NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?
Veröffentlicht am 29. Juli 2026 | Lesedauer: ca. 8 Minuten
Die NIS2-Richtlinie ist längst in deutsches Recht überführt – und trotzdem stellen sich viele Geschäftsführer und IT-Verantwortliche noch immer dieselbe Frage: Betrifft mich das überhaupt? Mit der vollständigen Umsetzung des NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes (NIS2UmsuCG) hat sich der Kreis betroffener Unternehmen in Deutschland massiv ausgeweitet. Schätzungen des BSI zufolge fallen nun über 30.000 Unternehmen unter die Regelung – ein Vielfaches der bisher rund 2.000 Betreiber kritischer Infrastrukturen.
Wenn Sie diese Zeilen lesen, haben Sie noch die Möglichkeit, Ihre NIS2-Betroffenheit strukturiert zu prüfen und rechtzeitig zu handeln. Dieser Artikel führt Sie Schritt für Schritt durch die Betroffenheitsprüfung – mit konkreten Kriterien, einem praxistauglichen Selbsttest und klaren Hinweisen auf die rechtlichen Konsequenzen bei Nichterfüllung.
Was regelt §3 NIS2UmsuCG – und warum ist er so wichtig?
Der §3 NIS2UmsuCG definiert den persönlichen Anwendungsbereich des Gesetzes. Er legt fest, welche Einrichtungen als „wesentlich" oder „wichtig" eingestuft werden und damit den umfassenden Pflichten des Gesetzes unterliegen. Die Norm knüpft dabei an zwei zentrale Kriterien an:
- Sektorzugehörigkeit – In welcher Branche ist das Unternehmen tätig?
- Unternehmensgröße – Wie viele Mitarbeitende hat das Unternehmen, und wie hoch ist der Jahresumsatz bzw. die Jahresbilanzsumme?
Entscheidend ist: Beide Kriterien müssen gemeinsam erfüllt sein, damit eine Einrichtung als reguliert gilt – mit wenigen, explizit geregelten Ausnahmen für besonders kritische Sektoren, in denen die Größe keine Rolle spielt.
Schritt 1: Sektorzugehörigkeit prüfen (Anlagen 1 und 2 NIS2UmsuCG)
Das NIS2UmsuCG unterscheidet zwei Kategorien von Sektoren, die in Anlage 1 (hochkritische Sektoren) und Anlage 2 (sonstige kritische Sektoren) aufgeführt sind.
Anlage 1 – Hochkritische Sektoren (wesentliche Einrichtungen)
Unternehmen aus diesen Bereichen unterliegen den strengsten Anforderungen und werden im Regelfall als wesentliche Einrichtungen eingestuft:
- Energie (Strom, Gas, Fernwärme, Erdöl, Wasserstoff)
- Verkehr (Luft, Bahn, Wasser, Straße)
- Bankwesen und Finanzmarktinfrastrukturen
- Gesundheitswesen (Krankenhäuser, Labore, Pharmahersteller)
- Trinkwasser und Abwasser
- Digitale Infrastruktur (DNS-Anbieter, TLD-Registries, Rechenzentrumsdienste, Cloud-Dienste)
- IKT-Dienstleistungsmanagement (B2B-Managed Services)
- Öffentliche Verwaltung (Bundes- und Landesebene)
- Weltraum
Anlage 2 – Sonstige kritische Sektoren (wichtige Einrichtungen)
Diese Branchen fallen unter die etwas weniger strengen Anforderungen für wichtige Einrichtungen, sind aber ebenfalls vollumfänglich reguliert:
- Post- und Kurierdienste
- Abfallwirtschaft
- Chemikalien
- Lebensmittel
- Verarbeitendes Gewerbe / Industrie (z. B. Maschinenbau, Fahrzeugbau, Medizinprodukte)
- Digitale Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke)
- Forschungseinrichtungen
Praxishinweis: Die Sektorzuordnung richtet sich nach der wirtschaftlichen Haupttätigkeit Ihres Unternehmens, nicht nach Nebenleistungen. Entscheidend ist der NACE-Wirtschaftszweig-Code, der in Ihrer Gewerbeanmeldung hinterlegt ist.
Schritt 2: Größenkriterien überprüfen
Sofern Sie einem der genannten Sektoren angehören, prüfen Sie anschließend die Unternehmensgröße. Das NIS2UmsuCG orientiert sich an den EU-Schwellenwerten für kleine und mittlere Unternehmen:
| Kategorie | Mitarbeitende | Jahresumsatz oder Jahresbilanzsumme |
|---|---|---|
| Kleinstunternehmen | < 10 | ≤ 2 Mio. € |
| Kleinunternehmen | 10–49 | ≤ 10 Mio. € |
| Mittleres Unternehmen | 50–249 | ≤ 50 Mio. € / ≤ 43 Mio. € |
| Großunternehmen | ≥ 250 | > 50 Mio. € / > 43 Mio. € |
Für NIS2 relevant: Unternehmen ab 50 Mitarbeitenden oder einem Jahresumsatz von mehr als 10 Millionen Euro fallen in den Anwendungsbereich – vorausgesetzt, sie gehören einem regulierten Sektor an.
Wichtige Ausnahmen: Größe spielt keine Rolle
In bestimmten Fällen greift das Gesetz unabhängig von der Unternehmensgröße:
- Einrichtungen, die als einziger Anbieter eines Dienstes in einem Mitgliedstaat fungieren
- Einrichtungen, deren Ausfall erhebliche Auswirkungen auf öffentliche Sicherheit, die nationale Sicherheit oder die öffentliche Gesundheit haben könnte
- Betreiber kritischer Anlagen gemäß KRITIS-Dachgesetz (KRITIS-DachG)
- Qualifizierte Vertrauensdiensteanbieter und TLD-Registries
Schritt 3: Wesentliche vs. wichtige Einrichtungen – der Unterschied zählt
Die Unterscheidung zwischen wesentlichen und wichtigen Einrichtungen ist nicht nur akademisch – sie hat direkte Auswirkungen auf die Aufsichtsintensität und die Bußgeldhöhen.
| Kriterium | Wesentliche Einrichtung | Wichtige Einrichtung |
|---|---|---|
| Sektorzugehörigkeit | Anlage 1 (hochkritisch) | Anlage 2 (sonstige kritisch) |
| Unternehmensgröße | ≥ 250 MA oder > 50 Mio. € Umsatz | 50–249 MA oder 10–50 Mio. € Umsatz |
| BSI-Aufsicht | Proaktiv, ex-ante | Reaktiv, ex-post |
| Max. Bußgeld (§65 BSIG) | Bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes | Bis zu 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes |
| Registrierungspflicht | Ja, beim BSI | Ja, beim BSI |
Hinweis: Auch wichtige Einrichtungen können bei gravierenden Verstößen mit erheblichen Sanktionen belegt werden. Die reaktive Aufsicht bedeutet nicht, dass das BSI nicht kontrolliert – sondern dass es anlassbezogen tätig wird.
Selbsttest: Bin ich von NIS2 betroffen?
Gehen Sie diese Checkliste systematisch durch. Wenn Sie alle drei zutreffenden Punkte bejahen können, sind Sie höchstwahrscheinlich betroffen:
☐ Schritt A – Sektorzugehörigkeit
- [ ] Mein Unternehmen ist in einem der Sektoren aus Anlage 1 oder Anlage 2 des NIS2UmsuCG tätig.
- [ ] Mein NACE-Code fällt in eine der regulierten Kategorien.
☐ Schritt B – Unternehmensgröße
- [ ] Mein Unternehmen beschäftigt 50 oder mehr Mitarbeitende, oder
- [ ] Mein Unternehmen erzielt einen Jahresumsatz von über 10 Millionen Euro.
☐ Schritt C – Ausnahmen prüfen
- [ ] Mein Unternehmen fällt nicht unter eine explizite Ausnahmeregelung (z. B. Kleinstunternehmen unter den Schwellenwerten ohne besondere kritische Funktion).
☐ Schritt D – Registrierungspflicht
- [ ] Mein Unternehmen hat sich beim BSI registriert bzw. hat die Registrierung eingeleitet.
Welche Pflichten entstehen bei Betroffenheit?
Wer unter NIS2 fällt, muss ein umfassendes Set an Maßnahmen umsetzen. Die wichtigsten Pflichten im Überblick:
Technische und organisatorische Maßnahmen (§30 NIS2UmsuCG)
- Risikoanalysen und Sicherheitskonzepte
- Incident Response und Business Continuity Management
- Lieferkettensicherheit (Supply-Chain-Security)
- Verschlüsselung und Zugangskontrolle
- Multi-Faktor-Authentifizierung
- Sicherheit bei der Beschaffung von IT-Systemen
Meldepflichten (§32 NIS2UmsuCG)
- Frühwarnung innerhalb von 24 Stunden nach Bekanntwerden eines erheblichen Vorfalls
- Vollständiger Bericht innerhalb von 72 Stunden
- Abschlussbericht innerhalb von einem Monat
Managementverantwortung (§38 NIS2UmsuCG)
Geschäftsführer und Vorstände sind persönlich verantwortlich für die Umsetzung der Cybersicherheitsmaßnahmen. Sie müssen nachweislich an Schulungen teilnehmen und können bei Verstößen persönlich haftbar gemacht werden.
Konsequenzen bei Nichterfüllung: §65 BSIG schlägt zu
Das BSI hat weitreichende Durchsetzungsbefugnisse erhalten. Bei Verstößen gegen die NIS2-Pflichten drohen gemäß §65 BSIG:
- Wesentliche Einrichtungen: Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (der höhere Betrag gilt)
- Wichtige Einrichtungen: Bußgelder bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes
- Persönliche Haftung der Geschäftsleitung bei nachgewiesenem Verschulden
- Öffentliche Bekanntmachung von Verstößen (Naming and Shaming)
- Im Extremfall: Vorübergehende Untersagung der Geschäftsführungstätigkeit
Besonders gravierend: Wer die Registrierungspflicht beim BSI nicht erfüllt oder Sicherheitsvorfälle nicht fristgerecht meldet, riskiert bereits eigenständige Sanktionen – unabhängig davon, ob ein tatsächlicher Cyberangriff stattgefunden hat.
7 konkrete Handlungsempfehlungen für betroffene Unternehmen
-
Betroffenheitsanalyse dokumentieren: Erstellen Sie ein internes Dokument, das Ihre Sektorzugehörigkeit, Mitarbeiterzahl und Umsatzdaten mit Bezug auf §3 NIS2UmsuCG festhält. Das schützt Sie im Audit.
-
Beim BSI registrieren: Nutzen Sie das BSI-Registrierungsportal. Die Registrierung ist Pflicht und bildet die Grundlage für alle weiteren Compliance-Schritte.
-
Gap-Analyse durchführen: Vergleichen Sie Ihre aktuellen Sicherheitsmaßnahmen mit den Anforderungen des §30 NIS2UmsuCG. Standardrahmen wie ISO 27001 oder der BSI IT-Grundschutz bieten hierfür eine solide Grundlage.
-
Incident-Response-Prozess aufbauen: Definieren Sie klare Verantwortlichkeiten für den Ernstfall. Die 24-Stunden-Frist für Frühwarnungen erfordert gut geölte interne Prozesse.
-
Lieferkette prüfen: Analysieren Sie Ihre wichtigsten IT-Dienstleister und Zulieferer auf Sicherheitsrisiken. NIS2 erstreckt sich explizit auf die Lieferkettensicherheit.
-
Management schulen: Organisieren Sie verpflichtende NIS2-Schulungen für Geschäftsführung und Vorstand. Die persönliche Haftung macht dies zu einer Priorität der ersten Stunde.
-
ISMS einführen oder optimieren: Ein Information Security Management System (ISMS) nach ISO 27001 ist das effektivste Instrument, um NIS2-Compliance strukturiert nachzuweisen und dauerhaft aufrechtzuerhalten.
Fazit: Jetzt handeln, bevor das BSI anklopft
Die NIS2-Betroffenheitsprüfung ist kein bürokratischer Selbstzweck – sie ist der erste und entscheidende Schritt auf dem Weg zur Cybersicherheits-Compliance. Unternehmen, die jetzt noch zögern, riskieren nicht nur empfindliche Bußgelder nach §65 BSIG, sondern auch Reputationsschäden, Betriebsunterbrechungen und persönliche Haftung der Geschäftsleitung.
Ihre nächsten Schritte auf einen Blick:
- Sektorzugehörigkeit anhand der Anlagen 1 und 2 NIS2UmsuCG prüfen
- Größenkriterien verifizieren (50+ MA oder 10+ Mio. € Umsatz)
- Einstufung als wesentliche oder wichtige Einrichtung vornehmen
- Registrierung beim BSI veranlassen
- Gap-Analyse starten und Maßnahmenplan erstellen
Ihre NIS2-Compliance effizient umsetzen
Die Betroffenheitsprüfung ist der Startschuss – aber erst der Anfang. Spezialisierte NIS2-Compliance-Software und ISMS-Plattformen helfen Ihnen dabei, alle Anforderungen strukturiert zu dokumentieren, Risikoanalysen zu automatisieren und Meldeprozesse revisionssicher abzubilden. Tools wie diese bilden die technische Grundlage, damit Sie bei einer BSI-Prüfung jederzeit nachweisen können: Wir haben unsere Hausaufgaben gemacht. Informieren Sie sich über digitale Lösungen, die speziell für die Anforderungen des NIS2UmsuCG entwickelt wurden – Ihre Compliance sollte so effizient wie möglich werden.
Quellen und weiterführende Informationen: BSI-Grundschutz-Kompendium 2025, NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), ENISA Threat Landscape 2025, §65 BSIG, Empfehlungen der ENISA zur NIS2-Implementierung.