NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 07. August 2026 | Lesedauer: ca. 8 Minuten

Die NIS2-Richtlinie ist längst kein Zukunftsthema mehr – sie ist geltendes Recht. Mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) hat Deutschland die europäische Richtlinie in nationales Recht überführt. Dennoch herrscht in vielen deutschen Unternehmen nach wie vor Unsicherheit: Bin ich überhaupt betroffen? Welche Pflichten treffen mich konkret? Und was passiert, wenn ich nichts tue?

Dieser Artikel liefert Ihnen eine strukturierte NIS2-Betroffenheitsprüfung für Ihr Unternehmen in Deutschland 2025/2026 – mit konkreten Kriterien, einer Checkliste und klaren Handlungsempfehlungen.

Was ist die NIS2-Richtlinie – und warum betrifft sie mehr Unternehmen als gedacht?

Die NIS2-Richtlinie (EU 2022/2555) löste die ursprüngliche NIS1-Richtlinie ab und erweitert den Anwendungsbereich erheblich. Während NIS1 nur eine überschaubare Zahl von Betreibern kritischer Infrastrukturen erfasste, zieht NIS2 einen deutlich weiteren Kreis. Nach Schätzungen des Bundesamts für Sicherheit in der Informationstechnik (BSI) fallen in Deutschland mehrere zehntausend Unternehmen unter die neuen Regelungen.

Die rechtliche Grundlage für die Betroffenheitsprüfung in Deutschland liefert § 3 NIS2UmsuCG, der die grundlegenden Definitionen und den Anwendungsbereich festlegt. Wer als „wesentliche Einrichtung" oder „wichtige Einrichtung" eingestuft wird, muss umfangreiche Cybersicherheitsmaßnahmen umsetzen und unterliegt der Aufsicht durch das BSI.

Die zwei entscheidenden Kriterien: Sektor und Größe

Die Betroffenheit ergibt sich aus dem Zusammenspiel von zwei Kernkriterien: dem Wirtschaftssektor, in dem Ihr Unternehmen tätig ist, und der Unternehmensgröße. Beide Kriterien müssen erfüllt sein – mit einer wichtigen Ausnahme (dazu später mehr).

Kriterium 1: Ihr Sektor – Anlage 1 und Anlage 2 NIS2UmsuCG

Das NIS2UmsuCG unterscheidet zwischen zwei Kategorien von Sektoren:

Anlage 1 – Sektoren mit hoher Kritikalität (11 Sektoren):

  1. Energie (Strom, Fernwärme, Erdöl, Erdgas, Wasserstoff)
  2. Verkehr (Luft, Schiene, Wasser, Straße)
  3. Bankwesen
  4. Finanzmarktinfrastrukturen
  5. Gesundheitswesen
  6. Trinkwasser
  7. Abwasser
  8. Digitale Infrastruktur
  9. IKT-Dienstleistungsmanagement (B2B)
  10. Öffentliche Verwaltung
  11. Weltraum

Anlage 2 – Sonstige kritische Sektoren (7 Sektoren):

  1. Post- und Kurierdienste
  2. Abfallbewirtschaftung
  3. Chemie
  4. Lebensmittel
  5. Verarbeitendes Gewerbe / Herstellung von Waren
  6. Digitale Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke)
  7. Forschung

Wichtig: Auch wenn Ihr Kerngeschäft nicht in einem dieser Sektoren liegt, können Sie als wichtiger Zulieferer oder Dienstleister für betroffene Unternehmen mittelbar in den Fokus geraten – insbesondere durch vertragliche Anforderungen an die Lieferkettensicherheit gemäß § 30 Abs. 2 Nr. 4 NIS2UmsuCG.

Kriterium 2: Unternehmensgröße – Die Schwellenwerte

Unternehmen in den genannten Sektoren werden anhand ihrer Größe klassifiziert:

Kategorie Mitarbeiterzahl Jahresumsatz oder Jahresbilanzsumme
Großunternehmen ≥ 250 Mitarbeitende > 50 Mio. € Umsatz oder > 43 Mio. € Bilanz
Mittlere Unternehmen ≥ 50 Mitarbeitende > 10 Mio. € Umsatz oder > 10 Mio. € Bilanz
Kleine Unternehmen < 50 Mitarbeitende ≤ 10 Mio. € Umsatz und ≤ 10 Mio. € Bilanz

Kleine Unternehmen sind grundsätzlich nicht von NIS2 betroffen – es sei denn, sie zählen aufgrund besonderer Bedeutung zu den explizit benannten Einrichtungen (z. B. Betreiber kritischer Infrastrukturen im Sinne des § 28 BSIG oder Vertrauensdiensteanbieter).

Wesentliche vs. Wichtige Einrichtungen: Was ist der Unterschied?

Aus der Kombination von Sektor und Größe ergibt sich die Einstufung als wesentliche Einrichtung (Essential Entity, EE) oder wichtige Einrichtung (Important Entity, IE). Diese Unterscheidung ist entscheidend, da sie den Umfang der Aufsicht und die Höhe möglicher Bußgelder bestimmt.

Wesentliche Einrichtungen (§ 28 Abs. 1 NIS2UmsuCG)

Als wesentliche Einrichtungen gelten:
- Großunternehmen in Sektoren der Anlage 1
- Mittlere Unternehmen in bestimmten hochkritischen Bereichen (z. B. qualifizierte Vertrauensdiensteanbieter, TLD-Namensregister, DNS-Diensteanbieter)
- Explizit benannte Einrichtungen unabhängig von der Größe (z. B. Betreiber kritischer Anlagen gemäß KRITIS-Dachgesetz)

Konsequenz: Wesentliche Einrichtungen unterliegen einer proaktiven Aufsicht durch das BSI. Das BSI kann anlasslos Audits, Kontrollen und Nachweise einfordern.

Wichtige Einrichtungen (§ 28 Abs. 2 NIS2UmsuCG)

Als wichtige Einrichtungen gelten:
- Mittlere Unternehmen in Sektoren der Anlage 1 (soweit nicht bereits als wesentlich eingestuft)
- Mittlere und Großunternehmen in Sektoren der Anlage 2

Konsequenz: Wichtige Einrichtungen unterliegen einer reaktiven Aufsicht – das BSI wird primär tätig, wenn es Hinweise auf Verstöße gibt oder Vorfälle gemeldet werden.

Ihr Selbsttest: Bin ich von NIS2 betroffen?

Gehen Sie diese Prüffragen systematisch durch. Beantworten Sie jede Frage mit Ja oder Nein:

Schritt 1 – Sektorprüfung

  • [ ] Ist mein Unternehmen in einem der Sektoren der Anlage 1 tätig?
  • [ ] Ist mein Unternehmen in einem der Sektoren der Anlage 2 tätig?
  • [ ] Erbringt mein Unternehmen wesentliche Dienstleistungen für Einrichtungen in Anlage 1 oder 2?

Wenn Sie mindestens eine Frage mit „Ja" beantwortet haben: weiter zu Schritt 2.

Schritt 2 – Größenprüfung

  • [ ] Beschäftigt mein Unternehmen 50 oder mehr Mitarbeitende?
  • [ ] Übersteigt der Jahresumsatz 10 Millionen Euro?
  • [ ] Übersteigt die Jahresbilanzsumme 10 Millionen Euro?

Wenn mindestens eine dieser Fragen mit „Ja" beantwortet wird: Sie sind wahrscheinlich betroffen.

Schritt 3 – Sonderprüfung (unabhängig von der Größe)

  • [ ] Bin ich ein qualifizierter Vertrauensdiensteanbieter?
  • [ ] Betreibe ich kritische Infrastrukturen gemäß § 28 BSIG?
  • [ ] Bin ich ein TLD-Namensregister oder DNS-Diensteanbieter?
  • [ ] Handelt es sich um eine Einrichtung der öffentlichen Verwaltung auf Bundes- oder Landesebene?

Ein „Ja" hier bedeutet: Sie sind betroffen – unabhängig von Ihrer Unternehmensgröße.

Ergebnis: Haben Sie in Schritt 1 und Schritt 2 mindestens eine Frage mit „Ja" beantwortet, oder in Schritt 3 eine Frage bejaht? Dann sollten Sie unverzüglich mit Ihrer NIS2-Compliance-Initiative beginnen.

Was droht bei Nichterfüllung? Bußgelder nach § 65 BSIG

Wer die Betroffenheitsprüfung ignoriert oder Pflichten nicht erfüllt, riskiert empfindliche Konsequenzen. § 65 BSIG (Bußgeldvorschriften im Rahmen des BSIG in der durch das NIS2UmsuCG geänderten Fassung) sieht folgende Sanktionen vor:

Einrichtungstyp Maximales Bußgeld
Wesentliche Einrichtungen Bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (der höhere Wert gilt)
Wichtige Einrichtungen Bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes (der höhere Wert gilt)

Zusätzlich zu Bußgeldern können das BSI und zuständige Aufsichtsbehörden:
- Anweisungen zur Behebung von Mängeln erteilen
- Bei wesentlichen Einrichtungen im Wiederholungsfall Führungskräfte vorübergehend von Leitungsaufgaben ausschließen (§ 61 Abs. 5 BSIG)
- Die öffentliche Bekanntmachung von Verstößen und betroffenen Einrichtungen anordnen

Auch zivilrechtliche Haftungsrisiken gegenüber Kunden und Partnern steigen bei nachgewiesener Verletzung von Sorgfaltspflichten erheblich.

Die wichtigsten Pflichten für betroffene Unternehmen im Überblick

Wer von NIS2 betroffen ist, muss unter anderem folgende Maßnahmen umsetzen (gemäß § 30 NIS2UmsuCG):

  1. Risikoanalyse und Sicherheitskonzept – systematische Identifikation und Bewertung von Cyberrisiken
  2. Incident Response & Meldepflichten – erhebliche Sicherheitsvorfälle müssen binnen 24 Stunden (Frühwarnung) und 72 Stunden (vollständige Meldung) an das BSI gemeldet werden
  3. Business Continuity Management – Pläne für den Notfall, Backup-Strategien, Krisenmanagement
  4. Lieferkettenmanagement – Sicherheitsanforderungen an Lieferanten und Dienstleister
  5. Verschlüsselung und Zugangskontrolle – kryptografische Maßnahmen und Multi-Faktor-Authentifizierung
  6. Schulungen und Awareness – Mitarbeitende und Führungskräfte müssen in Cybersicherheit geschult werden
  7. Registrierungspflicht beim BSI – betroffene Einrichtungen müssen sich beim BSI registrieren

Konkrete Handlungsempfehlungen: So gehen Sie jetzt vor

  1. Betroffenheitsstatus offiziell feststellen: Dokumentieren Sie schriftlich, ob und warum Ihr Unternehmen unter NIS2 fällt. Nutzen Sie die Kriterien aus § 3 NIS2UmsuCG als Grundlage. Diese Dokumentation ist bereits Bestandteil einer möglichen Behördenprüfung.

  2. Gap-Analyse durchführen: Vergleichen Sie Ihren aktuellen Sicherheitsstand mit den Anforderungen aus § 30 NIS2UmsuCG. Wo bestehen Lücken? Priorisieren Sie diese nach Risikograd.

  3. Geschäftsführung sensibilisieren: NIS2 stellt die persönliche Verantwortung der Geschäftsleitung in den Vordergrund (§ 38 NIS2UmsuCG). Die Geschäftsführung muss Maßnahmen genehmigen, beaufsichtigen und haftet bei Verstößen.

  4. ISMS aufbauen oder anpassen: Implementieren Sie ein Informationssicherheits-Managementsystem (ISMS), idealerweise auf Basis von ISO/IEC 27001 oder dem BSI IT-Grundschutz. Dieses bildet das Rückgrat aller NIS2-Maßnahmen.

  5. Meldeprozesse einrichten: Definieren Sie klare interne Prozesse, wer im Falle eines Sicherheitsvorfalls was tut – und wie die fristgerechte Meldung an das BSI sichergestellt wird.

  6. Lieferanten bewerten: Fordern Sie Sicherheitsnachweise von kritischen Dienstleistern an und integrieren Sie NIS2-Anforderungen in neue Verträge.

  7. Beim BSI registrieren: Die Registrierungspflicht besteht unabhängig vom Fortschritt der Compliance-Umsetzung. Melden Sie Ihr Unternehmen über das BSI-Portal an.

  8. Regelmäßige Überprüfung: Cybersicherheit ist kein einmaliges Projekt. Etablieren Sie jährliche Reviews und simulierte Vorfallübungen (Tabletop Exercises).

Fazit: Nächste Schritte jetzt einleiten

Die NIS2-Betroffenheitsprüfung ist der unverzichtbare erste Schritt auf dem Weg zur Compliance. Viele Unternehmen unterschätzen dabei, wie weit der Anwendungsbereich reicht – besonders im verarbeitenden Gewerbe, im Gesundheitswesen und bei digitalen Dienstleistern. Die Kombination aus Sektorzugehörigkeit (Anlage 1 oder 2) und Größenschwellenwert (50+ Mitarbeitende, 10 Mio. € Umsatz) bestimmt, ob Sie als wesentliche oder wichtige Einrichtung eingestuft werden.

Die drei wichtigsten nächsten Schritte zusammengefasst:
- ✅ Führen Sie den Selbsttest aus diesem Artikel durch und dokumentieren Sie das Ergebnis
- ✅ Starten Sie eine strukturierte Gap-Analyse gegen § 30 NIS2UmsuCG
- ✅ Informieren Sie Ihre Geschäftsführung – sie trägt die rechtliche Verantwortung

Praktischer Tipp: NIS2-Compliance-Software nutzen

Die Betroffenheitsprüfung, Gap-Analyse, Risikobeurteilung und Dokumentation aller NIS2-Maßnahmen manuell zu verwalten, ist aufwändig und fehleranfällig. Spezialisierte NIS2-Compliance-Software und ISMS-Plattformen unterstützen Sie dabei, den gesamten Prozess strukturiert zu steuern: von der automatisierten Betroffenheitsprüfung über die Erstellung gesetzeskonformer Richtlinien und Dokumentvorlagen bis hin zur Nachverfolgung von Maßnahmen und der Vorbereitung auf BSI-Audits. Viele Lösungen bieten auch integrierte Schulungsmodule für Mitarbeitende und Führungskräfte. Evaluieren Sie frühzeitig, welches Tool zu Ihrer Unternehmensgröße und Ihrem Reifegrad passt – und sparen Sie damit wertvolle Zeit und Ressourcen auf dem Weg zur NIS2-Compliance.

Quellen: NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), BSIG in der aktuellen Fassung, EU-Richtlinie 2022/2555, BSI-Empfehlungen zur NIS2-Umsetzung, ENISA Threat Landscape 2025