NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 23. August 2026 | Lesezeit: ca. 10 Minuten

Die NIS2-Richtlinie ist seit der Umsetzung durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) verbindliches deutsches Recht – und dennoch herrscht in vielen Unternehmen nach wie vor Unsicherheit: Bin ich überhaupt betroffen? Diese Frage ist keine akademische Übung, sondern eine geschäftskritische Entscheidung. Wer die Betroffenheitsprüfung versäumt oder falsch einschätzt, riskiert empfindliche Bußgelder und regulatorische Konsequenzen nach §65 BSIG.

Dieser Artikel führt Sie strukturiert durch die Betroffenheitsprüfung nach §3 NIS2UmsuCG, erklärt die relevanten Sektoren, Schwellenwerte und Einrichtungskategorien – und gibt Ihnen eine praxisnahe Checkliste an die Hand, mit der Sie Ihre Situation selbst einschätzen können.

Warum die Betroffenheitsprüfung so wichtig ist

Viele IT-Verantwortliche gehen davon aus, dass NIS2 vor allem große Konzerne betrifft. Das ist ein gefährlicher Irrglaube. Laut BSI-Schätzungen fallen in Deutschland deutlich mehr als 30.000 Unternehmen und Einrichtungen unter den Anwendungsbereich der NIS2-Richtlinie – erheblich mehr als unter die Vorgängerregelung (NIS1). Die Ausweitung betrifft sowohl neue Sektoren als auch kleinere Unternehmen, die bisher keine Berührungspunkte mit dem IT-Sicherheitsgesetz hatten.

Die Konsequenzen einer falschen Einschätzung sind gravierend:

• Keine Registrierungspflicht erfüllt → Ordnungswidrigkeitsverfahren
• Keine Sicherheitsmaßnahmen implementiert → Haftung der Geschäftsleitung (§38 BSIG)
• Meldepflichten nicht eingehalten → Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes

Die rechtliche Grundlage: §3 NIS2UmsuCG

Der zentrale Ausgangspunkt für die Betroffenheitsprüfung ist §3 NIS2UmsuCG, der die Begriffe „wesentliche Einrichtung" und „wichtige Einrichtung" definiert und auf die Sektorenlisten in Anlage 1 (wesentliche Sektoren) und Anlage 2 (wichtige Sektoren) des Gesetzes verweist.

Die grundlegende Logik der Prüfung folgt einem Zwei-Stufen-Modell:

1. Sektorzugehörigkeit: Ist Ihr Unternehmen in einem der in Anlage 1 oder Anlage 2 genannten Sektoren tätig?
2. Größenschwelle: Überschreitet Ihr Unternehmen die relevanten Größenkriterien (Mitarbeiterzahl und/oder Jahresumsatz)?

Nur wenn beide Kriterien erfüllt sind, gilt eine Einrichtung grundsätzlich als betroffen – mit wichtigen Ausnahmen für bestimmte Sektoren, die unabhängig von der Größe reguliert werden.

Schritt 1: Sektorzugehörigkeit prüfen

Anlage 1 – Sektoren mit hoher Kritikalität (wesentliche Einrichtungen)

Anlage 1 des NIS2UmsuCG umfasst elf Sektoren, die als besonders kritisch für das gesellschaftliche und wirtschaftliche Funktionieren eingestuft werden:

Anlage 2 – Sonstige kritische Sektoren (wichtige Einrichtungen)

Anlage 2 erweitert den Anwendungsbereich auf sieben weitere Sektoren:

Praxishinweis: Viele Unternehmen im verarbeitenden Gewerbe – etwa Maschinenbauer, Elektronikproduzenten oder Hersteller von Medizinprodukten – sind sich ihrer Betroffenheit nicht bewusst. Wenn Sie in diesem Bereich tätig sind, sollten Sie die Prüfung besonders sorgfältig durchführen.

Schritt 2: Größenkriterien prüfen

Die Standardschwellen nach §3 NIS2UmsuCG

Für die meisten Sektoren gelten folgende Mindestgrößen:

Wesentliche Einrichtungen (Anlage 1):
- Mindestens 250 Mitarbeiter (Vollzeitäquivalente), ODER
- Jahresumsatz über 50 Millionen Euro und Jahresbilanzsumme über 43 Millionen Euro

Wichtige Einrichtungen (Anlage 1 und 2):
- Mindestens 50 Mitarbeiter (Vollzeitäquivalente), ODER
- Jahresumsatz über 10 Millionen Euro und Jahresbilanzsumme über 10 Millionen Euro

Diese Schwellen orientieren sich an der EU-Definition für mittlere und große Unternehmen gemäß der EU-Empfehlung 2003/361/EG.

Sonderregelungen: Größenunabhängige Betroffenheit

Wichtig: Für bestimmte Einrichtungen gilt die Größenschwelle nicht. Folgende Einrichtungstypen unterliegen NIS2 unabhängig von ihrer Größe:

• Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste
• Qualifizierte Vertrauensdiensteanbieter
• Top-Level-Domain-Registries und DNS-Diensteanbieter
• Unternehmen, die als einzige Anbieter eines kritischen Dienstes in einem EU-Mitgliedstaat fungieren
• Betreiber kritischer Anlagen (KRITIS) gemäß BSI-Gesetz

Wesentliche vs. wichtige Einrichtungen: Der Unterschied im Überblick

Die Einordnung als „wesentliche" oder „wichtige" Einrichtung hat direkte Auswirkungen auf die regulatorischen Anforderungen und Sanktionen:

Interaktiver Selbsttest: Bin ich betroffen?

Nutzen Sie diese Checkliste, um Ihre Betroffenheit systematisch zu prüfen:

☑ Schritt-für-Schritt-Selbsttest

Frage 1: Sektorzugehörigkeit
- [ ] Ist mein Unternehmen in einem der Sektoren aus Anlage 1 oder Anlage 2 tätig?
- [ ] Erbringt mein Unternehmen wesentliche Dienstleistungen für einen dieser Sektoren (z. B. als IT-Dienstleister)?

➡ Wenn nein: Keine Betroffenheit nach NIS2 (Stand heute). Regelmäßig neu prüfen!
➡ Wenn ja: Weiter zu Frage 2.

Frage 2: Unternehmensgröße
- [ ] Hat mein Unternehmen 50 oder mehr Mitarbeiter?
- [ ] Übersteigt der Jahresumsatz 10 Millionen Euro?

➡ Wenn beides nein: Prüfen Sie, ob Sonderregelungen gelten (Frage 3).
➡ Wenn ja: Mindestens als wichtige Einrichtung betroffen.

Frage 3: Sonderregelungen
- [ ] Bin ich Anbieter öffentlicher Kommunikationsnetze/-dienste?
- [ ] Bin ich qualifizierter Vertrauensdiensteanbieter?
- [ ] Bin ich als einziger Anbieter eines kritischen Dienstes in Deutschland tätig?
- [ ] Bin ich als KRITIS-Betreiber eingestuft?

➡ Wenn eine Frage mit ja: Betroffenheit unabhängig von der Größe.

Frage 4: Einordnung
- [ ] Anlage 1 + 250+ Mitarbeiter oder 50 Mio. € Umsatz → Wesentliche Einrichtung
- [ ] Anlage 1 oder 2 + 50–249 Mitarbeiter oder 10–49 Mio. € Umsatz → Wichtige Einrichtung

Konsequenzen bei Nichterfüllung: Bußgelder nach §65 BSIG

§65 BSIG regelt die Bußgeldtatbestände für Verstöße gegen NIS2-Pflichten. Die möglichen Sanktionen sind erheblich:

Wesentliche Einrichtungen

• Bis zu 10.000.000 Euro oder 2 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres – je nachdem, welcher Betrag höher ist

Wichtige Einrichtungen

• Bis zu 7.000.000 Euro oder 1,4 % des weltweiten Jahresumsatzes

Persönliche Haftung der Geschäftsleitung

Besonders gravierend: §38 BSIG verpflichtet die Geschäftsleitung, Cybersicherheitsmaßnahmen nicht nur zu genehmigen, sondern aktiv zu überwachen und umzusetzen. Verstöße können zur persönlichen Haftung führen – auch ohne strafrechtliche Relevanz.

Typische Bußgeldtatbestände

• Keine oder unzureichende Registrierung beim BSI
• Unterlassene oder verspätete Meldung von Sicherheitsvorfällen
• Fehlende technische und organisatorische Schutzmaßnahmen gemäß §30 BSIG
• Nichtdurchführung von Risikoanalysen

Achtung: Das BSI hat angekündigt, die Aufsichtstätigkeit ab 2025/2026 deutlich zu intensivieren. Unternehmen, die noch keine Maßnahmen ergriffen haben, sollten unverzüglich handeln.

Konkrete Handlungsempfehlungen: Was tun nach der Betroffenheitsprüfung?

Wenn Sie festgestellt haben, dass Ihr Unternehmen unter NIS2 fällt, sollten Sie folgende Schritte einleiten:

1. Registrierung beim BSI durchführen: Betroffene Einrichtungen sind zur Selbstregistrierung im BSI-Portal verpflichtet. Nutzen Sie das offizielle MELDEPLATTFORM-Portal des BSI. Frist nicht verpassen – die Registrierungspflicht gilt unmittelbar.

2. Einrichtungskategorie dokumentieren: Halten Sie schriftlich fest, warum Sie als wesentliche oder wichtige Einrichtung eingestuft werden (Sektor, Mitarbeiterzahl, Umsatz). Diese Dokumentation schützt bei späteren Prüfungen.

3. Risikoanalyse und Informationssicherheitspolitik erstellen: §30 BSIG verlangt eine umfassende Risikoanalyse. Orientieren Sie sich an ISO 27001 oder dem BSI IT-Grundschutz als anerkannten Rahmenwerken.

4. Sicherheitsmaßnahmen nach §30 BSIG implementieren: Dazu gehören u. a. Maßnahmen zur Zugriffskontrolle, Verschlüsselung, Incident Response, Business Continuity und Supply-Chain-Sicherheit.

5. Meldewege für Sicherheitsvorfälle einrichten: NIS2 verlangt eine Erstmeldung an das BSI innerhalb von 24 Stunden nach Kenntnisnahme eines erheblichen Sicherheitsvorfalls, gefolgt von einem Zwischenbericht nach 72 Stunden und einem Abschlussbericht nach einem Monat.

6. Schulung der Geschäftsleitung sicherstellen: §38 BSIG schreibt vor, dass Leitungsorgane an Schulungen zu Cybersicherheitsrisiken teilnehmen. Planen Sie entsprechende Maßnahmen fest ein.

7. Lieferanten und Dienstleister prüfen: Die Sicherheit der Lieferkette (Supply Chain Security) ist ein explizites NIS2-Thema. Prüfen Sie, welche Drittanbieter Zugang zu kritischen Systemen haben, und fordern Sie entsprechende Nachweise.

8. Regelmäßige Überprüfung der Betroffenheit: Unternehmen wachsen, fusionieren oder ändern ihr Geschäftsmodell. Führen Sie die Betroffenheitsprüfung mindestens einmal jährlich durch.

Fazit: Jetzt handeln – Betroffenheit systematisch klären

Die NIS2-Betroffenheitsprüfung ist kein einmaliges Projekt, sondern ein fortlaufender Prozess. Angesichts der erheblichen Bußgeldrisiken nach §65 BSIG und der persönlichen Haftung der Geschäftsleitung nach §38 BSIG ist eine systematische Vorgehensweise unverzichtbar.

Ihre nächsten Schritte auf einen Blick:

• ✅ Sektorzugehörigkeit anhand Anlage 1 und Anlage 2 prüfen
• ✅ Mitarbeiterzahl und Jahresumsatz gegen die Schwellenwerte abgleichen
• ✅ Sonderregelungen prüfen (größenunabhängige Betroffenheit)
• ✅ Einrichtungskategorie (wesentlich/wichtig) dokumentieren
• ✅ Registrierung beim BSI einleiten
• ✅ NIS2-Maßnahmenplan aufsetzen und umsetzen

Die gute Nachricht: Unternehmen, die jetzt handeln, verschaffen sich nicht nur regulatorische Sicherheit, sondern auch einen echten Wettbewerbsvorteil durch nachweisbare Cybersicherheitsreife.

Tools & Software: Betroffenheitsprüfung effizient gestalten

Die manuelle Prüfung und Dokumentation aller NIS2-Anforderungen ist zeitaufwendig und fehleranfällig. Spezialisierte NIS2-Compliance-Software und ISMS-Plattformen können Ihnen helfen, die Betroffenheitsprüfung zu automatisieren, Maßnahmenpläne zu erstellen, Nachweise zu dokumentieren und Meldepflichten zu verwalten – alles in einer zentralen Lösung. Achten Sie bei der Auswahl auf eine enge Ausrichtung an §30 BSIG, ISO 27001 und den BSI IT-Grundschutz-Anforderungen. Viele Anbieter stellen kostenlose Betroffenheits-Checks als Einstieg bereit – ein sinnvoller erster Schritt, bevor Sie in die vollständige Implementierung gehen.

Dieser Artikel wurde nach bestem Wissen auf Basis des NIS2UmsuCG, des BSIG und der ENISA-Leitlinien verfasst. Er stellt keine Rechtsberatung dar. Für eine rechtssichere Einschätzung wenden Sie sich an einen spezialisierten Fachanwalt für IT-Recht oder Ihren BSI-zertifizierten Informationssicherheitsberater.