NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 31. Juli 2026 | Lesedauer: ca. 8 Minuten

Die NIS2-Richtlinie der Europäischen Union ist längst kein Zukunftsthema mehr – sie ist geltendes Recht. Mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) hat Deutschland die europäischen Vorgaben in nationales Recht überführt. Doch viele Unternehmen stehen noch immer vor der entscheidenden Frage: Bin ich überhaupt betroffen? Wer diese Frage falsch beantwortet – oder gar nicht stellt –, riskiert empfindliche Bußgelder und erhebliche Reputationsschäden.

Dieser Artikel liefert Ihnen eine strukturierte NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland 2025/2026: von den relevanten Sektoren über die Größenkriterien bis hin zu den Konsequenzen bei Nichterfüllung.

Was ist die NIS2-Richtlinie – und warum betrifft sie mehr Unternehmen als gedacht?

Die NIS2-Richtlinie (EU 2022/2555) ist die überarbeitete Fassung der ursprünglichen NIS-Richtlinie aus dem Jahr 2016. Sie erweitert den Anwendungsbereich erheblich: Laut BSI schätzt die Behörde, dass in Deutschland rund 30.000 Unternehmen unter die neuen Regelungen fallen – deutlich mehr als unter dem Vorgängergesetz (BSIG a.F.).

Die zentrale Norm im deutschen Recht ist §3 NIS2UmsuCG, der definiert, welche Einrichtungen als „wesentlich" oder „wichtig" eingestuft werden. Diese Einstufung hat unmittelbare Auswirkungen auf Ihre Pflichten – und auf die Höhe möglicher Sanktionen.

Schritt 1: Gehört Ihr Sektor zum Anwendungsbereich?

Der erste Filter bei der Betroffenheitsprüfung ist die Sektorzugehörigkeit. Das NIS2UmsuCG unterscheidet zwei Kategorien von Sektoren, die in den Anlagen zum Gesetz aufgeführt sind.

Anlage 1: Sektoren mit hoher Kritikalität (wesentliche Einrichtungen)

Diese Sektoren gelten als besonders kritisch für das gesellschaftliche und wirtschaftliche Funktionieren:

• Energie (Strom, Gas, Öl, Wasserstoff, Fernwärme)
• Verkehr (Luft, Schiene, Wasser, Straße)
• Bankwesen und Finanzmarktinfrastrukturen
• Gesundheitswesen (Krankenhäuser, Labore, Pharmaproduktion)
• Trinkwasser und Abwasser
• Digitale Infrastruktur (DNS-Anbieter, TLD-Registries, Rechenzentrumsbetreiber, CDN-Anbieter)
• Verwaltung von IKT-Diensten (B2B-Managed Services)
• Öffentliche Verwaltung (auf Bundes- und Landesebene)
• Weltraum (Betreiber von Bodeninfrastrukturen)

Anlage 2: Sonstige kritische Sektoren (wichtige Einrichtungen)

Diese Sektoren sind ebenfalls reguliert, unterliegen jedoch einem etwas abgeschwächten Aufsichtsregime:

• Post- und Kurierdienste
• Abfallbewirtschaftung
• Chemie (Herstellung, Produktion, Handel)
• Lebensmittel (Produktion, Verarbeitung, Großhandel)
• Verarbeitendes Gewerbe / Herstellung (Medizinprodukte, Maschinen, Fahrzeuge, Elektronik u.v.m.)
• Digitale Dienste (Online-Marktplätze, Online-Suchmaschinen, soziale Netzwerke)
• Forschungseinrichtungen

Praxishinweis: Wenn Sie sich nicht sicher sind, ob Ihr Geschäftsfeld einem dieser Sektoren zuzuordnen ist, hilft die NACE-Klassifikation Ihres Unternehmens als erster Orientierungspunkt. Das BSI stellt auf seiner Website zudem eine Orientierungshilfe bereit.

Schritt 2: Erfüllen Sie die Größenkriterien?

Sektorzugehörigkeit allein reicht nicht aus. Zusätzlich müssen die Größenschwellen überschritten werden. Grundsätzlich gilt gemäß der EU-Empfehlung 2003/361/EG, auf die das NIS2UmsuCG Bezug nimmt:

Unternehmen mit weniger als 50 Mitarbeitenden und einem Jahresumsatz unter 10 Millionen Euro fallen in der Regel nicht unter die NIS2-Pflichten – es sei denn, sie erbringen bestimmte Dienste (z. B. als einziger Anbieter in einem Mitgliedstaat) oder werden durch die zuständige Behörde explizit einbezogen.

Achtung: Ausnahmen von der Größenschwelle

Es gibt wichtige Ausnahmen, bei denen die Größe keine Rolle spielt:

• DNS-Diensteanbieter, TLD-Registries und qualifizierte Vertrauensdiensteanbieter fallen unabhängig von ihrer Größe unter die Richtlinie
• Kritische Infrastrukturen (KRITIS) nach BSIG §28 werden gesondert behandelt
• Unternehmen, die als einziger Anbieter eines kritischen Dienstes in Deutschland agieren
• Einrichtungen, deren Ausfall erhebliche Auswirkungen auf die öffentliche Sicherheit oder Ordnung hätte

Schritt 3: Wesentliche vs. wichtige Einrichtung – was ist der Unterschied?

Die Einstufung Ihres Unternehmens bestimmt maßgeblich, welche Pflichten und welche Aufsichtsintensität Sie erwarten.

Wesentliche Einrichtungen (§3 Abs. 1 NIS2UmsuCG)

• Großunternehmen aus Anlage-1-Sektoren
• Mittlere Unternehmen in bestimmten Bereichen (z. B. qualifizierte Vertrauensdiensteanbieter, DNS-Anbieter)
• Unterliegen proaktiver Beaufsichtigung durch das BSI (Vor-Ort-Kontrollen, regelmäßige Audits)
• Maximales Bußgeld: 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes

Wichtige Einrichtungen (§3 Abs. 2 NIS2UmsuCG)

• Mittlere und große Unternehmen aus Anlage-1- und Anlage-2-Sektoren, die nicht als wesentlich eingestuft sind
• Unterliegen reaktiver Beaufsichtigung (Behörden werden i. d. R. erst bei Vorfällen tätig)
• Maximales Bußgeld: 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes

Selbsttest: Bin ich von NIS2 betroffen?

Nutzen Sie die folgende Checkliste als erste Orientierung. Wenn Sie alle drei Fragen mit „Ja" beantworten, ist eine vertiefte Prüfung dringend erforderlich.

Schnell-Checkliste NIS2-Betroffenheit

• [ ] Sektor: Mein Unternehmen ist in einem der in Anlage 1 oder Anlage 2 des NIS2UmsuCG genannten Sektoren tätig.
• [ ] Größe: Mein Unternehmen beschäftigt mindestens 50 Mitarbeitende oder erzielt einen Jahresumsatz bzw. eine Jahresbilanzsumme von mindestens 10 Millionen Euro.
• [ ] Registrierung: Mein Unternehmen ist in Deutschland ansässig oder erbringt Dienste für Empfänger in Deutschland (auch bei Hauptsitz in einem anderen EU-Mitgliedstaat relevant).

Sonderfall:
- [ ] Mein Unternehmen ist DNS-Anbieter, TLD-Registry oder qualifizierter Vertrauensdiensteanbieter (dann gilt: betroffen, unabhängig von der Größe).

Empfehlung: Dieser Selbsttest ersetzt keine rechtliche oder fachkundige Beratung. Für eine rechtssichere Einschätzung sollten Sie einen auf Cybersicherheitsrecht spezialisierten Anwalt oder einen akkreditierten Berater hinzuziehen.

Was passiert, wenn Sie die NIS2-Pflichten ignorieren?

Viele Unternehmen unterschätzen die Konsequenzen einer Nichterfüllung. Das NIS2UmsuCG sieht ein abgestuftes Sanktionssystem vor.

Bußgelder nach §65 BSIG

Der neue §65 BSIG (in der durch das NIS2UmsuCG geänderten Fassung) regelt die Bußgeldtatbestände detailliert. Verstöße können geahndet werden für:

• Nichterfüllung von Risikomanagement-Maßnahmen (§30 BSIG)
• Unterlassung oder verspätete Meldung von Sicherheitsvorfällen (§32 BSIG)
• Fehlende Registrierung beim BSI (§33 BSIG)
• Mängel bei der Lieferkettensicherheit (§30 Abs. 2 Nr. 4 BSIG)

Persönliche Haftung der Geschäftsleitung

Besonders beachtenswert: Das NIS2UmsuCG verankert die persönliche Verantwortung der Geschäftsführung. Leitungsorgane wesentlicher Einrichtungen müssen Maßnahmen des Risikomanagements billigen und deren Umsetzung überwachen. Bei Pflichtverletzungen können sie persönlich haftbar gemacht werden – auch mit ihrem Privatvermögen.

Weitere Konsequenzen

• Anordnung von Sofortmaßnahmen durch das BSI (§ 62 BSIG)
• Entzug von Zertifizierungen und Zulassungen
• Öffentliche Bekanntmachung von Verstößen (Naming & Shaming)
• Reputationsschäden gegenüber Kunden, Partnern und Investoren

Konkrete Handlungsempfehlungen: So gehen Sie jetzt vor

Wenn Ihre Betroffenheitsprüfung ergibt, dass Sie unter NIS2 fallen, sollten Sie strukturiert vorgehen. Die folgenden Schritte helfen Ihnen, compliant zu werden:

1. Betroffenheit offiziell feststellen und dokumentieren: Führen Sie eine formale Betroffenheitsanalyse durch und dokumentieren Sie Ihr Ergebnis nachvollziehbar. Nutzen Sie dabei §3 NIS2UmsuCG als rechtliche Grundlage.

2. Beim BSI registrieren: Wesentliche und wichtige Einrichtungen sind zur Registrierung beim Bundesamt für Sicherheit in der Informationstechnik verpflichtet (§33 BSIG). Nutzen Sie das BSI-Meldeportal.

3. Gap-Analyse durchführen: Vergleichen Sie Ihren aktuellen Cybersicherheitsstand mit den Anforderungen aus §30 BSIG (Risikomanagement). Identifizieren Sie Lücken in den Bereichen Incident Response, Lieferkettensicherheit, Kryptografie, Zugangskontrollen und Business Continuity.

4. Informationssicherheits-Managementsystem (ISMS) aufbauen oder anpassen: Ein ISMS nach ISO/IEC 27001 ist zwar nicht zwingend vorgeschrieben, gilt aber als Best Practice und erleichtert den NIS2-Nachweis erheblich.

5. Meldeprozesse etablieren: Sicherheitsvorfälle müssen innerhalb von 24 Stunden (Erstmeldung) und 72 Stunden (Folgemeldung) dem BSI gemeldet werden (§32 BSIG). Stellen Sie sicher, dass diese Prozesse technisch und organisatorisch vorbereitet sind.

6. Lieferkettensicherheit prüfen: Führen Sie ein Drittanbieter-Risikoassessment durch. NIS2 verpflichtet Sie, auch die Cybersicherheit Ihrer Dienstleister und Zulieferer zu berücksichtigen.

7. Schulungen und Awareness: Sensibilisieren Sie Ihre Mitarbeitenden und – besonders wichtig – die Geschäftsführung für NIS2-Anforderungen. Das Leitungsorgan muss Schulungen absolvieren (§38 Abs. 3 BSIG).

8. Rechtliche und fachliche Beratung einholen: Bei Unklarheiten zur Einstufung oder zu einzelnen Anforderungen empfiehlt sich die Hinzuziehung von auf Cybersicherheitsrecht spezialisierten Anwälten sowie zertifizierten ISMS-Beratern.

Fazit und nächste Schritte

Die NIS2-Betroffenheitsprüfung ist der unverzichtbare erste Schritt auf dem Weg zur Compliance. Viele Unternehmen in Deutschland sind betroffen, ohne es zu wissen – oft weil die erweiterten Sektoren oder die Ausnahmeregelungen bei Größenschwellen nicht bekannt sind.

Zusammenfassung der nächsten Schritte:

• ✅ Sektor anhand Anlage 1 und Anlage 2 des NIS2UmsuCG prüfen
• ✅ Mitarbeiterzahl und Umsatz/Bilanzsumme verifizieren
• ✅ Einstufung als wesentliche oder wichtige Einrichtung klären
• ✅ BSI-Registrierung vornehmen
• ✅ Gap-Analyse und Maßnahmenplanung starten
• ✅ Meldeprozesse und Incident-Response-Pläne etablieren

Die Zeit drängt: Das BSI intensiviert seine Aufsichtstätigkeit, und die ersten Bußgeldverfahren zeigen, dass die Behörden es ernst meinen. Wer jetzt handelt, vermeidet nicht nur Sanktionen, sondern stärkt auch nachhaltig seine Cybersicherheitsstrategie.

Werkzeuge für Ihre NIS2-Compliance

Um die Betroffenheitsprüfung, das Risikomanagement und die Dokumentation Ihrer NIS2-Maßnahmen effizient zu gestalten, empfehlen sich spezialisierte NIS2-Compliance-Software-Lösungen und ISMS-Plattformen. Diese Tools unterstützen Sie dabei, Ihre Betroffenheit strukturiert zu dokumentieren, Risiken zu bewerten, Maßnahmenpläne zu verwalten und Meldepflichten fristgerecht zu erfüllen. Viele Anbieter stellen zudem vorgefertigte NIS2-Richtlinienvorlagen und Audit-Templates bereit, die den Einstieg erheblich erleichtern. Eine solche Plattform ist insbesondere dann wertvoll, wenn Sie mehrere Standorte, Tochtergesellschaften oder eine komplexe Lieferkette managen müssen – und den Überblick über Ihren Compliance-Status jederzeit nachweisen möchten.

Dieser Artikel dient der allgemeinen Information und ersetzt keine rechtliche Beratung. Für eine rechtssichere Beurteilung Ihrer individuellen NIS2-Betroffenheit wenden Sie sich an einen qualifizierten Rechtsanwalt oder Informationssicherheitsberater.

Quellen: BSI (Bundesamt für Sicherheit in der Informationstechnik), NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), BSIG in der aktuellen Fassung, EU-Richtlinie 2022/2555 (NIS2), ENISA Threat Landscape 2025