NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 09. August 2026 | Lesezeit: ca. 8 Minuten

Seit dem Inkrafttreten des NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes (NIS2UmsuCG) stehen tausende deutsche Unternehmen vor einer zentralen Frage: Bin ich eigentlich betroffen? Die Antwort darauf entscheidet über erhebliche Compliance-Pflichten, Investitionsbedarf und – im schlimmsten Fall – über empfindliche Bußgelder. Laut Schätzungen des Bundesamts für Sicherheit in der Informationstechnik (BSI) fallen in Deutschland rund 29.000 Unternehmen unter die neue Regelung. Viele davon haben ihre Betroffenheit bis heute nicht systematisch geprüft.

Dieser Artikel erklärt, wie Sie die NIS2-Betroffenheitsprüfung strukturiert durchführen, welche Sektoren und Größenkriterien entscheidend sind und welche Konsequenzen drohen, wenn Sie die Prüfung ignorieren.

Was ist die NIS2-Betroffenheitsprüfung und warum ist sie 2025/2026 so wichtig?

Die NIS2-Betroffenheitsprüfung ist der erste und wichtigste Schritt in der NIS2-Compliance. Sie beantwortet, ob Ihr Unternehmen nach §3 NIS2UmsuCG als wesentliche oder wichtige Einrichtung einzustufen ist. Diese Einstufung ist keine Formalität: Sie bestimmt unmittelbar, welche Sicherheitsmaßnahmen Sie umsetzen müssen, welche Meldepflichten gelten und welchem Aufsichtsregime Sie unterliegen.

Trotz der ursprünglichen Umsetzungsfrist aus Oktober 2024 kämpfen viele Unternehmen noch immer mit der grundlegenden Frage der Betroffenheit. Behörden und Verbände berichten, dass gerade mittelständische Unternehmen die Relevanz für sich selbst unterschätzen – insbesondere wenn sie als Zulieferer oder Dienstleister in kritischen Lieferketten tätig sind.

Wichtig: Die Registrierungspflicht beim BSI nach §33 NIS2UmsuCG gilt für wesentliche und wichtige Einrichtungen. Wer sich nicht registriert, riskiert bereits dadurch Bußgelder.

Die zwei entscheidenden Kriterien: Sektor und Unternehmensgröße

Die Betroffenheitsprüfung folgt einer klaren Zwei-Stufen-Logik: Erst der Sektor, dann die Größe.

Schritt 1: Gehört Ihr Unternehmen zu einem der regulierten Sektoren?

Das NIS2UmsuCG unterscheidet zwischen zwei Anlagen mit unterschiedlich kritischen Sektoren:

Anlage 1 – Sektoren mit hoher Kritikalität (wesentliche Einrichtungen)

Anlage 2 – Sonstige kritische Sektoren (wichtige Einrichtungen)

Praxishinweis: Viele Unternehmen aus dem verarbeitenden Gewerbe übersehen ihre Betroffenheit. Ein mittelständischer Maschinenbauer mit 80 Mitarbeitern und 12 Millionen Euro Umsatz fällt unter Anlage 2 – und damit unter das NIS2-Regime.

Schritt 2: Erfüllt Ihr Unternehmen die Größenschwellen?

Für die meisten Sektoren gelten die EU-weit einheitlichen Größenschwellen:

• Wichtige Einrichtungen (Anlage 2): Mindestens 50 Mitarbeiter oder Jahresumsatz bzw. Jahresbilanzsumme von mindestens 10 Millionen Euro
• Wesentliche Einrichtungen (Anlage 1): Mindestens 250 Mitarbeiter oder Jahresumsatz über 50 Millionen Euro und Jahresbilanzsumme über 43 Millionen Euro

Achtung Ausnahme: Für bestimmte Einrichtungen – insbesondere aus dem Bereich digitale Infrastruktur, öffentliche Verwaltung und einige Anbieter digitaler Dienste – gilt die Größenschwelle nicht. Hier ist allein die Sektorzugehörigkeit ausschlaggebend.

Unternehmen, die die Größenschwellen für wesentliche Einrichtungen überschreiten und gleichzeitig einem Sektor aus Anlage 1 angehören, werden automatisch als wesentliche Einrichtungen eingestuft. Alle anderen betroffenen Unternehmen fallen in die Kategorie der wichtigen Einrichtungen.

Wesentliche vs. wichtige Einrichtungen: Was ist der Unterschied?

Die Kategorisierung hat direkte praktische Konsequenzen:

Ein wesentlicher Punkt, den viele Geschäftsführer übersehen: Die Sicherheitsanforderungen sind für beide Kategorien nahezu identisch. Der hauptsächliche Unterschied liegt in der Intensität der behördlichen Überwachung und der Höhe möglicher Bußgelder.

Interaktiver Selbsttest: Bin ich von NIS2 betroffen?

Nutzen Sie diese strukturierte Checkliste zur ersten Einschätzung Ihrer Betroffenheit:

✅ NIS2-Betroffenheits-Schnellcheck

Block A: Sektorzugehörigkeit
- [ ] Mein Unternehmen ist in einem Sektor aus Anlage 1 des NIS2UmsuCG tätig
- [ ] Mein Unternehmen ist in einem Sektor aus Anlage 2 des NIS2UmsuCG tätig
- [ ] Mein Unternehmen erbringt digitale Infrastrukturdienstleistungen (DNS, TLD, Cloud, Rechenzentrum)
- [ ] Mein Unternehmen ist ein Managed Service Provider (MSP) oder Managed Security Service Provider (MSSP)

Block B: Unternehmensgröße
- [ ] Wir beschäftigen 50 oder mehr Mitarbeiter (Vollzeitäquivalente)
- [ ] Unser Jahresumsatz übersteigt 10 Millionen Euro
- [ ] Wir beschäftigen 250 oder mehr Mitarbeiter
- [ ] Unser Jahresumsatz übersteigt 50 Millionen Euro

Block C: Besondere Umstände
- [ ] Wir sind der einzige Anbieter eines kritischen Dienstes in einer Region
- [ ] Ein Ausfall unserer Systeme hätte erhebliche gesellschaftliche oder wirtschaftliche Auswirkungen
- [ ] Wir sind Teil einer kritischen Lieferkette für einen NIS2-pflichtigen Auftraggeber

Auswertung:
- Anlage-1-Sektor + 250 MA oder 50 Mio. € Umsatz → Wesentliche Einrichtung
- Anlage-1- oder Anlage-2-Sektor + 50 MA oder 10 Mio. € Umsatz → Wichtige Einrichtung
- Digitale Infrastruktur/Verwaltung → Betroffenheit unabhängig von der Größe
- Block C: Ja-Antworten → Einzelfallprüfung mit Rechtsberatung empfehlenswert

Konsequenzen bei Nichterfüllung: Was droht bei Ignorieren der NIS2?

Wer die NIS2-Betroffenheitsprüfung ignoriert oder die daraus resultierenden Pflichten nicht erfüllt, riskiert erhebliche rechtliche und finanzielle Konsequenzen.

Bußgelder nach §65 BSIG (NIS2UmsuCG)

Das novellierte BSIG sieht empfindliche Sanktionen vor:

• Wesentliche Einrichtungen: Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (der höhere Betrag gilt)
• Wichtige Einrichtungen: Bußgelder bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes
• Einzelne Verstöße (z. B. verspätete Meldung eines Vorfalls): Bußgelder von bis zu 100.000 Euro pro Verstoß

Persönliche Haftung der Geschäftsführung

Besonders hervorzuheben ist §38 NIS2UmsuCG: Geschäftsführer und Vorstände können persönlich für die Umsetzung der Cybersicherheitsmaßnahmen verantwortlich gemacht werden. Das BSI kann im Extremfall sogar ein vorübergehendes Berufsverbot für Führungskräfte aussprechen, die ihre Pflichten systematisch vernachlässigen.

Reputations- und Marktrisiken

Neben den direkten Sanktionen drohen bei einem Sicherheitsvorfall erhebliche Reputationsschäden. Das BSI kann Informationen über Sicherheitsvorfälle öffentlich machen. Auftraggeber aus dem NIS2-pflichtigen Bereich werden verstärkt Nachweise über Cybersicherheitsmaßnahmen ihrer Lieferanten einfordern – wer hier nicht liefern kann, verliert Aufträge.

Handlungsempfehlungen: So gehen Sie jetzt vor

Wenn Sie durch die Betroffenheitsprüfung festgestellt haben, dass NIS2 für Ihr Unternehmen gilt, empfehlen wir folgende Schritte:

1. Betroffenheit dokumentieren: Halten Sie die Ergebnisse Ihrer Betroffenheitsprüfung schriftlich fest. Dokumentieren Sie, aufgrund welcher Kriterien (Sektor, Größe) Sie betroffen sind.

2. Registrierung beim BSI vornehmen: Wesentliche und wichtige Einrichtungen müssen sich im BSI-Portal registrieren. Prüfen Sie, ob Ihr Unternehmen dieser Pflicht bereits nachgekommen ist.

3. Gap-Analyse durchführen: Vergleichen Sie Ihre bestehenden Cybersicherheitsmaßnahmen mit den Anforderungen aus §30 NIS2UmsuCG. Dazu gehören u. a. Risikoanalysen, Incident-Response-Prozesse, Supply-Chain-Sicherheit und Kryptographiepolitiken.

4. Verantwortlichkeiten klären: Benennen Sie intern eine verantwortliche Person oder ein Team für NIS2-Compliance. Sensibilisieren Sie die Geschäftsführung für ihre persönliche Haftung nach §38 NIS2UmsuCG.

5. Meldeprozesse etablieren: Implementieren Sie Prozesse für die dreistufige Meldepflicht bei erheblichen Sicherheitsvorfällen: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussbericht nach einem Monat.

6. Lieferkette prüfen: Analysieren Sie, welche Drittanbieter und Dienstleister Zugang zu Ihren kritischen Systemen haben. NIS2 verpflichtet zur Absicherung der Lieferkette.

7. Schulungen durchführen: Führungskräfte und IT-Personal müssen über NIS2-Anforderungen informiert sein. Das BSI stellt entsprechende Orientierungshilfen bereit.

8. Rechtliche Beratung einholen: Bei Unklarheiten über die Betroffenheit oder bei komplexen Unternehmensstrukturen (Konzerne, internationale Tätigkeiten) empfiehlt sich die Einholung rechtlichen Rats.

Fazit: Betroffenheitsprüfung ist Pflicht – handeln Sie jetzt

Die NIS2-Betroffenheitsprüfung ist kein optionales Thema für IT-Abteilungen, sondern eine geschäftsführungsrelevante Compliance-Pflicht. Die Frage "Betrifft uns NIS2?" ist für Tausende deutsche Unternehmen mit einem klaren Ja zu beantworten – auch wenn sie sich bisher nicht als kritisch eingestuft haben.

Ihre nächsten Schritte zusammengefasst:
- Prüfen Sie jetzt systematisch anhand von Sektor (Anlage 1/2) und Größenkriterien (50+ MA, 10 Mio. € Umsatz), ob Ihr Unternehmen betroffen ist.
- Registrieren Sie sich beim BSI, falls die Prüfung eine Betroffenheit ergibt.
- Starten Sie unverzüglich eine Gap-Analyse Ihrer Cybersicherheitsmaßnahmen.
- Dokumentieren Sie alle Schritte lückenlos – im Prüfungsfall müssen Sie Ihre Compliance nachweisen können.

Die Kosten einer konsequenten NIS2-Umsetzung sind kalkulierbar. Die Kosten eines ignorierenden Umgangs damit – durch Bußgelder, Sicherheitsvorfälle oder Auftragsverluste – sind es nicht.

Nächste Schritte mit der richtigen Software-Unterstützung

Die NIS2-Betroffenheitsprüfung und die anschließende Umsetzung der Anforderungen erzeugen eine erhebliche Menge an Dokumentations- und Nachweispflichten. Spezialisierte NIS2-Compliance-Software und ISMS-Plattformen helfen Ihnen dabei, die Betroffenheit systematisch zu prüfen, Risikoanalysen zu strukturieren, Sicherheitsmaßnahmen zu verwalten und Nachweise revisionssicher zu dokumentieren. Viele Lösungen bieten integrierte Checklisten nach §30 NIS2UmsuCG sowie automatisierte Erinnerungsfunktionen für Meldepflichten. Wer NIS2 ernst nimmt, kommt um eine durchdachte Tool-Unterstützung kaum herum – manuelle Tabellenkalkulation ist bei der Komplexität der Anforderungen schlicht kein nachhaltiger Ansatz.

Quellen und weiterführende Informationen: BSI-Grundschutz-Kompendium, NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), ENISA NIS2 Guidelines, Bundesnetzagentur Sektorleitfäden