NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 11. August 2026 | Lesezeit: ca. 8 Minuten

Die NIS2-Richtlinie der Europäischen Union ist seit ihrer Umsetzung in deutsches Recht durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) für zehntausende Unternehmen in Deutschland verbindlich. Doch noch immer herrscht bei vielen IT-Verantwortlichen und Geschäftsführern Unsicherheit: Bin ich überhaupt betroffen? Diese Frage ist keineswegs trivial — denn wer die Betroffenheit falsch einschätzt und Pflichten ignoriert, riskiert empfindliche Bußgelder nach § 65 BSIG. Dieser Artikel führt Sie Schritt für Schritt durch die NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland im Jahr 2025 und gibt Ihnen konkrete Handlungsempfehlungen an die Hand.

Was regelt §3 NIS2UmsuCG? Der rechtliche Rahmen

Der § 3 NIS2UmsuCG definiert den Anwendungsbereich des Gesetzes und legt fest, welche Einrichtungen als „wesentlich" oder „wichtig" eingestuft werden. Grundlage ist die europäische NIS2-Richtlinie (EU) 2022/2555, die gegenüber ihrer Vorgängerin NIS1 den Kreis der betroffenen Unternehmen erheblich ausgeweitet hat.

Maßgeblich sind zwei Dimensionen:

1. Sektorzugehörigkeit — Gehört Ihr Unternehmen zu einem der in Anlage 1 oder Anlage 2 des NIS2UmsuCG aufgeführten Sektoren?
2. Unternehmensgröße — Erfüllen Sie die Größenschwellen (Mitarbeiteranzahl und Jahresumsatz bzw. Jahresbilanzsumme)?

Erst wenn beide Kriterien erfüllt sind, gilt Ihr Unternehmen in der Regel als regulierte Einrichtung — mit Ausnahmen, auf die wir weiter unten eingehen.

Schritt 1: Die Sektoren gemäß Anlage 1 und Anlage 2

Anlage 1 — Sektoren mit hoher Kritikalität (wesentliche Einrichtungen)

Die Anlage 1 des NIS2UmsuCG umfasst elf Sektoren, die als besonders kritisch für Gesellschaft und Wirtschaft gelten:

Anlage 2 — Sonstige kritische Sektoren (wichtige Einrichtungen)

Die Anlage 2 erweitert den Anwendungsbereich um sieben weitere Sektoren:

Wichtig: Die Einstufung in Anlage 1 oder 2 ist nicht nur eine Formalität — sie bestimmt maßgeblich, welche Pflichten gelten und wie intensiv die Aufsicht durch das BSI erfolgt.

Schritt 2: Die Größenkriterien — Wer ist groß genug?

Neben der Sektorzugehörigkeit müssen Unternehmen bestimmte Größenschwellen überschreiten. Die NIS2-Richtlinie und das NIS2UmsuCG orientieren sich dabei an den EU-Definitionen für mittlere und große Unternehmen:

Mittelgroße Unternehmen (ab 50 Mitarbeitende oder über 10 Mio. € Umsatz)

Ein Unternehmen gilt als mittelgroß, wenn es:
- 50 oder mehr Mitarbeitende beschäftigt, oder
- einen Jahresumsatz bzw. eine Jahresbilanzsumme von mehr als 10 Millionen Euro aufweist.

Große Unternehmen (ab 250 Mitarbeitende oder über 50 Mio. € Umsatz)

Ein Unternehmen gilt als groß, wenn es:
- 250 oder mehr Mitarbeitende beschäftigt, oder
- einen Jahresumsatz von mehr als 50 Millionen Euro erzielt, oder
- eine Jahresbilanzsumme von mehr als 43 Millionen Euro hat.

Größenunabhängige Betroffenheit — Die wichtigen Ausnahmen

Bestimmte Einrichtungen unterliegen den NIS2-Pflichten unabhängig von ihrer Größe, wenn:
- sie die einzige Anbieterin einer gesellschaftlich unverzichtbaren Leistung in einem Mitgliedsstaat sind,
- eine Störung erhebliche Auswirkungen auf die öffentliche Sicherheit, Ordnung oder Gesundheit hätte,
- sie als kritische Infrastruktur (KRITIS) nach BSIG bereits reguliert sind,
- sie Vertrauensdiensteanbieter, TLD-Namensregistrierungsstellen oder öffentliche Verwaltungen auf Bundesebene sind.

Schritt 3: Wesentliche vs. wichtige Einrichtungen — Was ist der Unterschied?

Die Einstufung als wesentliche Einrichtung (WE) oder wichtige Einrichtung (IE) hat direkte Konsequenzen für Ihre Pflichten und die behördliche Aufsicht:

Hinweis: Auch große Unternehmen aus Anlage-2-Sektoren können als wesentliche Einrichtungen eingestuft werden, wenn das BSI dies im Einzelfall festlegt.

Selbsttest: Ist Ihr Unternehmen von NIS2 betroffen?

Beantworten Sie die folgenden Fragen, um Ihre Betroffenheit schnell einzuschätzen:

Frage 1: Gehört Ihr Unternehmen zu einem Sektor in Anlage 1 oder Anlage 2?
- ❌ Nein → Sie sind wahrscheinlich nicht direkt betroffen. Prüfen Sie dennoch Lieferkettenpflichten.
- ✅ Ja → Weiter zu Frage 2.

Frage 2: Hat Ihr Unternehmen 50 oder mehr Mitarbeitende ODER einen Jahresumsatz über 10 Mio. €?
- ❌ Nein → Prüfen Sie, ob Sie unter die größenunabhängigen Ausnahmen fallen.
- ✅ Ja → Weiter zu Frage 3.

Frage 3: Hat Ihr Unternehmen 250 oder mehr Mitarbeitende ODER einen Jahresumsatz über 50 Mio. € / Bilanzsumme über 43 Mio. €?
- ❌ Nein → Sie sind vermutlich eine wichtige Einrichtung (Anlage 2).
- ✅ Ja → Sie sind vermutlich eine wesentliche Einrichtung (Anlage 1).

Frage 4: Sind Sie Betreiber einer kritischen Infrastruktur, Vertrauensdiensteanbieter oder alleiniger Anbieter in Ihrem Sektor?
- ✅ Ja → Sie unterliegen NIS2-Pflichten unabhängig von der Unternehmensgröße.

Konsequenzen bei Nichterfüllung: §65 BSIG macht Ernst

Wer glaubt, die NIS2-Betroffenheitsprüfung sei eine reine Bürokratieübung, irrt. Das BSI hat seit der Umsetzung des NIS2UmsuCG deutlich schärfere Aufsichts- und Sanktionsbefugnisse erhalten.

§ 65 BSIG sieht folgende Bußgelder vor:

• Wesentliche Einrichtungen: Bußgelder von bis zu 10 Millionen Euro oder 2 % des gesamten weltweiten Jahresumsatzes — je nachdem, welcher Betrag höher ist.
• Wichtige Einrichtungen: Bußgelder von bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes.

Sanktioniert werden können unter anderem:
- Fehlende oder verspätete Registrierung beim BSI
- Unzureichende technische und organisatorische Sicherheitsmaßnahmen (§ 30 BSIG)
- Nicht fristgerechte Meldung von Sicherheitsvorfällen (§ 32 BSIG)
- Fehlende Nachweise über implementierte Sicherheitsmaßnahmen

Besonders gravierend: Bei wesentlichen Einrichtungen können Geschäftsführer und Vorstände persönlich haftbar gemacht werden, wenn Pflichtverletzungen auf mangelnde Aufsicht zurückzuführen sind.

Handlungsempfehlungen: So gehen Sie die NIS2-Betroffenheitsprüfung strukturiert an

1. Sektorzugehörigkeit prüfen: Legen Sie intern fest, welchem Sektor gemäß Anlage 1 oder Anlage 2 Ihr Unternehmen primär zuzuordnen ist. Ziehen Sie bei Unklarheiten einen Rechtsberater oder Compliance-Experten hinzu.

2. Unternehmensgröße ermitteln: Stellen Sie aktuelle Daten zu Mitarbeiterzahl, Jahresumsatz und Bilanzsumme bereit — bezogen auf das gesamte Unternehmen inkl. verbundener Unternehmen gemäß EU-KMU-Definition.

3. Verbundene Unternehmen berücksichtigen: Konzernstrukturen können dazu führen, dass Tochtergesellschaften die Schwellenwerte der Muttergesellschaft übernehmen. Lassen Sie die Konzernstruktur rechtlich prüfen.

4. Beim BSI registrieren: Betroffene Unternehmen sind verpflichtet, sich im BSI-Meldeportal zu registrieren. Tun Sie dies so früh wie möglich — auch wenn Details noch unklar sind.

5. Gap-Analyse durchführen: Vergleichen Sie Ihren aktuellen Sicherheitsstand mit den Anforderungen des § 30 BSIG (technische und organisatorische Maßnahmen). Identifizieren Sie Lücken.

6. ISMS aufbauen oder anpassen: Implementieren Sie ein Informationssicherheits-Managementsystem (ISMS) nach ISO 27001 oder BSI IT-Grundschutz als strukturierte Grundlage für die NIS2-Compliance.

7. Meldeprozesse einrichten: Erstellen Sie klare interne Prozesse für die Erkennung, Dokumentation und Meldung von Sicherheitsvorfällen gemäß den 24h/72h-Fristen nach § 32 BSIG.

8. Lieferkette prüfen: Selbst wenn Sie nicht direkt betroffen sind, fordern immer mehr wesentliche und wichtige Einrichtungen NIS2-Nachweise von ihren Dienstleistern. Bereiten Sie sich auf entsprechende Anfragen vor.

9. Schulungen durchführen: Sensibilisieren Sie Geschäftsführung und Mitarbeitende für NIS2-Anforderungen. Die persönliche Haftung der Leitungsebene macht Führungskräfte-Schulungen obligatorisch.

10. Regelmäßige Überprüfung etablieren: NIS2-Compliance ist kein einmaliges Projekt. Planen Sie jährliche Reviews, um auf Änderungen in Sektordefinitionen, Schwellenwerten oder BSI-Vorgaben reagieren zu können.

Fazit: Betroffenheit klären — und dann handeln

Die NIS2-Betroffenheitsprüfung ist der unverzichtbare erste Schritt auf dem Weg zur Compliance. Mit dem NIS2UmsuCG hat Deutschland eine klare Rechtsgrundlage geschaffen, die Unternehmen in relevanten Sektoren zu erheblichen Sicherheitsinvestitionen und organisatorischen Maßnahmen verpflichtet. Die Schwellenwerte von 50 Mitarbeitenden oder 10 Millionen Euro Umsatz erfassen deutlich mehr Unternehmen als die frühere KRITIS-Regulierung — viele mittelständische Betriebe sind erstmals reguliert.

Ihre nächsten Schritte zusammengefasst:
- ✅ Sektorzugehörigkeit anhand Anlage 1 / Anlage 2 prüfen
- ✅ Unternehmensgrößen (inkl. Konzernverbund) ermitteln
- ✅ Einstufung als wesentliche oder wichtige Einrichtung dokumentieren
- ✅ Beim BSI registrieren (Meldeportal)
- ✅ Gap-Analyse starten und ISMS-Aufbau initiieren

Jetzt NIS2-Compliance strukturiert angehen

Die Betroffenheitsprüfung ist komplex, muss aber nicht chaotisch sein. Spezialisierte NIS2-Compliance-Software unterstützt IT-Verantwortliche dabei, die Sektorzugehörigkeit zu prüfen, Betroffenheit zu dokumentieren, ISMS-relevante Dokumente automatisiert zu erstellen und Meldeprozesse strukturiert abzubilden. Tools wie ISMS-Plattformen mit integrierter NIS2-Mapping-Funktion können den Aufwand erheblich reduzieren und helfen, gegenüber dem BSI und Prüfern jederzeit nachweisfähig zu sein. Informieren Sie sich über geeignete Lösungen — denn strukturierte Compliance-Dokumentation ist kein Nice-to-have, sondern bei Prüfungen entscheidend.

Dieser Artikel dient der allgemeinen Information und ersetzt keine Rechtsberatung. Bei spezifischen Fragen zur NIS2-Betroffenheit Ihres Unternehmens empfehlen wir die Konsultation eines auf IT-Recht und Cybersicherheit spezialisierten Anwalts sowie die Nutzung der offiziellen BSI-Ressourcen unter bsi.bund.de.