NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 21. August 2026 | Lesezeit: ca. 8 Minuten

Die NIS2-Richtlinie der Europäischen Union und ihre Umsetzung in deutsches Recht durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) haben die Cybersicherheitslandschaft für Tausende deutsche Unternehmen grundlegend verändert. Doch noch immer stellen viele Geschäftsführer und IT-Verantwortliche dieselbe Frage: „Bin ich überhaupt betroffen?"

Die Antwort ist entscheidend — denn wer unter die Richtlinie fällt und die Anforderungen ignoriert, riskiert empfindliche Bußgelder nach §65 BSIG. Dieser Artikel führt Sie Schritt für Schritt durch die NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland und zeigt, was jetzt konkret zu tun ist.

Was regelt §3 NIS2UmsuCG — und warum ist er so wichtig?

Der §3 NIS2UmsuCG definiert den persönlichen Anwendungsbereich des Gesetzes. Er legt fest, welche Einrichtungen als „wesentlich" oder „wichtig" eingestuft werden und damit den umfassenden Pflichten aus dem Gesetz unterliegen. Kurz gesagt: Wer in einem regulierten Sektor tätig ist und bestimmte Größenschwellen überschreitet, fällt automatisch in den Geltungsbereich — unabhängig davon, ob er sich selbst registriert hat oder nicht.

Das BSI betont ausdrücklich, dass die Eigenverantwortung der Unternehmen hier im Vordergrund steht. Es gibt keine offizielle Liste aller betroffenen Organisationen. Vielmehr sind die Unternehmen selbst verpflichtet zu prüfen, ob sie unter NIS2 fallen, und sich entsprechend zu registrieren.

Schritt 1: Gehört Ihr Unternehmen zu einem regulierten Sektor?

Der erste Prüfschritt ist die Sektorzugehörigkeit. Das NIS2UmsuCG unterscheidet zwei Kategorien von Sektoren, die in den Anlagen 1 und 2 des Gesetzes aufgeführt sind.

Anlage 1 — Sektoren mit hoher Kritikalität (für „wesentliche Einrichtungen")

Anlage 2 — Sonstige kritische Sektoren (für „wichtige Einrichtungen")

Praxishinweis: Viele mittelständische Unternehmen aus dem verarbeitenden Gewerbe — etwa Maschinenbauer oder Automobilzulieferer — fallen über Anlage 2 in den Geltungsbereich, ohne es zu wissen.

Schritt 2: Überschreiten Sie die Größenschwellen?

Die Sektorzugehörigkeit allein reicht nicht aus. Entscheidend sind auch die Größenschwellen gemäß §3 NIS2UmsuCG in Verbindung mit der EU-Empfehlung 2003/361/EG:

Grundregel: Mittlere und große Unternehmen sind betroffen

• Mittelgroße Unternehmen: ≥ 50 Mitarbeiter oder ≥ 10 Mio. Euro Jahresumsatz (und Jahresbilanzsumme > 10 Mio. Euro)
• Große Unternehmen: ≥ 250 Mitarbeiter oder ≥ 50 Mio. Euro Jahresumsatz

Kleinunternehmen mit weniger als 50 Mitarbeitern und einem Jahresumsatz unter 10 Millionen Euro sind in der Regel ausgenommen — es sei denn, sie gehören zu einer der folgenden Ausnahmekategorien:

Wichtige Ausnahmen: Auch Kleinunternehmen können betroffen sein

Bestimmte Einrichtungen fallen unabhängig von ihrer Größe unter NIS2, sofern sie:

• der einzige Anbieter eines kritischen Dienstes in einem EU-Mitgliedstaat sind,
• ihre Dienste für die öffentliche Sicherheit, Ordnung oder Gesundheit essenziell sind,
• als TLD-Registries oder DNS-Anbieter agieren,
• als Anbieter öffentlicher elektronischer Kommunikationsnetze eingestuft werden, oder
• durch das BSI aufgrund besonderer Bedeutung individuell eingestuft wurden.

Schritt 3: Wesentliche oder wichtige Einrichtung — was ist der Unterschied?

Die Einstufung Ihrer Einrichtung entscheidet über die Intensität der Aufsicht und die Höhe möglicher Bußgelder.

Achtung: Große Unternehmen aus Anlage-1-Sektoren wie Energieversorger oder Krankenhäuser unterliegen der proaktiven Aufsicht. Das BSI kann hier aktiv Prüfungen einleiten — ohne Anlass und ohne Vorwarnung.

Selbsttest: Fällt Ihr Unternehmen unter NIS2?

Nutzen Sie diese Checkliste für eine erste Einschätzung:

✅ NIS2-Betroffenheits-Checkliste

• [ ] Frage 1: Ist mein Unternehmen in einem der Sektoren aus Anlage 1 oder Anlage 2 tätig?
• [ ] Frage 2: Beschäftigt mein Unternehmen 50 oder mehr Mitarbeiter oder erzielt es einen Jahresumsatz von mindestens 10 Millionen Euro?
• [ ] Frage 3: Erbringt mein Unternehmen Dienste, die für die öffentliche Versorgung oder kritische Infrastruktur essenziell sind — auch als Kleinunternehmen?
• [ ] Frage 4: Ist mein Unternehmen Teil einer Unternehmensgruppe, bei der die Muttergesellschaft oder ein verbundenes Unternehmen die Schwellenwerte überschreitet?
• [ ] Frage 5: Hat das BSI mein Unternehmen bereits direkt kontaktiert oder als betroffene Einrichtung eingestuft?

Auswertung:
- Frage 1 UND Frage 2 mit Ja beantwortet: Sie sind höchstwahrscheinlich betroffen — handeln Sie jetzt.
- Frage 3, 4 oder 5 mit Ja beantwortet: Lassen Sie Ihre Situation rechtlich und technisch prüfen.
- Alle Fragen mit Nein beantwortet: Geringes Risiko — aber regelmäßige Überprüfung empfehlenswert.

Die Konsequenzen bei Nichterfüllung — §65 BSIG lässt keinen Spielraum

Wer unter NIS2 fällt, aber die Anforderungen ignoriert, läuft in ein erhebliches rechtliches und finanzielles Risiko. Der §65 BSIG sieht folgende Sanktionen vor:

• Wesentliche Einrichtungen: Bußgelder bis zu 10 Millionen Euro oder bis zu 2 % des gesamten weltweiten Jahresumsatzes — je nachdem, welcher Betrag höher ist.
• Wichtige Einrichtungen: Bußgelder bis zu 7 Millionen Euro oder bis zu 1,4 % des gesamten weltweiten Jahresumsatzes.
• Persönliche Haftung der Geschäftsführung: Laut §38 NIS2UmsuCG müssen Leitungsorgane die Umsetzung von Cybersicherheitsmaßnahmen aktiv überwachen und billigen. Bei Versäumnissen können Geschäftsführer persönlich haftbar gemacht werden.
• Öffentliche Bekanntmachung: Das BSI kann betroffene Einrichtungen bei schwerwiegenden Verstößen öffentlich benennen — ein erhebliches Reputationsrisiko.
• Betriebsuntersagungen: In extremen Fällen kann die Aufsichtsbehörde den Betrieb kritischer Dienste vorübergehend untersagen.

Was müssen betroffene Unternehmen konkret umsetzen?

Wenn die Betroffenheitsprüfung ergibt, dass Ihr Unternehmen unter NIS2 fällt, sind folgende Maßnahmen verpflichtend:

1. Registrierung beim BSI

Betroffene Einrichtungen müssen sich über das BSI-Portal registrieren. Die Registrierungspflicht gilt unmittelbar nach Feststellung der Betroffenheit.

2. Technische und organisatorische Maßnahmen (§30 NIS2UmsuCG)

Verpflichtend umzusetzen sind unter anderem:
- Risikoanalyse und Sicherheitskonzepte für Informationssysteme
- Incident-Response-Pläne und Business-Continuity-Management
- Sicherheit der Lieferkette und Drittanbieter-Management
- Multi-Faktor-Authentifizierung und Zugangskontrollen
- Verschlüsselung sensibler Daten
- Regelmäßige Sicherheitsschulungen für Mitarbeitende

3. Meldepflichten bei Sicherheitsvorfällen (§32 NIS2UmsuCG)

• 24 Stunden nach Kenntnisnahme: Erstmeldung beim BSI (Frühwarnung)
• 72 Stunden nach Kenntnisnahme: Vollständige Meldung mit erster Bewertung
• 1 Monat nach Erstmeldung: Abschlussbericht mit detaillierter Ursachenanalyse

4. Schulung der Leitungsorgane

Gemäß §38 NIS2UmsuCG ist die Geschäftsführung verpflichtet, regelmäßige Schulungen zu Cybersicherheitsthemen zu absolvieren und nachzuweisen.

Konkrete Handlungsempfehlungen — Ihre nächsten Schritte

1. Betroffenheitsprüfung dokumentieren: Halten Sie Ihre Prüfung schriftlich fest — inklusive der herangezogenen Kriterien und des Ergebnisses. Das BSI kann diese Dokumentation im Rahmen einer Aufsichtsmaßnahme einfordern.

2. Rechtliche Beratung einholen: Bei Unklarheiten zur Sektorzugehörigkeit oder Größenschwelle empfehlen wir die Hinzuziehung eines auf IT-Recht spezialisierten Anwalts.

3. Gap-Analyse durchführen: Vergleichen Sie Ihren aktuellen Sicherheitsstand mit den Anforderungen aus §30 NIS2UmsuCG. Nutzen Sie dafür den BSI IT-Grundschutz-Kompendium oder die ENISA-Leitfäden als Referenz.

4. ISMS aufbauen oder anpassen: Ein Information Security Management System (ISMS) nach ISO/IEC 27001 bildet das Rückgrat der NIS2-Compliance. Falls noch nicht vorhanden, starten Sie jetzt mit dem Aufbau.

5. Beim BSI registrieren: Nutzen Sie das BSI-Meldeportal für die vorgeschriebene Registrierung. Zögern Sie nicht — Verzögerungen können bereits bußgeldbewehrt sein.

6. Lieferkette überprüfen: NIS2 schreibt explizit das Management von Lieferantenrisiken vor. Überprüfen Sie Verträge mit IT-Dienstleistern und Cloud-Anbietern auf Sicherheitsanforderungen.

7. Incident-Response-Plan erstellen: Definieren Sie klare Prozesse für den Ernstfall — wer meldet wann was an welche Behörde? Üben Sie diese Prozesse regelmäßig.

8. Schulungsmaßnahmen planen: Integrieren Sie NIS2-relevante Cybersicherheitsschulungen in Ihr jährliches Weiterbildungsprogramm — für IT-Mitarbeitende und die Geschäftsführung.

Fazit: Handeln statt Abwarten

Die NIS2-Betroffenheitsprüfung ist kein bürokratischer Selbstzweck — sie ist der erste und wichtigste Schritt auf dem Weg zur Cybersicherheits-Compliance. Die regulatorische Realität in Deutschland ist klar: Das BSI hat seine Aufsichtstätigkeit intensiviert, die Bußgeldtatbestände nach §65 BSIG sind scharf, und die persönliche Haftung von Geschäftsführern nach §38 NIS2UmsuCG schafft zusätzlichen Druck.

Ihre nächsten drei Schritte im Überblick:

1. ✅ Betroffenheitsprüfung anhand der Sektoren (Anlage 1 & 2) und Größenkriterien durchführen und dokumentieren
2. ✅ Gap-Analyse gegen die Anforderungen aus §30 NIS2UmsuCG einleiten
3. ✅ Registrierung beim BSI vornehmen und ISMS-Projekt starten

Gut zu wissen: Wer frühzeitig handelt, profitiert nicht nur von Rechtssicherheit, sondern stärkt auch das Vertrauen von Kunden, Partnern und Investoren.

💡 Tipp für Ihre NIS2-Compliance

Die manuelle Verwaltung aller NIS2-Anforderungen — von der Risikoanalyse über die Dokumentation bis hin zum Meldewesen — ist zeitaufwendig und fehleranfällig. Spezialisierte NIS2-Compliance-Software und ISMS-Plattformen helfen Ihnen dabei, die Betroffenheitsprüfung zu strukturieren, Maßnahmen zu verfolgen, Nachweise zu dokumentieren und Meldepflichten fristgerecht einzuhalten. Viele Lösungen bieten fertige Vorlagen für NIS2-konforme Richtlinien, automatisierte Erinnerungen bei Fristen und Audit-Ready-Dashboards für die BSI-Kommunikation. Eine solche Plattform kann den Aufwand für Ihr Compliance-Team erheblich reduzieren — und gibt der Geschäftsführung die nötige Transparenz über den Sicherheitsstatus des Unternehmens.

Quellen: BSI — Bundesamt für Sicherheit in der Informationstechnik (bsi.bund.de), NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), BSIG (BSI-Gesetz), ENISA Threat Landscape 2025, EU-Richtlinie 2022/2555 (NIS2), EU-Empfehlung 2003/361/EG zur KMU-Definition