NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 22. August 2026 | Lesezeit: ca. 9 Minuten

Die NIS2-Richtlinie ist seit der Umsetzung in deutsches Recht durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) verbindliche Realität für tausende Unternehmen in Deutschland. Doch noch immer herrscht bei vielen Geschäftsführern und IT-Verantwortlichen Unsicherheit: Bin ich überhaupt betroffen? Diese Frage ist keine akademische Übung – die falsche Antwort kann Bußgelder in Millionenhöhe nach sich ziehen.

In diesem Artikel führen wir Sie systematisch durch die NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland 2025, erklären die relevanten Sektoren, Größenschwellen und Einrichtungsklassen – und zeigen Ihnen, was nach der Prüfung konkret zu tun ist.

Was regelt §3 NIS2UmsuCG – und warum ist er für Sie entscheidend?

Der §3 NIS2UmsuCG definiert den Anwendungsbereich des Gesetzes. Er legt fest, welche Einrichtungen als „wesentlich" oder „wichtig" eingestuft werden und damit den vollständigen Pflichtenkatalog erfüllen müssen. Wer hier fahrlässig vorgeht und seine Betroffenheit nicht korrekt einschätzt, riskiert nicht nur Bußgelder, sondern auch erhebliche Reputationsschäden.

Grundsätzlich gilt: Eine Einrichtung fällt unter NIS2, wenn sie zwei Kriterien gleichzeitig erfüllt:

1. Sie gehört zu einem der in Anlage 1 oder Anlage 2 des NIS2UmsuCG gelisteten Sektoren.
2. Sie überschreitet bestimmte Größenschwellen (Mitarbeiterzahl und/oder Jahresumsatz bzw. Jahresbilanzsumme).

Einzelne Sektoren unterliegen jedoch unabhängig von der Größe der Regulierung – dazu mehr im nächsten Abschnitt.

Schritt 1: Gehört Ihr Sektor zu Anlage 1 oder Anlage 2?

Anlage 1 – Sektoren mit hoher Kritikalität

Die Anlage 1 des NIS2UmsuCG umfasst Sektoren, die als besonders kritisch für das Funktionieren von Wirtschaft und Gesellschaft gelten. Einrichtungen in diesen Sektoren werden in der Regel als wesentliche Einrichtungen eingestuft.

Anlage 2 – Sonstige kritische Sektoren

Die Anlage 2 umfasst weitere Sektoren, deren Einrichtungen als wichtige Einrichtungen gelten – mit etwas geringeren, aber immer noch erheblichen Anforderungen:

Wichtig: Wenn Ihr Unternehmen in keinem dieser Sektoren tätig ist, fällt es grundsätzlich nicht unter NIS2 – es sei denn, es erbringt wesentliche Dienste für regulierte Einrichtungen als kritischer Zulieferer.

Schritt 2: Überschreiten Sie die Größenschwellen?

Neben der Sektorzugehörigkeit kommt es auf die Unternehmensgröße an. Das NIS2UmsuCG orientiert sich dabei an der EU-Definition für mittelgroße und große Unternehmen:

Größenkriterien im Überblick

Grundregel: Unternehmen mit 50 oder mehr Mitarbeitenden und einem Jahresumsatz oder einer Bilanzsumme von mindestens 10 Millionen Euro, die einem der genannten Sektoren angehören, fallen unter NIS2.

Ausnahmen von der Größenregel

Bestimmte Einrichtungen unterliegen NIS2 unabhängig von ihrer Größe:

• Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste
• Vertrauensdiensteanbieter (qualifizierte und nicht-qualifizierte)
• TLD-Registries und DNS-Diensteanbieter
• Einrichtungen, die vom jeweiligen Mitgliedstaat als kritisch eingestuft wurden (gemäß CER-Richtlinie)
• Einrichtungen, die als einzige in einem Mitgliedstaat einen wesentlichen Dienst erbringen

Schritt 3: Wesentliche vs. wichtige Einrichtung – was ist der Unterschied?

Die Einordnung in wesentliche oder wichtige Einrichtung hat direkte Auswirkungen auf die Aufsichtsintensität und die Bußgeldhöhe.

Wesentliche Einrichtungen (§3 Abs. 1 NIS2UmsuCG)

• Große Unternehmen (≥ 250 MA) aus Anlage-1-Sektoren
• Mittlere Unternehmen aus bestimmten Anlage-1-Sektoren (Energie, Verkehr, Finanzmarkt, Gesundheit, digitale Infrastruktur)
• Qualifizierte Vertrauensdiensteanbieter und TLD-Registries (größenunabhängig)

Konsequenz: Proaktive Aufsicht durch das BSI, strengere Prüfpflichten, höhere Bußgelder bei Verstößen.

Wichtige Einrichtungen (§3 Abs. 2 NIS2UmsuCG)

• Mittlere und große Unternehmen aus Anlage-2-Sektoren
• Mittlere Unternehmen aus Anlage-1-Sektoren, die nicht als wesentlich eingestuft sind

Konsequenz: Reaktive Aufsicht (Prüfungen werden nur anlassbezogen durchgeführt), etwas niedrigere Bußgeldobergrenzen.

Interaktiver Selbsttest: Bin ich von NIS2 betroffen?

Beantworten Sie die folgenden Fragen der Reihe nach. Bei „Ja" geht es weiter zum nächsten Schritt, bei „Nein" können Sie die Prüfung beenden.

Frage 1: Ist mein Unternehmen in Deutschland tätig und erbringt es Dienste oder betreibt es Tätigkeiten innerhalb der EU?
- ✅ Ja → Weiter mit Frage 2
- ❌ Nein → Wahrscheinlich nicht betroffen (Einzelfallprüfung empfohlen)

Frage 2: Gehört mein Unternehmen zu einem Sektor in Anlage 1 oder Anlage 2 des NIS2UmsuCG?
- ✅ Ja → Weiter mit Frage 3
- ❌ Nein → Wahrscheinlich nicht betroffen

Frage 3: Beschäftigt mein Unternehmen 50 oder mehr Mitarbeitende UND liegt der Jahresumsatz oder die Bilanzsumme bei mindestens 10 Mio. €?
- ✅ Ja → Weiter mit Frage 4
- ❌ Nein → Prüfen, ob eine größenunabhängige Ausnahmeregel greift (z. B. Vertrauensdiensteanbieter)

Frage 4: Ist mein Unternehmen ein großes Unternehmen (≥ 250 MA) in einem Anlage-1-Sektor oder ein qualifizierter Vertrauensdiensteanbieter?
- ✅ Ja → Wesentliche Einrichtung – Höchste Anforderungen und proaktive BSI-Aufsicht
- ❌ Nein → Wichtige Einrichtung – Erhebliche Anforderungen, reaktive Aufsicht

Was droht bei Nichterfüllung? Bußgelder nach §65 BSIG

Wer glaubt, die Betroffenheitsprüfung ignorieren zu können, irrt gewaltig. Das Bundessicherheitsstärkungsgesetz (BSIG) sieht in §65 BSIG empfindliche Bußgelder vor:

Hinzu kommen mögliche persönliche Haftungsrisiken für Geschäftsführer und Vorstände, denn §38 BSIG verpflichtet die Leitungsorgane zur Billigung und Überwachung der Cybersicherheitsmaßnahmen. Verstöße können dazu führen, dass die Geschäftsführung für entstandene Schäden persönlich in Regress genommen wird.

Darüber hinaus sind folgende Sanktionen möglich:
- Öffentliche Bekanntmachung von Verstößen durch das BSI
- Temporäre Untersagung der Leitungstätigkeit bei wesentlichen Einrichtungen
- Anordnung von Sicherheitsaudits auf Kosten des Unternehmens

Konkrete Handlungsempfehlungen nach der Betroffenheitsprüfung

Wenn Ihre Betroffenheitsprüfung ergibt, dass Sie unter NIS2 fallen, sollten Sie umgehend handeln. Hier sind die wichtigsten nächsten Schritte:

1. Registrierung beim BSI vornehmen: Betroffene Einrichtungen sind verpflichtet, sich im BSI-Portal zu registrieren. Die Registrierungspflicht gilt für wesentliche und wichtige Einrichtungen gleichermaßen.

2. Risikoanalyse und Sicherheitskonzept erstellen: Gemäß §30 BSIG müssen geeignete technische und organisatorische Maßnahmen zum Schutz der Netz- und Informationssysteme implementiert werden. Basis ist eine dokumentierte Risikoanalyse.

3. Incident-Response-Prozesse etablieren: §32 BSIG fordert die Fähigkeit zur Erkennung, Meldung und Reaktion auf erhebliche Sicherheitsvorfälle. Erhebliche Vorfälle müssen dem BSI innerhalb von 24 Stunden (Frühwarnung) gemeldet werden.

4. Lieferkettensicherheit prüfen: Kritische Zulieferer und Dienstleister müssen auf ihre Cybersicherheitsreife geprüft werden. NIS2 fordert explizit das Risikomanagement in der Lieferkette.

5. Schulungen für Führungskräfte und Mitarbeitende planen: §38 BSIG verlangt, dass Leitungsorgane an Cybersicherheitsschulungen teilnehmen und deren Durchführung für alle Beschäftigten sicherstellen.

6. ISMS implementieren oder anpassen: Ein Informationssicherheits-Managementsystem (ISMS) nach ISO 27001 oder BSI IT-Grundschutz bildet die strukturelle Basis für die NIS2-Compliance.

7. Meldeprozesse für Sicherheitsvorfälle dokumentieren: Klare interne Eskalationswege und externe Meldepflichten müssen schriftlich fixiert und regelmäßig getestet werden.

Häufige Irrtümer bei der NIS2-Betroffenheitsprüfung

Irrtum 1: „Wir sind zu klein für NIS2."
Unternehmen mit 50 Mitarbeitenden und 10 Mio. € Umsatz können bereits betroffen sein – wenn sie im richtigen Sektor tätig sind. Größenunabhängige Ausnahmen verschärfen dies weiter.

Irrtum 2: „Wir sind kein KRITIS-Unternehmen, also sind wir sicher."
NIS2 geht deutlich über den bisherigen KRITIS-Kreis hinaus. Viele Unternehmen, die bisher nicht reguliert waren, fallen nun unter das neue Regime.

Irrtum 3: „Die Tochtergesellschaft ist nicht betroffen, weil das Mutterunternehmen klein ist."
Für die Größenberechnung können verbundene Unternehmen und Partnerunternehmen zusammengerechnet werden. Eine isolierte Betrachtung der Einzelgesellschaft reicht nicht aus.

Irrtum 4: „Wir warten auf eine Benachrichtigung vom BSI."
Die Betroffenheit tritt kraft Gesetzes ein – es gibt keine individuelle Benachrichtigung. Unternehmen müssen ihre Betroffenheit selbst prüfen und eigenständig handeln.

Fazit: NIS2-Betroffenheitsprüfung als Pflichtaufgabe für 2025

Die NIS2-Betroffenheitsprüfung ist keine optionale Übung, sondern eine gesetzliche Pflicht mit erheblichen Konsequenzen bei Versäumnis. Zusammenfassend die wichtigsten nächsten Schritte:

• Sektor prüfen: Fällt Ihr Unternehmen unter Anlage 1 oder Anlage 2?
• Größe prüfen: Erfüllen Sie die Schwelle von 50 MA und 10 Mio. € Umsatz/Bilanzsumme?
• Einrichtungstyp bestimmen: Wesentlich oder wichtig – mit allen Konsequenzen für Aufsicht und Bußgelder
• Registrierung beim BSI: Unverzüglich nach Feststellung der Betroffenheit
• Maßnahmen umsetzen: ISMS, Risikoanalyse, Meldeprozesse, Schulungen

Die Uhr tickt: Behörden wie das BSI haben bereits angekündigt, die Durchsetzung zu intensivieren. Wer jetzt handelt, verschafft sich nicht nur rechtliche Sicherheit, sondern auch einen echten Wettbewerbsvorteil durch nachgewiesene Cybersicherheitsreife.

Ihr nächster Schritt: NIS2-Compliance strukturiert angehen

Die Betroffenheitsprüfung ist der erste Schritt – die eigentliche Arbeit beginnt danach. Spezialisierte NIS2-Compliance-Softwarelösungen helfen Ihnen dabei, Ihre Betroffenheit rechtssicher zu dokumentieren, Risikoanalysen strukturiert durchzuführen, ISMS-Dokumente gesetzeskonform zu erstellen und Meldeprozesse für Sicherheitsvorfälle zu automatisieren. Viele Plattformen bieten mittlerweile integrierte Betroffenheitschecks an, die auf Basis Ihrer Angaben zu Sektor, Größe und Dienstleistungen eine rechtlich belastbare Ersteinschätzung liefern. Nutzen Sie diese Tools als Ausgangspunkt – und ergänzen Sie die Ergebnisse durch eine Beratung mit qualifizierten Cybersicherheitsexperten oder Rechtsanwälten mit NIS2-Expertise.

Quellen: NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), BSI-Gesetz (BSIG) in der aktuellen Fassung, ENISA NIS2 Implementation Guidelines, Bundesamt für Sicherheit in der Informationstechnik (BSI), Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates.