NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 18. August 2026 | Lesedauer: ca. 8 Minuten

Die NIS2-Richtlinie der Europäischen Union ist seit ihrer Umsetzung in deutsches Recht durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in aller Munde – und das aus gutem Grund. Mit deutlich erweiterten Anforderungen an Cybersicherheit, Meldepflichten und Sanktionen betrifft sie weit mehr Unternehmen als ihr Vorgänger. Doch noch immer unterschätzen viele Geschäftsführer und IT-Verantwortliche, ob ihr Unternehmen tatsächlich in den Anwendungsbereich fällt.

Dieser Artikel führt Sie Schritt für Schritt durch die NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland 2025 – mit konkreten Kriterien, einem praktischen Selbsttest und klaren Handlungsempfehlungen.

Was regelt §3 NIS2UmsuCG – und warum ist er der entscheidende Paragraph?

Der Anwendungsbereich der deutschen NIS2-Umsetzung ist in §3 NIS2UmsuCG definiert. Dieser Paragraph legt fest, welche Einrichtungen als „wesentlich" oder „wichtig" eingestuft werden und damit den Pflichten des Gesetzes unterliegen. Dabei gelten zwei kumulative Hauptkriterien:

1. Sektorzugehörigkeit: Das Unternehmen muss in einem der in Anlage 1 oder Anlage 2 des NIS2UmsuCG genannten Sektoren tätig sein.
2. Größenschwelle: Das Unternehmen muss die definierten Größenkriterien erfüllen (Mitarbeiterzahl und/oder Umsatz/Bilanzsumme).

Werden beide Kriterien erfüllt, ist das Unternehmen automatisch betroffen – eine freiwillige Registrierung oder behördliche Feststellung ist in der Regel nicht erforderlich. Das ist der entscheidende Unterschied zum alten KRITIS-Regime: Die Betroffenheit ergibt sich kraft Gesetzes, nicht durch einen Verwaltungsakt.

Welche Sektoren sind betroffen? Anlage 1 vs. Anlage 2

Das NIS2UmsuCG unterscheidet zwischen zwei Kategorien von Sektoren, die unterschiedliche Anforderungsstufen nach sich ziehen.

Anlage 1 – Sektoren mit hoher Kritikalität (Hochkritische Einrichtungen)

Diese Sektoren gelten als besonders kritisch für das gesellschaftliche und wirtschaftliche Leben. Unternehmen aus diesen Bereichen werden in der Regel als wesentliche Einrichtungen eingestuft:

• Energie (Strom, Gas, Öl, Fernwärme, Wasserstoff)
• Verkehr (Luft, Bahn, Schiff, Straße)
• Bankwesen und Finanzmarktinfrastrukturen
• Gesundheitswesen (Krankenhäuser, Labore, Hersteller kritischer Medizinprodukte)
• Trinkwasser und Abwasser
• Digitale Infrastruktur (DNS, TLD-Register, Cloud-Computing, Rechenzentren, Content Delivery Networks)
• IKT-Dienstleistungsmanagement (B2B-Managed Services)
• Öffentliche Verwaltung (bestimmte Bundesbehörden)
• Weltraum

Anlage 2 – Weitere kritische Sektoren (Wichtige Einrichtungen)

Unternehmen aus diesen Bereichen werden typischerweise als wichtige Einrichtungen klassifiziert:

• Post- und Kurierdienste
• Abfallwirtschaft
• Herstellung, Produktion und Vertrieb von Chemikalien
• Lebensmittelproduktion und -verarbeitung
• Verarbeitendes Gewerbe / Herstellung bestimmter Produkte (Medizinprodukte, Elektronik, Maschinenbau, Fahrzeugbau)
• Digitale Anbieter (Online-Marktplätze, Online-Suchmaschinen, soziale Netzwerke)
• Forschungseinrichtungen

Wichtig: Auch wenn ein Sektor in Anlage 2 aufgeführt ist, bedeutet das nicht automatisch niedrigere Sicherheitsanforderungen – wichtige Einrichtungen unterliegen ebenfalls umfangreichen Pflichten, lediglich mit leicht modifiziertem Aufsichtsregime.

Die Größenkriterien: Ab wann fällt ein Unternehmen unter NIS2?

Neben der Sektorzugehörigkeit sind die Größenkriterien das zweite Prüfungstor. Gemäß §3 NIS2UmsuCG in Verbindung mit der EU-KMU-Definition gelten folgende Schwellenwerte:

Unternehmen mit weniger als 50 Mitarbeitenden und weniger als 10 Millionen Euro Umsatz (Kleinst- und Kleinunternehmen) sind grundsätzlich ausgenommen – es sei denn, sie werden aufgrund besonderer Relevanz explizit einbezogen (z. B. bei alleiniger Erbringung einer kritischen Dienstleistung).

Ausnahmen und Sonderfälle

• Qualifizierte Vertrauensdiensteanbieter, TLD-Register und DNS-Provider unterliegen NIS2 unabhängig von ihrer Größe.
• Öffentliche Verwaltungen auf Bundes- und Landesebene sind einbezogen, unabhängig von Mitarbeiterzahl.
• Konzernstrukturen: Die Größenschwelle wird pro rechtlicher Einheit geprüft, aber verbundene Unternehmen können in die Berechnung einbezogen werden – hier empfiehlt sich rechtliche Beratung.

Wesentliche vs. wichtige Einrichtungen: Was ist der Unterschied?

Die Unterscheidung zwischen wesentlichen und wichtigen Einrichtungen ist mehr als eine Formalität – sie bestimmt die Intensität der behördlichen Aufsicht und die Höhe möglicher Bußgelder.

In der Praxis bedeutet dies: Die technisch-organisatorischen Anforderungen sind für beide Kategorien weitgehend gleich. Der wesentliche Unterschied liegt in der Aufsichtsintensität: Wesentliche Einrichtungen müssen mit regelmäßigen Überprüfungen durch das BSI rechnen, auch ohne konkreten Anlass.

Interaktiver Selbsttest: Fällt Ihr Unternehmen unter NIS2?

Beantworten Sie die folgenden Fragen der Reihe nach. Bei einem „Nein" in Frage 1 oder 2 ist Ihr Unternehmen voraussichtlich nicht betroffen (Ausnahmen beachten).

Checkliste: NIS2-Betroffenheitsprüfung in 5 Schritten

Schritt 1: Sektorzugehörigkeit
- [ ] Ist mein Unternehmen in einem Sektor aus Anlage 1 oder Anlage 2 des NIS2UmsuCG tätig?
- [ ] Handelt es sich um meine Kerntätigkeit oder ein relevantes Nebengeschäft?

Schritt 2: Größenkriterien
- [ ] Beschäftigt mein Unternehmen 50 oder mehr Mitarbeitende?
- [ ] Erzielt mein Unternehmen einen Jahresumsatz von mindestens 10 Millionen Euro?

Schritt 3: Sonderregelungen prüfen
- [ ] Bin ich Vertrauensdiensteanbieter, DNS-Resolver oder TLD-Registry? (→ Größe irrelevant)
- [ ] Bin ich eine öffentliche Verwaltungsstelle auf Bundes- oder Landesebene?

Schritt 4: Kategorisierung
- [ ] In welcher Anlage ist mein Sektor gelistet? (Anlage 1 = wesentlich / Anlage 2 = wichtig)
- [ ] Überschreite ich die Schwelle für ein „großes Unternehmen" (≥ 250 MA, ≥ 50 Mio. € Umsatz)?

Schritt 5: Pflichten ableiten
- [ ] Registrierungspflicht beim BSI erfüllt?
- [ ] Informationssicherheits-Managementsystem (ISMS) implementiert oder in Planung?
- [ ] Meldeprozesse für Sicherheitsvorfälle definiert?

Ergebnis: Wenn Sie bei Schritt 1 und Schritt 2 jeweils mindestens ein Kästchen angekreuzt haben (oder eine Sonderregelung aus Schritt 3 greift), sind Sie mit hoher Wahrscheinlichkeit von NIS2 betroffen und müssen handeln.

Konsequenzen bei Nichterfüllung: Bußgelder nach §65 BSIG

Wer die NIS2-Anforderungen ignoriert, riskiert empfindliche Sanktionen. Die Bußgeldvorschriften sind in §65 BSIG (Bundessicherheitsgesetz, in der durch das NIS2UmsuCG novellierten Fassung) geregelt.

Die wichtigsten Sanktionsmechanismen:

• Wesentliche Einrichtungen: Bußgelder bis zu 10 Millionen Euro oder 2 % des gesamten weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist.
• Wichtige Einrichtungen: Bußgelder bis zu 7 Millionen Euro oder 1,4 % des gesamten weltweiten Jahresumsatzes.
• Persönliche Haftung der Geschäftsleitung: Gemäß NIS2UmsuCG können Geschäftsführer und Vorstände bei grober Pflichtverletzung persönlich haftbar gemacht werden – ein völlig neues Element im deutschen Cybersicherheitsrecht.
• Zeitweiliges Berufsverbot: In schwerwiegenden Fällen kann das BSI natürlichen Personen in Leitungsfunktionen vorübergehend die Ausübung ihrer Funktion untersagen.

Neben den direkten Bußgeldern drohen Reputationsschäden, Vertragsstrafen gegenüber Kunden sowie mögliche Schadensersatzansprüche Dritter, wenn ein Cyberangriff auf ein nicht-compliant aufgestelltes Unternehmen zu Schäden bei Partnern oder Kunden führt.

Konkrete Handlungsempfehlungen: Was tun, wenn Sie betroffen sind?

Wenn die Betroffenheitsprüfung ergibt, dass NIS2 für Ihr Unternehmen gilt, sollten Sie unverzüglich folgende Schritte einleiten:

1. Betroffenheit dokumentieren: Halten Sie die Ergebnisse Ihrer Prüfung schriftlich fest – inklusive der herangezogenen Kriterien (Sektor, Mitarbeiterzahl, Umsatz). Dies dient als Nachweis gegenüber dem BSI.

2. Beim BSI registrieren: Betroffene Unternehmen sind verpflichtet, sich über das BSI-Portal zu registrieren. Halten Sie dafür Informationen zu Ihrem Sektor, Ihrer Kategorisierung und Ihren Kontaktpersonen bereit.

3. Gap-Analyse durchführen: Prüfen Sie, welche der geforderten Sicherheitsmaßnahmen (gemäß §30 NIS2UmsuCG) bereits in Ihrem Unternehmen implementiert sind und wo Lücken bestehen. Typische Prüfbereiche: Risikoanalyse, Incident Response, Zugriffskontrolle, Verschlüsselung, Lieferkettensicherheit.

4. ISMS aufbauen oder erweitern: Implementieren oder zertifizieren Sie ein Informationssicherheits-Managementsystem nach ISO 27001. Ein ISMS bildet das Rückgrat der NIS2-Compliance und erleichtert die Erfüllung sämtlicher Anforderungen.

5. Meldeprozesse definieren: Etablieren Sie klare Prozesse für die Meldung erheblicher Sicherheitsvorfälle an das BSI – die NIS2-Fristen sind eng (24 Stunden für Erstmeldung, 72 Stunden für Folgemeldung).

6. Lieferkette prüfen: Prüfen Sie auch Ihre kritischen Dienstleister und Zulieferer auf deren Sicherheitsniveau – NIS2 erfordert ausdrücklich das Management von Lieferkettenrisiken (§30 Abs. 2 Nr. 4 NIS2UmsuCG).

7. Geschäftsleitung schulen und einbinden: Da die persönliche Haftung der Unternehmensleitung neu ist, müssen Geschäftsführer und Vorstände aktiv in die Cybersicherheitsstrategie eingebunden und regelmäßig geschult werden.

8. Rechtlichen Rat einholen: Bei Unsicherheit über die Betroffenheit – insbesondere bei Konzernstrukturen, Mischbetrieben oder grenzüberschreitenden Tätigkeiten – empfiehlt sich die Konsultation eines auf IT-Recht spezialisierten Anwalts.

Fazit: Jetzt handeln, nicht abwarten

Die NIS2-Betroffenheitsprüfung ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess – denn Unternehmen wachsen, Sektordefinitionen können sich präzisieren, und die Behördenpraxis des BSI entwickelt sich weiter. Wer heute noch zögert, riskiert morgen nicht nur Bußgelder, sondern auch empfindliche Reputationsschäden.

Ihre nächsten Schritte auf einen Blick:

• ✅ Sektorzugehörigkeit nach Anlage 1/2 prüfen
• ✅ Größenkriterien verifizieren (50+ MA, 10 Mio. € Umsatz)
• ✅ Einrichtungstyp (wesentlich/wichtig) bestimmen
• ✅ Beim BSI registrieren
• ✅ Gap-Analyse starten und ISMS implementieren

Ihr nächster Schritt: NIS2-Compliance strukturiert angehen

Die Komplexität der NIS2-Anforderungen macht es nahezu unmöglich, Compliance allein mit Tabellenkalkulationen und Word-Dokumenten zu managen. Spezialisierte NIS2-Compliance-Softwarelösungen helfen Ihnen, die Betroffenheitsprüfung zu dokumentieren, Risikoanalysen strukturiert durchzuführen, Maßnahmenpläne zu verwalten und Meldeprozesse zu automatisieren. Viele Tools bieten zudem integrierte ISMS-Funktionen nach ISO 27001 und ermöglichen es, Nachweise gegenüber dem BSI oder Auditoren einfach zu exportieren. Informieren Sie sich über entsprechende Lösungen – eine strukturierte Software-Unterstützung kann den Unterschied zwischen echter Compliance und bloßem Papiertiger ausmachen.

Haben Sie Fragen zur NIS2-Betroffenheitsprüfung? Hinterlassen Sie einen Kommentar oder kontaktieren Sie uns direkt – wir helfen Ihnen, Klarheit zu gewinnen.