NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 15. August 2026 | Lesezeit: ca. 10 Minuten

Die NIS2-Richtlinie ist seit der Umsetzung durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) fester Bestandteil der deutschen Cybersicherheitsregulierung. Dennoch stellen IT-Verantwortliche und Geschäftsführer immer wieder dieselbe entscheidende Frage: Ist mein Unternehmen überhaupt betroffen? Diese Frage ist alles andere als trivial – denn wer irrtümlich davon ausgeht, nicht unter die Richtlinie zu fallen, riskiert empfindliche Bußgelder nach § 65 BSIG und gefährdet damit die wirtschaftliche Stabilität des Unternehmens.

Dieser Artikel führt Sie Schritt für Schritt durch die NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland 2025 und gibt Ihnen konkrete Werkzeuge an die Hand, um Ihre Pflichten rechtssicher einzuschätzen.

Was regelt § 3 NIS2UmsuCG?

Der Anwendungsbereich der deutschen NIS2-Umsetzung ist in § 3 NIS2UmsuCG definiert. Die Norm unterscheidet zwischen wesentlichen Einrichtungen (Essential Entities) und wichtigen Einrichtungen (Important Entities). Diese Kategorisierung ist entscheidend, da sie unmittelbar die Pflichten, die Aufsichtsintensität durch das BSI und die Bußgeldhöhe im Verletzungsfall bestimmt.

Grundsätzlich gilt: Unternehmen sind betroffen, wenn sie einem der regulierten Sektoren angehören und die Größenkriterien erfüllen. Doch es gibt Ausnahmen – bestimmte Einrichtungen unterliegen der Richtlinie unabhängig von ihrer Größe.

Die zwei Kernfragen der Betroffenheitsprüfung

1. Gehört Ihr Unternehmen zu einem regulierten Sektor?

Das NIS2UmsuCG unterscheidet zwei Kategorien von Sektoren, die in Anlage 1 (Sektoren mit hoher Kritikalität) und Anlage 2 (sonstige kritische Sektoren) definiert sind.

Anlage 1 – Sektoren mit hoher Kritikalität (Wesentliche Einrichtungen)

Anlage 2 – Sonstige kritische Sektoren (Wichtige Einrichtungen)

Praxishinweis: Auch wenn Ihr Unternehmen nicht auf den ersten Blick einem dieser Sektoren zuzuordnen ist, sollten Sie die Lieferkette berücksichtigen. Zulieferer und Dienstleister kritischer Einrichtungen können mittelbar unter Compliance-Druck geraten – auch wenn sie formal nicht der NIS2-Pflicht unterliegen.

2. Erfüllt Ihr Unternehmen die Größenkriterien?

Die NIS2-Richtlinie orientiert sich an der EU-Definition für mittlere und große Unternehmen. Folgende Schwellenwerte sind maßgeblich:

Wichtig: Die Größenkriterien werden nach den EU-Empfehlungen für KMU (2003/361/EG) berechnet. Verbundene Unternehmen und Partnerunternehmen werden dabei anteilig eingerechnet. Ein formal kleines Tochterunternehmen eines Großkonzerns kann dadurch die Schwellenwerte überschreiten.

Wesentliche vs. Wichtige Einrichtungen: Was ist der Unterschied?

Die Einstufung als wesentliche oder wichtige Einrichtung hat erhebliche praktische Konsequenzen:

Wesentliche Einrichtungen (Essential Entities)

• Betreiben Sektoren aus Anlage 1 und sind große Unternehmen (≥ 250 MA oder > 50 Mio. € Umsatz)
• Unterliegen der proaktiven Aufsicht durch das BSI
• Das BSI kann jederzeit Audits und Inspektionen einleiten, ohne konkreten Anlass
• Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes

Wichtige Einrichtungen (Important Entities)

• Betreiben Sektoren aus Anlage 1 als mittlere Unternehmen oder Sektoren aus Anlage 2 als mittlere oder große Unternehmen
• Unterliegen der reaktiven Aufsicht – das BSI wird in der Regel erst bei konkreten Hinweisen oder Vorfällen aktiv
• Bußgelder bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes

Größenunabhängige Betroffenheit

Bestimmte Einrichtungen unterliegen NIS2 unabhängig von ihrer Größe, darunter:
- Qualifizierte Vertrauensdiensteanbieter
- TLD-Registrare und DNS-Diensteanbieter
- Betreiber öffentlicher Telekommunikationsnetze
- Einrichtungen, die vom BSI als kritisch eingestuft werden

Interaktiver Selbsttest: 5 Fragen zur NIS2-Betroffenheit

Nutzen Sie diesen kompakten Selbsttest als erste Orientierung. Er ersetzt keine rechtliche Beratung, gibt aber einen soliden Ausgangspunkt.

Frage 1: In welchem Sektor ist Ihr Unternehmen tätig?
- ☐ Anlage 1 (z. B. Energie, Gesundheit, Digitale Infrastruktur)
- ☐ Anlage 2 (z. B. Lebensmittel, Chemie, Digitale Dienste)
- ☐ Keiner der genannten Sektoren → Sehr wahrscheinlich nicht betroffen

Frage 2: Wie viele Mitarbeitende hat Ihr Unternehmen (inkl. verbundener Unternehmen)?
- ☐ ≥ 250 Mitarbeitende
- ☐ 50–249 Mitarbeitende
- ☐ < 50 Mitarbeitende → Grundsätzlich nicht betroffen (Ausnahmen prüfen)

Frage 3: Wie hoch ist Ihr Jahresumsatz oder Ihre Bilanzsumme?
- ☐ > 50 Mio. € Umsatz / > 43 Mio. € Bilanzsumme
- ☐ > 10 Mio. € Umsatz / > 10 Mio. € Bilanzsumme
- ☐ ≤ 10 Mio. € → Grundsätzlich nicht betroffen

Frage 4: Sind Sie Betreiber kritischer Infrastrukturen (KRITIS) nach BSI-Gesetz?
- ☐ Ja → Automatisch wesentliche Einrichtung
- ☐ Nein

Frage 5: Sind Sie qualifizierter Vertrauensdiensteanbieter, DNS-Resolver oder TLD-Registrar?
- ☐ Ja → Betroffen, unabhängig von der Größe
- ☐ Nein

Auswertung:
- Anlage 1 + ≥ 250 MA → Wesentliche Einrichtung
- Anlage 1 + 50–249 MA → Wichtige Einrichtung
- Anlage 2 + ≥ 50 MA → Wichtige Einrichtung
- Keiner der Sektoren + unter Schwellenwert → Nicht betroffen (Empfehlung: regelmäßig neu prüfen)

Konsequenzen bei Nichterfüllung: Bußgelder nach § 65 BSIG

Wer die Betroffenheit ignoriert oder Pflichten nicht erfüllt, riskiert erhebliche Sanktionen. § 65 BSIG regelt den Bußgeldrahmen im deutschen Recht:

• Wesentliche Einrichtungen: Bußgelder bis zu 10.000.000 Euro oder bis zu 2 % des gesamten weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist
• Wichtige Einrichtungen: Bußgelder bis zu 7.000.000 Euro oder bis zu 1,4 % des weltweiten Jahresumsatzes

Darüber hinaus können Geschäftsführer und Vorstände persönlich haftbar gemacht werden, wenn sie Risikomanagementmaßnahmen schuldhaft nicht angeordnet oder umgesetzt haben. Das BSI ist berechtigt, bei wesentlichen Einrichtungen auch vorübergehende Amtsenthebungen von Leitungspersonen zu beantragen – eine in der deutschen Unternehmensgeschichte weitgehend neue Sanktionsmöglichkeit.

Hinzu kommen Reputationsschäden durch verpflichtende Veröffentlichungen von Sicherheitsvorfällen sowie zivilrechtliche Ansprüche betroffener Kunden und Partner.

Konkrete Handlungsempfehlungen: So gehen Sie jetzt vor

1. Sektoranalyse durchführen: Ordnen Sie Ihr Unternehmen anhand der Tätigkeitsbeschreibung eindeutig Anlage 1 oder Anlage 2 zu – oder schließen Sie eine Betroffenheit aus. Ziehen Sie bei Unklarheiten einen auf IT-Recht spezialisierten Anwalt hinzu.

2. Unternehmensgröße korrekt ermitteln: Berechnen Sie Mitarbeiterzahl und Umsatz nach den EU-KMU-Kriterien (2003/361/EG) inklusive verbundener Unternehmen und Partnerunternehmen. Lassen Sie dies vom Controlling oder dem Steuerberater bestätigen.

3. Einrichtungstyp bestimmen: Legen Sie schriftlich fest, ob Sie wesentliche oder wichtige Einrichtung sind. Diese Dokumentation ist im Falle einer BSI-Prüfung essenziell.

4. Registrierung beim BSI vornehmen: Betroffene Einrichtungen sind verpflichtet, sich beim BSI zu registrieren. Nutzen Sie dafür das offizielle Meldeportal des BSI.

5. Gap-Analyse nach § 30 BSIG durchführen: Vergleichen Sie Ihre aktuellen Sicherheitsmaßnahmen mit den Anforderungen des NIS2UmsuCG (Risikomanagement, Incident Response, Business Continuity, Supply Chain Security, Kryptografie u. a.).

6. Meldepflichten implementieren: Richten Sie Prozesse für die Meldung erheblicher Sicherheitsvorfälle ein. Die Fristen sind eng: Erstmeldung binnen 24 Stunden, detaillierter Bericht binnen 72 Stunden, Abschlussbericht binnen einem Monat.

7. Schulungen und Awareness verankern: Das Management muss NIS2-Schulungen absolvieren und kann die Teilnahme nicht delegieren. Etablieren Sie ein unternehmensweites Security-Awareness-Programm.

8. Lieferkette einbeziehen: Prüfen Sie Ihre kritischen Dienstleister und Zulieferer auf Sicherheitsstandards. Passen Sie Verträge und SLAs entsprechend an.

Fazit: Betroffenheit prüfen, Haftung vermeiden

Die NIS2-Betroffenheitsprüfung ist kein einmaliger Vorgang – Unternehmensstruktur, Sektoraktivitäten und regulatorische Schwellenwerte können sich ändern. IT-Verantwortliche und Geschäftsführer sollten die Betroffenheit mindestens einmal jährlich neu bewerten und das Ergebnis dokumentieren.

Die wichtigsten nächsten Schritte auf einen Blick:

• ✅ Sektor nach Anlage 1 oder 2 bestimmen
• ✅ Unternehmensgröße nach EU-KMU-Definition prüfen
• ✅ Einrichtungstyp (wesentlich / wichtig) festlegen und dokumentieren
• ✅ BSI-Registrierung veranlassen
• ✅ Gap-Analyse einleiten und Maßnahmenplan erstellen
• ✅ Meldeprozesse für Sicherheitsvorfälle etablieren

Nächster Schritt: Compliance effizient managen

Die Dokumentation der NIS2-Betroffenheit, die Durchführung von Risikoanalysen und das Erstellen gesetzeskonformer ISMS-Dokumente sind zeitintensiv – besonders wenn man bedenkt, dass Fehler in der Umsetzung direkt in die persönliche Geschäftsführerhaftung führen können.

Tipp für die Praxis: Spezialisierte NIS2-Compliance-Software kann Ihnen helfen, die Betroffenheitsprüfung strukturiert durchzuführen, alle erforderlichen Dokumente rechtskonform zu erstellen, Meldeprozesse zu automatisieren und den Compliance-Status jederzeit nachweisbar zu dokumentieren. Lösungen wie ISMS-Plattformen mit integriertem NIS2-Modul reduzieren den manuellen Aufwand erheblich und stellen sicher, dass keine Pflicht übersehen wird. Informieren Sie sich über geeignete Tools und lassen Sie sich von unabhängigen Beratern unterstützen – die Investition amortisiert sich angesichts möglicher Bußgelder in siebenstelliger Höhe schnell.

Quellen: NIS2-Richtlinie (EU) 2022/2555, NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), BSIG in der aktuellen Fassung, BSI-Grundschutz-Kompendium, ENISA Threat Landscape 2025, EU-Empfehlung 2003/361/EG (KMU-Definition)