NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 10. August 2026 | Lesezeit: ca. 10 Minuten

Die NIS2-Richtlinie der Europäischen Union und ihre Umsetzung in deutsches Recht durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) haben die Cybersicherheitslandschaft für Unternehmen in Deutschland grundlegend verändert. Viele Geschäftsführer und IT-Verantwortliche stellen sich dabei eine entscheidende Frage: Ist unser Unternehmen überhaupt betroffen?

Die Antwort ist alles andere als trivial — und die Konsequenzen einer Fehleinschätzung können empfindlich sein. Dieser Artikel führt Sie Schritt für Schritt durch die NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland 2025 und gibt Ihnen konkrete Handlungsempfehlungen an die Hand.

Was regelt §3 NIS2UmsuCG?

Der §3 des NIS2UmsuCG definiert den persönlichen Anwendungsbereich des Gesetzes und legt fest, welche Einrichtungen als "wesentlich" oder "wichtig" eingestuft werden. Er setzt damit die Vorgaben aus Artikel 3 der EU-NIS2-Richtlinie (Richtlinie (EU) 2022/2555) in nationales Recht um.

Grundsätzlich gilt: Nicht alle Unternehmen in Deutschland fallen automatisch unter NIS2. Es müssen zwei Bedingungen gleichzeitig erfüllt sein:

1. Sektor-Kriterium: Das Unternehmen ist in einem der in Anlage 1 oder Anlage 2 des NIS2UmsuCG gelisteten Sektoren tätig.
2. Größen-Kriterium: Das Unternehmen überschreitet bestimmte Schwellenwerte bei Mitarbeiterzahl oder Umsatz.

Die betroffenen Sektoren: Anlage 1 und Anlage 2

Das NIS2UmsuCG unterscheidet zwischen hochkritischen Sektoren (Anlage 1) und sonstigen kritischen Sektoren (Anlage 2). Diese Unterscheidung ist entscheidend für die Einstufung als "wesentliche" oder "wichtige" Einrichtung.

Anlage 1 — Hochkritische Sektoren

Anlage 2 — Sonstige Kritische Sektoren

Wichtiger Hinweis: Die genaue Einordnung eines Unternehmens in einen Sektor kann komplex sein, insbesondere bei Mischbetrieben oder Unternehmen mit diversen Geschäftsbereichen. Im Zweifel empfiehlt sich eine rechtliche Prüfung.

Das Größen-Kriterium: Ab wann greift NIS2?

Neben der sektoralen Zugehörigkeit müssen Unternehmen bestimmte Größenschwellen überschreiten, um unter NIS2 zu fallen. Diese orientieren sich an der EU-Empfehlung 2003/361/EG zur Definition von KMU:

Mittlere Unternehmen (Grundvoraussetzung für NIS2)

• ≥ 50 Mitarbeiter (Vollzeitäquivalente), oder
• ≥ 10 Mio. € Jahresumsatz (und ≥ 10 Mio. € Jahresbilanzsumme)

Unternehmen, die diese Schwelle überschreiten und in einem der genannten Sektoren tätig sind, fallen grundsätzlich unter NIS2.

Ausnahmen: Kleinunternehmen können trotzdem betroffen sein

In bestimmten Fällen greift NIS2 unabhängig von der Unternehmensgröße, nämlich wenn:

• das Unternehmen der einzige Anbieter eines wesentlichen Dienstleistung in einem Mitgliedstaat ist,
• eine Störung erhebliche Auswirkungen auf die öffentliche Sicherheit, Ordnung oder Gesundheit hätte,
• es sich um einen TLD-Nameserver, DNS-Resolver, einen Internet Exchange Point oder einen Anbieter qualifizierter Vertrauensdienste handelt,
• das Unternehmen als kritische Infrastruktur (KRITIS) nach §28 BSIG eingestuft ist.

Wesentliche vs. wichtige Einrichtungen: Der entscheidende Unterschied

Die Einstufung eines Unternehmens als "wesentliche Einrichtung" (Essential Entity) oder "wichtige Einrichtung" (Important Entity) hat erhebliche Konsequenzen für die Aufsicht und die Anforderungen.

Wesentliche Einrichtungen (§3 Abs. 1 NIS2UmsuCG)

Hierzu zählen:
- Große Unternehmen (≥ 250 Mitarbeiter oder ≥ 50 Mio. € Umsatz) aus Anlage-1-Sektoren
- Bestimmte Dienstleister unabhängig von ihrer Größe (z. B. qualifizierte Vertrauensdienstanbieter, TLD-Registries)
- KRITIS-Betreiber nach §28 BSIG

Aufsicht: Proaktiv durch das BSI — das bedeutet, das BSI kann jederzeit Prüfungen und Nachweise anfordern, ohne dass ein Vorfall vorausgehen muss.

Wichtige Einrichtungen (§3 Abs. 2 NIS2UmsuCG)

Hierzu zählen:
- Mittlere Unternehmen (50–249 Mitarbeiter, 10–49 Mio. € Umsatz) aus Anlage-1-Sektoren
- Unternehmen jeder Größe aus Anlage-2-Sektoren, sofern sie die Mittelschwelle überschreiten

Aufsicht: Reaktiv durch das BSI — Prüfungen erfolgen in der Regel erst nach einem Sicherheitsvorfall oder auf konkreten Anlass.

Interaktiver Selbsttest: Ist Ihr Unternehmen betroffen?

Gehen Sie die folgenden Fragen der Reihe nach durch, um eine erste Einschätzung zu erhalten:

Schritt 1 — Sektorzugehörigkeit prüfen
- [ ] Ist mein Unternehmen in einem Sektor aus Anlage 1 tätig?
- [ ] Ist mein Unternehmen in einem Sektor aus Anlage 2 tätig?
- Wenn beide mit Nein beantwortet: NIS2 gilt für Sie wahrscheinlich nicht.

Schritt 2 — Größe prüfen
- [ ] Hat mein Unternehmen 50 oder mehr Mitarbeiter?
- [ ] Erzielt mein Unternehmen ≥ 10 Mio. € Jahresumsatz?
- Wenn beide mit Nein beantwortet: NIS2 gilt für Sie wahrscheinlich nicht (außer Sonderregelungen).

Schritt 3 — Einrichtungstyp bestimmen
- [ ] Hat mein Unternehmen ≥ 250 Mitarbeiter oder ≥ 50 Mio. € Umsatz und ist in Anlage 1 gelistet?
→ Wesentliche Einrichtung
- [ ] Hat mein Unternehmen 50–249 Mitarbeiter oder 10–49 Mio. € Umsatz und ist in Anlage 1 gelistet?
→ Wichtige Einrichtung
- [ ] Ist mein Unternehmen in Anlage 2 gelistet und überschreitet die Mittelschwelle?
→ Wichtige Einrichtung

Schritt 4 — Registrierung prüfen
- [ ] Hat mein Unternehmen sich beim BSI registriert? (Pflicht gemäß §33 NIS2UmsuCG)

Achtung: Dieser Selbsttest ersetzt keine rechtliche oder fachkundige Beratung. Bei Unsicherheiten wenden Sie sich an einen auf Cybersicherheitsrecht spezialisierten Anwalt oder direkt an das BSI.

Pflichten für betroffene Unternehmen im Überblick

Wer unter NIS2 fällt, muss eine Reihe von Maßnahmen umsetzen. Die zentralen Pflichten nach §§30–38 NIS2UmsuCG umfassen:

Technische und organisatorische Maßnahmen (§30 NIS2UmsuCG)

• Risikoanalyse und Sicherheitskonzepte
• Incident Response und Business Continuity Management
• Lieferkettensicherheit und Sicherheit bei der Beschaffung
• Sichere Softwareentwicklung und -beschaffung
• Kryptografie und Verschlüsselung
• Multi-Faktor-Authentifizierung
• Schulungen und Sicherheitsbewusstsein

Meldepflichten (§32 NIS2UmsuCG)

Erhebliche Sicherheitsvorfälle müssen dem BSI gemeldet werden:
- Innerhalb von 24 Stunden: Erstmeldung (Frühwarnung)
- Innerhalb von 72 Stunden: Aktualisierte Meldung mit Erstbewertung
- Innerhalb von einem Monat: Abschlussbericht

Registrierungspflicht (§33 NIS2UmsuCG)

Alle betroffenen Einrichtungen müssen sich beim BSI registrieren. Dies geschieht über das BSI-Portal. Die Registrierung umfasst Angaben zu Kontaktdaten, Sektorenzugehörigkeit und angebotenen Diensten.

Konsequenzen bei Nichterfüllung: Bußgelder nach §65 BSIG

Wer die NIS2-Pflichten ignoriert oder verletzt, riskiert erhebliche Sanktionen. §65 des Bundessicherheitsstärkungsgesetzes (BSIG) sieht folgende Bußgelder vor:

Darüber hinaus kann das BSI bei wesentlichen Einrichtungen im Wiederholungsfall temporäre Tätigkeitsverbote für Geschäftsführer aussprechen — eine Regelung, die die persönliche Haftung von Führungskräften unterstreicht. Geschäftsführer und Vorstände haften gemäß §38 NIS2UmsuCG persönlich für die Umsetzung der Cybersicherheitsmaßnahmen und können bei Pflichtverletzung in Regress genommen werden.

Praxisbeispiel: Ein mittelständischer Maschinenbauunternehmen mit 180 Mitarbeitern und 35 Mio. € Jahresumsatz fällt als "wichtige Einrichtung" unter NIS2 (Anlage 2, Sektor Verarbeitendes Gewerbe). Bei Verstößen drohen Bußgelder von bis zu 7 Mio. € — eine existenzbedrohende Summe für ein mittelständisches Unternehmen.

Konkrete Handlungsempfehlungen: So gehen Sie jetzt vor

Wenn die Betroffenheitsprüfung ergibt, dass Ihr Unternehmen unter NIS2 fällt, empfehlen wir folgende Schritte:

1. Betroffenheit rechtssicher feststellen: Lassen Sie die Einstufung durch einen Fachexperten (IT-Rechtsanwalt, zertifizierter CISO) bestätigen. Nutzen Sie auch den offiziellen Betroffenheitsprüfer auf der BSI-Website.

2. Beim BSI registrieren: Die Registrierung ist gesetzlich vorgeschrieben (§33 NIS2UmsuCG) und sollte unverzüglich erfolgen. Halten Sie Kontaktdaten, Sektorenzugehörigkeit und Dienstleistungsportfolio bereit.

3. Gap-Analyse durchführen: Vergleichen Sie Ihren aktuellen Sicherheitsstatus mit den Anforderungen des §30 NIS2UmsuCG. Nutzen Sie als Referenzrahmen den BSI IT-Grundschutz oder ISO/IEC 27001.

4. ISMS aufbauen oder erweitern: Ein Information Security Management System (ISMS) nach ISO 27001 bildet die ideale Grundlage für NIS2-Compliance und strukturiert alle erforderlichen Maßnahmen.

5. Notfallplan und Incident-Response-Prozesse etablieren: Stellen Sie sicher, dass Ihr Unternehmen in der Lage ist, Sicherheitsvorfälle innerhalb von 24 Stunden zu erkennen und zu melden.

6. Lieferkette prüfen: Erfassen Sie alle kritischen Drittanbieter und Dienstleister und fordern Sie Nachweise über deren Cybersicherheitsmaßnahmen an.

7. Schulungen und Awareness-Kampagnen: Sensibilisieren Sie Ihre Mitarbeiter und führen Sie regelmäßige Schulungen zur Cybersicherheit durch — die Geschäftsleitung eingeschlossen.

8. Regelmäßige Überprüfung: NIS2-Compliance ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. Etablieren Sie regelmäßige interne Audits und Reviews.

Fazit: Nächste Schritte für Ihr Unternehmen

Die NIS2-Betroffenheitsprüfung ist der erste und entscheidende Schritt auf dem Weg zur Compliance. Wer die Frage "Fällt mein Unternehmen unter NIS2?" nicht klar beantworten kann, riskiert nicht nur empfindliche Bußgelder nach §65 BSIG, sondern auch persönliche Haftungsrisiken für die Geschäftsführung.

Ihre nächsten Schritte auf einen Blick:

• ✅ Sektorzugehörigkeit anhand Anlage 1 und Anlage 2 prüfen
• ✅ Größenkriterien (≥ 50 MA / ≥ 10 Mio. €) verifizieren
• ✅ Einrichtungstyp (wesentlich oder wichtig) bestimmen
• ✅ BSI-Registrierung initiieren
• ✅ Gap-Analyse und ISMS-Aufbau starten

Die Zeit drängt: Das BSI intensiviert seine Aufsichtstätigkeit kontinuierlich, und Unwissenheit schützt vor Strafe nicht. Handeln Sie jetzt.

Jetzt Betroffenheit prüfen und ISMS-Dokumentation aufbauen

Wenn Sie Ihre NIS2-Betroffenheit systematisch prüfen und die nächsten Compliance-Schritte effizient umsetzen möchten, empfiehlt sich der Einsatz einer spezialisierten NIS2-Compliance-Software. Moderne Plattformen führen Sie strukturiert durch die Betroffenheitsprüfung, helfen bei der BSI-Registrierung, unterstützen beim Aufbau Ihrer ISMS-Dokumentation und erinnern Sie automatisch an Fristen für Meldepflichten und Audits. Gerade für mittelständische Unternehmen ohne große IT-Sicherheitsabteilungen ist ein solches Tool ein wertvoller Begleiter auf dem Weg zur NIS2-Compliance.

Prüfen Sie noch heute Ihre Betroffenheit — bevor es das BSI für Sie tut.

Quellen und weiterführende Informationen:
- BSI: www.bsi.bund.de/NIS2
- NIS2-Richtlinie der EU: Richtlinie (EU) 2022/2555
- NIS2UmsuCG: Bundessicherheitsstärkungsgesetz (BSIG) in der aktuellen Fassung
- ENISA NIS2 Implementation Guide 2024