NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 27. Juli 2026 | Lesedauer: ca. 8 Minuten

Die NIS2-Richtlinie der EU ist seit ihrer Umsetzung durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in deutsches Recht verbindlich – und sie betrifft weitaus mehr Unternehmen, als viele zunächst annehmen. Während große Konzerne ihre Compliance-Prozesse längst angepasst haben, stellen sich mittelständische IT-Verantwortliche und Geschäftsführer noch immer die entscheidende Frage: Bin ich überhaupt betroffen?

Dieser Artikel liefert Ihnen eine strukturierte NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland 2025/2026 – mit klaren Kriterien, einem praktischen Selbsttest und konkreten Handlungsempfehlungen.

Was regelt §3 NIS2UmsuCG?

Der §3 NIS2UmsuCG definiert den Anwendungsbereich des Gesetzes. Er legt fest, welche Einrichtungen als „wesentlich" oder „wichtig" eingestuft werden und damit den umfangreichen Sicherheits- und Meldepflichten unterliegen. Die Norm greift dabei auf zwei zentrale Kriterien zurück:

1. Sektorzugehörigkeit – Ist Ihr Unternehmen in einem der in Anlage 1 oder Anlage 2 des NIS2UmsuCG genannten Sektoren tätig?
2. Größenkriterien – Überschreitet Ihr Unternehmen bestimmte Schwellenwerte bei Mitarbeiterzahl und Jahresumsatz?

Beide Kriterien müssen in der Regel gleichzeitig erfüllt sein, um unter die Regulierung zu fallen – mit wichtigen Ausnahmen, auf die wir weiter unten eingehen.

Schritt 1: Sektorzugehörigkeit prüfen – Anlage 1 und Anlage 2

Anlage 1: Sektoren mit hoher Kritikalität (Wesentliche Einrichtungen)

Die Anlage 1 des NIS2UmsuCG listet elf Sektoren auf, die als besonders kritisch für die gesellschaftliche und wirtschaftliche Funktionsfähigkeit gelten:

Anlage 2: Sonstige kritische Sektoren (Wichtige Einrichtungen)

Anlage 2 erfasst sieben weitere Sektoren, die ebenfalls reguliert werden, jedoch mit etwas geringeren Anforderungen:

Praxis-Hinweis: Viele Unternehmen im verarbeitenden Gewerbe – etwa Maschinenbauer oder Elektronikproduzenten – sind überrascht, in Anlage 2 aufzutauchen. Prüfen Sie Ihren NACE-Wirtschaftszweig sorgfältig.

Schritt 2: Größenkriterien – Ab wann bin ich betroffen?

Allein die Sektorzugehörigkeit reicht in den meisten Fällen nicht aus. Das NIS2UmsuCG orientiert sich an der EU-Empfehlung 2003/361/EG zur Definition von Unternehmensgrößen:

Wesentliche Einrichtungen (Anlage 1)

• Mindestens 250 Mitarbeitende (Vollzeitäquivalente), oder
• Jahresumsatz über 50 Millionen Euro und gleichzeitig Jahresbilanzsumme über 43 Millionen Euro

Wichtige Einrichtungen (Anlage 2 + kleinere Anlage-1-Unternehmen)

• Mindestens 50 Mitarbeitende, oder
• Jahresumsatz über 10 Millionen Euro und gleichzeitig Jahresbilanzsumme über 10 Millionen Euro

Wichtige Ausnahmen: Größe spielt keine Rolle

In bestimmten Fällen greift die NIS2-Regulierung unabhängig von der Unternehmensgröße:

• Betreiber kritischer Infrastrukturen nach BSIG (KRITIS-Betreiber)
• Qualifizierte Vertrauensdiensteanbieter und Top-Level-Domain-Registries
• Einrichtungen, die als einziger Anbieter in einem EU-Mitgliedstaat einen essenziellen Dienst erbringen
• Einrichtungen, deren Ausfall erhebliche Auswirkungen auf die öffentliche Sicherheit hätte

Wesentliche vs. wichtige Einrichtungen: Der entscheidende Unterschied

Die Einstufung als wesentliche oder wichtige Einrichtung hat direkte Auswirkungen auf den Umfang der Pflichten und die Höhe möglicher Bußgelder.

Interaktiver Selbsttest: Bin ich von NIS2 betroffen?

Beantworten Sie die folgenden Fragen der Reihe nach. Der Test dient als erste Orientierung und ersetzt keine rechtliche Beratung.

Frage 1: Sektorzugehörigkeit

Ist Ihr Unternehmen in einem der Sektoren aus Anlage 1 oder Anlage 2 des NIS2UmsuCG tätig?

• ❌ Nein → Sie sind wahrscheinlich nicht direkt betroffen. Prüfen Sie dennoch Ihre Lieferkette (§30 NIS2UmsuCG).
• ✅ Ja → Weiter zu Frage 2.

Frage 2: Größe des Unternehmens

Beschäftigt Ihr Unternehmen mindestens 50 Mitarbeitende ODER erzielt es mehr als 10 Millionen Euro Jahresumsatz bei einer Bilanzsumme über 10 Millionen Euro?

• ❌ Nein → Sie sind als Kleinstunternehmen in der Regel nicht betroffen – außer bei den Ausnahmen (s.o.).
• ✅ Ja → Weiter zu Frage 3.

Frage 3: Einstufung

Beschäftigt Ihr Unternehmen mindestens 250 Mitarbeitende ODER erzielt es mehr als 50 Millionen Euro Umsatz bei einer Bilanzsumme über 43 Millionen Euro?

• ✅ Ja, und Sektor aus Anlage 1 → Sie sind eine wesentliche Einrichtung.
• 🔶 Nein, aber Sektor aus Anlage 1 oder 2 mit 50+ Mitarbeitenden → Sie sind eine wichtige Einrichtung.

Ergebnis: Was bedeutet das konkret?

Unabhängig von der Einstufung müssen betroffene Einrichtungen:

• Sich beim BSI registrieren
• Ein Risikomanagementsystem für Cybersicherheit implementieren (§30 NIS2UmsuCG)
• Sicherheitsvorfälle innerhalb von 24 Stunden melden (§32 NIS2UmsuCG)
• Die Sicherheit der Lieferkette berücksichtigen
• Schulungen für Geschäftsleitungen durchführen

Konsequenzen bei Nichterfüllung: Bußgelder nach §65 BSIG

Wer die NIS2-Pflichten ignoriert, riskiert erhebliche Sanktionen. Der §65 BSIG (Bußgeldvorschriften) sieht folgende Strafen vor:

Bußgelder für wesentliche Einrichtungen

• Bis zu 10.000.000 Euro oder
• 2 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres – je nachdem, welcher Betrag höher ist

Bußgelder für wichtige Einrichtungen

• Bis zu 7.000.000 Euro oder
• 1,4 % des gesamten weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist

Persönliche Haftung der Geschäftsleitung

Besonders brisant: Das NIS2UmsuCG sieht in §38 eine persönliche Haftung von Geschäftsführern und Vorständen vor. Wer Cybersicherheitsmaßnahmen pflichtwidrig nicht umsetzt, haftet unter Umständen persönlich für entstehende Schäden – ein Haftungsausschluss durch Gesellschaftsvertrag ist nicht möglich.

BSI-Empfehlung: Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat klargestellt, dass die Registrierungspflicht als erste und unmittelbare Anforderung gilt. Unternehmen, die sich noch nicht beim BSI registriert haben, sollten dies unverzüglich nachholen.

Konkrete Handlungsempfehlungen: So gehen Sie jetzt vor

Wenn Ihre Betroffenheitsprüfung ergibt, dass Sie unter NIS2 fallen, empfehlen wir folgende Schritte:

1. Betroffenheit dokumentieren: Halten Sie schriftlich fest, auf welcher rechtlichen Grundlage (§3 NIS2UmsuCG, Anlage 1 oder 2) Sie als wesentliche oder wichtige Einrichtung eingestuft sind.

2. BSI-Registrierung vornehmen: Nutzen Sie das Online-Portal des BSI zur Registrierung. Halten Sie Kontaktdaten, Sektorzugehörigkeit und technische Ansprechpartner bereit.

3. Gap-Analyse durchführen: Vergleichen Sie Ihren aktuellen Sicherheitsstand mit den Anforderungen des §30 NIS2UmsuCG (Risikomanagement, Zugangskontrolle, Verschlüsselung, Incident Response, Business Continuity).

4. ISMS aufbauen oder anpassen: Ein Information Security Management System (ISMS) nach ISO/IEC 27001 deckt einen Großteil der NIS2-Anforderungen ab. Bestehende ISMS müssen ggf. um NIS2-spezifische Kontrollen ergänzt werden.

5. Meldeprozesse etablieren: Richten Sie klare interne Eskalationsprozesse ein, damit Sicherheitsvorfälle innerhalb der gesetzlichen Fristen gemeldet werden können: 24 Stunden für die Erstmeldung, 72 Stunden für den Zwischenbericht, 30 Tage für den Abschlussbericht (§32 NIS2UmsuCG).

6. Lieferkettenrisiken prüfen: Erfassen Sie kritische IT-Dienstleister und Zulieferer. Fordern Sie Nachweise über deren Sicherheitsmaßnahmen an.

7. Schulungen für Führungskräfte: Führen Sie NIS2-Schulungen für Geschäftsführung und Vorstand durch – die persönliche Haftung macht dies zur Priorität.

8. Externe Unterstützung holen: Ziehen Sie bei komplexen Fragen zur Sektorzugehörigkeit oder zur Ausgestaltung Ihres ISMS spezialisierte Berater oder Rechtsanwälte hinzu.

Sonderfall: Mittelstand und Lieferkette

Auch Unternehmen, die selbst nicht unter NIS2 fallen, sind indirekt betroffen: Als Zulieferer oder IT-Dienstleister von regulierten Einrichtungen werden sie über vertragliche Anforderungen zunehmend in die Pflicht genommen. Betroffene Einrichtungen sind nach §30 Abs. 2 Nr. 4 NIS2UmsuCG verpflichtet, die Sicherheit ihrer Lieferkette zu gewährleisten und entsprechende Nachweise von Dienstleistern einzufordern.

Für den deutschen Mittelstand gilt daher: Selbst wenn Sie die Größenschwellen nicht erreichen, lohnt sich die Implementierung eines soliden Cybersicherheits-Frameworks – nicht zuletzt als Wettbewerbsvorteil gegenüber weniger gut aufgestellten Mitbewerbern.

Fazit: Nächste Schritte zur NIS2-Compliance

Die NIS2-Betroffenheitsprüfung ist keine einmalige Aufgabe, sondern ein kontinuierlicher Prozess. Unternehmen, die wachsen, neue Märkte erschließen oder ihre Dienstleistungen erweitern, können sich im Laufe der Zeit neu unter die Regulierung einordnen müssen.

Ihre unmittelbaren nächsten Schritte:

• ✅ Sektorzugehörigkeit anhand der Anlagen 1 und 2 des NIS2UmsuCG prüfen
• ✅ Mitarbeiterzahl und Bilanzkennzahlen mit den Schwellenwerten abgleichen
• ✅ Ergebnis schriftlich dokumentieren und rechtlich absichern lassen
• ✅ BSI-Registrierung einleiten (falls noch nicht erfolgt)
• ✅ Gap-Analyse und ISMS-Aufbau priorisieren

Die Uhr läuft: Das BSI intensiviert seine Aufsichtstätigkeit, und erste Bußgeldverfahren nach §65 BSIG wurden bereits eingeleitet. Wer jetzt handelt, schützt nicht nur sein Unternehmen – sondern auch sich persönlich.

Jetzt NIS2-Compliance strukturiert angehen

Um die Betroffenheitsprüfung rechtssicher zu dokumentieren und direkt in konkrete Maßnahmen zu überführen, empfiehlt sich der Einsatz einer spezialisierten NIS2-Compliance-Software. Moderne ISMS-Tools unterstützen Sie dabei, die Anforderungen aus §30 NIS2UmsuCG systematisch zu erfassen, Verantwortlichkeiten zuzuweisen, Maßnahmenpläne zu verwalten und Meldeprozesse zu automatisieren. Achten Sie bei der Auswahl auf eine Lösung, die sowohl die NIS2-Anforderungen als auch eine mögliche ISO-27001-Zertifizierung abbildet – das spart Zeit und schafft eine einheitliche Dokumentationsbasis für alle Prüfer und Behörden.

Dieser Artikel dient der allgemeinen Information und ersetzt keine individuelle Rechts- oder Sicherheitsberatung. Für eine verbindliche Einschätzung Ihrer NIS2-Betroffenheit wenden Sie sich an spezialisierte Rechtsanwälte oder IT-Sicherheitsberater.

Quellen: NIS2UmsuCG (BGBl. 2024 I Nr. 323), BSIG n.F., BSI-Leitfaden zur NIS2-Registrierung, ENISA NIS2 Implementation Guidance 2024, EU-Empfehlung 2003/361/EG