NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 19. August 2026 | Lesezeit: ca. 10 Minuten

Die NIS2-Richtlinie der Europäischen Union ist seit ihrer Umsetzung in deutsches Recht durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) für Tausende von Unternehmen verbindlich. Dennoch herrscht in vielen Geschäftsführungen und IT-Abteilungen noch immer Unsicherheit: Bin ich eigentlich betroffen? Diese Frage ist nicht trivial – denn wer die Betroffenheit falsch einschätzt, riskiert empfindliche Bußgelder und einen unkontrollierten Sicherheitsvorfall ohne die erforderlichen Schutzmaßnahmen. Dieser Artikel führt Sie Schritt für Schritt durch die NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland und gibt Ihnen konkrete Handlungsempfehlungen für 2025 und 2026.

Was bedeutet NIS2-Betroffenheit überhaupt?

Die NIS2-Richtlinie (EU 2022/2555) verpflichtet Unternehmen und Organisationen bestimmter Sektoren zur Umsetzung von Mindestsicherheitsstandards in der Cybersicherheit. In Deutschland wurde die Richtlinie durch das NIS2UmsuCG in nationales Recht überführt, das die einschlägigen Anforderungen im Bundessicherheitsgesetz (BSIG) verankert.

Maßgeblich für die Betroffenheitsprüfung ist § 3 NIS2UmsuCG (in Verbindung mit den einschlägigen Paragrafen des BSIG), der definiert, welche Einrichtungen als „wesentlich" oder „wichtig" einzustufen sind. Die Einstufung hängt von zwei zentralen Kriterien ab:

1. Zugehörigkeit zu einem regulierten Sektor (Anlage 1 oder Anlage 2 des BSIG)
2. Erfüllung von Größenkriterien (Mitarbeiterzahl und Jahresumsatz/Bilanzsumme)

Wer beide Kriterien erfüllt, ist verpflichtet, sich beim BSI zu registrieren, Sicherheitsmaßnahmen umzusetzen und Vorfälle zu melden.

Schritt 1: Gehört Ihr Unternehmen zu einem betroffenen Sektor?

Der erste Prüfschritt betrifft die Sektorzugehörigkeit. Das BSIG unterscheidet zwei Kategorien:

Anlage 1 – Sektoren mit hoher Kritikalität (wesentliche Einrichtungen)

Diese Sektoren gelten als besonders kritisch für Gesellschaft und Wirtschaft:

• Energie (Strom, Gas, Fernwärme, Öl, Wasserstoff)
• Transport und Verkehr (Luft, Schiene, Wasser, Straße)
• Bankwesen und Finanzmarktinfrastruktur
• Gesundheitswesen (Krankenhäuser, Labore, Pharmaunternehmen)
• Trinkwasser und Abwasser
• Digitale Infrastruktur (Rechenzentren, Cloud-Anbieter, Internet-Knoten, TLD-Betreiber)
• IKT-Dienstemanagement (B2B)
• Weltraum
• Öffentliche Verwaltung (Bundes- und Landesbehörden)

Anlage 2 – Sonstige kritische Sektoren (wichtige Einrichtungen)

Diese Sektoren sind weniger kritisch, aber ebenfalls reguliert:

• Post- und Kurierdienste
• Abfallbewirtschaftung
• Chemische Industrie
• Lebensmittelproduktion und -verarbeitung
• Maschinenbau, Fahrzeugbau, Elektronikindustrie (verarbeitendes Gewerbe)
• Digitale Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke)
• Forschungseinrichtungen

Praxis-Hinweis: Die Sektorzugehörigkeit richtet sich nach dem Haupttätigkeitsbereich Ihres Unternehmens. Ein Logistikunternehmen, das überwiegend im Straßentransport tätig ist, fällt unter Anlage 1. Ein Mischkonzern muss prüfen, ob einzelne Geschäftsbereiche separat zu bewerten sind.

Schritt 2: Erfüllen Sie die Größenkriterien?

Die bloße Sektorzugehörigkeit reicht in der Regel nicht aus – hinzukommen müssen die gesetzlich definierten Größenschwellen. Das BSIG orientiert sich dabei an der EU-Empfehlung 2003/361/EG zur Unternehmensgrößendefinition:

Größenkriterien im Überblick

Faustformel: Unternehmen mit 50 oder mehr Mitarbeitern und einem Jahresumsatz oder einer Bilanzsumme von mehr als 10 Millionen Euro, die in einem Sektor aus Anlage 1 oder 2 tätig sind, fallen grundsätzlich unter NIS2.

Ausnahmen und Sonderfälle

Bestimmte Einrichtungen gelten unabhängig von ihrer Größe als wesentlich oder wichtig:

• Betreiber kritischer Anlagen im Sinne des KRITIS-Dachgesetzes
• Anbieter öffentlicher elektronischer Kommunikationsnetze
• Qualifizierte Vertrauensdiensteanbieter
• Einrichtungen, die als einziger Anbieter eines essenziellen Dienstes in einem Bundesland oder der gesamten Bundesrepublik fungieren
• Einrichtungen, deren Ausfall erhebliche Auswirkungen auf die öffentliche Sicherheit hätte

Schritt 3: Wesentliche vs. wichtige Einrichtung – was ist der Unterschied?

Die Einstufung als wesentliche oder wichtige Einrichtung hat direkte Auswirkungen auf die Intensität der Aufsicht und die Höhe möglicher Bußgelder.

Wesentliche Einrichtungen (§ 28 BSIG)

• Große Unternehmen aus Anlage 1
• Sowie mittlere Unternehmen aus Anlage 1 in besonders kritischen Teilsektoren
• Unterliegen proaktiver Aufsicht durch das BSI (anlassunabhängige Kontrollen möglich)
• Strengere Meldepflichten und Fristen

Wichtige Einrichtungen (§ 29 BSIG)

• Mittlere Unternehmen aus Anlage 1 und Anlage 2
• Große Unternehmen aus Anlage 2
• Unterliegen reaktiver Aufsicht (BSI wird vorrangig anlassbezogen tätig)
• Gleiche technische Mindestanforderungen, aber weniger intensive Überwachung

Ihr Selbsttest: NIS2-Betroffenheitsprüfung in 5 Schritten

Nutzen Sie diese Checkliste als ersten Orientierungsrahmen. Sie ersetzt keine Rechtsberatung, gibt aber eine fundierte erste Einschätzung:

Schritt 1 – Sektorcheck:
- [ ] Ist mein Unternehmen in einem der Sektoren aus Anlage 1 oder Anlage 2 des BSIG tätig?
- [ ] Welches ist mein primärer Geschäftsbereich?

Schritt 2 – Größencheck:
- [ ] Beschäftige ich 50 oder mehr Mitarbeiter?
- [ ] Übersteigt mein Jahresumsatz 10 Millionen Euro?
- [ ] Übersteigt meine Jahresbilanzsumme 10 Millionen Euro?

Schritt 3 – Sondertatbestände:
- [ ] Bin ich Betreiber einer kritischen Anlage nach KRITIS-Dachgesetz?
- [ ] Bin ich alleiniger Anbieter eines wesentlichen Dienstes?
- [ ] Biete ich qualifizierte Vertrauensdienste an?

Schritt 4 – Einstufung:
- [ ] Bin ich eine wesentliche Einrichtung (Anlage 1 + groß)?
- [ ] Bin ich eine wichtige Einrichtung (Anlage 1 mittel oder Anlage 2)?

Schritt 5 – Registrierung:
- [ ] Habe ich mein Unternehmen beim BSI über das MELDEPLATTFORM registriert?
- [ ] Habe ich interne Verantwortlichkeiten für NIS2 benannt?

BSI-Tipp: Das Bundesamt für Sicherheit in der Informationstechnik stellt unter bsi.bund.de einen offiziellen Selbstauskunfts-Assistenten bereit, der bei der Betroffenheitsprüfung unterstützt.

Was droht bei Nichterfüllung? Bußgelder nach §65 BSIG

Die Konsequenzen einer falschen oder versäumten Betroffenheitsprüfung sind erheblich. Das BSIG sieht in § 65 empfindliche Bußgelder vor:

Bußgelder können verhängt werden für:

• Unterlassene Registrierung beim BSI
• Fehlende oder verspätete Sicherheitsvorfallmeldungen
• Unzureichende Umsetzung der geforderten Sicherheitsmaßnahmen (z. B. kein Risikomanagement nach § 30 BSIG)
• Fehlende Nachweise gegenüber der Aufsichtsbehörde

Neben Bußgeldern können Aufsichtsbehörden auch Anordnungen zur Nachbesserung, vorübergehende Betriebsuntersagungen und – bei wesentlichen Einrichtungen – die öffentliche Bekanntmachung von Verstößen anordnen. Für Geschäftsführer und Vorstände besteht zudem eine persönliche Haftung, wenn Sicherheitspflichten schuldhaft vernachlässigt wurden.

Handlungsempfehlungen: Was jetzt konkret zu tun ist

Wenn Ihre Betroffenheitsprüfung ergibt, dass Sie unter NIS2 fallen – oder wenn Sie sich noch unsicher sind – empfehlen wir folgende konkrete Schritte:

1. Betroffenheitsanalyse dokumentieren: Halten Sie Ihre Prüfung schriftlich fest. Dokumentieren Sie Sektorzugehörigkeit, Unternehmensgrößen und die daraus resultierende Einstufung. Diese Dokumentation ist Grundlage jeder weiteren Compliance-Arbeit.

2. Registrierung beim BSI vornehmen: Wesentliche und wichtige Einrichtungen sind gesetzlich zur Registrierung verpflichtet. Nutzen Sie die BSI-Meldeplattform und benennen Sie eine verantwortliche Kontaktperson.

3. Verantwortlichkeiten intern klären: Benennen Sie einen NIS2-Beauftragten oder stellen Sie sicher, dass die Geschäftsführung die Aufsichtspflichten kennt. NIS2 ist Chefsache – das BSIG schreibt ausdrücklich die Leitungsebene in die Pflicht.

4. Risikoanalyse und Sicherheitskonzept erstellen: Nach § 30 BSIG müssen betroffene Einrichtungen geeignete technische und organisatorische Maßnahmen (TOM) umsetzen. Beginnen Sie mit einer strukturierten Risikoanalyse auf Basis anerkannter Standards (z. B. ISO 27001, BSI IT-Grundschutz).

5. Meldewege für Sicherheitsvorfälle etablieren: Definieren Sie interne Prozesse, um Sicherheitsvorfälle innerhalb der gesetzlichen Fristen an das BSI zu melden (Erstmeldung innerhalb von 24 Stunden, Folgemeldung innerhalb von 72 Stunden).

6. Lieferkette und Drittanbieter prüfen: NIS2 erstreckt sich auch auf die Sicherheit in der Lieferkette. Prüfen Sie Ihre kritischen Dienstleister und schließen Sie ggf. ergänzende Sicherheitsvereinbarungen (SLA/AVV mit Cybersicherheitsklauseln).

7. Schulungen für Mitarbeiter und Führungskräfte durchführen: Sensibilisierung ist eine der effektivsten Schutzmaßnahmen. Planen Sie regelmäßige NIS2-Awareness-Trainings für alle relevanten Mitarbeitergruppen.

8. Externe Rechts- und Sicherheitsberatung hinzuziehen: Bei Unsicherheiten zur rechtlichen Einstufung empfiehlt sich die Konsultation eines auf IT-Recht spezialisierten Anwalts sowie eines zertifizierten Informationssicherheitsberaters.

Fazit: NIS2-Betroffenheit prüfen – jetzt handeln

Die NIS2-Betroffenheitsprüfung ist keine bürokratische Übung, sondern der erste und wichtigste Schritt zu einer robusten Cybersicherheitsstruktur in Ihrem Unternehmen. Die zentrale Botschaft lautet: Unwissenheit schützt nicht vor Strafe. Wer die Betroffenheit nicht prüft, riskiert nicht nur hohe Bußgelder nach § 65 BSIG, sondern auch erhebliche Reputationsschäden und operative Risiken im Ernstfall.

Ihre nächsten Schritte auf einen Blick:

• ✅ Sektorzugehörigkeit und Unternehmensgrößen prüfen
• ✅ Einstufung als wesentliche oder wichtige Einrichtung klären
• ✅ Beim BSI registrieren
• ✅ Risikoanalyse und Maßnahmenplan erstellen
• ✅ Meldeprozesse und Verantwortlichkeiten festlegen

Nächster Schritt: NIS2-Compliance systematisch angehen

Eine erfolgreiche NIS2-Compliance erfordert mehr als eine einmalige Prüfung – sie ist ein kontinuierlicher Prozess. Spezialisierte NIS2-Compliance-Softwarelösungen können dabei erheblich unterstützen: Sie helfen bei der strukturierten Betroffenheitsprüfung, führen durch die Erstellung von ISMS-Dokumenten (Informationssicherheits-Managementsystem), unterstützen bei der Risikoanalyse und erinnern an gesetzliche Meldepflichten und Fristen. Wer NIS2-Compliance dauerhaft und nachweisbar leben möchte, sollte prüfen, ob ein digitales Compliance-Management-Tool den eigenen Arbeitsaufwand sinnvoll reduzieren kann – und damit auch im Falle einer BSI-Prüfung auf der sicheren Seite steht.

Dieser Artikel dient der allgemeinen Information und ersetzt keine individuelle Rechtsberatung. Für eine verbindliche Einschätzung Ihrer NIS2-Betroffenheit wenden Sie sich an einen spezialisierten Rechtsanwalt oder IT-Sicherheitsberater.