NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 02. August 2026 | Lesezeit: ca. 8 Minuten

Die NIS2-Richtlinie der Europäischen Union hat die Cybersicherheitslandschaft in Deutschland grundlegend verändert. Mit der Umsetzung durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) und den daraus resultierenden Änderungen im Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG) sind tausende Unternehmen erstmals gesetzlich zur Einhaltung umfangreicher Cybersicherheitsanforderungen verpflichtet. Doch viele Geschäftsführer und IT-Verantwortliche fragen sich noch immer: Betrifft das meinen Betrieb überhaupt?

Die Antwort ist entscheidend – denn wer unter die Richtlinie fällt und die Pflichten ignoriert, riskiert empfindliche Bußgelder. Dieser Artikel erklärt Ihnen systematisch, wie Sie eine fundierte NIS2-Betroffenheitsprüfung für Ihr Unternehmen durchführen, welche Kriterien maßgeblich sind und was bei Nichterfüllung droht.

Was regelt §3 NIS2UmsuCG – und warum ist er so wichtig?

Der §3 NIS2UmsuCG (in Verbindung mit §28 ff. BSIG neue Fassung) definiert den Anwendungsbereich des Gesetzes und legt fest, welche Einrichtungen als „wesentlich" oder „wichtig" einzustufen sind. Diese Einstufung ist keine Formalie: Sie bestimmt, welche Sicherheitspflichten gelten, welche Meldepflichten zu erfüllen sind und welche Bußgeldrahmen im Ernstfall zur Anwendung kommen.

Grundsätzlich gilt: Die NIS2-Pflichten treffen Unternehmen nicht automatisch nur aufgrund ihrer Größe oder Branche. Es müssen beide Kriterien – Sektorzugehörigkeit und Größenschwelle – gleichzeitig erfüllt sein. Ausnahmen gelten für bestimmte kritische Infrastrukturen, bei denen die Größe irrelevant ist (sogenannte „size-cap exceptions").

Schritt 1: Gehört Ihr Unternehmen zu einem regulierten Sektor?

Der erste Prüfschritt bei der NIS2-Betroffenheitsprüfung ist die Frage nach der Sektorzugehörigkeit. Das NIS2UmsuCG unterscheidet zwei Kategorien von Sektoren, die in Anlage 1 (hochkritische Sektoren) und Anlage 2 (sonstige kritische Sektoren) aufgeführt sind.

Anlage 1 – Hochkritische Sektoren (führen zu „wesentlichen Einrichtungen")

Unternehmen in diesen Bereichen unterliegen den strengsten Anforderungen:

• Energie (Strom, Gas, Öl, Fernwärme, Wasserstoff)
• Verkehr (Luftfahrt, Bahn, Schifffahrt, Straßenverkehr)
• Bankwesen (Kreditinstitute)
• Finanzmarktinfrastrukturen (Handelsplätze, zentrale Gegenparteien)
• Gesundheit (Krankenhäuser, Labore, Pharmahersteller, Medizingeräte)
• Trinkwasser und Abwasser
• Digitale Infrastruktur (IXPs, DNS-Anbieter, TLD-Registries, Rechenzentrumsdienste, CDN, Cloud-Computing, elektronische Kommunikation)
• IKT-Dienstleistungsmanagement (MSPs, MSSPs)
• Öffentliche Verwaltung
• Weltraum (Betreiber von Bodeninfrastruktur)

Anlage 2 – Sonstige kritische Sektoren (führen zu „wichtigen Einrichtungen")

• Post- und Kurierdienste
• Abfallbewirtschaftung
• Chemikalien (Herstellung, Produktion, Vertrieb)
• Lebensmittel (Herstellung, Verarbeitung, Vertrieb)
• Verarbeitendes Gewerbe / Herstellung (Medizinprodukte, Elektronik, Maschinenbau, Kraftfahrzeuge, sonstige Fahrzeuge)
• Anbieter digitaler Dienste (Online-Marktplätze, Online-Suchmaschinen, soziale Netzwerke)
• Forschung (Forschungseinrichtungen)

Praxishinweis: Viele mittelständische Industrieunternehmen unterschätzen ihre Zugehörigkeit zu Anlage 2. Wer im Maschinenbau, in der Lebensmittelverarbeitung oder als IT-Dienstleister tätig ist, sollte die Sektorzugehörigkeit sorgfältig prüfen.

Schritt 2: Erfüllt Ihr Unternehmen die Größenkriterien?

Liegt eine Sektorzugehörigkeit vor, ist im zweiten Schritt die Unternehmensgröße zu prüfen. Maßgeblich sind die EU-weit einheitlichen KMU-Schwellenwerte:

Grundregel: Unternehmen ab 50 Mitarbeitern mit einem Jahresumsatz oder einer Jahresbilanzsumme von mindestens 10 Millionen Euro fallen in den Anwendungsbereich – sofern sie einem der regulierten Sektoren angehören.

Ausnahmen bei der Größenregel

Bestimmte Einrichtungen fallen unabhängig von ihrer Größe unter NIS2:

• Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste
• Vertrauensdiensteanbieter gemäß eIDAS-Verordnung
• TLD-Registrare und DNS-Diensteanbieter
• Einrichtungen, bei denen ein Ausfall erhebliche Auswirkungen auf die öffentliche Sicherheit oder Versorgung hätte (Einzelfallentscheidung durch das BSI)

Schritt 3: Wesentliche oder wichtige Einrichtung – was ist der Unterschied?

Die Einstufung als wesentliche Einrichtung (WE) oder wichtige Einrichtung (wE) bestimmt die Intensität der Regulierung:

Wichtig: Großunternehmen aus Anlage-1-Sektoren sind stets wesentliche Einrichtungen. Mittlere Unternehmen aus Anlage-1-Sektoren können ebenfalls als wesentliche Einrichtungen eingestuft werden, wenn das BSI dies im Einzelfall bestimmt.

Interaktiver Selbsttest: Sind Sie betroffen?

Beantworten Sie die folgenden Fragen, um eine erste Einschätzung zu erhalten:

✅ Frage 1: Ist Ihr Unternehmen in einem der Sektoren aus Anlage 1 oder Anlage 2 tätig?
- Nein → Kein Handlungsbedarf nach NIS2 (andere Regelungen wie DSGVO bleiben bestehen)
- Ja → Weiter zu Frage 2

✅ Frage 2: Beschäftigt Ihr Unternehmen 50 oder mehr Mitarbeiter?
- Nein → Wahrscheinlich nicht betroffen (Ausnahmen prüfen: siehe oben)
- Ja → Weiter zu Frage 3

✅ Frage 3: Beträgt Ihr Jahresumsatz oder Ihre Jahresbilanzsumme 10 Millionen Euro oder mehr?
- Nein → Wahrscheinlich nicht betroffen (Ausnahmen prüfen)
- Ja → Weiter zu Frage 4

✅ Frage 4: Gehören Sie zu einem Anlage-1-Sektor und haben Sie 250+ Mitarbeiter oder 50+ Mio. € Umsatz?
- Ja → Sie sind voraussichtlich eine wesentliche Einrichtung
- Nein, aber Anlage 1 mit 50–249 MA → Prüfung durch BSI erforderlich; tendenziell wesentliche oder wichtige Einrichtung
- Anlage 2, 50+ MA → Sie sind voraussichtlich eine wichtige Einrichtung

Rechtlicher Hinweis: Dieser Selbsttest ersetzt keine rechtliche oder fachliche Beratung. Die finale Einstufung erfolgt durch das BSI auf Basis der Registrierungsmeldung.

Was droht bei Nichterfüllung? Bußgelder nach §65 BSIG

Wer die Betroffenheit ignoriert oder Pflichten nicht erfüllt, muss mit erheblichen Konsequenzen rechnen. §65 BSIG sieht folgende Bußgeldrahmen vor:

• Wesentliche Einrichtungen: Bußgelder von bis zu 10 Millionen Euro oder 2 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres – je nachdem, welcher Betrag höher ist
• Wichtige Einrichtungen: Bußgelder von bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes

Besonders gravierend: Geschäftsführer und Vorstände können bei wesentlichen Einrichtungen persönlich haftbar gemacht werden, wenn sie ihre Aufsichtspflicht verletzt haben. Die Haftung ist nicht auf das Unternehmensvermögen beschränkt.

Neben Bußgeldern drohen:
- Öffentliche Bekanntmachungen von Verstößen (naming and shaming)
- Einstweilige Untersagungen bestimmter Tätigkeiten
- Zwangsgelder bei Nichtbefolgung von BSI-Anordnungen
- Reputationsschäden durch öffentliche BSI-Kommunikation

Konkrete Handlungsempfehlungen: So gehen Sie jetzt vor

Wenn Ihre Betroffenheitsprüfung ergeben hat, dass Ihr Unternehmen unter NIS2 fällt, empfehlen wir folgende strukturierte Vorgehensweise:

1. Sektorzugehörigkeit dokumentieren: Halten Sie schriftlich fest, welcher Anlage Ihr Unternehmen zuzuordnen ist, und begründen Sie die Einstufung nachvollziehbar.

2. Beim BSI registrieren: Nutzen Sie das BSI-Registrierungsportal, um Ihre Einrichtung anzumelden. Die Registrierungspflicht besteht aktiv – das BSI nimmt keine automatischen Einstufungen vor.

3. Ansprechpartner benennen: Bestimmen Sie einen internen NIS2-Verantwortlichen und melden Sie diesen beim BSI. Bei wesentlichen Einrichtungen muss dieser rund um die Uhr erreichbar sein.

4. Gap-Analyse durchführen: Vergleichen Sie Ihre aktuellen Sicherheitsmaßnahmen mit den Anforderungen des §30 BSIG (Risikomanagementmaßnahmen). Typische Lücken finden sich bei Lieferkettenmanagement, Incident-Response-Prozessen und Backup-Konzepten.

5. Risikomanagement aufbauen oder anpassen: Implementieren Sie ein dokumentiertes Information Security Management System (ISMS) – idealerweise auf Basis von ISO 27001 oder BSI IT-Grundschutz.

6. Meldeprozesse etablieren: Nach §32 BSIG müssen erhebliche Sicherheitsvorfälle innerhalb von 24 Stunden (Frühwarnung) und 72 Stunden (vollständige Meldung) an das BSI gemeldet werden. Stellen Sie sicher, dass diese Prozesse stehen.

7. Lieferkette prüfen: NIS2 verpflichtet zur Bewertung von Cybersicherheitsrisiken durch Dritte und Lieferanten (§30 Abs. 2 Nr. 4 BSIG). Passen Sie Ihre Verträge und Vendor-Management-Prozesse an.

8. Schulungen durchführen: Sensibilisieren Sie Führungskräfte und Mitarbeiter für Cyberrisiken. §38 BSIG verpflichtet Leitungsorgane zur aktiven Teilnahme an entsprechenden Schulungen.

Fazit: Jetzt handeln, bevor das BSI anklopft

Die NIS2-Betroffenheitsprüfung ist kein optionaler Prozess – sie ist der erste und entscheidende Schritt zur Compliance. Im Jahr 2026 ist die Aufsichtspraxis des BSI bereits deutlich schärfer geworden: Unternehmen, die ihre Registrierungspflicht vernachlässigt haben oder unvorbereitet in eine BSI-Prüfung geraten, riskieren nicht nur Bußgelder, sondern auch erhebliche operative und reputative Schäden.

Ihre nächsten Schritte auf einen Blick:
- ☑ Sektorzugehörigkeit gemäß Anlage 1 und 2 prüfen
- ☑ Größenkriterien (50+ MA, 10 Mio. € Umsatz/Bilanz) validieren
- ☑ Einstufung als wesentliche oder wichtige Einrichtung bestimmen
- ☑ Beim BSI registrieren und Ansprechpartner benennen
- ☑ Gap-Analyse starten und ISMS aufbauen

Jetzt Compliance-Prozess strukturiert angehen

Die NIS2-Betroffenheitsprüfung ist nur der Anfang. Wer einmal festgestellt hat, dass sein Unternehmen betroffen ist, steht vor der Aufgabe, Dutzende von Richtlinien, Risikobewertungen, Meldeprozessen und Nachweisdokumenten strukturiert zu verwalten. Spezialisierte NIS2-Compliance-Software kann dabei helfen, den gesamten Prozess – von der initialen Betroffenheitsprüfung über die Gap-Analyse bis hin zur automatisierten Dokumentation von Sicherheitsmaßnahmen – abzubilden und den Nachweis gegenüber dem BSI wesentlich einfacher zu gestalten. Informieren Sie sich über ISMS-Tools, die speziell für die Anforderungen des BSIG und der NIS2-Richtlinie konzipiert wurden, und nutzen Sie Funktionen wie vorgefertigte NIS2-Dokumente, integrierte Risikobewertungsmodule und Meldeworkflows – so behalten Sie die Kontrolle und sind für BSI-Prüfungen gewappnet.

Quellen und weiterführende Informationen: BSI – Bundesamt für Sicherheit in der Informationstechnik (bsi.bund.de), NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), BSIG in der aktuellen Fassung, ENISA – NIS2 Directive Implementation Report 2025, Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates.