NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 16. August 2026 | Lesezeit: ca. 8 Minuten

Viele Geschäftsführer und IT-Verantwortliche stellen sich noch immer dieselbe Frage: Gilt NIS2 eigentlich für uns? Mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) und den entsprechenden Änderungen im Bundesgesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG) ist in Deutschland ein umfassendes Regelwerk in Kraft, das deutlich mehr Unternehmen betrifft als das Vorgängergesetz. Schätzungen des BSI zufolge fallen in Deutschland rund 30.000 Unternehmen und Organisationen unter die neue Richtlinie – viele davon wissen es noch nicht. Die NIS2-Betroffenheitsprüfung ist daher der erste und wichtigste Schritt auf dem Weg zur Compliance.

Dieser Artikel erklärt Ihnen systematisch, anhand welcher Kriterien Sie prüfen können, ob Ihr Unternehmen unter NIS2 fällt, welche Pflichten dann gelten und welche Konsequenzen drohen, wenn Sie die Anforderungen ignorieren.

Was ist die NIS2-Betroffenheitsprüfung und warum ist sie 2025 so wichtig?

Die NIS2-Betroffenheitsprüfung ist die strukturierte Analyse, ob ein Unternehmen die gesetzlichen Schwellenwerte und Sektorkriterien erfüllt, die es zu einer wesentlichen oder wichtigen Einrichtung im Sinne von §3 NIS2UmsuCG machen. Diese Einstufung ist keine Formalie – sie bestimmt direkt, welche Sicherheits- und Meldepflichten gelten und welche Bußgelder bei Verstößen verhängt werden können.

Das BSI hat klargemacht: Die eigenständige Registrierungspflicht für betroffene Einrichtungen ist verbindlich. Wer erst wartet, bis der Prüfer klingelt, riskiert empfindliche Strafen. Die NIS2-Betroffenheitsprüfung schützt Sie nicht nur vor Bußgeldern – sie schafft auch die Grundlage für einen systematischen Aufbau Ihrer Informationssicherheit.

Schritt 1: Gehört Ihr Unternehmen zu einem betroffenen Sektor?

Der erste Prüfschritt betrifft die Sektorzugehörigkeit. Das NIS2UmsuCG unterscheidet zwischen zwei Anlagen mit unterschiedlichen Risikostufen.

Anlage 1: Sektoren mit hoher Kritikalität (wesentliche Einrichtungen)

Diese Sektoren gelten als besonders kritisch für das Funktionieren von Staat und Gesellschaft:

• Energie (Strom, Gas, Wärme, Wasserstoff, Öl)
• Verkehr (Luft, Schiene, Wasser, Straße)
• Bankwesen und Finanzmarktinfrastrukturen
• Gesundheitswesen (Krankenhäuser, Labore, Pharmaindustrie)
• Trinkwasser und Abwasser
• Digitale Infrastruktur (Internet-Knoten, DNS, TLD-Register, Rechenzentren)
• Verwaltung von IKT-Diensten (B2B-Managed Services)
• Öffentliche Verwaltung (Bund und Länder)
• Weltraum

Anlage 2: Sonstige kritische Sektoren (wichtige Einrichtungen)

Diese Sektoren sind ebenfalls reguliert, unterliegen aber einer abgeschwächten Aufsicht (reaktiv statt proaktiv):

• Post- und Kurierdienste
• Abfallbewirtschaftung
• Chemische Industrie
• Lebensmittel (Produktion, Verarbeitung, Vertrieb)
• Verarbeitendes Gewerbe / Maschinenbau (u. a. Medizinprodukte, Fahrzeugbau, Elektronikindustrie)
• Digitale Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke)
• Forschungseinrichtungen

Wichtig: Allein die Zugehörigkeit zu einem dieser Sektoren reicht nicht aus. Es müssen zusätzlich die Größenkriterien erfüllt sein.

Schritt 2: Erfüllt Ihr Unternehmen die Größenkriterien?

Gemäß §3 NIS2UmsuCG gelten grundsätzlich Unternehmen ab einer bestimmten Größe als betroffene Einrichtungen. Die EU-Kommission definiert dabei in Anlehnung an die KMU-Definition zwei Schwellenwerte:

Größenkriterien im Überblick

• Unternehmen mit ≥ 250 Mitarbeitern oder einem Umsatz von ≥ 50 Mio. Euro und Sektorzugehörigkeit zu Anlage 1 gelten als wesentliche Einrichtungen.
• Unternehmen mit ≥ 50 Mitarbeitern oder einem Umsatz von ≥ 10 Mio. Euro und Sektorzugehörigkeit zu Anlage 1 oder 2 gelten als wichtige Einrichtungen.

Ausnahmen und Sonderregelungen

Bestimmte Einrichtungen fallen unabhängig von ihrer Größe unter NIS2 – sogenannte Size-Cap-Ausnahmen:

• Anbieter öffentlicher elektronischer Kommunikationsnetze
• Vertrauensdiensteanbieter (qualifizierte und nicht qualifizierte)
• Top-Level-Domain-Registrare und DNS-Anbieter
• Einrichtungen, die als kritische Infrastruktur nach KRITIS-Dachgesetz eingestuft sind
• Einrichtungen, deren Ausfall erhebliche Auswirkungen auf die öffentliche Sicherheit hätte (Behördenentscheid)

Schritt 3: Wesentliche vs. wichtige Einrichtung – was ist der Unterschied?

Die Einstufung als wesentliche oder wichtige Einrichtung hat erhebliche praktische Konsequenzen:

Wesentliche Einrichtungen (§28 BSIG)

• Proaktive Aufsicht durch das BSI: regelmäßige Überprüfungen, auch ohne konkreten Anlass
• Strengere Meldepflichten (Erstmeldung innerhalb von 24 Stunden nach Kenntnisnahme eines erheblichen Sicherheitsvorfalls)
• Höhere Bußgeldobergrenzen: bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes
• Persönliche Haftung der Geschäftsleitung möglich

Wichtige Einrichtungen (§28 BSIG)

• Reaktive Aufsicht: das BSI wird nur tätig, wenn es Hinweise auf Verstöße gibt
• Gleiche Meldepflichten wie wesentliche Einrichtungen (24-Stunden-Erstmeldung)
• Niedrigere Bußgeldobergrenze: bis zu 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes

Beide Kategorien müssen technische und organisatorische Maßnahmen nach §30 BSIG umsetzen, die den Stand der Technik berücksichtigen – darunter Risikomanagement, Incident-Response, Business Continuity und Lieferkettensicherheit.

Selbsttest: Fällt Ihr Unternehmen unter NIS2?

Nutzen Sie diese vereinfachte Checkliste für eine erste Orientierung:

NIS2-Betroffenheit – Schnell-Checkliste

• [ ] Sektor: Ist mein Unternehmen in einem Sektor der Anlage 1 oder Anlage 2 tätig?
• [ ] Mitarbeiter: Beschäftigt mein Unternehmen mindestens 50 Personen?
• [ ] Umsatz/Bilanz: Überschreiten wir 10 Mio. Euro Jahresumsatz oder Bilanzsumme?
• [ ] Größenunabhängige Kriterien: Sind wir DNS-Anbieter, Vertrauensdiensteanbieter oder Betreiber kritischer Infrastrukturen?
• [ ] Konzernstruktur: Ergeben sich durch Muttergesellschaften oder Tochtergesellschaften konsolidierte Schwellenwerte, die die Grenzen überschreiten?
• [ ] Registrierungspflicht: Haben wir uns bereits beim BSI als betroffene Einrichtung registriert?

Bewertung: Wenn Sie Frage 1 + mindestens eine der Fragen 2–3 (oder Frage 4) mit „Ja" beantworten, ist eine eingehende NIS2-Betroffenheitsprüfung dringend empfohlen – und sehr wahrscheinlich sind Sie betroffen.

Welche Konsequenzen drohen bei Nichterfüllung?

Wer die NIS2-Pflichten ignoriert, riskiert nicht nur Bußgelder, sondern auch Reputationsschäden, Haftung und operative Einschränkungen.

Bußgeldrahmen nach §65 BSIG

Der Bußgeldkatalog im novellierten BSIG ist erheblich verschärft worden:

Besonders brisant: Nach §38 BSIG können Geschäftsführer und Vorstände persönlich haftbar gemacht werden, wenn sie die Umsetzung von Sicherheitsmaßnahmen schuldhaft vernachlässigt haben. Eine Haftungsfreistellung durch das Unternehmen ist nicht zulässig.

Darüber hinaus kann das BSI temporäre Betriebsbeschränkungen aussprechen oder die Zulassung zur Erbringung bestimmter Dienste entziehen – eine Maßnahme, die existenzbedrohend sein kann.

Konkrete Handlungsempfehlungen: So gehen Sie jetzt vor

Wenn Sie vermuten oder bereits wissen, dass Ihr Unternehmen unter NIS2 fällt, empfehlen wir folgende Schritte:

1. Betroffenheitsanalyse dokumentieren: Prüfen Sie systematisch Sektorzugehörigkeit und Größenkriterien und halten Sie das Ergebnis schriftlich fest – auch wenn das Ergebnis „nicht betroffen" lautet.

2. Registrierung beim BSI: Betroffene Einrichtungen sind verpflichtet, sich im BSI-Portal zu registrieren. Holen Sie dies unverzüglich nach, falls noch nicht geschehen.

3. Gap-Analyse durchführen: Vergleichen Sie Ihren aktuellen Sicherheitsstand mit den Anforderungen des §30 BSIG (technische und organisatorische Maßnahmen). Nutzen Sie den BSI IT-Grundschutz oder ISO 27001 als Referenzrahmen.

4. Risikomanagement etablieren: Implementieren Sie ein formales Informationssicherheits-Risikomanagementsystem. Das ist Kernpflicht nach NIS2 und bildet die Grundlage für alle weiteren Maßnahmen.

5. Meldeprozesse definieren: Legen Sie intern fest, wer im Fall eines Sicherheitsvorfalls was in welcher Zeit tut. Die 24-Stunden-Frist für die Erstmeldung an das BSI ist bindend.

6. Lieferkettenrisiken bewerten: Analysieren Sie, welche Ihrer Dienstleister und Zulieferer sicherheitsrelevante Dienste erbringen, und fordern Sie entsprechende Sicherheitsnachweise ein.

7. Geschäftsleitung einbinden: Schulen Sie Ihre Führungsebene zu den NIS2-Anforderungen. Geschäftsführer müssen Sicherheitsmaßnahmen aktiv billigen und überwachen – nicht delegieren und vergessen.

8. Nachweise und Dokumentation sichern: Alle getroffenen Maßnahmen müssen nachweisbar sein. Eine lückenlose Dokumentation schützt Sie im Prüfungsfall und bei Behördenanfragen.

Häufige Irrtümer bei der NIS2-Betroffenheitsprüfung

„Wir sind zu klein." – Viele Unternehmen unterschätzen sich selbst oder vergessen, dass bei Konzernzugehörigkeit konsolidierte Mitarbeiterzahlen und Umsätze gelten können.

„Wir sind kein KRITIS-Betreiber." – NIS2 ist breiter als die bisherige KRITIS-Regulierung. Auch Unternehmen, die bisher nicht als kritische Infrastruktur galten, können jetzt betroffen sein.

„Unsere Branche ist nicht betroffen." – Besonders Unternehmen im verarbeitenden Gewerbe, im Maschinenbau oder in der Lebensmittelindustrie sind oft überrascht, dass sie unter Anlage 2 fallen.

„Das BSI kommt schon auf uns zu." – Es gibt keine behördliche Benachrichtigungspflicht. Die Eigenverantwortung liegt beim Unternehmen.

Fazit: Jetzt handeln, bevor es teuer wird

Die NIS2-Betroffenheitsprüfung ist keine bürokratische Pflichtübung – sie ist der Startschuss für eine zukunftsfähige Cybersicherheitsstrategie. Die rechtlichen Rahmenbedingungen sind klar: §3 NIS2UmsuCG definiert den Anwendungsbereich, §65 BSIG regelt die Sanktionen, und das BSI hat signalisiert, dass die Aufsicht zunehmend aktiv ausgeübt wird.

Ihre nächsten Schritte zusammengefasst:

1. Sektorzugehörigkeit und Größenkriterien prüfen
2. Einstufung (wesentlich/wichtig) dokumentieren
3. BSI-Registrierung abschließen
4. Gap-Analyse und Risikoanalyse anstoßen
5. Maßnahmenplan erstellen und umsetzen

Die gute Nachricht: Wer jetzt systematisch vorgeht, hat die besten Voraussetzungen, nicht nur compliant zu sein, sondern seine gesamte Informationssicherheitsreife nachhaltig zu steigern.

Tipp: NIS2-Compliance mit Software-Unterstützung

Die Betroffenheitsprüfung, Gap-Analyse und laufende Dokumentation aller NIS2-Maßnahmen sind komplex und zeitaufwendig. Spezialisierte NIS2-Compliance-Management-Software kann dabei erheblich helfen: Sie führt Sie strukturiert durch die Betroffenheitsprüfung, unterstützt beim Aufbau eines ISMS nach §30 BSIG und sorgt dafür, dass Ihre Nachweisdokumentation jederzeit prüfungsbereit ist. Viele Lösungen bieten zudem integrierte Meldeworkflows für Sicherheitsvorfälle sowie Vorlagen für Risikoanalysen und Sicherheitskonzepte – eine Investition, die sich angesichts der möglichen Bußgeldrisiken schnell rechnet. Prüfen Sie, welche Lösung zu Ihrer Unternehmensgröße und Sektoranforderung passt, und starten Sie mit einer kostenlosen Betroffenheitsprüfung.

Quellen und weiterführende Informationen: BSI (bsi.bund.de), NIS2UmsuCG (Bundesgesetzblatt), BSIG n. F., ENISA NIS2 Implementation Guide 2024, EU-Richtlinie 2022/2555.