NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 12. August 2026 | Lesezeit: ca. 10 Minuten

Die NIS2-Richtlinie der Europäischen Union hat die Cybersicherheitslandschaft in Deutschland grundlegend verändert. Seit der Umsetzung durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) und der entsprechenden Novellierung des BSI-Gesetzes (BSIG) stehen tausende Unternehmen vor einer entscheidenden Frage: Bin ich als Unternehmen überhaupt betroffen? Die NIS2-Betroffenheitsprüfung ist der erste und wichtigste Schritt, den Geschäftsführer und IT-Verantwortliche in Deutschland 2025 gehen müssen – denn wer die Anforderungen ignoriert, riskiert empfindliche Bußgelder.

Dieser Artikel erklärt systematisch, wie die Betroffenheitsprüfung funktioniert, welche Sektoren und Unternehmensgrößen relevant sind und welche konkreten Schritte Sie jetzt unternehmen sollten.

Was ist die NIS2-Betroffenheitsprüfung – und warum ist sie so wichtig?

Die Betroffenheitsprüfung nach § 3 NIS2UmsuCG ist der gesetzlich vorgesehene Ausgangspunkt: Unternehmen müssen selbstständig prüfen, ob sie als „wesentliche Einrichtung" oder „wichtige Einrichtung" im Sinne des Gesetzes einzustufen sind. Im Gegensatz zur alten KRITIS-Regulierung erfolgt die Einstufung nicht durch eine Behörde, sondern liegt in der Eigenverantwortung der Unternehmen.

Das bedeutet: Wer irrtümlich annimmt, nicht betroffen zu sein, und deshalb keine Maßnahmen ergreift, kann sich nicht auf behördliche Versäumnisse berufen. Die Registrierungspflicht beim BSI sowie die daraus folgenden Sicherheits- und Meldepflichten setzen eine korrekte Selbsteinstufung voraus.

Wichtig: Das BSI schätzt, dass in Deutschland rund 30.000 Unternehmen von NIS2 erfasst werden – deutlich mehr als unter der alten NIS1-Regulierung mit etwa 4.500 KRITIS-Betreibern.

Die zwei Prüfkriterien: Sektor und Unternehmensgröße

Die Betroffenheit ergibt sich immer aus der Kombination zweier Faktoren: dem Tätigkeitssektor des Unternehmens und seiner Größe. Beide Bedingungen müssen gleichzeitig erfüllt sein.

Kriterium 1: Welchem Sektor gehört Ihr Unternehmen an?

Das NIS2UmsuCG unterscheidet zwei Anlagenkategorien mit insgesamt 18 Sektoren:

Anlage 1 – Sektoren mit hoher Kritikalität (11 Sektoren):

• Energie (Strom, Gas, Öl, Wasserstoff, Fernwärme)
• Verkehr (Luft, Schiene, Wasser, Straße)
• Bankwesen
• Finanzmarktinfrastrukturen
• Gesundheit
• Trinkwasser
• Abwasser
• Digitale Infrastruktur (DNS, TLD, Rechenzentren, Cloud, CDN, Vertrauensdiensteanbieter, öffentliche Kommunikationsnetze)
• ICT-Servicemanagement (B2B)
• Öffentliche Verwaltung
• Weltraum

Anlage 2 – Sonstige kritische Sektoren (7 Sektoren):

• Post- und Kurierdienste
• Abfallbewirtschaftung
• Chemie
• Lebensmittel
• Verarbeitendes Gewerbe / Herstellung von Waren (u. a. Medizinprodukte, Maschinenbau, Fahrzeugbau, Elektronik)
• Anbieter digitaler Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke)
• Forschung

Kriterium 2: Wie groß ist Ihr Unternehmen?

Grundsätzlich gilt die EU-Schwellenwertdefinition für mittlere Unternehmen:

Faustregel: Unternehmen aus Anlage 1 oder Anlage 2 mit mindestens 50 Mitarbeitenden und einem Jahresumsatz bzw. einer Bilanzsumme von mindestens 10 Millionen Euro fallen grundsätzlich unter NIS2.

Wichtige Ausnahmen (auch ohne Größenkriterium betroffen):

Bestimmte Einrichtungen unterliegen NIS2 unabhängig von ihrer Größe, darunter:

• Anbieter öffentlicher elektronischer Kommunikationsnetze
• Qualifizierte Vertrauensdiensteanbieter
• TLD-Registries und DNS-Resolver
• Kritische KRITIS-Betreiber nach bisheriger Definition, sofern sie weiterhin die Schwellen erfüllen
• Einrichtungen, die vom BSI oder einer Landesbehörde als systemrelevant eingestuft wurden (§ 3 Abs. 2 NIS2UmsuCG)

Wesentliche vs. wichtige Einrichtungen: Der entscheidende Unterschied

Wer betroffen ist, wird entweder als wesentliche Einrichtung (essential entity) oder als wichtige Einrichtung (important entity) klassifiziert. Diese Einstufung hat direkte Auswirkungen auf die Aufsichtsintensität und die Bußgeldhöhe.

Wesentliche Einrichtungen (§ 28 Abs. 1 BSIG)

Hierunter fallen:
- Große Unternehmen aus Anlage 1 (≥ 250 MA, ≥ 50 Mio. € Umsatz)
- Bestimmte Einrichtungen unabhängig von der Größe (z. B. DNS-Anbieter, TLD-Registries)
- Vom BSI als wesentlich eingestufte Einrichtungen

Konsequenz: Proaktive, anlasslose BSI-Aufsicht, umfangreiche Prüfbefugnisse, höchste Bußgeldrahmen.

Wichtige Einrichtungen (§ 28 Abs. 2 BSIG)

Hierunter fallen:
- Mittlere und große Unternehmen aus Anlage 1, die nicht als wesentlich gelten
- Mittlere und große Unternehmen aus Anlage 2

Konsequenz: Reaktive Aufsicht (anlassbezogen), niedrigerer Bußgeldrahmen, aber dennoch volle Pflichterfüllung erforderlich.

Selbsttest: Bin ich von NIS2 betroffen?

Nutzen Sie die folgende Checkliste für eine erste Orientierung:

Schritt-für-Schritt-Prüfung

☐ Schritt 1: Sektorcheck
Ist Ihr Unternehmen in einem der Sektoren aus Anlage 1 oder Anlage 2 des NIS2UmsuCG tätig? Berücksichtigen Sie dabei Ihren Hauptgeschäftszweck sowie wesentliche Nebenaktivitäten.

☐ Schritt 2: Größencheck
Beschäftigt Ihr Unternehmen mindestens 50 Mitarbeitende (Vollzeitäquivalente inkl. verbundener Unternehmen gemäß EU-KMU-Definition)?
Liegt Ihr Jahresumsatz oder Ihre Bilanzsumme bei mindestens 10 Millionen Euro?

☐ Schritt 3: Ausnahmeprüfung
Fällt Ihr Unternehmen unter eine der größenunabhängigen Ausnahmetatbestände nach § 3 Abs. 2 NIS2UmsuCG?

☐ Schritt 4: Einstufung
Wenn Schritt 1 UND (Schritt 2 ODER Schritt 3) zutreffen: Sie sind betroffen. Bestimmen Sie nun, ob Sie als wesentliche oder wichtige Einrichtung einzustufen sind.

☐ Schritt 5: Registrierung beim BSI
Registrieren Sie sich über das BSI-Portal (MIRT – Melde- und Informationsportal). Die Registrierung ist gesetzlich vorgeschrieben.

Tipp des BSI: Nutzen Sie für eine erste Orientierung auch den BSI-eigenen Betroffenheitsprüfer, der anhand von Branche und Unternehmensgröße eine Ersteinschätzung gibt.

Konsequenzen bei Nichterfüllung: Die Bußgeldtatbestände nach § 65 BSIG

Die Sanktionen für Verstöße gegen NIS2-Pflichten sind erheblich und sollten nicht unterschätzt werden. § 65 BSIG sieht gestaffelte Bußgelder vor:

Besonders relevant: Bei wesentlichen Einrichtungen kann das BSI nach § 61 BSIG auch eine persönliche Haftung der Geschäftsführung geltend machen und im Extremfall den Betrieb bestimmter Dienste untersagen. Geschäftsführer und Vorstände sind verpflichtet, Sicherheitsmaßnahmen zu billigen und zu überwachen – ein Delegieren auf die IT-Abteilung ohne eigene Verantwortungsübernahme reicht nicht aus.

Typische Irrtümer bei der Betroffenheitsprüfung

In der Praxis begegnen Experten und Berater immer wieder denselben Fehleinschätzungen:

Irrtum 1: „Wir sind ein KMU, also nicht betroffen."
Falsch. Auch ein Unternehmen mit 60 Mitarbeitenden und 12 Millionen Euro Umsatz, das im Bereich Lebensmittelverarbeitung tätig ist, kann unter NIS2 fallen.

Irrtum 2: „Wir sind kein KRITIS-Betreiber, also gilt NIS2 nicht für uns."
Falsch. NIS2 ist deutlich breiter als die bisherige KRITIS-Regulierung und erfasst auch Unternehmen, die bisher nicht als kritische Infrastruktur galten.

Irrtum 3: „Unsere IT-Abteilung kümmert sich darum."
Zu kurz gedacht. Die Geschäftsführung trägt die persönliche Verantwortung für die Umsetzung – das ist gesetzlich explizit geregelt.

Irrtum 4: „Wir warten auf eine Benachrichtigung durch das BSI."
Das BSI informiert nicht aktiv. Die Pflicht zur Prüfung und Registrierung liegt bei den Unternehmen selbst.

Konkrete Handlungsempfehlungen für Geschäftsführer und IT-Verantwortliche

1. Betroffenheitsprüfung dokumentieren: Führen Sie die Prüfung schriftlich durch und halten Sie das Ergebnis inkl. Begründung in einem internen Dokument fest. Dies ist im Zweifelsfall gegenüber Behörden relevant.

2. Verbundene Unternehmen einbeziehen: Die Mitarbeiterzahl und der Umsatz werden gemäß EU-KMU-Definition berechnet – also inklusive verbundener Unternehmen und Partnerunternehmen. Prüfen Sie den Konzernverbund sorgfältig.

3. Beim BSI registrieren: Nach positiver Betroffenheitsprüfung ist die Registrierung im BSI-Portal verpflichtend. Halten Sie dabei Angaben zu Sektor, Größe, Kontaktdaten und Ansprechpartnern bereit.

4. Gap-Analyse durchführen: Vergleichen Sie Ihre bestehenden Sicherheitsmaßnahmen mit den Anforderungen nach § 30 BSIG (technische und organisatorische Maßnahmen, u. a. Risikomanagement, Incident Response, Supply Chain Security, Kryptographie).

5. Meldeprozesse einrichten: NIS2 verlangt die Meldung erheblicher Sicherheitsvorfälle innerhalb von 24 Stunden (Erstmeldung) und 72 Stunden (Folgemeldung) an das BSI. Etablieren Sie entsprechende interne Prozesse.

6. Schulungen für die Geschäftsführung: Nach § 38 BSIG müssen Leitungsorgane Schulungen zur Cybersicherheit absolvieren. Planen Sie dies zeitnah ein.

7. Lieferkette prüfen: Auch die Sicherheitsmaßnahmen bei Dienstleistern und Zulieferern müssen bewertet werden (Supply Chain Security nach § 30 Abs. 2 Nr. 4 BSIG).

8. Rechtliche Beratung einholen: Bei Unsicherheiten zur Einstufung empfiehlt sich die Hinzuziehung eines auf IT-Recht spezialisierten Anwalts oder eines BSI-zertifizierten IS-Revisors.

Fazit: Jetzt handeln – nicht auf die nächste Prüfung warten

Die NIS2-Betroffenheitsprüfung ist kein bürokratisches Randthema, sondern eine gesetzliche Pflicht mit erheblichen Konsequenzen. Unternehmen, die in einem der 18 erfassten Sektoren tätig sind und die Größenschwellen erreichen, sind verpflichtet, sich selbst einzustufen, beim BSI zu registrieren und umfangreiche Cybersicherheitsmaßnahmen umzusetzen.

Die wichtigsten nächsten Schritte auf einen Blick:

• ✅ Sektor-Zugehörigkeit prüfen (Anlage 1 oder 2 des NIS2UmsuCG)
• ✅ Unternehmensgröße inklusive verbundener Unternehmen ermitteln
• ✅ Einstufung als wesentliche oder wichtige Einrichtung dokumentieren
• ✅ Registrierung beim BSI vornehmen
• ✅ Gap-Analyse der bestehenden Sicherheitsmaßnahmen starten

Der Zeitpunkt zu handeln ist jetzt – nicht erst, wenn der BSI-Prüfer anklopft oder ein Sicherheitsvorfall passiert ist.

Ihr nächster Schritt: Betroffenheit strukturiert dokumentieren

Eine fundierte NIS2-Betroffenheitsprüfung erfordert nicht nur die Prüfung der gesetzlichen Kriterien, sondern auch deren lückenlose Dokumentation. Spezialisierte NIS2-Compliance-Management-Plattformen helfen Ihnen dabei, die Betroffenheitsprüfung strukturiert durchzuführen, die Einstufung zu dokumentieren und direkt mit der Gap-Analyse sowie dem Aufbau Ihres Informationssicherheits-Managementsystems (ISMS) weiterzumachen. Viele Tools bieten dabei vorgefertigte Dokumentenvorlagen, die auf die Anforderungen des BSIG zugeschnitten sind – ein echter Zeitgewinn, gerade wenn interne Ressourcen knapp sind.

Prüfen Sie, welche Softwarelösung zu Ihrer Unternehmensgröße und Ihrem Reifegrad passt – und starten Sie Ihre NIS2-Compliance nicht mit einem leeren Blatt Papier, sondern mit einem strukturierten Framework.

Dieser Artikel wurde sorgfältig nach dem aktuellen Stand des NIS2UmsuCG und des novellierten BSIG (Stand: August 2026) recherchiert. Er ersetzt keine individuelle Rechts- oder Compliance-Beratung.