NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 06. August 2026 | Lesezeit: ca. 10 Minuten

Die NIS2-Richtlinie der EU ist seit dem 18. Oktober 2024 in deutsches Recht umgesetzt – und dennoch herrscht in vielen Unternehmen noch immer Unsicherheit: Bin ich überhaupt betroffen? Diese Frage ist alles andere als trivial, denn die Antwort entscheidet darüber, ob Sie weitreichende Sicherheitspflichten erfüllen müssen oder nicht. Mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) und den relevanten Paragraphen des novellierten BSI-Gesetzes (BSIG) hat der deutsche Gesetzgeber klare Kriterien definiert – die in der Praxis aber einer sorgfältigen Analyse bedürfen.

Dieser Artikel führt Sie Schritt für Schritt durch die NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland und gibt Ihnen konkrete Handlungsempfehlungen für 2025 und darüber hinaus.

Was regelt §3 NIS2UmsuCG – und warum ist er Ihr Ausgangspunkt?

§3 NIS2UmsuCG definiert den Anwendungsbereich des Gesetzes. Er legt fest, welche Einrichtungen als „wesentlich" oder „wichtig" eingestuft werden und damit den vollständigen Pflichtenkatalog des BSIG erfüllen müssen. Konkret verweist die Norm auf zwei Anlagen, die Sektoren und Teilsektoren auflisten, sowie auf Größenschwellen, die kumulativ erfüllt sein müssen.

Kurz gesagt: Ohne eine fundierte Prüfung nach §3 NIS2UmsuCG wissen Sie nicht, ob und in welcher Kategorie Sie reguliert sind. Und Unwissenheit schützt vor Strafe nicht – dazu später mehr.

Schritt 1: Gehört Ihr Sektor zu Anlage 1 oder Anlage 2?

Der erste Prüfschritt betrifft Ihren Wirtschaftssektor. Das NIS2UmsuCG unterscheidet zwischen zwei Anlagen:

Anlage 1 – Sektoren mit hoher Kritikalität (wesentliche Einrichtungen)

Diese Sektoren gelten als besonders systemrelevant. Dazu zählen:

• Energie (Strom, Fernwärme, Öl, Gas, Wasserstoff)
• Transport und Verkehr (Luftfahrt, Schiene, Schifffahrt, Straße)
• Bankwesen (Kreditinstitute)
• Finanzmarktinfrastrukturen (Börsen, Clearingstellen)
• Gesundheit (Krankenhäuser, Labore, Pharmaunternehmen)
• Trinkwasser und Abwasser
• Digitale Infrastruktur (Internet-Exchange-Points, DNS-Anbieter, TLD-Registries, Rechenzentren, Cloud-Anbieter, CDN-Anbieter)
• ICT-Service-Management (Managed Security Services)
• Öffentliche Verwaltung (Bundes- und Landesbehörden)
• Weltraum (Betreiber von Bodeninfrastruktur)

Anlage 2 – Sonstige kritische Sektoren (wichtige Einrichtungen)

Unternehmen in diesen Sektoren fallen unter die NIS2-Pflichten, werden aber etwas weniger streng beaufsichtigt:

• Post- und Kurierdienste
• Abfallwirtschaft
• Chemische Industrie
• Lebensmittelwirtschaft (Herstellung, Verarbeitung, Vertrieb im Großen)
• Verarbeitendes Gewerbe / Produktion (Medizinprodukte, Elektronik, Maschinenbau, Fahrzeuge u. a.)
• Digitale Dienste (Online-Marktplätze, Online-Suchmaschinen, soziale Netzwerke)
• Forschung

Praxishinweis: Die Sektorzuordnung folgt in vielen Fällen der NACE-Klassifikation. Wenn Sie unsicher sind, welchem Sektor Ihr Unternehmen zuzuordnen ist, sollten Sie Ihren Handelsregisterauszug und Ihre NACE-Codes prüfen.

Schritt 2: Erfüllen Sie die Größenkriterien?

Sektorale Zugehörigkeit allein reicht nicht. Zusätzlich müssen Größenschwellen überschritten sein – das BSIG orientiert sich hier an der EU-Definition für mittlere und große Unternehmen:

Die maßgeblichen Schwellenwerte

Für NIS2 gilt: Ein Unternehmen in einem Sektor der Anlage 1 ist wesentliche Einrichtung, wenn es ein großes Unternehmen ist (≥ 250 MA oder ≥ 50 Mio. € Umsatz). Mittlere Unternehmen (≥ 50 MA oder ≥ 10 Mio. € Umsatz) in Anlage-1-Sektoren sind ebenfalls erfasst, werden aber als wichtige Einrichtungen eingestuft – sofern sie nicht aufgrund ihrer Kritikalität ohnehin als wesentlich gelten.

Unternehmen in Sektoren der Anlage 2 sind grundsätzlich als wichtige Einrichtungen eingestuft, wenn sie die Schwelle für mittlere Unternehmen erreichen.

Achtung bei verbundenen Unternehmen: Bei der Größenberechnung sind Beteiligungen und Konzernstrukturen zu berücksichtigen. Die EU-Empfehlung 2003/361/EG definiert, wie Mitarbeiter- und Umsatzzahlen verbundener Unternehmen konsolidiert werden müssen. Eine rein isolierte Betrachtung der eigenen GmbH kann zu einer falschen Einschätzung führen.

Schritt 3: Wesentliche vs. wichtige Einrichtung – was ist der Unterschied?

Die Unterscheidung zwischen wesentlichen und wichtigen Einrichtungen hat praktische Konsequenzen für Aufsicht und Sanktionen:

Wesentliche Einrichtungen (§28 Abs. 1 BSIG)

• Unterliegen der proaktiven Aufsicht durch das BSI
• Das BSI kann anlassunabhängige Prüfungen durchführen
• Höhere Bußgeldrahmen (bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes)
• Pflicht zur Registrierung beim BSI

Wichtige Einrichtungen (§28 Abs. 2 BSIG)

• Unterliegen der reaktiven Aufsicht (Prüfungen i. d. R. nur bei konkretem Anlass)
• Niedrigerer Bußgeldrahmen (bis zu 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes gemäß §65 BSIG)
• Ebenfalls Registrierungspflicht beim BSI

Beide Kategorien müssen jedoch dieselben Sicherheitspflichten nach §30 BSIG erfüllen: Risikomanagement, Incident Reporting, Business Continuity, Supply-Chain-Sicherheit und mehr.

Selbsttest: Bin ich nach NIS2 betroffen?

Nutzen Sie diese Checkliste als ersten Orientierungsrahmen. Sie ersetzt keine rechtliche oder fachkundige Beratung, gibt Ihnen aber eine schnelle Einschätzung:

NIS2-Betroffenheitsprüfung – Schnell-Checkliste

• [ ] Sektor-Check: Ist mein Unternehmen einem Sektor der Anlage 1 oder Anlage 2 des NIS2UmsuCG zuzuordnen?
• [ ] Größe – Mitarbeitende: Beschäftigt mein Unternehmen (inkl. verbundener Unternehmen) 50 oder mehr Personen?
• [ ] Größe – Umsatz/Bilanz: Überschreitet der Jahresumsatz oder die Jahresbilanzsumme 10 Mio. €?
• [ ] Sonderregelungen: Bin ich Betreiber kritischer Anlagen (KRITIS), qualifizierter Vertrauensdiensteanbieter oder TLD-Registry? (→ Dann gelten ggf. abweichende Regeln)
• [ ] Konzernstruktur: Wurden verbundene Unternehmen bei den Größenkriterien einbezogen?
• [ ] Registrierung: Hat mein Unternehmen sich bereits beim BSI registriert?

Auswertung: Wenn Sie die ersten drei Fragen mit „Ja" beantwortet haben und zu einem erfassten Sektor gehören, sind Sie mit hoher Wahrscheinlichkeit von NIS2 betroffen. Jetzt sollten Sie handeln.

Konsequenzen bei Nichterfüllung: §65 BSIG macht Ernst

Viele Unternehmen unterschätzen die Sanktionsrisiken. §65 BSIG sieht empfindliche Bußgelder vor, die sich an den Vorgaben der NIS2-Richtlinie orientieren:

Bußgeldrahmen im Überblick

Es gilt jeweils der höhere der beiden Beträge. Das BSI hat zudem die Möglichkeit, bei wesentlichen Einrichtungen vorübergehend Managementpersonen von der Ausübung ihrer Leitungsfunktion auszuschließen – eine Maßnahme, die in der deutschen Unternehmenslandschaft neu und mit erheblichem Reputationsrisiko verbunden ist (§64 BSIG).

Darüber hinaus drohen:
- Öffentliche Bekanntmachung von Verstößen (sog. Naming and Shaming)
- Zivilrechtliche Haftungsrisiken für Geschäftsführer und Vorstände
- Vertragsrechtliche Konsequenzen gegenüber Geschäftspartnern, die ihrerseits NIS2-konform sein müssen (Supply-Chain-Anforderungen)

Handlungsempfehlungen: So gehen Sie jetzt vor

Die folgenden Schritte helfen Ihnen, strukturiert vorzugehen – unabhängig davon, ob Sie bereits sicher betroffen sind oder die Betroffenheit noch klären müssen:

1. Sektorale Einordnung vornehmen: Prüfen Sie anhand Ihrer NACE-Codes und Geschäftstätigkeit, welchem Sektor (Anlage 1 oder 2) Sie zuzuordnen sind. Holen Sie im Zweifelsfall rechtliche Beratung ein.

2. Unternehmensgrößen korrekt ermitteln: Berücksichtigen Sie bei Mitarbeiterzahlen und Umsatz die Regelungen zu verbundenen Unternehmen gemäß EU-Empfehlung 2003/361/EG. Nutzen Sie Ihren aktuellen Jahresabschluss als Grundlage.

3. Kategorie festlegen: Ordnen Sie sich als wesentliche oder wichtige Einrichtung ein und dokumentieren Sie diese Entscheidung nachvollziehbar – auch für spätere Audits.

4. Beim BSI registrieren: Seit Oktober 2024 besteht für betroffene Einrichtungen eine Registrierungspflicht beim BSI. Die Registrierung erfolgt über das BSI-Portal. Versäumnisse können bereits als Ordnungswidrigkeit geahndet werden.

5. Gap-Analyse durchführen: Prüfen Sie Ihren aktuellen Sicherheitsstatus anhand der Anforderungen des §30 BSIG: Risikomanagement, Patch-Management, Kryptographie, Zugriffssteuerung, Incident Response, Business Continuity und mehr.

6. ISMS etablieren oder erweitern: Wenn noch nicht vorhanden, sollten Sie mit dem Aufbau eines Informationssicherheits-Managementsystems (ISMS) beginnen – idealerweise nach ISO/IEC 27001 oder BSI IT-Grundschutz. Ein ISMS bildet das Rückgrat Ihrer NIS2-Compliance.

7. Lieferkette prüfen: NIS2 verpflichtet Sie auch dazu, die Cybersicherheit Ihrer Lieferanten und Dienstleister zu bewerten. Starten Sie mit Ihren kritischen IT-Dienstleistern und Softwareanbietern.

8. Schulungen und Awareness: §38 BSIG verpflichtet Geschäftsführer und Vorstände explizit, an Cybersecurity-Schulungen teilzunehmen. Planen Sie entsprechende Maßnahmen für die Leitungsebene.

Sonderfälle: Wer ist auch ohne Größenschwellen betroffen?

Das NIS2UmsuCG enthält wichtige Ausnahmen von den Größenkriterien. Folgende Unternehmen können unabhängig von ihrer Größe erfasst sein:

• Qualifizierte Vertrauensdiensteanbieter nach eIDAS-Verordnung
• Top-Level-Domain-Registries und DNS-Dienstleister
• Anbieter öffentlicher elektronischer Kommunikationsnetze (unabhängig von der Größe, wenn bestimmte Kriterien erfüllt sind)
• Kritische Anlagen-Betreiber nach KRITIS-Regelungen, die kraft Gesetz als wesentliche Einrichtungen gelten
• Einrichtungen, die vom BSI individuell als wesentlich eingestuft wurden, weil ein Ausfall erhebliche gesellschaftliche Auswirkungen hätte

Fazit: Betroffenheitsprüfung ist Pflicht – nicht Kür

Die NIS2-Betroffenheitsprüfung ist kein optionaler Compliance-Baustein, sondern Voraussetzung für alle weiteren Maßnahmen. Unternehmen, die ihre Betroffenheit nicht kennen oder ignorieren, riskieren nicht nur empfindliche Bußgelder nach §65 BSIG, sondern auch Reputationsschäden und persönliche Haftungsrisiken für die Geschäftsleitung.

Ihre nächsten Schritte auf einen Blick:

1. ✅ Sektorzugehörigkeit anhand Anlage 1/2 prüfen
2. ✅ Unternehmensgrößen korrekt und konsolidiert ermitteln
3. ✅ Einrichtungskategorie (wesentlich/wichtig) dokumentieren
4. ✅ BSI-Registrierung veranlassen
5. ✅ Gap-Analyse auf Basis §30 BSIG durchführen
6. ✅ ISMS-Aufbau oder -Erweiterung initiieren

Jetzt Betroffenheit digital prüfen und dokumentieren

Die manuelle Durchführung und Dokumentation der NIS2-Betroffenheitsprüfung ist zeitaufwendig und fehleranfällig. Spezialisierte NIS2-Compliance-Softwarelösungen helfen Ihnen dabei, die Betroffenheitsprüfung strukturiert abzubilden, die Ergebnisse revisionssicher zu dokumentieren und nahtlos in die nächsten Compliance-Schritte – Gap-Analyse, Risikoassessment, ISMS-Dokumentation – überzugehen. Viele Lösungen bieten geführte Workflows, die direkt auf die Anforderungen des BSIG und der NIS2-Richtlinie abgestimmt sind. Wer heute die richtigen Werkzeuge einsetzt, spart morgen wertvolle Zeit und schützt sich vor kostspieligen Versäumnissen.

Quellen und Referenzen: NIS2UmsuCG (BGBl. 2024 I Nr. 323), BSIG n. F., BSI-Veröffentlichungen zur NIS2-Umsetzung, ENISA NIS2 Implementation Guidance, EU-Empfehlung 2003/361/EG zur KMU-Definition, NIS2-Richtlinie (EU) 2022/2555.