NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 30. Juli 2026 | Lesedauer: ca. 8 Minuten

Seit dem Inkrafttreten des NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes (NIS2UmsuCG) stehen tausende deutsche Unternehmen vor einer zentralen Frage: Bin ich betroffen – und wenn ja, in welchem Umfang? Die Antwort hat weitreichende Konsequenzen: von umfangreichen Sicherheitspflichten bis hin zu Bußgeldern in Millionenhöhe. Dabei überrascht es viele Geschäftsführer und IT-Verantwortliche, wie breit der Anwendungsbereich der Richtlinie tatsächlich gefasst ist.

Dieser Artikel führt Sie Schritt für Schritt durch die NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland 2025 und hilft Ihnen, Ihre Einordnung rechtssicher vorzunehmen.

Was ist die NIS2-Richtlinie und was regelt §3 NIS2UmsuCG?

Die NIS2-Richtlinie (EU 2022/2555) ist die überarbeitete Fassung der ursprünglichen NIS-Richtlinie von 2016. Sie wurde mit dem NIS2UmsuCG in deutsches Recht überführt und erweitert den Kreis der verpflichteten Einrichtungen erheblich – von vormals rund 2.000 auf schätzungsweise 29.000 bis 40.000 Unternehmen allein in Deutschland.

§3 NIS2UmsuCG definiert den persönlichen Anwendungsbereich des Gesetzes. Er legt fest, welche Einrichtungen als „wesentlich" oder „wichtig" eingestuft werden und damit den Pflichten aus dem Gesetz unterliegen. Die Klassifizierung richtet sich nach zwei Hauptkriterien:

1. Sektorzugehörigkeit (Anlage 1 oder Anlage 2 zum NIS2UmsuCG)
2. Unternehmensgröße (Mitarbeiterzahl und Jahresumsatz bzw. Jahresbilanzsumme)

Ein häufiger Irrtum: Viele Unternehmen gehen davon aus, dass NIS2 nur für große Konzerne oder kritische Infrastrukturen gilt. Tatsächlich können auch mittelständische Betriebe mit 50 Mitarbeitern in die Pflicht genommen werden – sofern sie dem richtigen Sektor angehören.

Schritt 1: Gehört Ihr Unternehmen zu einem betroffenen Sektor?

Der erste Filter der Betroffenheitsprüfung ist die Sektorzugehörigkeit. Das NIS2UmsuCG unterscheidet zwischen zwei Anlagen:

Anlage 1: Sektoren mit hoher Kritikalität (Wesentliche Einrichtungen)

Diese Sektoren gelten als besonders systemrelevant und unterliegen den strengsten Anforderungen:

• Energie (Strom, Gas, Fernwärme, Öl, Wasserstoff)
• Verkehr (Luft, Schiene, Wasser, Straße)
• Bankwesen und Finanzmarktinfrastrukturen
• Gesundheitswesen (Krankenhäuser, Labore, Pharmahersteller)
• Trinkwasser und Abwasser
• Digitale Infrastruktur (DNS-Anbieter, TLD-Registries, Cloud-Dienste, Rechenzentren)
• IKT-Dienstemanagement (Managed Services, Managed Security Services)
• Weltraum
• Öffentliche Verwaltung (Bundes- und Landesebene)

Anlage 2: Sonstige kritische Sektoren (Wichtige Einrichtungen)

Diese Sektoren unterliegen ebenfalls Pflichten, allerdings mit etwas weniger strengen Aufsichtsmaßnahmen:

• Post- und Kurierdienste
• Abfallbewirtschaftung
• Chemische Industrie
• Lebensmittelproduktion und -verarbeitung
• Verarbeitendes Gewerbe / Herstellung (u. a. Medizinprodukte, Elektronik, Fahrzeuge, Maschinen)
• Digitale Anbieter (Online-Marktplätze, Online-Suchmaschinen, soziale Netzwerke)
• Forschungseinrichtungen

Praxishinweis: Auch Zulieferer und Dienstleister, die für Unternehmen in Anlage 1 tätig sind, können indirekt in den Anwendungsbereich fallen – insbesondere wenn sie Teil kritischer Lieferketten sind.

Schritt 2: Erfüllt Ihr Unternehmen die Größenkriterien?

Neben der Sektorzugehörigkeit ist die Unternehmensgröße entscheidend. Das NIS2UmsuCG orientiert sich an der EU-Definition für kleine, mittlere und große Unternehmen:

Größenschwellen im Überblick

Für Anlage 1 (Wesentliche Einrichtungen) gilt: Unternehmen ab 250 Mitarbeitern oder einem Jahresumsatz von über 50 Millionen Euro werden automatisch als wesentliche Einrichtungen eingestuft – sofern sie dem entsprechenden Sektor angehören.

Für Anlage 2 (Wichtige Einrichtungen) gilt: Bereits Unternehmen ab 50 Mitarbeitern oder einem Jahresumsatz von über 10 Millionen Euro können als wichtige Einrichtungen eingestuft werden.

Ausnahmen von der Größenschwelle

Es gibt wichtige Ausnahmen, bei denen die Größenschwellen nicht gelten und Unternehmen unabhängig von ihrer Größe betroffen sein können:

• Betreiber kritischer Anlagen gemäß KRITIS-Dachgesetz
• Anbieter öffentlicher elektronischer Kommunikationsnetze
• Vertrauensdiensteanbieter
• Top-Level-Domain-Registries und DNS-Dienstleister
• Einrichtungen, die als einziger Anbieter in einem Mitgliedstaat einen wesentlichen Dienst erbringen

Schritt 3: Wesentliche vs. wichtige Einrichtungen – Was ist der Unterschied?

Die Unterscheidung zwischen wesentlichen und wichtigen Einrichtungen ist nicht nur akademisch – sie hat direkte Auswirkungen auf die Intensität der Aufsicht und die Höhe möglicher Bußgelder.

Wesentliche Einrichtungen (Essential Entities)

• Unterliegen einer proaktiven Aufsicht durch das BSI
• Das BSI kann anlasslos Überprüfungen und Audits durchführen
• Strengere Meldepflichten und kürzere Fristen
• Höhere Bußgeldrahmen

Wichtige Einrichtungen (Important Entities)

• Unterliegen einer reaktiven Aufsicht (Überprüfung nur bei konkretem Anlass)
• Gleiche technische und organisatorische Sicherheitspflichten, aber weniger intensive Überwachung
• Geringere, aber immer noch erhebliche Bußgeldrahmen

Selbsttest: Ist Ihr Unternehmen NIS2-pflichtig?

Beantworten Sie die folgenden Fragen ehrlich. Wenn Sie mehrere „Ja"-Antworten erhalten, sollten Sie dringend eine formale Betroffenheitsprüfung durchführen:

Checkliste zur schnellen Einschätzung:

• [ ] Ist mein Unternehmen in einem der Sektoren aus Anlage 1 oder Anlage 2 tätig?
• [ ] Beschäftigt mein Unternehmen 50 oder mehr Mitarbeiter?
• [ ] Übersteigt der Jahresumsatz oder die Jahresbilanzsumme 10 Millionen Euro?
• [ ] Ist mein Unternehmen Teil der Lieferkette eines wesentlichen oder wichtigen Betreibers?
• [ ] Erbringt mein Unternehmen digitale Infrastrukturleistungen (Hosting, Cloud, Managed Services)?
• [ ] Ist mein Unternehmen als einziger Anbieter eines kritischen Dienstes in Deutschland tätig?
• [ ] Hat mein Unternehmen Tochtergesellschaften oder Niederlassungen in EU-Mitgliedstaaten?

Wichtig: Eine informelle Selbsteinschätzung ersetzt keine rechtssichere Betroffenheitsanalyse. Insbesondere bei komplexen Konzernstrukturen oder Mischbetrieben empfiehlt sich die Einbindung eines Fachanwalts oder Cybersicherheitsberaters.

Was passiert, wenn Sie die NIS2-Pflichten ignorieren?

Viele Unternehmen unterschätzen die Konsequenzen einer Nichterfüllung. Das NIS2UmsuCG und das BSIG sehen empfindliche Sanktionen vor:

Bußgeldrahmen gemäß §65 BSIG (n.F.)

Hinzu kommen:

• Persönliche Haftung der Geschäftsführung (§38 NIS2UmsuCG verpflichtet Leitungsorgane zur aktiven Beteiligung an Cybersicherheitsmaßnahmen)
• Öffentliche Bekanntmachung von Verstößen durch das BSI
• Anordnungen zur Behebung von Sicherheitsmängeln mit sofortiger Wirkung
• Im Extremfall: Vorübergehende Untersagung der Tätigkeit für Führungspersonen

Die Botschaft ist klar: NIS2-Compliance ist keine optionale Empfehlung, sondern eine rechtliche Verpflichtung mit ernsthaften Konsequenzen.

Konkrete Handlungsempfehlungen für betroffene Unternehmen

Wenn Ihre Betroffenheitsprüfung ergibt, dass Sie unter NIS2 fallen, sollten Sie folgende Schritte unverzüglich einleiten:

1. Registrierung beim BSI: Betroffene Einrichtungen müssen sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren. Die Registrierungspflicht ergibt sich aus §33 NIS2UmsuCG.

2. Risikoanalyse und ISMS-Aufbau: Implementieren Sie ein Informationssicherheits-Managementsystem (ISMS) auf Basis von ISO 27001 oder BSI IT-Grundschutz. Eine strukturierte Risikoanalyse ist die Basis aller weiteren Maßnahmen.

3. Technische Sicherheitsmaßnahmen umsetzen: §30 NIS2UmsuCG definiert einen Mindestkatalog an Maßnahmen, darunter Multi-Faktor-Authentifizierung, Verschlüsselung, Incident-Response-Prozesse und regelmäßige Sicherheitsaudits.

4. Meldeprozesse etablieren: Sicherheitsvorfälle mit erheblichen Auswirkungen müssen innerhalb von 24 Stunden (Frühwarnung) und 72 Stunden (detaillierter Bericht) an das BSI gemeldet werden.

5. Lieferkettensicherheit prüfen: Gemäß §30 Abs. 2 Nr. 4 NIS2UmsuCG müssen auch die Sicherheitsmaßnahmen von Lieferanten und Dienstleistern bewertet werden.

6. Schulungen für Mitarbeiter und Führungskräfte: Das Leitungsorgan muss gemäß §38 NIS2UmsuCG Cybersicherheitsschulungen absolvieren und die Umsetzung von Sicherheitsmaßnahmen aktiv überwachen.

7. Dokumentation sicherstellen: Alle Sicherheitsmaßnahmen, Risikoanalysen und Vorfallsmeldungen müssen nachvollziehbar dokumentiert sein – sowohl für interne Zwecke als auch für behördliche Prüfungen.

8. Externe Unterstützung einholen: Falls interne Ressourcen fehlen, ziehen Sie zertifizierte IT-Sicherheitsdienstleister oder Managed Security Service Provider (MSSP) hinzu, die auf NIS2-Compliance spezialisiert sind.

Häufige Missverständnisse bei der NIS2-Betroffenheitsprüfung

„Wir sind zu klein für NIS2" – Falsch. Mit 50 Mitarbeitern und einem Umsatz über 10 Millionen Euro in einem Sektor aus Anlage 2 sind Sie potenziell betroffen.

„Wir haben noch keine Behördenpost bekommen" – Keine Reaktion bedeutet keine Freistellung. Die Pflicht zur Registrierung und Compliance besteht unabhängig von einer behördlichen Aufforderung.

„ISO 27001-Zertifizierung reicht aus" – Eine ISO 27001-Zertifizierung ist hilfreich und wird anerkannt, ersetzt aber nicht vollständig die spezifischen NIS2-Anforderungen, insbesondere die Meldepflichten und die Lieferkettensicherheit.

„NIS2 gilt nur für IT-Unternehmen" – Nein. Lebensmittelhersteller, Logistikunternehmen, Pharmaproduzenten und Maschinenbauer können ebenso betroffen sein.

Fazit: Jetzt handeln, bevor es zu spät ist

Die NIS2-Betroffenheitsprüfung ist der erste und wichtigste Schritt auf dem Weg zur Compliance. Wer diesen Schritt nicht geht, riskiert nicht nur empfindliche Bußgelder nach §65 BSIG, sondern auch Reputationsschäden und persönliche Haftungsrisiken für die Geschäftsführung.

Ihre nächsten Schritte zusammengefasst:

1. Prüfen Sie anhand von Anlage 1 und 2 des NIS2UmsuCG, ob Ihr Sektor erfasst ist
2. Vergleichen Sie Ihre Mitarbeiterzahl und Ihren Jahresumsatz mit den Schwellenwerten
3. Klären Sie, ob Ausnahmetatbestände für Sie gelten
4. Registrieren Sie sich beim BSI, falls Sie betroffen sind
5. Starten Sie unverzüglich mit dem Aufbau eines ISMS

Die Zeit drängt: Das BSI verstärkt seine Aufsichtstätigkeit, und die ersten Bußgeldverfahren gegen säumige Unternehmen laufen bereits. Eine frühzeitige und strukturierte Umsetzung ist deutlich weniger aufwändig als eine Compliance-Aufholjagd unter Druck.

Nächster Schritt: NIS2-Compliance effizient umsetzen

Die Betroffenheitsprüfung ist nur der Anfang. Wer anschließend schnell handlungsfähig sein will, profitiert von spezialisierten NIS2-Compliance-Softwarelösungen, die den gesamten Prozess strukturieren: von der automatisierten Risikoanalyse über die Verwaltung von ISMS-Dokumenten bis hin zur fristgerechten Vorfallsmeldung. Solche Tools helfen IT-Verantwortlichen und Compliance-Teams, den Überblick über alle Maßnahmen zu behalten, Nachweise für Behördenprüfungen zu generieren und die geforderte Dokumentationspflicht effizient zu erfüllen – ohne dass wertvolle Ressourcen in manuellen Prozessen versickern. Eine Investition, die sich angesichts der möglichen Bußgeldrisiken schnell rechnet.

Quellen und weiterführende Informationen: BSI (bsi.bund.de), NIS2UmsuCG (Bundesgesetzblatt), ENISA NIS2-Leitfaden, DSGVO Art. 32 (Sicherheit der Verarbeitung im Kontext NIS2)