NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 20. August 2026 | Lesedauer: ca. 8 Minuten

Die NIS2-Richtlinie der Europäischen Union ist seit ihrer Umsetzung ins deutsche Recht durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) für Tausende Unternehmen in Deutschland verbindlich. Doch viele Geschäftsführer und IT-Verantwortliche stellen sich noch immer dieselbe Frage: Bin ich überhaupt betroffen? Diese Unsicherheit ist gefährlich – denn wer die eigene Betroffenheit falsch einschätzt, riskiert empfindliche Bußgelder und im Ernstfall auch persönliche Haftung der Unternehmensleitung.

Dieser Artikel gibt Ihnen eine strukturierte NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland an die Hand, erklärt die relevanten Sektoren, Größenkriterien und Pflichten – und zeigt Ihnen, welche Konsequenzen drohen, wenn Sie die Anforderungen ignorieren.

Was regelt §3 NIS2UmsuCG – und wen betrifft es?

Die zentrale Vorschrift für die Betroffenheit ist §3 NIS2UmsuCG, der in Verbindung mit den Anlagen 1 und 2 des Gesetzes den Anwendungsbereich definiert. Grundsätzlich unterscheidet das Gesetz zwischen zwei Kategorien:

• Wesentliche Einrichtungen (essential entities) – höhere Anforderungen, stärkere Aufsicht
• Wichtige Einrichtungen (important entities) – etwas abgestufte Anforderungen, aber dennoch erhebliche Pflichten

Beide Kategorien unterliegen verpflichtenden Cybersicherheitsmaßnahmen nach §30 NIS2UmsuCG sowie Meldepflichten bei Sicherheitsvorfällen gemäß §32 NIS2UmsuCG. Der entscheidende Unterschied liegt in der Intensität der staatlichen Aufsicht und der Höhe möglicher Bußgelder.

Schritt 1: Gehört Ihr Sektor zu Anlage 1 oder Anlage 2?

Die erste Frage der Betroffenheitsprüfung ist die Sektorzugehörigkeit. Das NIS2UmsuCG teilt betroffene Branchen in zwei Anlagen auf:

Anlage 1 – Sektoren mit hoher Kritikalität (Hochkritische Sektoren)

Unternehmen in diesen Bereichen werden grundsätzlich als wesentliche Einrichtungen eingestuft (sofern die Größenkriterien erfüllt sind):

• Energie (Strom, Gas, Wärme, Öl, Wasserstoff)
• Verkehr (Luftfahrt, Schiene, Schifffahrt, Straßenverkehr)
• Bankwesen und Finanzmarktinfrastrukturen
• Gesundheitswesen (Krankenhäuser, Labore, Pharma)
• Trinkwasser und Abwasser
• Digitale Infrastruktur (u. a. DNS-Dienste, TLD-Registries, Rechenzentrumsbetreiber, Cloud-Anbieter, CDN-Betreiber)
• IKT-Dienstleistungsmanagement (B2B-Managed-Service-Provider)
• Öffentliche Verwaltung (Bundesebene, bestimmte Landesbehörden)
• Weltraum (Betreiber von Bodeninfrastruktur)

Anlage 2 – Sonstige kritische Sektoren

Diese Sektoren werden in der Regel als wichtige Einrichtungen klassifiziert:

• Post- und Kurierdienste
• Abfallwirtschaft
• Chemische Industrie (Herstellung, Handel)
• Lebensmittelproduktion und -vertrieb
• Verarbeitendes Gewerbe / Maschinenbau (bestimmte Bereiche)
• Digitale Dienste (Online-Marktplätze, Online-Suchmaschinen, soziale Netzwerke)
• Forschungseinrichtungen

Wichtig: Auch wenn Ihr Kerngeschäft keinem dieser Sektoren zugeordnet werden kann, sollten Sie prüfen, ob Sie als Zulieferer oder Dienstleister für Unternehmen in Anlage 1 oder 2 tätig sind. NIS2 legt zunehmend Wert auf Lieferkettensicherheit (§30 Abs. 2 Nr. 4 NIS2UmsuCG), was indirekte Anforderungen an Ihre Geschäftsbeziehungen bedeutet.

Schritt 2: Erfüllt Ihr Unternehmen die Größenkriterien?

Sektorzugehörigkeit allein genügt nicht. Zusätzlich müssen Größenschwellenwerte überschritten werden. Gemäß §3 NIS2UmsuCG gelten folgende Kriterien:

Faustformel: Beschäftigen Sie 50 oder mehr Mitarbeiter und erzielen Sie einen Jahresumsatz oder eine Bilanzsumme von mindestens 10 Millionen Euro, und sind Sie in einem der genannten Sektoren tätig – dann sind Sie höchstwahrscheinlich von NIS2 betroffen.

Sonderregelungen: Größenunabhängige Betroffenheit

In bestimmten Fällen spielt die Unternehmensgröße keine Rolle. Folgende Einrichtungen sind unabhängig von Mitarbeiterzahl und Umsatz betroffen:

• Betreiber kritischer Anlagen (KRITIS) nach BSI-Gesetz
• Anbieter öffentlicher elektronischer Kommunikationsnetze
• Qualifizierte Vertrauensdiensteanbieter
• TLD-Registries und DNS-Dienstleister
• Einrichtungen, die als einziger Anbieter eines systemrelevanten Dienstes in einem EU-Mitgliedstaat fungieren

Schritt 3: Wesentlich oder wichtig – was ist der Unterschied?

Die Einstufung Ihres Unternehmens als wesentliche oder wichtige Einrichtung hat direkte Auswirkungen auf Ihre Pflichten und das Haftungsrisiko.

Wesentliche Einrichtungen

• Proaktive Aufsicht durch das BSI (z. B. anlasslose Kontrollen möglich)
• Höhere Bußgelder bei Verstößen: bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (§65 BSIG)
• Strengere Nachweispflichten gegenüber Behörden
• Persönliche Haftung der Geschäftsführung bei grober Fahrlässigkeit

Wichtige Einrichtungen

• Reaktive Aufsicht (BSI wird in der Regel nur bei konkreten Hinweisen aktiv)
• Bußgelder: bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes (§65 BSIG)
• Gleiche technische und organisatorische Mindestanforderungen wie wesentliche Einrichtungen
• Registrierungspflicht beim BSI

Selbsttest: Ist Ihr Unternehmen NIS2-pflichtig?

Nutzen Sie diese Checkliste für eine erste Einschätzung Ihrer NIS2-Betroffenheit:

☐ Schritt 1 – Sektorzugehörigkeit
Ist mein Unternehmen in einem Sektor der Anlage 1 oder Anlage 2 des NIS2UmsuCG tätig?

☐ Schritt 2 – Mitarbeiterzahl
Beschäftigt mein Unternehmen 50 oder mehr Mitarbeiter (Vollzeitäquivalente)?

☐ Schritt 3 – Umsatz/Bilanzsumme
Erzielt mein Unternehmen einen Jahresumsatz oder eine Bilanzsumme von mindestens 10 Millionen Euro?

☐ Schritt 4 – Sondertatbestände
Betreibe ich kritische Infrastrukturen, bin qualifizierter Vertrauensdiensteanbieter oder habe eine Monopolstellung bei einem kritischen Dienst?

☐ Schritt 5 – Lieferkette
Bin ich als wesentlicher Dienstleister oder Zulieferer für NIS2-pflichtige Unternehmen tätig?

Ergebnis: Haben Sie mindestens Schritt 1 und entweder Schritt 2 oder 3 mit „Ja" beantwortet – oder Schritt 4 bejaht – müssen Sie davon ausgehen, dass Sie unter die NIS2-Richtlinie fallen. Eine rechtssichere Prüfung empfiehlt sich in jedem Fall.

Was droht bei Nichterfüllung? Bußgelder nach §65 BSIG

Viele Unternehmen unterschätzen das finanzielle Risiko einer Nichterfüllung der NIS2-Anforderungen. §65 BSIG sieht für Verstöße gegen zentrale Pflichten empfindliche Geldbußen vor:

Besonders brisant: Das BSI kann bei wesentlichen Einrichtungen im Wiederholungsfall oder bei schwerwiegenden Verstößen auch Geschäftsführern und Vorstandsmitgliedern persönlich untersagen, Leitungsaufgaben wahrzunehmen. Darüber hinaus müssen Betroffene die Kosten für behördlich angeordnete Sicherheitsaudits selbst tragen.

Neben den direkten Bußgeldern drohen bei Sicherheitsvorfällen ohne ausreichende Schutzmaßnahmen:
- Reputationsschäden durch Veröffentlichungspflichten (§34 NIS2UmsuCG)
- Schadensersatzforderungen von Kunden und Partnern
- Betriebsunterbrechungen durch behördlich angeordnete Maßnahmen

Die wichtigsten NIS2-Pflichten im Überblick

Wer als NIS2-pflichtige Einrichtung eingestuft wird, muss gemäß §30 NIS2UmsuCG geeignete technische, operative und organisatorische Maßnahmen umsetzen. Dazu gehören insbesondere:

1. Risikoanalyse und Sicherheitskonzept für informationstechnische Systeme
2. Bewältigung von Sicherheitsvorfällen (Incident Response, Business Continuity)
3. Backup-Management und Krisenmanagement
4. Sicherheit der Lieferkette – Überprüfung von Dienstleistern und Lieferanten
5. Sicherheitsmaßnahmen beim Erwerb, Entwicklung und Betrieb von IT-Systemen
6. Schulungen zur Cybersicherheit für alle Mitarbeiter und die Geschäftsführung
7. Kryptografische Verfahren und Verschlüsselung
8. Multi-Faktor-Authentifizierung und gesicherte Kommunikation

Zusätzlich besteht eine Registrierungspflicht beim BSI sowie die Pflicht zur unverzüglichen Meldung erheblicher Sicherheitsvorfälle innerhalb von 24 Stunden (Erstmeldung) und 72 Stunden (Detailmeldung).

Konkrete Handlungsempfehlungen: So gehen Sie jetzt vor

Wenn Sie den Verdacht haben, dass Ihr Unternehmen NIS2-pflichtig ist, empfehlen wir folgende strukturierte Vorgehensweise:

1. Betroffenheitsprüfung dokumentieren: Führen Sie eine formale Analyse durch, ob Ihr Unternehmen die Sektorzugehörigkeit und die Größenkriterien nach §3 NIS2UmsuCG erfüllt. Halten Sie das Ergebnis schriftlich fest.

2. Einstufung festlegen: Klären Sie, ob Sie als wesentliche oder wichtige Einrichtung einzustufen sind – das bestimmt den Umfang Ihrer Pflichten und das Haftungsrisiko.

3. Beim BSI registrieren: Betroffene Unternehmen sind verpflichtet, sich im BSI-Portal zu registrieren. Versäumen Sie dies nicht – es drohen eigenständige Bußgelder.

4. Gap-Analyse durchführen: Vergleichen Sie Ihren aktuellen Sicherheitsstatus mit den Anforderungen des §30 NIS2UmsuCG. Nutzen Sie dafür idealerweise einen anerkannten Standard wie ISO/IEC 27001 oder den BSI IT-Grundschutz.

5. ISMS aufbauen oder anpassen: Errichten Sie ein Informationssicherheits-Managementsystem (ISMS), das die NIS2-Anforderungen systematisch abdeckt.

6. Lieferkette prüfen: Überprüfen Sie Verträge mit IT-Dienstleistern und kritischen Zulieferern auf Cybersicherheitsanforderungen und passen Sie diese ggf. an.

7. Schulungen durchführen: Sensibilisieren Sie Ihre Mitarbeiter und die Geschäftsführung für NIS2-Anforderungen – Unwissenheit schützt nicht vor Haftung.

8. Incident-Response-Plan erstellen: Etablieren Sie Meldeprozesse, damit Sie bei einem Sicherheitsvorfall die 24-Stunden-Frist für die BSI-Erstmeldung einhalten können.

9. Rechtsberatung hinzuziehen: Bei Unsicherheiten über die Betroffenheit oder spezifische Pflichten empfiehlt sich die Beratung durch einen auf IT- und Datenschutzrecht spezialisierten Rechtsanwalt.

10. Regelmäßig überprüfen: NIS2-Betroffenheit kann sich durch Unternehmenswachstum, Akquisitionen oder Änderungen im Leistungsportfolio ändern. Etablieren Sie einen jährlichen Review-Prozess.

Fazit: Jetzt handeln – nicht abwarten

Die NIS2-Betroffenheitsprüfung ist keine theoretische Übung, sondern eine rechtliche Pflicht mit unmittelbaren Konsequenzen. Unternehmen in Deutschland, die in regulierten Sektoren tätig sind, mehr als 50 Mitarbeiter beschäftigen und einen Jahresumsatz von mindestens 10 Millionen Euro erzielen, müssen ihre Betroffenheit ernst nehmen.

Ihre nächsten Schritte auf einen Blick:

• ✅ Sektorzugehörigkeit anhand Anlage 1 & 2 prüfen
• ✅ Größenkriterien (MA-Zahl, Umsatz/Bilanzsumme) abgleichen
• ✅ Einstufung als wesentlich oder wichtig festlegen
• ✅ BSI-Registrierung einleiten
• ✅ ISMS-Projekt starten oder Gap-Analyse in Auftrag geben

Wer jetzt handelt, vermeidet nicht nur empfindliche Bußgelder nach §65 BSIG – er stärkt auch nachhaltig die Cyberresilienz seines Unternehmens und schafft Vertrauen bei Kunden, Partnern und Behörden.

Nächster Schritt: NIS2-Compliance strukturiert angehen

Die größte Hürde für viele Unternehmen ist nicht das Wissen über NIS2, sondern die praktische Umsetzung: Wer erstellt die notwendigen ISMS-Dokumente? Wer pflegt die Risikoanalysen? Wer überwacht die Meldepflichten?

Spezialisierte NIS2-Compliance-Softwarelösungen können hier erheblich entlasten. Sie bieten strukturierte Betroffenheitsprüfungen, vorgefertigte Dokumentenvorlagen nach BSI IT-Grundschutz und ISO 27001, automatisierte Erinnerungen für Fristen und zentrale Dashboards für den Compliance-Status – alles in einem System. Informieren Sie sich über entsprechende Tools, die für Ihre Unternehmensgröße und Branche geeignet sind, und nutzen Sie kostenlose Erstbewertungen, um Ihren aktuellen Reifegrad zu ermitteln.

Quellen und weiterführende Informationen: NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), BSI-Gesetz (BSIG) in der geltenden Fassung, ENISA NIS2 Guidelines, BSI IT-Grundschutz-Kompendium 2024.