NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 28. Juli 2026 | Lesezeit: ca. 10 Minuten

Seit der Umsetzung der europäischen NIS2-Richtlinie in deutsches Recht durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) stehen tausende deutsche Unternehmen vor einer entscheidenden Frage: Bin ich überhaupt betroffen? Die Antwort ist komplexer als viele vermuten – und die Konsequenzen bei falscher Einschätzung sind erheblich. Dieser Artikel führt Sie systematisch durch die NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland und zeigt Ihnen, welche konkreten Schritte jetzt notwendig sind.

Was regelt §3 NIS2UmsuCG – und warum ist er so wichtig?

Der §3 NIS2UmsuCG definiert den Anwendungsbereich des Gesetzes und legt fest, welche Einrichtungen als „wesentlich" oder „wichtig" eingestuft werden. Er ist der zentrale Ausgangspunkt jeder Betroffenheitsprüfung. Wer diesen Paragraphen falsch interpretiert – oder ignoriert –, riskiert nicht nur Bußgelder, sondern auch empfindliche Haftungsrisiken für die Geschäftsführung persönlich.

Grundsätzlich gilt: Betroffenheit entsteht aus der Kombination zweier Faktoren:

  1. Das Unternehmen ist in einem der regulierten Sektoren tätig (Anlage 1 oder Anlage 2 zum NIS2UmsuCG).
  2. Das Unternehmen überschreitet bestimmte Größenschwellen (Mitarbeiterzahl und/oder Umsatz).

Hinzu kommen Sonderfälle, in denen die Größenschwellen keine Rolle spielen – dazu später mehr.

Die regulierten Sektoren: Anlage 1 und Anlage 2

Anlage 1: Sektoren mit hoher Kritikalität (Wesentliche Einrichtungen)

Anlage 1 des NIS2UmsuCG listet Sektoren auf, die als besonders kritisch für Gesellschaft und Wirtschaft gelten. Unternehmen in diesen Bereichen unterliegen den strengsten Anforderungen und werden in der Regel als wesentliche Einrichtungen eingestuft:

  • Energie (Strom, Gas, Öl, Fernwärme, Wasserstoff)
  • Verkehr (Luftfahrt, Bahn, Schifffahrt, Straßenverkehr)
  • Bankwesen (Kreditinstitute, Zahlungsdienstleister)
  • Finanzmarktinfrastrukturen (Handelsplätze, zentrale Gegenparteien)
  • Gesundheitswesen (Krankenhäuser, Labore, Pharmaunternehmen, Medizingerätehersteller)
  • Trinkwasser und Abwasser
  • Digitale Infrastruktur (Cloud-Anbieter, Rechenzentren, DNS-Dienste, TLD-Registrierungsstellen, IXPs)
  • IKT-Dienstemanagement (B2B-Managed-Service-Provider, Managed-Security-Service-Provider)
  • Weltraum (Betreiber von Bodeninfrastruktur)
  • Öffentliche Verwaltung (auf Bundes- und Landesebene)

Anlage 2: Sonstige kritische Sektoren (Wichtige Einrichtungen)

Anlage 2 erfasst Sektoren, die ebenfalls reguliert sind, aber in der Regel als wichtige Einrichtungen klassifiziert werden:

  • Post- und Kurierdienste
  • Abfallbewirtschaftung
  • Chemische Industrie (Herstellung und Handel)
  • Lebensmittelproduktion, -verarbeitung und -vertrieb
  • Verarbeitendes Gewerbe / Industrie (u. a. Maschinenbau, Fahrzeugbau, Medizinprodukte)
  • Anbieter digitaler Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke)
  • Forschungseinrichtungen

Wichtiger Hinweis: Die Zuordnung zu einem Sektor allein reicht nicht aus. Entscheidend ist immer auch die Unterschreitung oder Überschreitung der Größenschwellen.

Die Größenschwellen: Ab wann gilt NIS2?

Die NIS2-Richtlinie und das NIS2UmsuCG orientieren sich an den EU-Definitionen für kleine, mittlere und große Unternehmen. Die relevanten Schwellenwerte im Überblick:

Unternehmenstyp Mitarbeitende Jahresumsatz ODER Jahresbilanzsumme
Kleinunternehmen < 50 < 10 Mio. €
Mittleres Unternehmen 50–249 10–50 Mio. €
Großunternehmen ≥ 250 ≥ 50 Mio. €

Grundregel: NIS2 gilt für Einrichtungen in den regulierten Sektoren ab der Schwelle eines mittleren Unternehmens – also mindestens 50 Mitarbeitende und/oder mindestens 10 Millionen Euro Jahresumsatz.

Großunternehmen (250+ MA oder 50 Mio. € Umsatz) in Anlage-1-Sektoren werden grundsätzlich als wesentliche Einrichtungen eingestuft. Mittlere Unternehmen in Anlage-1-Sektoren sowie Unternehmen in Anlage-2-Sektoren gelten in der Regel als wichtige Einrichtungen.

Sonderfälle: Wenn die Größe keine Rolle spielt

Es gibt wichtige Ausnahmen, bei denen auch kleine Unternehmen unter NIS2 fallen können:

  • Kritische Infrastrukturen (KRITIS): Wenn ein Unternehmen bereits nach BSIG als KRITIS-Betreiber eingestuft ist, gilt NIS2 unabhängig von der Größe.
  • Qualifizierte Vertrauensdiensteanbieter und TLD-Registrierungsstellen: Ebenfalls ohne Größenbeschränkung erfasst.
  • Alleinige Anbieter: Wenn ein Unternehmen in einem EU-Mitgliedstaat der einzige Anbieter einer wesentlichen Dienstleistung ist, entfallen die Größenschwellen.
  • Systemrelevante Einrichtungen: Auf Anordnung der zuständigen Behörde (BSI) können auch kleinere Einrichtungen als wesentlich oder wichtig eingestuft werden (§3 Abs. 4 NIS2UmsuCG).

Wesentliche vs. wichtige Einrichtungen: Was ist der Unterschied?

Die Einstufung als wesentliche Einrichtung (Essential Entity, EE) oder wichtige Einrichtung (Important Entity, IE) hat direkte Auswirkungen auf Aufsicht und Sanktionen:

Kriterium Wesentliche Einrichtung Wichtige Einrichtung
Aufsicht Proaktiv (ex-ante) durch BSI Reaktiv (ex-post), anlassbezogen
Sicherheitsanforderungen Identisch nach §30 BSIG Identisch nach §30 BSIG
Höchstbußgeld 10 Mio. € oder 2 % des weltweiten Jahresumsatzes 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes
Managerhaftung Ja, persönlich (§38 BSIG) Ja, persönlich (§38 BSIG)
Registrierungspflicht Ja, beim BSI Ja, beim BSI

Die Sicherheitspflichten selbst (nach §30 BSIG) sind für beide Kategorien nahezu identisch. Der Unterschied liegt primär in der Intensität der Aufsicht und der Bußgeldhöhe.

Selbsttest: Fällt mein Unternehmen unter NIS2?

Nutzen Sie die folgende Checkliste für eine erste Einschätzung. Dieser Selbsttest ersetzt keine rechtliche Beratung, gibt aber eine fundierte Orientierung.

Schritt 1: Sektorzugehörigkeit prüfen

  • [ ] Ist mein Unternehmen in einem der Sektoren aus Anlage 1 (Hohe Kritikalität) tätig?
  • [ ] Ist mein Unternehmen in einem der Sektoren aus Anlage 2 (Sonstige kritische Sektoren) tätig?
  • [ ] Bin ich als Managed-Service-Provider (MSP) oder Managed-Security-Service-Provider (MSSP) tätig?

➡️ Wenn keine dieser Fragen mit „Ja" beantwortet wird: NIS2 gilt in der Regel nicht direkt für Sie. Prüfen Sie dennoch, ob Sie als kritischer Dienstleister im Lieferkette Ihrer Kunden indirekt betroffen sind.

Schritt 2: Größenschwellen prüfen

  • [ ] Beschäftigt mein Unternehmen 50 oder mehr Mitarbeitende?
  • [ ] Liegt der Jahresumsatz bei 10 Millionen Euro oder mehr?
  • [ ] Liegt die Jahresbilanzsumme bei 10 Millionen Euro oder mehr?

➡️ Wenn mindestens eine dieser Fragen mit „Ja" beantwortet wird und Schritt 1 zutrifft: Sie sind wahrscheinlich betroffen.

Schritt 3: Sonderfälle prüfen

  • [ ] Bin ich bereits als KRITIS-Betreiber eingestuft?
  • [ ] Bin ich qualifizierter Vertrauensdiensteanbieter?
  • [ ] Bin ich der einzige Anbieter meiner Dienstleistung in Deutschland oder der EU?

➡️ Ein „Ja" hier bedeutet NIS2-Betroffenheit unabhängig von der Unternehmensgröße.

Konsequenzen bei Nichterfüllung: §65 BSIG und Managerhaftung

Wer die NIS2-Anforderungen ignoriert oder die Betroffenheit falsch einschätzt, muss mit erheblichen Konsequenzen rechnen.

Bußgelder nach §65 BSIG

Der §65 BSIG regelt den Bußgeldkatalog. Die Höchstbeträge sind empfindlich:

  • Wesentliche Einrichtungen: Bis zu 10 Millionen Euro oder 2 % des gesamten weltweiten Jahresumsatzes (der jeweils höhere Betrag gilt).
  • Wichtige Einrichtungen: Bis zu 7 Millionen Euro oder 1,4 % des gesamten weltweiten Jahresumsatzes.

Verstöße können u. a. bei fehlender Registrierung beim BSI, unzureichenden technischen Sicherheitsmaßnahmen oder versäumter Meldung von Sicherheitsvorfällen verhängt werden.

Persönliche Haftung der Geschäftsführung (§38 BSIG)

Besonders relevant für CEOs und Geschäftsführer: §38 BSIG sieht vor, dass Leitungsorgane persönlich für die Überwachung der Einhaltung der Cybersicherheitspflichten verantwortlich sind. Sie müssen Schulungen nachweisen und können im Haftungsfall persönlich in Anspruch genommen werden – eine Enthaftung durch Delegation an den IT-Leiter oder externe Dienstleister ist nur eingeschränkt möglich.

Reputationsschäden und Meldepflichten

Neben den direkten Bußgeldern drohen bei Sicherheitsvorfällen verpflichtende Meldungen an das BSI (innerhalb von 24 Stunden Erstmeldung, 72 Stunden Detailmeldung, 30 Tage Abschlussbericht nach §32 BSIG). Werden diese Fristen versäumt, können zusätzliche Sanktionen verhängt werden.

7 konkrete Handlungsempfehlungen für betroffene Unternehmen

Wenn die Betroffenheitsprüfung ergibt, dass Ihr Unternehmen unter NIS2 fällt, empfehlen sich folgende Schritte:

  1. Registrierung beim BSI: Wesentliche und wichtige Einrichtungen müssen sich beim Bundesamt für Sicherheit in der Informationstechnik registrieren. Nutzen Sie dafür das BSI-Portal.

  2. Gap-Analyse durchführen: Vergleichen Sie Ihren aktuellen Sicherheitsstand mit den Anforderungen des §30 BSIG. Identifizieren Sie Lücken in den Bereichen Risikoanalyse, Incident-Management, Zugriffskontrolle, Kryptografie und Lieferkettensicherheit.

  3. ISMS implementieren oder ausbauen: Ein Informationssicherheits-Managementsystem (ISMS) nach ISO/IEC 27001 bildet die ideale Grundlage. Es deckt die wesentlichen NIS2-Anforderungen strukturiert ab.

  4. Meldeprozesse etablieren: Richten Sie klare interne Prozesse für die Erkennung und Meldung von Sicherheitsvorfällen ein. Die 24-Stunden-Frist für die Erstmeldung lässt wenig Spielraum.

  5. Lieferkette überprüfen: NIS2 verpflichtet zur Absicherung der Lieferkette. Prüfen Sie Ihre kritischen Dienstleister und Zulieferer auf deren Sicherheitsniveau.

  6. Geschäftsführung schulen: Sorgen Sie für nachweisbare Schulungen der Leitungsorgane zu Cybersicherheitsrisiken – dies ist explizit von §38 BSIG gefordert.

  7. Dokumentation sicherstellen: Alle Maßnahmen, Risikoanalysen und Vorfallsmeldungen müssen nachvollziehbar dokumentiert sein. Im Prüffall ist Dokumentation Ihr wichtigster Schutz.

Fazit: Jetzt handeln – nicht abwarten

Die NIS2-Betroffenheitsprüfung ist kein bürokratischer Formalakt, sondern der erste und entscheidende Schritt zu echter Cybersicherheit und rechtlicher Compliance. Mit dem NIS2UmsuCG und dem überarbeiteten BSIG hat Deutschland klare Spielregeln gesetzt – und das BSI zeigt bei der Durchsetzung zunehmend Konsequenz.

Ihre nächsten Schritte auf einen Blick:

  • ✅ Sektorzugehörigkeit prüfen (Anlage 1 oder 2)
  • ✅ Größenschwellen validieren (50 MA / 10 Mio. € Umsatz)
  • ✅ Sonderfälle ausschließen oder einbeziehen
  • ✅ Einstufung als wesentlich oder wichtig festlegen
  • ✅ BSI-Registrierung einleiten
  • ✅ Gap-Analyse und ISMS-Aufbau starten

💡 Tipp: NIS2-Compliance effizienter managen

Die manuelle Verwaltung aller NIS2-relevanten Dokumente, Risikoanalysen, Meldeprozesse und Nachweise ist aufwändig und fehleranfällig. Spezialisierte NIS2-Compliance-Software und ISMS-Plattformen helfen Ihnen dabei, den Überblick zu behalten, gesetzliche Fristen automatisch zu tracken und Audits vorzubereiten. Tools, die bereits auf das BSIG und die NIS2-Anforderungen ausgerichtet sind, sparen nicht nur Zeit, sondern reduzieren auch das Risiko, eine kritische Pflicht zu übersehen. Prüfen Sie entsprechende Lösungen im Rahmen Ihrer Compliance-Roadmap – Ihr BSI-Prüfer wird es Ihnen danken.

Dieser Artikel wurde nach bestem Wissen auf Basis des NIS2UmsuCG und des BSIG (Stand Juli 2026) erstellt und dient der allgemeinen Information. Für rechtssichere Einschätzungen konsultieren Sie einen auf IT-Recht oder Datenschutz spezialisierten Rechtsanwalt.