NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 08. August 2026 | Lesedauer: ca. 8 Minuten

Die NIS2-Richtlinie ist seit der Umsetzung durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in deutsches Recht übergegangen – und sie betrifft weit mehr Unternehmen als bislang angenommen. Schätzungen des BSI zufolge fallen in Deutschland rund 30.000 Unternehmen in den Anwendungsbereich der neuen Regelungen. Viele Geschäftsführer und IT-Verantwortliche fragen sich noch immer: Bin ich eigentlich betroffen? Dieser Artikel liefert Ihnen eine strukturierte NIS2-Betroffenheitsprüfung für Deutschland 2025 und zeigt, welche Konsequenzen drohen, wenn Sie die Pflichten ignorieren.

Was regelt §3 NIS2UmsuCG – und warum ist er entscheidend?

Der §3 NIS2UmsuCG definiert den persönlichen Anwendungsbereich des Gesetzes. Er unterscheidet zwischen zwei Kategorien von betroffenen Einrichtungen:

• Wesentliche Einrichtungen (Essential Entities, EE): Unterliegen den strengsten Anforderungen und der intensivsten Aufsicht.
• Wichtige Einrichtungen (Important Entities, IE): Ebenfalls reguliert, jedoch mit etwas weniger strengen Kontrollmechanismen.

Maßgeblich für die Einstufung sind zwei Faktoren: der Sektor, in dem das Unternehmen tätig ist, und die Unternehmensgröße nach EU-Definition. Wer beide Schwellen überschreitet, ist automatisch in den Anwendungsbereich einbezogen – eine aktive Registrierung oder Benachrichtigung durch Behörden ist für die Betroffenheit nicht erforderlich.

Schritt 1: Fällt Ihr Sektor unter Anlage 1 oder Anlage 2?

Die sektorale Einordnung ist der erste und wichtigste Prüfschritt. Das NIS2UmsuCG unterscheidet zwischen hochkritischen Sektoren (Anlage 1) und sonstigen kritischen Sektoren (Anlage 2).

Anlage 1 – Hochkritische Sektoren (Wesentliche Einrichtungen)

Unternehmen in diesen Bereichen werden als wesentliche Einrichtungen eingestuft, sofern sie die Größenkriterien erfüllen:

Anlage 2 – Sonstige kritische Sektoren (Wichtige Einrichtungen)

Diese Sektoren fallen unter die Kategorie der wichtigen Einrichtungen:

Praxishinweis: Wenn Ihr Unternehmen in der Lieferkette eines dieser Sektoren tätig ist – etwa als IT-Dienstleister für ein Krankenhaus oder als Zulieferer der Rüstungsindustrie – sollten Sie ebenfalls prüfen, ob indirekte Pflichten entstehen.

Schritt 2: Erfüllt Ihr Unternehmen die Größenkriterien?

Der Sektor allein genügt nicht. Zusätzlich muss Ihr Unternehmen bestimmte Schwellenwerte für Mitarbeiterzahl und Jahresumsatz oder Bilanzsumme überschreiten. Grundlage ist die EU-Definition für kleine und mittlere Unternehmen:

Größenklassen und NIS2-Relevanz

Wichtige Ausnahmen: Auch kleinere Unternehmen können betroffen sein, wenn sie:
- als einziger Anbieter eines kritischen Dienstleistung in Deutschland gelten,
- als qualifizierter Vertrauensdiensteanbieter nach eIDAS fungieren,
- kritische Infrastrukturen betreiben, die in der BSI-KRITIS-Verordnung gelistet sind, oder
- vom BSI explizit als bedeutsam für die öffentliche Sicherheit eingestuft werden.

Schritt 3: Wesentliche vs. wichtige Einrichtung – Was ist der Unterschied?

Die Einstufung als wesentliche oder wichtige Einrichtung hat praktische Konsequenzen für Aufsicht, Prüfpflichten und Bußgeldrahmen.

Wesentliche Einrichtungen

• Unterliegen der proaktiven Aufsicht durch das BSI
• Müssen regelmäßige Sicherheitsaudits nachweisen
• Höhere Bußgelder bei Verstößen: bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes
• Meldepflichten bei Sicherheitsvorfällen innerhalb von 24 Stunden (Erstmeldung) und 72 Stunden (Folgemeldung)

Wichtige Einrichtungen

• Unterliegen der reaktiven Aufsicht – das BSI wird erst bei Hinweisen auf Verstöße tätig
• Prüfungen erfolgen anlassbezogen, nicht routinemäßig
• Bußgelder bei Verstößen: bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes
• Gleiche Meldepflichten wie wesentliche Einrichtungen (24/72-Stunden-Regel)

Interaktiver Selbsttest: Bin ich betroffen?

Nutzen Sie diese vereinfachte Checkliste für eine erste Einschätzung. Beantworten Sie jede Frage mit Ja oder Nein:

Checkliste NIS2-Betroffenheitsprüfung

• [ ] Frage 1: Ist mein Unternehmen in einem der Sektoren aus Anlage 1 oder Anlage 2 tätig?
• [ ] Frage 2: Beschäftigt mein Unternehmen 50 oder mehr Mitarbeiter?
• [ ] Frage 3: Liegt der Jahresumsatz oder die Bilanzsumme bei 10 Millionen Euro oder mehr?
• [ ] Frage 4: Erbringt mein Unternehmen kritische Dienstleistungen ohne marktfähige Alternative in Deutschland?
• [ ] Frage 5: Ist mein Unternehmen als Trust Service Provider, DNS-Resolver oder TLD-Registrar tätig?

Auswertung:
- Frage 1 + (Frage 2 oder Frage 3) = Ja: Sie sind höchstwahrscheinlich betroffen – handeln Sie jetzt.
- Frage 4 oder Frage 5 = Ja: Betroffenheit auch ohne Erfüllung der Größenkriterien möglich.
- Alle Nein: Direkte NIS2-Pflichten greifen voraussichtlich nicht – prüfen Sie jedoch indirekte Lieferkettenpflichten.

⚠️ Hinweis: Diese Checkliste ersetzt keine rechtliche Beratung. Für eine rechtsverbindliche Einschätzung empfehlen wir die Konsultation eines auf IT-Recht spezialisierten Anwalts sowie die offizielle BSI-KRITIS-Datenbank.

Was droht bei Nichterfüllung? Bußgelder nach §65 BSIG

Wer die NIS2-Pflichten ignoriert, riskiert erhebliche Sanktionen. Der §65 BSIG (Bundessicherheitsgesetz in der durch das NIS2UmsuCG geänderten Fassung) sieht folgende Bußgelder vor:

Bußgeldrahmen im Überblick

Besonders gravierend: Geschäftsführer und Vorstände haften persönlich, wenn sie ihren Aufsichtspflichten nicht nachkommen. Das BSI kann zudem die öffentliche Bekanntmachung von Verstößen anordnen – ein erheblicher Reputationsschaden für betroffene Unternehmen.

Welche Pflichten entstehen nach der Betroffenheitsprüfung?

Sobald feststeht, dass Ihr Unternehmen unter NIS2 fällt, greifen konkrete Handlungspflichten. Die wichtigsten im Überblick:

Technische und organisatorische Maßnahmen (gemäß §30 BSIG)

1. Risikoanalyse und Informationssicherheitspolitik – Dokumentiertes ISMS ist Pflicht
2. Business Continuity Management – Backup-Strategien, Notfallpläne, Krisenmanagement
3. Lieferkettensicherheit – Sicherheitsanforderungen an Zulieferer und Dienstleister
4. Einsatz kryptografischer Verfahren – Verschlüsselung sensibler Daten und Kommunikation
5. Zugangs- und Identitätsmanagement – Multi-Faktor-Authentifizierung, Least-Privilege-Prinzip
6. Schwachstellenmanagement – Regelmäßige Scans, Patch-Management, Penetrationstests
7. Meldeprozesse für Sicherheitsvorfälle – Klare interne Eskalationswege zum BSI

Governance und Management-Verantwortung

• Die Geschäftsleitung muss Schulungen zu Cybersicherheitsthemen absolvieren
• Sicherheitsmaßnahmen müssen vom Management genehmigt und überwacht werden
• Eine Registrierung beim BSI ist für wesentliche und wichtige Einrichtungen Pflicht

7 konkrete Handlungsempfehlungen für Ihr Unternehmen

1. Betroffenheit rechtssicher klären: Führen Sie eine formale Betroffenheitsprüfung durch – idealerweise gemeinsam mit einem IT-Rechtsanwalt und Ihrem CISO.

2. Sektorzuordnung dokumentieren: Halten Sie schriftlich fest, welchem Sektor (Anlage 1 oder 2) Ihr Unternehmen zuzuordnen ist und begründen Sie diese Einschätzung.

3. Gap-Analyse durchführen: Vergleichen Sie Ihre aktuellen Sicherheitsmaßnahmen mit den Anforderungen aus §30 BSIG und identifizieren Sie Lücken.

4. ISMS aufbauen oder zertifizieren: Eine ISO-27001-Zertifizierung erleichtert den NIS2-Nachweis erheblich und wird vom BSI als Referenzrahmen anerkannt.

5. Meldeprozesse einrichten: Stellen Sie sicher, dass Ihr Team im Ernstfall in der Lage ist, einen Vorfall innerhalb von 24 Stunden an das BSI zu melden.

6. Lieferkette prüfen: Fordern Sie von kritischen Zulieferern und IT-Dienstleistern Sicherheitsnachweise an und verankern Sie NIS2-Anforderungen in Verträgen.

7. Management schulen und sensibilisieren: NIS2 ist Chefsache – Geschäftsführer und Vorstände müssen die Grundlagen kennen und Verantwortung übernehmen.

Fazit: Jetzt handeln – nicht auf behördliche Post warten

Die NIS2-Betroffenheitsprüfung ist kein bürokratisches Nice-to-have, sondern eine rechtliche Pflicht mit erheblichen Konsequenzen. Unternehmen, die in einem der regulierten Sektoren tätig sind und die Größenschwellen von 50 Mitarbeitern oder 10 Millionen Euro Umsatz überschreiten, müssen aktiv werden – unabhängig davon, ob sie eine Aufforderung vom BSI erhalten haben oder nicht.

Ihre nächsten Schritte auf einen Blick:

1. ✅ Sektorzugehörigkeit anhand von Anlage 1 und 2 des NIS2UmsuCG prüfen
2. ✅ Unternehmensgrößen (Mitarbeiterzahl, Umsatz, Bilanzsumme) verifizieren
3. ✅ Einstufung als wesentliche oder wichtige Einrichtung dokumentieren
4. ✅ Beim BSI registrieren (Pflicht ab Betroffenheit)
5. ✅ Gap-Analyse starten und Maßnahmenplan aufsetzen

Nächste Schritte mit digitaler Unterstützung

Die Komplexität der NIS2-Anforderungen macht deutlich: Eine strukturierte, softwaregestützte Herangehensweise ist kein Luxus, sondern Notwendigkeit. Moderne NIS2-Compliance-Plattformen und ISMS-Tools helfen Ihnen dabei, die Betroffenheitsprüfung rechtssicher zu dokumentieren, Maßnahmenpakete nach §30 BSIG zu verwalten, Meldeprozesse zu automatisieren und Audit-Nachweise für BSI-Prüfungen strukturiert bereitzuhalten. Viele Lösungen bieten zudem vorgefertigte Richtlinienvorlagen und ISMS-Dokumentensets, die Sie direkt an Ihre Unternehmensstruktur anpassen können – und so den Aufwand für Ihr Team erheblich reduzieren. Prüfen Sie, welche Tools am besten zu Ihrer Unternehmensgröße und Ihrem Sektor passen, bevor Sie mit dem Aufbau Ihres Sicherheitsrahmens beginnen.

Quellen: BSI (bsi.bund.de), NIS2UmsuCG (Bundesanzeiger), BSIG in der Fassung 2024/2025, ENISA NIS2-Leitfaden 2024, EU-Richtlinie 2022/2555 (NIS2).