NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 04. August 2026 | Lesedauer: ca. 8 Minuten

Die NIS2-Richtlinie ist seit ihrer Umsetzung durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in deutsches Recht fester Bestandteil der regulatorischen Realität für tausende Unternehmen. Dennoch stellen viele Geschäftsführer und IT-Verantwortliche noch immer dieselbe Frage: Bin ich überhaupt betroffen? Die Antwort darauf ist komplexer als sie auf den ersten Blick erscheint — und die Konsequenzen einer Fehleinschätzung sind erheblich. Dieser Artikel führt Sie Schritt für Schritt durch die NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland im Jahr 2025 und darüber hinaus.

Was ist die NIS2-Betroffenheitsprüfung — und warum ist sie so wichtig?

Die NIS2-Betroffenheitsprüfung ist der erste und grundlegende Schritt auf dem Weg zur Compliance. Gemäß § 3 NIS2UmsuCG definiert das Gesetz, welche Einrichtungen als „wesentlich" oder „wichtig" eingestuft werden und damit dem Anwendungsbereich des Gesetzes unterliegen. Wer diese Prüfung überspringt oder fehlerhaft durchführt, riskiert nicht nur Bußgelder — sondern auch erhebliche Haftungsrisiken für die Geschäftsleitung persönlich.

Die Schwierigkeit: Die Kriterien kombinieren Sektorzugehörigkeit, Unternehmensgröße und zum Teil kritische Infrastruktureigenschaften. Erst das Zusammenspiel dieser drei Faktoren ergibt eine valide Einschätzung.

Schritt 1: Welchem Sektor gehört Ihr Unternehmen an?

Das NIS2UmsuCG unterscheidet zwei Kategorien von Sektoren, die in den Anlagen 1 und 2 des Gesetzes aufgelistet sind.

Anlage 1: Sektoren mit hoher Kritikalität (Hochkritische Sektoren)

Unternehmen in diesen Sektoren werden — bei Erfüllung der Größenkriterien — in der Regel als wesentliche Einrichtungen eingestuft:

• Energie (Strom, Gas, Fernwärme, Öl, Wasserstoff)
• Verkehr (Luftfahrt, Schienenverkehr, Schifffahrt, Straßenverkehr)
• Bankwesen und Finanzmarktinfrastrukturen
• Gesundheitswesen (Krankenhäuser, Labore, Pharmazeutische Industrie)
• Trinkwasser und Abwasser
• Digitale Infrastruktur (DNS-Betreiber, TLD-Registrare, Rechenzentren, Cloud-Dienste)
• Öffentliche Verwaltung (Bundes- und Landesebene)
• Weltraum (Bodeninfrastruktur für Satellitenbetrieb)

Anlage 2: Sonstige kritische Sektoren

Unternehmen hier werden bei Erfüllung der Kriterien typischerweise als wichtige Einrichtungen eingestuft:

• Post- und Kurierdienste
• Abfallbewirtschaftung
• Chemische Industrie
• Lebensmittelbranche (Produktion und Vertrieb)
• Verarbeitendes Gewerbe / Maschinenbau / Automotive
• Digitale Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke)
• Forschungseinrichtungen

Praxishinweis: Die Sektorzuordnung orientiert sich an der Haupttätigkeit des Unternehmens. Tochtergesellschaften oder Konzernteile, die selbstständig tätig sind, müssen die Prüfung eigenständig durchführen.

Schritt 2: Erfüllt Ihr Unternehmen die Größenkriterien?

Die bloße Zugehörigkeit zu einem der Sektoren genügt in den meisten Fällen nicht. Zusätzlich müssen die Schwellenwerte für Unternehmensgröße überschritten werden. Diese orientieren sich an der EU-Definition für mittlere Unternehmen:

Beide Kriterien müssen gleichzeitig erfüllt sein, damit ein Unternehmen dem Anwendungsbereich unterfällt — mit einer wichtigen Ausnahme: Für bestimmte kritische Infrastrukturen (KRITIS) sowie für Einrichtungen in sensiblen Bereichen (z. B. Betreiber bestimmter digitaler Infrastrukturen, qualifizierte Vertrauensdiensteanbieter, TLD-Registrare) gilt die Größenschwelle nicht. Diese Einrichtungen fallen unabhängig von ihrer Größe unter NIS2.

Sonderfall: Automatische Einstufung ohne Größenprüfung

Folgende Einrichtungstypen sind größenunabhängig betroffen:
- Betreiber kritischer Anlagen gemäß BSIG
- Qualifizierte Vertrauensdiensteanbieter
- TLD-Namenregister und DNS-Dienstanbieter
- Anbieter öffentlicher elektronischer Kommunikationsnetze

Schritt 3: Wesentliche oder wichtige Einrichtung — was ist der Unterschied?

Die Unterscheidung zwischen wesentlichen und wichtigen Einrichtungen ist keine bloße Formalität. Sie hat direkte Auswirkungen auf die Intensität der Aufsicht und die Höhe möglicher Bußgelder.

Wichtig: Auch als „wichtige Einrichtung" sind die Pflichten erheblich. Risikomanagement, Meldepflichten und Sicherheitsanforderungen gelten für beide Kategorien. Der Unterschied liegt primär in der Aufsichtsintensität.

Selbsttest: Bin ich von NIS2 betroffen?

Nutzen Sie diese strukturierte Checkliste für eine erste Einschätzung Ihrer Betroffenheit:

Checkliste NIS2-Betroffenheitsprüfung

• [ ] Sektor: Ist mein Unternehmen in einem der Sektoren aus Anlage 1 oder Anlage 2 tätig?
• [ ] Mitarbeiterzahl: Beschäftigt mein Unternehmen 50 oder mehr Vollzeitäquivalente?
• [ ] Umsatz/Bilanz: Überschreitet mein Jahresumsatz oder meine Jahresbilanzsumme 10 Millionen Euro?
• [ ] Ausnahmen prüfen: Handelt es sich um eine Kleinstunternehmen-Ausnahme? (< 10 MA und < 2 Mio. € Umsatz → i. d. R. nicht betroffen)
• [ ] Sondertatbestände: Bin ich Betreiber kritischer Infrastruktur, DNS-Anbieter oder qualifizierter Vertrauensdiensteanbieter? (→ größenunabhängig betroffen)
• [ ] Konzernstruktur: Muss ich die Prüfung für jede Tochtergesellschaft separat durchführen?
• [ ] Registrierung: Bin ich bereits beim BSI registriert oder muss ich dies nachholen?

Ergebnis: Wenn Sie zwei oder mehr der ersten drei Punkte mit „Ja" beantwortet haben und in einem der regulierten Sektoren tätig sind, ist eine vertiefte Prüfung durch einen NIS2-Experten oder Rechtsanwalt dringend empfohlen.

Konsequenzen bei Nichterfüllung: Was droht bei Verstößen?

Viele Unternehmen unterschätzen noch immer den Sanktionsrahmen der NIS2-Gesetzgebung. § 65 BSIG regelt die Bußgeldtatbestände und sieht für schwerwiegende Verstöße empfindliche Strafen vor:

Bußgelder nach § 65 BSIG

• Wesentliche Einrichtungen: Bis zu 10 Millionen Euro oder 2 % des gesamten weltweiten Jahresumsatzes — je nachdem, welcher Betrag höher ist
• Wichtige Einrichtungen: Bis zu 7 Millionen Euro oder 1,4 % des gesamten weltweiten Jahresumsatzes

Persönliche Haftung der Geschäftsleitung (§ 38 BSIG)

Besonders gravierend: Gemäß § 38 BSIG können Geschäftsführer und Vorstandsmitglieder persönlich und bis zu einer Höhe von 2 Millionen Euro haftbar gemacht werden, wenn sie ihre Überwachungspflichten im Bereich Cybersicherheit vernachlässigt haben. Eine D&O-Versicherung schließt dieses Risiko nicht zwingend aus — hier ist Rechtsberatung im Einzelfall unerlässlich.

Weitere Konsequenzen

• Anordnung von Sicherheitsmaßnahmen durch das BSI
• Öffentliche Bekanntmachung von Verstößen (Naming & Shaming)
• Tätigkeitsverbote für Führungspersonen in Ausnahmefällen
• Reputationsschäden und Vertrauensverlust bei Kunden und Partnern
• Vertragsrechtliche Risiken, wenn Lieferantenaudits NIS2-Nichtkonformität aufdecken

6 konkrete Handlungsempfehlungen für Ihr Unternehmen

Wenn Sie zu dem Schluss gekommen sind, dass Ihr Unternehmen potenziell betroffen ist, empfehlen wir folgende Schritte — priorisiert nach Dringlichkeit:

1. Betroffenheitsprüfung dokumentieren: Führen Sie die Prüfung schriftlich durch und halten Sie Ihre Schlussfolgerungen mit Datum und verantwortlicher Person fest. Diese Dokumentation ist im Falle einer Prüfung durch das BSI relevant.

2. Sektor und Einrichtungstyp verbindlich bestimmen: Lassen Sie die Sektorzugehörigkeit und die Einstufung als wesentliche oder wichtige Einrichtung durch einen Rechtsanwalt oder NIS2-Berater bestätigen — insbesondere bei Mischkonzernen oder internationalen Strukturen.

3. BSI-Registrierung vornehmen: Registrieren Sie Ihre Einrichtung unverzüglich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) über das bereitgestellte Online-Portal. Die Registrierungspflicht besteht unabhängig davon, ob Sie die Anforderungen bereits erfüllen.

4. Gap-Analyse durchführen: Vergleichen Sie Ihren aktuellen Sicherheitsstatus mit den Anforderungen aus § 30 BSIG (Risikomanagementmaßnahmen). Identifizieren Sie Lücken in den Bereichen Zugangskontrolle, Vorfallmanagement, Business Continuity und Lieferkettensicherheit.

5. Meldeprozesse etablieren: Implementieren Sie klare interne Prozesse für die Meldung von Sicherheitsvorfällen. NIS2 schreibt eine Erstmeldung binnen 24 Stunden und einen vollständigen Bericht binnen 72 Stunden vor (§ 32 BSIG).

6. Geschäftsleitung einbinden und schulen: Sensibilisieren Sie Ihren Vorstand oder Ihre Geschäftsführung für die persönliche Haftungskomponente nach § 38 BSIG. Cybersicherheit ist keine reine IT-Frage mehr — sie ist Chefsache.

Häufige Fehler bei der Betroffenheitsprüfung

In der Beratungspraxis begegnen uns immer wieder dieselben Irrtümer:

• „Wir sind zu klein" — Viele Unternehmen unterschätzen, dass die 50-Mitarbeiter-Grenze schnell erreicht ist, wenn Leiharbeiter und Teilzeitkräfte korrekt als Vollzeitäquivalente berechnet werden.
• „Wir sind kein Technologieunternehmen" — NIS2 betrifft keineswegs nur IT-Firmen. Auch Lebensmittelproduzenten, Pharmaunternehmen und Logistikdienstleister können betroffen sein.
• „Unser Mutterkonzern ist zuständig" — Jede rechtlich selbstständige Einheit muss die Prüfung eigenständig durchführen.
• „Die Richtlinie gilt nur für KRITIS-Betreiber" — NIS2 geht erheblich über den bisherigen KRITIS-Rahmen hinaus und erfasst deutlich mehr Unternehmen.

Fazit: Jetzt handeln, bevor das BSI klopft

Die NIS2-Betroffenheitsprüfung ist kein einmaliger bürokratischer Akt, sondern der Startpunkt eines kontinuierlichen Compliance-Prozesses. Mit dem Fortschreiten der BSI-Aufsichtsaktivitäten im Jahr 2025 und darüber hinaus steigt die Wahrscheinlichkeit, dass auch Ihr Unternehmen in den Fokus gerät — sei es durch eine aktive Prüfung oder im Rahmen eines Sicherheitsvorfalls.

Ihre nächsten Schritte zusammengefasst:
1. Selbsttest anhand der obigen Checkliste durchführen
2. Sektor- und Größenkriterien dokumentiert prüfen
3. BSI-Registrierung anstoßen
4. Gap-Analyse und Risikomanagement initiieren
5. Meldeprozesse und Governance-Strukturen aufbauen

Tipp: NIS2-Compliance mit Software-Unterstützung effizient umsetzen

Die Betroffenheitsprüfung ist erst der Anfang. Wer anschließend Risikomanagement, Dokumentation, Meldeprozesse und Lieferkettenaudits strukturiert abbilden möchte, stößt mit Excel-Tabellen und manuellen Prozessen schnell an Grenzen. Spezialisierte NIS2-Compliance-Plattformen und ISMS-Tools helfen Ihnen dabei, die Anforderungen aus §§ 30–38 BSIG systematisch zu erfüllen, Nachweise revisionssicher zu dokumentieren und bei Prüfungen durch das BSI schnell auskunftsfähig zu sein. Prüfen Sie, welche Lösungen zu Ihrer Unternehmensgröße und Branche passen — viele Anbieter bieten kostenfreie Erstberatungen oder Demo-Zugänge an, die einen guten Überblick verschaffen.

Dieser Artikel wurde nach bestem Wissen und Gewissen auf Basis des NIS2UmsuCG, des BSIG sowie der ENISA-Leitlinien erstellt. Er ersetzt keine Rechtsberatung im Einzelfall. Stand: August 2026.