Kleinstunternehmen (unter 10 Mitarbeiter, unter 2 Mio. € Umsatz) und Kleinunternehmen (unter 50 Mitarbeiter, unter 10 Mio. € Umsatz) sind grundsätzlich ausgenommen – außer sie erbringen bestimmte kritische Dienste (z.B. als einziger Anbieter in einem Mitgliedstaat oder als qualifizierter Vertrauensdiensteanbieter).

Schritt 3: Wesentliche vs. wichtige Einrichtungen – Was ist der Unterschied?

Die Einstufung als wesentliche Einrichtung (Essential Entity, EE) oder wichtige Einrichtung (Important Entity, IE) hat direkte Auswirkungen auf die Aufsichtsintensität und die Bußgeldhöhe.

Unterschiede auf einen Blick

Die proaktive Aufsicht bei wesentlichen Einrichtungen bedeutet: Das BSI kann anlasslose Sicherheitsüberprüfungen, Audits und Inspektionen anordnen. Bei wichtigen Einrichtungen erfolgt die Aufsicht in der Regel nur, wenn ein konkreter Anlass (z.B. ein Sicherheitsvorfall) vorliegt.

Interaktiver Selbsttest: Bin ich von NIS2 betroffen?

Beantworten Sie die folgenden Fragen, um eine erste Einschätzung Ihrer Betroffenheit zu erhalten:

Checkliste zur NIS2-Betroffenheitsprüfung

• [ ] Frage 1 – Sektor: Ist mein Unternehmen in einem der Sektoren aus Anlage 1 oder Anlage 2 des NIS2UmsuCG tätig?
• [ ] Frage 2 – Mitarbeiterzahl: Beschäftigt mein Unternehmen 50 oder mehr Mitarbeiter (Vollzeitäquivalente)?
• [ ] Frage 3 – Umsatz/Bilanzsumme: Erzielt mein Unternehmen einen Jahresumsatz von 10 Mio. € oder mehr oder eine Jahresbilanzsumme von 10 Mio. € oder mehr?
• [ ] Frage 4 – Sonderfall: Erbringt mein Unternehmen einen Dienst, für den das Gesetz eine größenunabhängige Betroffenheit vorsieht (z.B. qualifizierter Vertrauensdiensteanbieter, TLD-Registry, KRITIS-Betreiber)?
• [ ] Frage 5 – Lieferkette: Verlangen meine Hauptkunden oder Auftraggeber vertraglich die Einhaltung von NIS2-Standards?

Auswertung:
- Fragen 1 + 2 + 3 = Ja: Sie sind höchstwahrscheinlich von NIS2 betroffen. Bestimmen Sie nun, ob Sie als wesentliche oder wichtige Einrichtung einzustufen sind.
- Frage 4 = Ja: Prüfen Sie unabhängig von der Größe Ihre Betroffenheit.
- Nur Frage 5 = Ja: Sie sind zwar möglicherweise nicht direkt betroffen, sollten aber Ihre Lieferkettenpflichten prüfen und NIS2-konforme Sicherheitsstandards vorhalten.

Wichtiger Hinweis: Dieser Selbsttest ersetzt keine rechtliche und fachliche Beratung. Für eine verbindliche Einschätzung empfehlen wir die Konsultation eines auf Cybersicherheitsrecht spezialisierten Anwalts oder die direkte Kontaktaufnahme mit dem BSI.

Was droht bei Nichterfüllung? Bußgelder nach §65 BSIG

Wer NIS2-Pflichten ignoriert oder sich der Registrierungspflicht entzieht, riskiert empfindliche Sanktionen. § 65 BSIG regelt den Bußgeldrahmen:

• Wesentliche Einrichtungen: Bis zu 10.000.000 Euro oder 2 % des gesamten weltweiten Jahresumsatzes (der höhere Betrag gilt)
• Wichtige Einrichtungen: Bis zu 7.000.000 Euro oder 1,4 % des gesamten weltweiten Jahresumsatzes (der höhere Betrag gilt)

Besonders gravierend: Bei wesentlichen Einrichtungen können Geschäftsführer und Vorstandsmitglieder persönlich haftbar gemacht werden, wenn sie ihre Aufsichtspflichten verletzen. Das BSI kann außerdem als Sofortmaßnahme die Abberufung von Leitungspersonen anordnen, wenn die Einrichtung anhaltend schwerwiegend gegen ihre Pflichten verstößt (§ 61 BSIG).

Neben Bußgeldern drohen:
- Öffentliche Bekanntmachungen von Verstößen (Naming & Shaming)
- Anordnung sofortiger Sicherheitsmaßnahmen
- Betriebseinschränkungen in extremen Fällen

7 konkrete Handlungsempfehlungen für betroffene Unternehmen

Wenn Sie nach dem Selbsttest zu dem Schluss kommen, dass Ihr Unternehmen unter NIS2 fällt, sollten Sie unverzüglich folgende Schritte einleiten:

1. Betroffenheit dokumentieren: Halten Sie schriftlich fest, auf welcher Grundlage (Sektor, Größe, Sondertatbestand) Sie die NIS2-Betroffenheit festgestellt haben. Diese Dokumentation ist im Rahmen der Nachweispflicht wichtig.

2. Beim BSI registrieren: Wesentliche und wichtige Einrichtungen sind verpflichtet, sich im BSI-Portal zu registrieren. Holen Sie dies schnellstmöglich nach, falls noch nicht geschehen.

3. Risikoanalyse durchführen: Erstellen Sie eine strukturierte Risikoanalyse Ihrer IT- und OT-Systeme gemäß § 30 BSIG. Das umfasst die Identifikation kritischer Assets, Bedrohungsszenarien und Schwachstellen.

4. Sicherheitsmaßnahmen implementieren: NIS2 fordert einen „Stand der Technik"-Ansatz. Implementieren Sie mindestens: Multi-Faktor-Authentifizierung, Incident-Response-Prozesse, Patch-Management, Backup-Strategien und Netzwerksegmentierung.

5. Meldeprozesse einrichten: Sicherheitsvorfälle müssen dem BSI innerhalb von 24 Stunden (Erstmeldung) und 72 Stunden (Folgemeldung) gemeldet werden. Richten Sie entsprechende interne Prozesse und Eskalationswege ein.

6. Lieferkette prüfen: Überprüfen Sie Ihre wesentlichen Dienstleister und Zulieferer auf Cybersicherheitsrisiken. Vertragliche NIS2-Anforderungen an Dritte gehören zum Compliance-Standard.

7. Schulungen und Awareness etablieren: Geschäftsführung und Mitarbeiter müssen regelmäßig zu Cybersicherheitsthemen geschult werden. NIS2 verpflichtet explizit die Leitungsebene zur aktiven Auseinandersetzung mit Cybersicherheitsrisiken.

Fazit: Nächste Schritte für Ihr Unternehmen

Die NIS2-Betroffenheitsprüfung ist kein bürokratischer Selbstzweck – sie ist der erste und wichtigste Schritt auf dem Weg zu einer rechtskonformen und widerstandsfähigen Cybersicherheitsorganisation. Die gute Nachricht: Mit einem strukturierten Vorgehen ist die Compliance erreichbar, auch für mittelständische Unternehmen.

Ihre nächsten drei Schritte auf einen Blick:

1. ✅ Jetzt prüfen: Nutzen Sie den Selbsttest in diesem Artikel als erste Orientierung und gleichen Sie Ihren Sektor mit Anlage 1 und Anlage 2 ab.
2. ✅ Rechtssicher einordnen: Lassen Sie Ihre Betroffenheit durch einen Fachanwalt oder einen zertifizierten NIS2-Berater verbindlich bestätigen.
3. ✅ Maßnahmen umsetzen: Starten Sie mit der Risikoanalyse und der BSI-Registrierung – die wichtigsten Grundlagen für alle weiteren Compliance-Schritte.

Ihre NIS2-Compliance digital managen

Die Umsetzung der NIS2-Anforderungen ist mit erheblichem Dokumentations- und Organisationsaufwand verbunden. Spezialisierte NIS2-Compliance-Softwarelösungen und ISMS-Plattformen können Ihnen dabei helfen, Ihre Betroffenheit strukturiert zu dokumentieren, Risikoanalysen zu erstellen, Maßnahmen zu verwalten und Nachweise für BSI-Prüfungen bereitzuhalten.

Achten Sie bei der Auswahl auf Lösungen, die explizit auf die Anforderungen des BSIG und der NIS2-Richtlinie ausgerichtet sind – idealerweise mit integrierten Meldeworkflows, Asset-Management und Audit-Trail-Funktion. Viele Anbieter stellen auch Vorlagen für die BSI-Registrierung und für NIS2-konforme Sicherheitsrichtlinien bereit, die Ihnen erheblich Zeit sparen können.

Haben Sie Fragen zur NIS2-Betroffenheitsprüfung oder zu den Anforderungen für Ihr Unternehmen? Hinterlassen Sie einen Kommentar oder kontaktieren Sie uns direkt.

Quellen & weiterführende Informationen:
- BSI: https://www.bsi.bund.de/NIS2
- NIS2UmsuCG (Bundesgesetzblatt 2024)
- ENISA: NIS2 Directive Implementation Guidance
- EU-Richtlinie 2022/2555 (NIS2-Richtlinie)