NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 01. August 2026 | Lesedauer: ca. 8 Minuten

Die NIS2-Richtlinie ist seit ihrer Umsetzung in deutsches Recht durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) für tausende Unternehmen in Deutschland verbindlich. Dennoch stellen sich viele IT-Verantwortliche und Geschäftsführer noch immer dieselbe grundlegende Frage: Bin ich überhaupt betroffen?

Die Antwort darauf ist keine Kleinigkeit. Wer fälschlicherweise davon ausgeht, nicht unter die Richtlinie zu fallen, riskiert empfindliche Bußgelder gemäß § 65 BSIG und haftet im Schadensfall persönlich. Dieser Artikel führt Sie systematisch durch die NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland – mit konkreten Kriterien, einer übersichtlichen Checkliste und einem Selbsttest.

Was regelt §3 NIS2UmsuCG und warum ist er entscheidend?

Der § 3 NIS2UmsuCG definiert den Anwendungsbereich des Gesetzes und legt fest, welche Einrichtungen als „wesentlich" oder „wichtig" eingestuft werden. Er ist die zentrale Norm für die Betroffenheitsprüfung und verweist auf die maßgeblichen Anlagen (Anlage 1 und Anlage 2 des Gesetzes), in denen die betroffenen Sektoren und Teilsektoren aufgelistet sind.

Vereinfacht gesagt greift NIS2, wenn zwei Bedingungen gleichzeitig erfüllt sind:

1. Das Unternehmen ist in einem der definierten Sektoren tätig.
2. Das Unternehmen überschreitet bestimmte Größenschwellen (Mitarbeiterzahl und/oder Umsatz/Bilanzsumme).

Hinzu kommen gesetzlich definierte Ausnahmen und Sonderregelungen, auf die weiter unten eingegangen wird.

Die zwei entscheidenden Dimensionen der Betroffenheit

1. Größenkriterien: Ab wann gilt NIS2?

Die EU-Kommission und der deutsche Gesetzgeber orientieren sich an der KMU-Definition der Europäischen Kommission. Für NIS2 gelten folgende Schwellenwerte:

Wichtig: Unternehmen mit weniger als 50 Mitarbeitern und unter 10 Millionen Euro Jahresumsatz sind grundsätzlich nicht von NIS2 betroffen – es sei denn, sie erbringen kritische Infrastrukturleistungen oder fallen unter eine der gesetzlichen Ausnahmen (z. B. Vertrauensdienste, öffentliche Telekommunikation, kritische Einzelfallentscheidung des BSI).

2. Sektorzugehörigkeit: Anlage 1 und Anlage 2 im Überblick

Nicht jede Branche ist gleichermaßen betroffen. Das NIS2UmsuCG unterscheidet zwischen hochkritischen Sektoren (Anlage 1) und sonstigen kritischen Sektoren (Anlage 2).

Anlage 1 – Hochkritische Sektoren (wesentliche Einrichtungen)

• Energie (Strom, Gas, Öl, Wasserstoff, Fernwärme)
• Verkehr (Luft, Schiene, Wasser, Straße)
• Bankwesen und Finanzmarktinfrastruktur
• Gesundheitswesen (Krankenhäuser, Labore, Pharma)
• Trinkwasser und Abwasser
• Digitale Infrastruktur (Internet-Knoten, DNS, Cloud-Anbieter, Rechenzentren)
• IKT-Dienstleistungsmanagement (B2B)
• Weltraum
• Öffentliche Verwaltung (Bundes- und Landesebene)

Anlage 2 – Sonstige kritische Sektoren (wichtige Einrichtungen)

• Post- und Kurierdienste
• Abfallbewirtschaftung
• Chemische Industrie (Herstellung und Handel)
• Lebensmittelproduktion und -verarbeitung
• Verarbeitendes Gewerbe / Maschinenbau (kritische Produkte, Medizingeräte, Kfz)
• Digitale Anbieter (Suchmaschinen, Online-Marktplätze, soziale Netzwerke)
• Forschungseinrichtungen

Praxishinweis: Viele mittelständische Produktionsunternehmen im Maschinenbau oder in der Chemie sind über Anlage 2 betroffen – auch wenn sie sich selbst nicht als „kritische Infrastruktur" verstehen.

Wesentliche vs. wichtige Einrichtungen: Der entscheidende Unterschied

Die Einstufung als wesentliche Einrichtung (Anlage 1, große Unternehmen) oder wichtige Einrichtung (Anlage 2 oder mittlere Unternehmen aus Anlage 1) hat direkte Auswirkungen auf Aufsicht, Pflichten und Sanktionen.

Selbsttest: Ist Ihr Unternehmen von NIS2 betroffen?

Arbeiten Sie die folgenden Fragen der Reihe nach ab. Wenn Sie eine Frage mit Nein beantworten, ist Ihr Unternehmen wahrscheinlich nicht betroffen (Ausnahmen vorbehalten).

Checkliste zur NIS2-Betroffenheitsprüfung

• [ ] Schritt 1 – Mitarbeiterzahl: Beschäftigt Ihr Unternehmen 50 oder mehr Mitarbeiter (Vollzeitäquivalente)?
• [ ] Schritt 2 – Umsatz/Bilanzsumme: Erzielt Ihr Unternehmen mindestens 10 Millionen Euro Jahresumsatz oder hat eine Bilanzsumme von mindestens 10 Millionen Euro?
• [ ] Schritt 3 – Sektorzugehörigkeit Anlage 1: Ist Ihr Unternehmen in einem der hochkritischen Sektoren der Anlage 1 tätig (Energie, Verkehr, Gesundheit, digitale Infrastruktur etc.)?
• [ ] Schritt 4 – Sektorzugehörigkeit Anlage 2: Falls Schritt 3 verneint: Ist Ihr Unternehmen in einem der Sektoren der Anlage 2 tätig (Lebensmittel, Chemie, Maschinenbau, Post, digitale Dienste etc.)?
• [ ] Schritt 5 – Sonderregelungen: Erbringt Ihr Unternehmen Vertrauensdienste, öffentliche Telekommunikation oder wurde es vom BSI als kritisch eingestuft – unabhängig von der Größe?
• [ ] Schritt 6 – Konzernsachverhalte: Werden Größenschwellen durch verbundene Unternehmen (Konzernstruktur, Muttergesellschaft) überschritten?

Ergebnis: Haben Sie die Schritte 1 und 2 sowie mindestens Schritt 3 oder 4 mit Ja beantwortet, fällt Ihr Unternehmen höchstwahrscheinlich unter NIS2. Wir empfehlen dringend eine rechtssichere Prüfung durch einen NIS2-Experten oder Rechtsanwalt.

Registrierungspflicht nicht vergessen!

Betroffene Einrichtungen sind verpflichtet, sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) zu registrieren. Diese Pflicht ergibt sich aus § 33 BSIG. Das BSI hat dafür ein Online-Meldeportal eingerichtet. Die Registrierung umfasst unter anderem:

• Name und Anschrift der Einrichtung
• Zugehöriger Sektor und Teilsektor (Anlage 1 oder 2)
• Kontaktdaten für die Cybersicherheitskommunikation
• IP-Adressbereiche und Domänen (für digitale Dienste)

Wer die Registrierungspflicht versäumt, riskiert bereits damit ein Bußgeldverfahren.

Konsequenzen bei Nichterfüllung: §65 BSIG ist keine leere Drohung

Der § 65 BSIG regelt die Sanktionen bei Verstößen gegen die NIS2-Pflichten. Die Bußgeldrahmen sind erheblich – und in der Praxis werden sie durch das BSI aktiv durchgesetzt:

• Wesentliche Einrichtungen: Bis zu 10.000.000 Euro oder 2 % des weltweiten Jahresumsatzes (der höhere Wert gilt)
• Wichtige Einrichtungen: Bis zu 7.000.000 Euro oder 1,4 % des weltweiten Jahresumsatzes
• Geschäftsführerpersönliche Haftung nach § 38 BSIG: Führungskräfte können bei grobem Verschulden persönlich für Schäden haftbar gemacht werden

Darüber hinaus kann das BSI nach § 61 BSIG Anordnungen treffen, den Betrieb einschränken lassen oder in schwerwiegenden Fällen die Abberufung von Führungspersonen fordern.

7 konkrete Handlungsempfehlungen für betroffene Unternehmen

Wenn Ihre Betroffenheitsprüfung positiv ausgefallen ist, sollten Sie unverzüglich handeln. Die folgenden Schritte helfen Ihnen, die NIS2-Anforderungen strukturiert umzusetzen:

1. Betroffenheit rechtssicher dokumentieren: Halten Sie die Ergebnisse Ihrer Betroffenheitsprüfung schriftlich fest – inklusive der herangezogenen Kriterien (Sektor, Mitarbeiterzahl, Umsatz). Dies schützt Sie im Falle einer BSI-Prüfung.

2. Beim BSI registrieren: Nutzen Sie das BSI-Meldeportal (MELDUNG.bund.de) und registrieren Sie Ihr Unternehmen gemäß § 33 BSIG. Benennen Sie einen zentralen Ansprechpartner für Cybersicherheit.

3. Risikoanalyse durchführen: Erstellen Sie eine strukturierte Risikoanalyse Ihrer IT- und OT-Systeme gemäß § 30 BSIG. Das BSI-Grundschutz-Kompendium und ISO/IEC 27005 bieten hierfür bewährte Methodiken.

4. Technische und organisatorische Maßnahmen (TOM) implementieren: Dazu zählen u. a. Multi-Faktor-Authentifizierung, Verschlüsselung, Patch-Management, Netzwerksegmentierung und Incident-Response-Prozesse (§ 30 Abs. 2 BSIG).

5. Lieferkettensicherheit prüfen: NIS2 verpflichtet auch zur Sicherheitsbewertung von Zulieferern und Dienstleistern. Erstellen Sie ein Lieferantenregister und führen Sie Sicherheitsbewertungen durch (§ 30 Abs. 2 Nr. 4 BSIG).

6. Meldeprozesse für Sicherheitsvorfälle etablieren: Signifikante Sicherheitsvorfälle müssen innerhalb von 24 Stunden (Erstmeldung) und 72 Stunden (Folgemeldung) an das BSI gemeldet werden (§ 32 BSIG). Stellen Sie sicher, dass interne Prozesse und Verantwortlichkeiten klar definiert sind.

7. Schulungen und Awareness-Programme starten: Geschäftsführer und Führungskräfte sind nach § 38 BSIG verpflichtet, an Schulungen zur Cybersicherheit teilzunehmen. Regelmäßige Mitarbeiterschulungen reduzieren das Risiko durch Social Engineering und Phishing erheblich.

Fazit: Betroffenheit prüfen – jetzt und nicht morgen

Die NIS2-Betroffenheitsprüfung ist kein einmaliger Verwaltungsakt, sondern ein laufender Prozess: Wächst Ihr Unternehmen, verändert sich Ihr Geschäftsmodell oder werden neue Dienstleistungen angeboten, kann sich die Betroffenheit jederzeit ändern. Wer heute unter den Schwellenwerten liegt, kann morgen bereits meldepflichtig sein.

Ihre nächsten Schritte im Überblick:

1. Führen Sie noch heute die Betroffenheitsprüfung anhand der oben genannten Checkliste durch.
2. Dokumentieren Sie das Ergebnis und lassen Sie es rechtlich absichern.
3. Registrieren Sie sich beim BSI, sofern eine Betroffenheit festgestellt wurde.
4. Starten Sie mit der Risikoanalyse und der Implementierung technischer Schutzmaßnahmen.
5. Planen Sie Schulungsmaßnahmen für Führungskräfte und Belegschaft ein.

Die gute Nachricht: Wer strukturiert vorgeht, kann NIS2-Compliance nicht nur als Pflicht, sondern als echten Mehrwert für die Cyber-Resilienz des Unternehmens nutzen.

Ihr nächster Schritt: NIS2-Compliance digital verwalten

Die Umsetzung der NIS2-Anforderungen erzeugt erheblichen Dokumentations- und Nachweisaufwand – von der Risikoanalyse über die Maßnahmenverfolgung bis hin zur Meldedokumentation. Spezialisierte ISMS- und NIS2-Compliance-Software kann dabei helfen, alle Anforderungen zentral zu verwalten, Audits vorzubereiten und Nachweise lückenlos zu dokumentieren. Viele Plattformen bieten inzwischen integrierte NIS2-Betroffenheitsprüfungen, automatisierte Aufgabenzuweisungen und BSI-konforme Berichtsvorlagen an. Eine solche Lösung spart nicht nur Zeit, sondern reduziert auch das Risiko von Compliance-Lücken erheblich – und macht Sie im Falle einer BSI-Prüfung handlungsfähig.

Quellen und weiterführende Informationen: BSI-Grundschutz-Kompendium (BSI), NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), BSIG i.d.F. 2024, ENISA NIS2 Directive Implementation Guidance, Europäische Kommission – KMU-Definition (2003/361/EG).