NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 03. August 2026

Die Umsetzung der europäischen NIS2-Richtlinie in deutsches Recht durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) hat die Landschaft der Cybersicherheitspflichten in Deutschland grundlegend verändert. Doch noch immer herrscht in vielen Unternehmen Unsicherheit: Bin ich eigentlich betroffen? Genau diese Frage beantwortet die sogenannte NIS2-Betroffenheitsprüfung – und sie ist wichtiger denn je. Denn wer die eigene Betroffenheit falsch einschätzt, riskiert empfindliche Bußgelder und erhebliche Reputationsschäden.

Dieser Artikel erklärt Ihnen Schritt für Schritt, wie Sie prüfen, ob Ihr Unternehmen unter die NIS2-Richtlinie fällt, welche Konsequenzen drohen und was jetzt zu tun ist.

Was ist die NIS2-Betroffenheitsprüfung und warum ist sie so wichtig?

Gemäß § 3 NIS2UmsuCG (in Verbindung mit den Anlagen 1 und 2 des Gesetzes) gelten in Deutschland zwei Kategorien regulierter Einrichtungen: wesentliche Einrichtungen und wichtige Einrichtungen. Die Einstufung hängt von zwei zentralen Faktoren ab:

1. Der Sektor, in dem das Unternehmen tätig ist
2. Die Unternehmensgröße (Mitarbeiterzahl und Jahresumsatz bzw. Bilanzsumme)

Eine klare Selbstprüfung ist nicht optional – sie ist gesetzlich impliziert. Unternehmen, die irrtümlich davon ausgehen, nicht betroffen zu sein, können sich nicht auf Unwissenheit berufen. Das BSI hat hierzu eindeutige Orientierungshilfen veröffentlicht, und die Behörde ist berechtigt, Einrichtungen aktiv zu identifizieren und zu kontaktieren.

Schritt 1: Gehört Ihr Unternehmen zu einem regulierten Sektor?

Das NIS2UmsuCG unterscheidet zwischen Anlage 1 (besonders wichtige Sektoren) und Anlage 2 (wichtige Sektoren). Diese Unterscheidung bestimmt die Intensität der Regulierung und die Höhe möglicher Bußgelder.

Anlage 1 – Sektoren mit hoher Kritikalität (wesentliche Einrichtungen)

Anlage 2 – Sonstige kritische Sektoren (wichtige Einrichtungen)

Praxistipp: Auch wenn Ihr Kerngeschäft nicht in einen dieser Sektoren fällt, kann eine wesentliche Abhängigkeit von regulierten Infrastrukturen oder eine Tätigkeit als Zulieferer oder Dienstleister für regulierte Einrichtungen indirekte Pflichten erzeugen – insbesondere über die Lieferkettensicherheit nach § 30 NIS2UmsuCG.

Schritt 2: Erfüllt Ihr Unternehmen die Größenkriterien?

Sektorzugehörigkeit allein reicht nicht aus – es gelten auch Schwellenwerte für die Unternehmensgröße. Die EU-Kommissions-Empfehlung 2003/361/EG zur KMU-Definition wird hier angewendet:

Größenklassen im Überblick

Grundregel: Unternehmen ab 50 Mitarbeitenden und einem Jahresumsatz oder einer Bilanzsumme von mindestens 10 Millionen Euro, die in einem der regulierten Sektoren tätig sind, fallen grundsätzlich unter NIS2.

Wichtige Ausnahmen: Wer gilt unabhängig von der Größe?

Das Gesetz sieht größenunabhängige Betroffenheit vor für:

• Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste (§ 3 Abs. 2 NIS2UmsuCG)
• Betreiber kritischer Anlagen im Sinne des BSIG (bisherige KRITIS-Betreiber)
• Trust Service Provider (qualifizierte Vertrauensdiensteanbieter)
• Top-Level-Domain-Registries und DNS-Dienstleister
• Einrichtungen der öffentlichen Verwaltung auf Bundes- und Landesebene

Achtung für Konzernstrukturen: Bei verbundenen Unternehmen und Konzerngesellschaften sind für die Größenberechnung unter Umständen konsolidierte Zahlen heranzuziehen. Eine rechtliche Prüfung ist hier dringend empfohlen.

Schritt 3: Wesentlich oder wichtig – was ist der Unterschied?

Die Einstufung als wesentliche Einrichtung (Essential Entity, EE) oder wichtige Einrichtung (Important Entity, IE) hat erhebliche praktische Konsequenzen:

Selbsttest: Interaktive Betroffenheitsprüfung in 4 Fragen

Nutzen Sie diese Kurzprüfung als ersten Orientierungsrahmen:

Frage 1: Ist Ihr Unternehmen in einem der Sektoren aus Anlage 1 oder Anlage 2 des NIS2UmsuCG tätig?
- ✅ Ja → weiter mit Frage 2
- ❌ Nein → Sie sind wahrscheinlich nicht direkt betroffen (aber prüfen Sie Lieferkettenrisiken!)

Frage 2: Beschäftigt Ihr Unternehmen 50 oder mehr Mitarbeitende?
- ✅ Ja → weiter mit Frage 3
- ❌ Nein → Prüfen Sie, ob Sie unter die größenunabhängigen Ausnahmen fallen

Frage 3: Beträgt Ihr Jahresumsatz oder Ihre Bilanzsumme 10 Millionen Euro oder mehr?
- ✅ Ja → Sie sind sehr wahrscheinlich betroffen → weiter mit Frage 4
- ❌ Nein → Wahrscheinlich nicht betroffen (Ausnahmen beachten)

Frage 4: In welchem Sektor und welcher Größenklasse ist Ihr Unternehmen tätig?
- Anlage 1 + großes Unternehmen (≥ 250 MA) → Wesentliche Einrichtung
- Anlage 1 + mittleres Unternehmen (50–249 MA) → Wichtige Einrichtung
- Anlage 2 + mittleres oder großes Unternehmen → Wichtige Einrichtung

Empfehlung: Dieser Selbsttest ersetzt keine rechtliche oder technische Fachberatung. Das BSI stellt auf seiner Website ein offizielles Registrierungsportal und ergänzende Orientierungshilfen bereit.

Welche Pflichten entstehen nach der Betroffenheitsprüfung?

Wer unter NIS2 fällt, muss konkrete Maßnahmen umsetzen. Die wichtigsten Pflichten im Überblick:

1. Registrierung beim BSI (§ 33 NIS2UmsuCG): Selbstregistrierung über das BSI-Portal innerhalb der vorgeschriebenen Fristen
2. Risikomanagementmaßnahmen (§ 30 NIS2UmsuCG): Technische und organisatorische Maßnahmen zum Schutz der Netzwerk- und Informationssysteme
3. Meldepflichten bei Sicherheitsvorfällen (§ 32 NIS2UmsuCG): Erstmeldung innerhalb von 24 Stunden, Folgemeldung innerhalb von 72 Stunden, Abschlussbericht nach einem Monat
4. Managementverantwortung (§ 38 NIS2UmsuCG): Geschäftsleitungen sind persönlich verantwortlich und müssen Schulungen nachweisen
5. Lieferkettensicherheit (§ 30 Abs. 2 Nr. 4 NIS2UmsuCG): Sicherheitsanforderungen an Lieferanten und Dienstleister

Konsequenzen bei Nichterfüllung: Bußgelder nach § 65 BSIG

Wer die Pflichten ignoriert, muss mit erheblichen Sanktionen rechnen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist als zuständige nationale Behörde befugt, Bußgelder zu verhängen:

• Wesentliche Einrichtungen: Bis zu 10.000.000 Euro oder 2 % des gesamten weltweiten Jahresumsatzes (der höhere Betrag gilt)
• Wichtige Einrichtungen: Bis zu 7.000.000 Euro oder 1,4 % des gesamten weltweiten Jahresumsatzes
• Persönliche Haftung der Geschäftsleitung: Gemäß § 38 NIS2UmsuCG können Leitungsorgane persönlich in Regress genommen werden

Darüber hinaus drohen:
- Zwangsweise Abschaltung von Diensten oder Systemen (§ 64 BSIG)
- Öffentliche Bekanntmachung von Verstößen (sog. "Naming and Shaming")
- Zivilrechtliche Haftungsansprüche geschädigter Dritter

Konkrete Handlungsempfehlungen: So gehen Sie vor

1. Sektorzugehörigkeit klären: Analysieren Sie Ihr Kerngeschäft und ordnen Sie es den Anlagen 1 und 2 des NIS2UmsuCG zu.
2. Unternehmensgröße validieren: Ermitteln Sie Mitarbeiterzahl, Jahresumsatz und Bilanzsumme – achten Sie bei Konzernstrukturen auf konsolidierte Werte.
3. Einstufung festhalten: Dokumentieren Sie schriftlich, ob Ihr Unternehmen als wesentliche oder wichtige Einrichtung einzustufen ist – oder warum es nicht betroffen ist.
4. Beim BSI registrieren: Nutzen Sie das offizielle Registrierungsportal des BSI (bsi.bund.de) und halten Sie die gesetzlichen Fristen ein.
5. Gap-Analyse durchführen: Vergleichen Sie Ihre bestehenden Sicherheitsmaßnahmen mit den Anforderungen des § 30 NIS2UmsuCG.
6. ISMS aufbauen oder anpassen: Implementieren oder erweitern Sie ein Informationssicherheitsmanagementsystem (ISMS), idealerweise nach ISO/IEC 27001 oder dem BSI IT-Grundschutz.
7. Geschäftsleitung sensibilisieren: Informieren und schulen Sie Ihre Unternehmensführung über die persönlichen Haftungsrisiken nach § 38 NIS2UmsuCG.
8. Lieferanten bewerten: Führen Sie eine Risikoanalyse Ihrer kritischen Dienstleister und Zulieferer durch und passen Sie Verträge entsprechend an.
9. Meldeprozesse etablieren: Definieren Sie interne Prozesse für die Erkennung, Bewertung und Meldung von Sicherheitsvorfällen gemäß den gesetzlichen Fristen.
10. Rechtliche Beratung einholen: Ziehen Sie für komplexe Fälle (Konzerne, Mischbetriebe, grenzüberschreitende Tätigkeiten) einen spezialisierten IT-Rechtsanwalt hinzu.

Fazit: Jetzt handeln, bevor es zu spät ist

Die NIS2-Betroffenheitsprüfung ist der unverzichtbare erste Schritt auf dem Weg zur Compliance. Mit dem NIS2UmsuCG hat Deutschland eines der strengsten nationalen Cybersicherheitsgesetze in der EU umgesetzt – und das BSI zeigt sich zunehmend konsequent bei der Durchsetzung.

Ihre nächsten drei Schritte:

1. ✅ Prüfen Sie anhand der Anlagen 1 und 2 des NIS2UmsuCG sowie der Größenkriterien, ob Ihr Unternehmen betroffen ist.
2. ✅ Dokumentieren Sie das Ergebnis Ihrer Betroffenheitsprüfung schriftlich und revisionssicher.
3. ✅ Starten Sie umgehend mit der Registrierung beim BSI und einer strukturierten Gap-Analyse Ihrer Sicherheitsmaßnahmen.

Nützliches Werkzeug für Ihre NIS2-Compliance

Die manuelle Dokumentation und Verwaltung aller NIS2-Pflichten ist aufwendig und fehleranfällig. Spezialisierte NIS2-Compliance-Software und ISMS-Plattformen können Ihnen helfen, die Betroffenheitsprüfung zu strukturieren, Maßnahmen zu tracken, Nachweise zu verwalten und Meldeprozesse zu automatisieren. Viele Lösungen bieten integrierte Vorlagen für die BSI-Registrierung, automatisierte Gap-Analysen nach § 30 NIS2UmsuCG sowie Audit-Trails für den Nachweis gegenüber Behörden. Ein frühzeitiger Einsatz solcher Werkzeuge spart nicht nur Zeit – er kann im Ernstfall auch die entscheidende Dokumentation liefern, die Sie vor Sanktionen nach § 65 BSIG schützt.

Quellen: NIS2UmsuCG (BGBl. 2024), BSIG n.F., BSI-Orientierungshilfe NIS2 (Stand 2025), ENISA NIS2 Implementation Guidance, EU-Richtlinie 2022/2555 (NIS2)