NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Stand: 14. August 2026 | Referenz: §3 NIS2UmsuCG, §65 BSIG

Die NIS2-Richtlinie der Europäischen Union hat die Cybersicherheitslandschaft in Deutschland grundlegend verändert. Mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) gilt seit 2024 ein deutlich erweiterter Anwendungsbereich – und viele Unternehmen wissen bis heute nicht mit Sicherheit, ob sie betroffen sind. Wer die NIS2-Betroffenheitsprüfung versäumt, riskiert empfindliche Bußgelder und unkontrollierte Compliance-Lücken. Dieser Artikel liefert Ihnen eine strukturierte Analyse, einen praxistauglichen Selbsttest und konkrete Handlungsempfehlungen.

Was ist die NIS2-Richtlinie – und warum ist die Betroffenheitsprüfung so wichtig?

NIS2 (Network and Information Security Directive 2) ist die Nachfolgeregelung der ursprünglichen EU-Richtlinie zur Netz- und Informationssicherheit aus dem Jahr 2016. Sie wurde durch das NIS2UmsuCG in deutsches Recht überführt und verankert deutlich strengere Anforderungen an Risikomanagement, Meldepflichten und Sicherheitsmaßnahmen in Unternehmen.

Der entscheidende Paragraf für die NIS2-Betroffenheitsprüfung von Unternehmen in Deutschland 2025 ist §3 NIS2UmsuCG, der den Anwendungsbereich definiert. Dort wird festgelegt, welche Einrichtungen als „wesentlich" oder „wichtig" eingestuft werden – und damit welche Pflichten auf sie zukommen.

Warum ist die Betroffenheitsprüfung so kritisch?

• Die Selbsteinschätzung liegt beim Unternehmen selbst – es gibt keine automatische Benachrichtigung durch Behörden.
• Unternehmen, die irrtümlich annehmen, nicht betroffen zu sein, riskieren Bußgelder nach §65 BSIG von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (für wesentliche Einrichtungen).
• Das BSI intensiviert seine Aufsichtsaktivitäten – Unwissenheit schützt nicht vor Sanktionen.

Wer ist betroffen? Die Grundkriterien nach §3 NIS2UmsuCG

Größenkriterien: Ab wann gilt NIS2?

NIS2 richtet sich grundsätzlich an Unternehmen, die bestimmte Schwellenwerte bei Mitarbeiterzahl und Umsatz überschreiten:

Grundsätzlich gilt: Unternehmen mit weniger als 50 Mitarbeitern und einem Jahresumsatz unter 10 Millionen Euro sind in der Regel ausgenommen – es sei denn, sie fallen unter spezifische Sonderregelungen (dazu weiter unten).

Wichtiger Hinweis: Die Schwellenwerte beziehen sich auf die Gesamtgröße des Unternehmens inklusive verbundener Unternehmen (Konzernverbund). Prüfen Sie, ob Ihre Unternehmensgruppe aggregiert die Schwellen überschreitet.

Sektorale Einordnung: Anlage 1 und Anlage 2 NIS2UmsuCG

Die NIS2-Betroffenheit hängt nicht allein von der Größe ab, sondern auch vom Sektor, in dem das Unternehmen tätig ist. Das NIS2UmsuCG unterscheidet zwei Anlagen:

Anlage 1 – Sektoren mit hoher Kritikalität (führt zur Einstufung als „wesentliche Einrichtung")

• Energie (Strom, Gas, Öl, Fernwärme, Wasserstoff)
• Verkehr (Luftfahrt, Bahn, Schifffahrt, Straßenverkehr)
• Bankwesen und Finanzmarktinfrastrukturen
• Gesundheitswesen (Krankenhäuser, Labore, Pharma)
• Trinkwasser und Abwasser
• Digitale Infrastruktur (Internet-Knoten, DNS-Dienste, TLD-Registries, Cloud-Anbieter, Rechenzentren)
• IKT-Dienstleistungsmanagement (Managed Services, Managed Security Services)
• Öffentliche Verwaltung
• Weltraum

Anlage 2 – Sonstige kritische Sektoren (führt zur Einstufung als „wichtige Einrichtung")

• Post- und Kurierdienste
• Abfallbewirtschaftung
• Produktion, Herstellung und Handel mit chemischen Stoffen
• Lebensmittelproduktion, -verarbeitung und -vertrieb
• Verarbeitendes Gewerbe / Herstellung von Waren (u. a. Medizinprodukte, Elektronik, Maschinenbau, Fahrzeugbau)
• Anbieter digitaler Dienste (Online-Marktplätze, Online-Suchmaschinen, soziale Netzwerke)
• Forschung

Wesentliche vs. wichtige Einrichtungen: Der entscheidende Unterschied

Die Einstufung als wesentliche Einrichtung (Essential Entity, EE) oder wichtige Einrichtung (Important Entity, IE) bestimmt das Ausmaß der Pflichten und die Höhe möglicher Bußgelder.

Sonderfall: Kleine Unternehmen mit hoher Kritikalität

Auch Unternehmen unterhalb der Größenschwellen können unter NIS2 fallen, wenn sie:

• als einziger Anbieter eines kritischen Dienstes in einem Mitgliedstaat tätig sind,
• einen wesentlichen Einfluss auf öffentliche Ordnung, Sicherheit oder Gesundheit haben,
• als qualifizierter Vertrauensdiensteanbieter oder TLD-Registry-Betreiber agieren.

Hier greift die individuelle Einstufung durch das BSI gemäß §3 Abs. 2 NIS2UmsuCG.

Selbsttest: Fällt Ihr Unternehmen unter NIS2?

Nutzen Sie diese strukturierte Checkliste für Ihre erste Einschätzung. Beantworten Sie jede Frage mit Ja oder Nein.

Schritt 1: Größenprüfung

• [ ] Beschäftigt Ihr Unternehmen (inkl. Konzernverbund) 50 oder mehr Mitarbeiter?
• [ ] Überschreitet Ihr Jahresumsatz 10 Millionen Euro?

➡️ Wenn beide Fragen mit Nein beantwortet werden: In der Regel keine NIS2-Pflicht (Ausnahmen prüfen, siehe Sonderfall oben).

Schritt 2: Sektorprüfung

• [ ] Ist Ihr Unternehmen in einem der Sektoren aus Anlage 1 tätig? → Möglicherweise wesentliche Einrichtung
• [ ] Ist Ihr Unternehmen in einem der Sektoren aus Anlage 2 tätig? → Möglicherweise wichtige Einrichtung

Schritt 3: Einstufungsprüfung

• [ ] Haben Sie 250 oder mehr Mitarbeiter und einen Jahresumsatz von ≥ 50 Mio. € (Anlage 1)? → Wesentliche Einrichtung
• [ ] Haben Sie 50–249 Mitarbeiter und einen Jahresumsatz von ≥ 10 Mio. € (Anlage 1 oder 2)? → Wichtige Einrichtung

Schritt 4: Registrierungspflicht

• [ ] Haben Sie sich bereits beim BSI über das MELDEPLATTFORM-Portal registriert?
• [ ] Haben Sie einen Informationssicherheitsbeauftragten (ISB) benannt?
• [ ] Verfügen Sie über dokumentierte Risikomanagementmaßnahmen gemäß §30 BSIG?

Konsequenzen bei Nichterfüllung: §65 BSIG und BSI-Aufsicht

Wer die NIS2-Pflichten ignoriert, riskiert erhebliche Sanktionen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat seit Inkrafttreten des NIS2UmsuCG deutlich erweiterte Befugnisse:

Bußgeldrahmen nach §65 BSIG

• Wesentliche Einrichtungen: Bis zu 10.000.000 Euro oder 2 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist.
• Wichtige Einrichtungen: Bis zu 7.000.000 Euro oder 1,4 % des weltweiten Jahresumsatzes.
• Verstöße gegen Meldepflichten: Gesonderte Bußgelder von bis zu 100.000 Euro pro Vorfall.

Weitere Konsequenzen

• Persönliche Haftung der Geschäftsführung: Gemäß §38 BSIG können Geschäftsführer und Vorstände direkt in die Pflicht genommen werden. Eine Enthaftung durch Delegation ist nur bei nachweisbarer ordnungsgemäßer Beaufsichtigung möglich.
• Reputationsschäden: Das BSI kann im Wiederholungsfall die Öffentlichkeit über Verstöße informieren.
• Betriebsuntersagungen: In extremen Fällen kann das BSI den Betrieb kritischer Dienste untersagen.

7 konkrete Handlungsempfehlungen für Unternehmen

1. Betroffenheitsprüfung dokumentieren: Führen Sie die NIS2-Betroffenheitsprüfung schriftlich durch und legen Sie das Ergebnis in Ihrer Compliance-Dokumentation ab – auch ein negatives Ergebnis sollte begründet festgehalten werden.

2. Konzernstruktur analysieren: Berücksichtigen Sie bei der Größenberechnung alle verbundenen Unternehmen gemäß EU-KMU-Definition. Tochtergesellschaften und Beteiligungen können die Schwellenwerte verschieben.

3. Sektorzugehörigkeit mit dem Fachanwalt klären: Bei Mischbetrieben oder unklarer Sektorzuordnung empfiehlt sich die Konsultation eines auf IT-Recht spezialisierten Rechtsanwalts oder die direkte Anfrage beim BSI.

4. Beim BSI registrieren: Betroffene Einrichtungen sind verpflichtet, sich über die BSI-Meldeplattform zu registrieren. Die Registrierung ist kostenlos und der erste formale Compliance-Schritt.

5. Risikomanagement aufbauen: Implementieren Sie ein dokumentiertes ISMS (Informationssicherheitsmanagementsystem) auf Basis von ISO/IEC 27001 oder dem BSI IT-Grundschutz. §30 BSIG schreibt konkrete Mindestmaßnahmen vor.

6. Meldeprozesse etablieren: Definieren Sie interne Prozesse für die Erkennung und Meldung von Sicherheitsvorfällen – die 24-Stunden-Frist für Frühwarnungen lässt wenig Spielraum für Ad-hoc-Entscheidungen.

7. Schulungen der Führungsebene durchführen: §38 BSIG verpflichtet Geschäftsführer zur aktiven Auseinandersetzung mit Cybersicherheitsmaßnahmen. Regelmäßige Trainings sind kein optionaler Komfort, sondern rechtliche Pflicht.

Fazit: Jetzt handeln – Betroffenheit klären, Compliance sichern

Die NIS2-Betroffenheitsprüfung ist kein bürokratischer Formalismus, sondern der entscheidende erste Schritt zur Rechtssicherheit und Cybersicherheit Ihres Unternehmens. Mit über 29.000 betroffenen Unternehmen allein in Deutschland (Schätzung BSI, Stand 2025) hat NIS2 eine Reichweite, die weit über die bisherige KRITIS-Regulierung hinausgeht.

Ihre nächsten Schritte auf einen Blick:

1. Führen Sie den Selbsttest in diesem Artikel durch.
2. Dokumentieren Sie das Ergebnis rechtssicher.
3. Registrieren Sie sich – falls betroffen – beim BSI.
4. Starten Sie den Aufbau Ihres ISMS.
5. Beauftragen Sie bei Unklarheiten einen zertifizierten NIS2-Berater oder Fachanwalt.

Die Zeit zu handeln ist jetzt – nicht wenn der erste BSI-Prüfbescheid auf dem Tisch liegt.

Tools & nächste Schritte: NIS2-Compliance effizient umsetzen

Die Umsetzung der NIS2-Anforderungen erzeugt erheblichen Dokumentationsaufwand: Richtlinien, Risikoanalysen, Nachweise für Sicherheitsmaßnahmen, Meldedokumentationen und Schulungsnachweise müssen strukturiert verwaltet werden. Spezialisierte NIS2-Compliance-Software kann diesen Prozess erheblich vereinfachen: Sie unterstützt bei der automatisierten Betroffenheitsprüfung, der lückenlosen ISMS-Dokumentation und der fristgerechten Verwaltung von Sicherheitsvorfällen – und stellt sicher, dass Sie bei einer BSI-Prüfung jederzeit auskunftsfähig sind. Prüfen Sie, welche Lösung zu Ihrer Unternehmensgröße und Ihrem Sektor passt – viele Anbieter stellen kostenlose Erstbewertungen oder Demo-Versionen zur Verfügung.

Quellen: BSI – Bundesamt für Sicherheit in der Informationstechnik; NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG); BSIG (BSI-Gesetz) in der Fassung 2024; ENISA Threat Landscape 2025; EU-Richtlinie 2022/2555 (NIS2).