NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 17. August 2026 | Lesedauer: ca. 8 Minuten

Die NIS2-Richtlinie der Europäischen Union hat die Cybersicherheitslandschaft in Deutschland grundlegend verändert. Seit der Umsetzung durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) und den damit verbundenen Änderungen im Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG) stehen tausende Unternehmen vor einer zentralen Frage: Bin ich überhaupt betroffen? Die Antwort darauf ist alles andere als trivial – und eine falsche Einschätzung kann teuer werden. Dieser Artikel führt Sie Schritt für Schritt durch die NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland 2025 und zeigt Ihnen, welche Konsequenzen eine Nichterfüllung haben kann.

Was ist die NIS2-Richtlinie – und warum ist sie für Ihr Unternehmen relevant?

Die NIS2-Richtlinie (Network and Information Security Directive 2) ist die überarbeitete Fassung der ursprünglichen NIS-Richtlinie aus dem Jahr 2016. Sie wurde im Dezember 2022 auf EU-Ebene verabschiedet und in Deutschland durch das NIS2UmsuCG in nationales Recht überführt. Die Richtlinie verfolgt ein klares Ziel: ein einheitlich hohes Cybersicherheitsniveau in der gesamten Europäischen Union zu gewährleisten.

Gegenüber ihrer Vorgängerin ist NIS2 deutlich umfangreicher – sowohl in Bezug auf den betroffenen Personenkreis als auch hinsichtlich der Anforderungen. Schätzungen des BSI zufolge fallen in Deutschland nunmehr rund 30.000 bis 40.000 Unternehmen unter den Anwendungsbereich der Richtlinie, gegenüber nur einigen Hundert unter dem alten Regime.

Schritt 1: Fällt Ihr Sektor unter NIS2?

Die erste Frage bei der Betroffenheitsprüfung lautet: In welchem Sektor ist Ihr Unternehmen tätig? Das NIS2UmsuCG unterscheidet in §3 NIS2UmsuCG in Verbindung mit den Anlagen 1 und 2 zwischen zwei Kategorien von Sektoren:

Anlage 1 – Sektoren mit hoher Kritikalität (ehemals KRITIS)

Diese Sektoren galten bereits bislang als besonders schutzbedürftig:

• Energie (Strom, Gas, Fernwärme, Erdöl, Wasserstoff)
• Verkehr (Luft-, Schienen-, Wasser- und Straßenverkehr)
• Bankwesen und Finanzmarktinfrastrukturen
• Gesundheitswesen (Krankenhäuser, Labore, Pharmaunternehmen)
• Trinkwasser und Abwasser
• Digitale Infrastruktur (Internet-Knoten, DNS-Dienste, TLD-Registries, Cloud-Computing-Anbieter)
• IKT-Dienstleistungsmanagement (Managed Service Provider, Managed Security Service Provider)
• Öffentliche Verwaltung
• Weltraum

Anlage 2 – Sonstige kritische Sektoren

Neu hinzugekommen sind unter NIS2 folgende Branchen:

• Post- und Kurierdienste
• Abfallbewirtschaftung
• Chemische Industrie
• Lebensmittelproduktion, -verarbeitung und -vertrieb
• Verarbeitendes Gewerbe / Herstellung (u. a. Medizinprodukte, Elektronik, Maschinenbau, Kraftfahrzeuge)
• Digitale Anbieter (Online-Marktplätze, Online-Suchmaschinen, soziale Netzwerke)
• Forschungseinrichtungen

Praxishinweis: Selbst wenn Ihr Kerngeschäft nicht in einem dieser Sektoren liegt, können Sie als Zulieferer oder Dienstleister für betroffene Unternehmen indirekt in den Anwendungsbereich fallen – etwa durch vertragliche Verpflichtungen oder Anforderungen in der Lieferkette.

Schritt 2: Erfüllt Ihr Unternehmen die Größenkriterien?

Die Sektorzugehörigkeit allein reicht nicht aus. Zusätzlich müssen Unternehmen bestimmte Größenschwellen überschreiten, um unter NIS2 zu fallen. Gemäß §3 NIS2UmsuCG gelten folgende Schwellenwerte:

Wichtig: Kleinstunternehmen (unter 10 Mitarbeiter, unter 2 Mio. Euro Umsatz) sind in der Regel ausgenommen – es sei denn, sie erfüllen besondere Kriterien, etwa als alleiniger Anbieter eines kritischen Dienstes in einem Mitgliedstaat.

Ausnahmen von den Größenkriterien

Einige Einrichtungstypen fallen unabhängig von ihrer Größe unter NIS2:

• Anbieter öffentlicher elektronischer Kommunikationsnetze
• Trust-Service-Provider (qualifizierte Vertrauensdiensteanbieter)
• Top-Level-Domain-Registries und DNS-Diensteanbieter
• Einrichtungen, die als einziger Anbieter eines gesellschaftlich essenziellen Dienstes in einem Mitgliedstaat agieren

Schritt 3: Wesentliche oder wichtige Einrichtung – was ist der Unterschied?

Wenn Ihr Unternehmen unter NIS2 fällt, ist die nächste entscheidende Frage: Als was werden Sie eingestuft? Das BSIG unterscheidet zwischen zwei Kategorien:

Wesentliche Einrichtungen (Essential Entities)

Als wesentliche Einrichtung gelten große Unternehmen (≥ 250 MA oder ≥ 50 Mio. € Umsatz) aus Anlage 1-Sektoren sowie unabhängig von der Größe bestimmte besonders kritische Anbieter. Für sie gelten die strengsten Anforderungen:

• Proaktive Aufsicht durch das BSI (Ex-ante-Kontrolle)
• Umfassende Meldepflichten bei Sicherheitsvorfällen (§30 BSIG)
• Nachweis von Sicherheitsmaßnahmen auf Verlangen der Behörde
• Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes

Wichtige Einrichtungen (Important Entities)

Als wichtige Einrichtung gelten mittlere Unternehmen aus Anlage 1-Sektoren sowie Unternehmen aus Anlage 2-Sektoren, die die Größenkriterien erfüllen. Für sie gelten etwas weniger strenge Anforderungen:

• Reaktive Aufsicht durch das BSI (Ex-post-Kontrolle, d. h. Prüfung erst nach einem Vorfall oder auf Verdacht)
• Meldepflichten bei erheblichen Sicherheitsvorfällen
• Bußgelder bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes

Selbsttest: Fällt Ihr Unternehmen unter NIS2?

Beantworten Sie die folgenden Fragen, um eine erste Einschätzung zu erhalten:

✅ Checkliste zur NIS2-Betroffenheitsprüfung

• [ ] Ist mein Unternehmen in einem der Sektoren aus Anlage 1 oder Anlage 2 des NIS2UmsuCG tätig?
• [ ] Beschäftigt mein Unternehmen 50 oder mehr Mitarbeiter?
• [ ] Übersteigt der Jahresumsatz 10 Millionen Euro oder die Bilanzsumme denselben Betrag?
• [ ] Bietet mein Unternehmen digitale Infrastrukturleistungen an (Cloud, DNS, IXP, Trust-Services)?
• [ ] Ist mein Unternehmen als Zulieferer oder kritischer Dienstleister für betroffene Einrichtungen tätig?
• [ ] Ist mein Unternehmen der einzige Anbieter eines essenziellen Dienstes in Deutschland oder der EU?

Ergebnis: Wenn Sie mindestens die ersten drei Fragen oder die vierte Frage mit „Ja" beantwortet haben, besteht eine hohe Wahrscheinlichkeit, dass Ihr Unternehmen unter NIS2 fällt. Konsultieren Sie in jedem Fall einen Rechtsexperten oder nutzen Sie den offiziellen BETROFFENHEITSPRÜFER des BSI unter bsi.bund.de.

Welche Pflichten entstehen bei Betroffenheit?

Für betroffene Unternehmen entstehen umfangreiche Pflichten. Die wichtigsten im Überblick:

Registrierungspflicht

Betroffene Einrichtungen müssen sich beim BSI registrieren (§33 BSIG). Die Registrierung erfolgt über das BSI-Portal und umfasst Angaben zur Einrichtung, zum Sektor und zu den angebotenen Diensten.

Technische und organisatorische Maßnahmen (TOMs)

Nach §30 BSIG sind geeignete Sicherheitsmaßnahmen zu implementieren. Dazu zählen u. a.:

• Risikoanalyse und Sicherheitskonzepte (ISMS nach ISO 27001 oder BSI IT-Grundschutz empfohlen)
• Business Continuity Management (BCM) und Notfallpläne
• Lieferkettensicherheit – Überprüfung von Lieferanten und Dienstleistern
• Patch- und Schwachstellenmanagement
• Kryptographie und Verschlüsselung
• Zugangssteuerung und Multi-Faktor-Authentifizierung (MFA)
• Schulung und Sensibilisierung der Mitarbeiter

Meldepflichten bei Sicherheitsvorfällen

Bei erheblichen Sicherheitsvorfällen gelten strenge Meldefristen:

Konsequenzen bei Nichterfüllung: Bußgelder nach §65 BSIG

Die Missachtung der NIS2-Anforderungen hat ernste finanzielle Konsequenzen. §65 BSIG sieht empfindliche Bußgelder vor:

• Wesentliche Einrichtungen: bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes (der höhere Betrag gilt)
• Wichtige Einrichtungen: bis zu 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes
• Geschäftsführerhaftung: Neu ist, dass Führungskräfte und Geschäftsführer persönlich haftbar gemacht werden können, wenn sie ihre Aufsichtspflicht verletzt haben

Hinzu kommen mögliche Reputationsschäden, Betriebsunterbrechungen und zivilrechtliche Haftungsansprüche Dritter im Falle eines Sicherheitsvorfalls. Das BSI kann darüber hinaus die öffentliche Bekanntmachung von Verstößen anordnen – ein erheblicher Reputationsrisikofaktor für jedes Unternehmen.

7 konkrete Handlungsempfehlungen für betroffene Unternehmen

Wenn Sie festgestellt haben, dass Ihr Unternehmen unter NIS2 fällt, sollten Sie folgende Schritte umgehend einleiten:

1. Betroffenheit schriftlich dokumentieren – Halten Sie die Prüfung und ihr Ergebnis nachvollziehbar fest, um gegenüber dem BSI Auskunft geben zu können.

2. Beim BSI registrieren – Nutzen Sie das offizielle BSI-Portal zur Registrierung Ihrer Einrichtung. Dies ist eine gesetzliche Pflicht und kein optionaler Schritt.

3. GAP-Analyse durchführen – Vergleichen Sie Ihren aktuellen Sicherheitsstatus mit den Anforderungen aus §30 BSIG. Identifizieren Sie Lücken und priorisieren Sie Maßnahmen.

4. ISMS aufbauen oder zertifizieren – Etablieren Sie ein Informationssicherheitsmanagementsystem (ISMS) auf Basis von ISO 27001 oder BSI IT-Grundschutz. Eine Zertifizierung kann als Nachweis gegenüber dem BSI dienen.

5. Meldeprozesse definieren – Legen Sie klare interne Prozesse fest, wer bei einem Sicherheitsvorfall was wann meldet – intern und an das BSI.

6. Lieferkette überprüfen – Fordern Sie von kritischen Lieferanten und Dienstleistern Nachweise über ihre eigene Cybersicherheit (TPRM – Third Party Risk Management).

7. Schulungen und Awareness-Programme starten – Führungskräfte haften persönlich. Stellen Sie sicher, dass Geschäftsführung und IT-Verantwortliche die NIS2-Anforderungen kennen und umsetzen.

Fazit: NIS2-Betroffenheitsprüfung ist Pflichtaufgabe, keine Kür

Die NIS2-Betroffenheitsprüfung ist kein bürokratischer Selbstzweck – sie ist der erste und entscheidende Schritt auf dem Weg zu einer rechtskonformen und widerstandsfähigen IT-Sicherheitsstruktur. Angesichts der erheblichen Bußgelder nach §65 BSIG, der persönlichen Haftung von Führungskräften und der wachsenden Bedrohungslage durch Cyberangriffe können es sich Unternehmen schlichtweg nicht leisten, diese Frage zu ignorieren.

Ihre nächsten Schritte auf einen Blick:

• ✅ Sektorzugehörigkeit anhand Anlage 1 & 2 des NIS2UmsuCG prüfen
• ✅ Größenkriterien (Mitarbeiterzahl, Umsatz) verifizieren
• ✅ Einordnung als wesentliche oder wichtige Einrichtung klären
• ✅ BSI-Registrierung vornehmen
• ✅ GAP-Analyse und Maßnahmenplan erstellen
• ✅ ISMS-Dokumentation aufbauen und pflegen

Tools und nächste Schritte: NIS2-Compliance effizient managen

Die Umsetzung der NIS2-Anforderungen erzeugt erheblichen Dokumentationsaufwand: Richtlinien, Risikoanalysen, Meldeprozesse, Lieferantenbewertungen, Schulungsnachweise – all das muss nicht nur erstellt, sondern auch aktuell gehalten werden. Spezialisierte NIS2-Compliance-Softwarelösungen und ISMS-Plattformen können diesen Prozess erheblich vereinfachen. Sie bieten in der Regel strukturierte Vorlagen für alle geforderten Dokumente, automatisierte Erinnerungen für Fristen und Audits sowie eine revisionssichere Nachweisführung gegenüber dem BSI.

Wenn Sie noch am Anfang stehen, lohnt es sich, solche Lösungen im Rahmen Ihrer GAP-Analyse zu evaluieren – viele Anbieter stellen Testversionen oder kostenlose Erstbewertungen bereit. Der Aufwand, den Sie durch strukturierte Toolunterstützung einsparen, zahlt sich in aller Regel bereits vor dem ersten BSI-Audit aus.

Haben Sie Fragen zur NIS2-Betroffenheitsprüfung für Ihr Unternehmen? Teilen Sie diesen Artikel mit Ihren IT-Verantwortlichen und hinterlassen Sie einen Kommentar – wir beantworten gerne konkrete Fragen zur Einordnung Ihres Unternehmens.