NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 24. August 2026 | Lesedauer: ca. 8 Minuten

Die NIS2-Richtlinie der EU ist seit ihrer Umsetzung durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in deutsches Recht eines der meistdiskutierten Compliance-Themen in deutschen Unternehmen. Und dennoch: Viele Geschäftsführer und IT-Verantwortliche wissen bis heute nicht sicher, ob ihr Unternehmen überhaupt betroffen ist – und wenn ja, in welcher Kategorie es eingeordnet wird.

Dieser Artikel liefert Ihnen eine strukturierte NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland und erklärt, welche Konsequenzen drohen, wenn Sie die Anforderungen ignorieren.

Was ist die NIS2-Richtlinie – und warum ist sie für Sie relevant?

NIS2 steht für „Network and Information Security Directive 2" und ist die Nachfolgerin der ursprünglichen NIS-Richtlinie aus dem Jahr 2016. Die EU-Richtlinie 2022/2555 wurde in Deutschland durch das NIS2UmsuCG in nationales Recht überführt und ist seit März 2025 vollständig in Kraft.

Das Kernziel: Ein europaweit einheitliches, hohes Niveau der Cybersicherheit – insbesondere für Unternehmen in kritischen und wichtigen Sektoren. §3 NIS2UmsuCG definiert dabei den persönlichen Anwendungsbereich: Welche Einrichtungen fallen unter das Gesetz, und welche sind ausgenommen?

Die entscheidenden Fragen für Ihr Unternehmen lauten:

1. Sind Sie in einem der relevanten Sektoren tätig?
2. Erreichen Sie die Größenschwellen?
3. Gelten für Sie Sonderregelungen (z. B. als kritische Infrastruktur)?

Schritt 1: Fällt Ihr Sektor unter NIS2?

Das NIS2UmsuCG unterscheidet zwischen zwei Kategorien von Sektoren – Anlage 1 (besonders kritische Sektoren) und Anlage 2 (weitere wichtige Sektoren). Diese Einteilung ist unmittelbar relevant für die Klassifizierung Ihres Unternehmens.

Anlage 1 – Sektoren mit hoher Kritikalität (ehemals KRITIS-Kernbereiche)

Unternehmen in diesen Sektoren gelten als wesentliche Einrichtungen (Essential Entities), sofern die Größenschwellen erreicht werden:

• Energie (Strom, Gas, Öl, Wasserstoff, Fernwärme)
• Verkehr (Luft, Bahn, Wasser, Straße)
• Bankwesen und Finanzmarktinfrastrukturen
• Gesundheitswesen (Krankenhäuser, Labore, Pharmahersteller)
• Trinkwasser und Abwasser
• Digitale Infrastruktur (Internet-Knoten, DNS, TLD-Registrierungen, Rechenzentren, Cloud-Anbieter)
• IKT-Dienstleistungsmanagement (Managed Service Provider, Managed Security Service Provider)
• Öffentliche Verwaltung
• Weltraum (Bodeninfrastruktur)

Anlage 2 – Weitere wichtige Sektoren

Unternehmen in diesen Bereichen werden als wichtige Einrichtungen (Important Entities) eingestuft:

• Post- und Kurierdienste
• Abfallbewirtschaftung
• Chemische Industrie
• Lebensmittelproduktion und -vertrieb
• Verarbeitendes Gewerbe / Maschinenbau (insbesondere Hersteller kritischer Produkte wie Medizingeräte, Fahrzeuge, Elektronik)
• Digitale Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke)
• Forschung

Wichtig: Auch wenn Ihr Unternehmen primär einem anderen Sektor angehört, aber als wesentlicher Lieferant für eine der oben genannten Branchen tätig ist, kann eine indirekte Betroffenheit entstehen – etwa durch vertragliche Anforderungen Ihrer Auftraggeber (Supply-Chain-Compliance).

Schritt 2: Erreicht Ihr Unternehmen die Größenschwellen?

Die bloße Zugehörigkeit zu einem NIS2-Sektor reicht nicht aus. §3 NIS2UmsuCG verknüpft die Betroffenheit mit klaren Größenkriterien, die sich an den EU-Definitionen für Unternehmensgrößen orientieren:

Größenschwellen im Überblick

Schwellenwert: Ab 50 Mitarbeitenden und einem Jahresumsatz oder einer Bilanzsumme von mindestens 10 Millionen Euro sind Unternehmen in NIS2-relevanten Sektoren grundsätzlich betroffen.

Ausnahmen von der Größenregel

Es gibt Konstellationen, in denen auch kleinere Unternehmen unter NIS2 fallen:

• DNS-Dienstleister, TLD-Register, Anbieter öffentlicher elektronischer Kommunikationsnetze: Hier gelten eigene Schwellenwerte.
• Betreiber kritischer Infrastrukturen nach BSI-KritisV: Wer bereits als KRITIS-Betreiber gilt, unterliegt automatisch NIS2 als wesentliche Einrichtung – unabhängig von der Mitarbeiterzahl.
• Qualifizierte Vertrauensdiensteanbieter, Namensvergabestellen: Größenunabhängig betroffene Einrichtungen.
• Einzige Anbieter in einem Mitgliedstaat: Wenn ein Unternehmen der einzige Anbieter eines bestimmten Dienstes in Deutschland ist, kann das BSI es unabhängig von der Größe als betroffene Einrichtung einstufen.

Schritt 3: Wesentliche vs. wichtige Einrichtungen – Was ist der Unterschied?

NIS2 unterscheidet zwei Regulierungsklassen mit unterschiedlicher Intensität der Aufsicht und unterschiedlichen Haftungsregeln.

Wesentliche Einrichtungen (Essential Entities)

• Tätig in Sektoren der Anlage 1
• ≥ 250 Mitarbeitende oder Umsatz > 50 Mio. €
• Unterliegen proaktiver Aufsicht durch das BSI
• Strengere Meldepflichten und kürzere Fristen
• Höchste Bußgeldrahmen bei Verstößen

Wichtige Einrichtungen (Important Entities)

• Tätig in Sektoren der Anlage 1 oder 2 (kleinere Unternehmen) oder ausschließlich in Anlage 2
• 50–249 Mitarbeitende und Umsatz 10–50 Mio. €
• Unterliegen reaktiver Aufsicht (BSI wird tätig bei Hinweisen oder Vorfällen)
• Etwas geringere Bußgeldrahmen, aber dennoch erheblich

Selbsttest: Ist Ihr Unternehmen NIS2-pflichtig?

Nutzen Sie diese strukturierte Checkliste für eine erste Einschätzung – sie ersetzt keine rechtliche Prüfung, gibt aber eine fundierte Orientierung:

Schritt 1 – Sektor-Check:
- [ ] Ist mein Unternehmen in einem Sektor aus Anlage 1 oder Anlage 2 des NIS2UmsuCG tätig?
- [ ] Erbringen wir Dienstleistungen, die direkt für einen dieser Sektoren kritisch sind?

Schritt 2 – Größen-Check:
- [ ] Beschäftigt mein Unternehmen 50 oder mehr Mitarbeitende?
- [ ] Liegt unser Jahresumsatz oder unsere Bilanzsumme bei mindestens 10 Millionen Euro?

Schritt 3 – Sonderregel-Check:
- [ ] Sind wir bereits als KRITIS-Betreiber registriert?
- [ ] Sind wir ein qualifizierter Vertrauensdiensteanbieter?
- [ ] Erbringen wir Dienste als einziger Anbieter in Deutschland?

Auswertung:
- Alle Schritt-1- und Schritt-2-Fragen mit Ja: Sie sind höchstwahrscheinlich als wichtige oder wesentliche Einrichtung einzustufen.
- Mindestens eine Frage aus Schritt 3 mit Ja: Sie sind unabhängig von der Größe betroffen.
- Überwiegend Nein: Direkte NIS2-Pflichten bestehen wahrscheinlich nicht – prüfen Sie jedoch Ihre Lieferkettenverpflichtungen.

Welche Pflichten kommen auf Sie zu?

Wer unter NIS2 fällt, muss konkrete Maßnahmen umsetzen. Die wichtigsten Anforderungen aus dem NIS2UmsuCG:

1. Risikomanagement und Governance: Einführung eines Informationssicherheits-Managementsystems (ISMS), regelmäßige Risikoanalysen, Sicherheit der Lieferkette.
2. Technische Mindestmaßnahmen: Multi-Faktor-Authentifizierung, Verschlüsselung, Patch-Management, Notfallkonzepte (Business Continuity Management).
3. Meldepflichten: Erhebliche Sicherheitsvorfälle müssen dem BSI innerhalb von 24 Stunden (erste Meldung) und 72 Stunden (detaillierter Bericht) gemeldet werden.
4. Registrierungspflicht: Betroffene Einrichtungen müssen sich beim BSI registrieren.
5. Geschäftsführerhaftung: Leitungsorgane können persönlich haftbar gemacht werden, wenn sie ihrer Aufsichtspflicht nicht nachkommen.

Konsequenzen bei Nichterfüllung: Bußgelder nach §65 BSIG

Wer NIS2-Anforderungen ignoriert, riskiert empfindliche Sanktionen. §65 BSIG (Bußgeldvorschriften) sieht folgende Strafen vor:

Hinzu kommen mögliche zivilrechtliche Haftungsansprüche Dritter bei Datenschutzverletzungen sowie persönliche Haftung der Geschäftsführung – ein oft unterschätztes Risiko, das direkt aus §38 NIS2UmsuCG abgeleitet wird.

Das BSI hat seit Inkrafttreten des Gesetzes die Aufsichtskapazitäten erheblich ausgebaut und führt aktiv Prüfungen durch. Unwissenheit schützt dabei vor Strafe nicht.

Konkrete Handlungsempfehlungen: Was Sie jetzt tun sollten

Wenn Sie zu dem Schluss kommen, dass Ihr Unternehmen unter NIS2 fällt – oder wenn Sie sich nicht sicher sind – empfehlen wir diese priorisierten Schritte:

1. Betroffenheit formal feststellen: Beauftragen Sie Ihre Rechtsabteilung oder einen spezialisierten Berater mit einer formalen Einordnung gemäß §3 NIS2UmsuCG. Dokumentieren Sie das Ergebnis nachweisbar.

2. Beim BSI registrieren: Betroffene Einrichtungen sind zur Selbstregistrierung verpflichtet. Das BSI stellt hierfür ein Online-Portal bereit. Verspätete Registrierung kann bereits bußgeldbewehrt sein.

3. Gap-Analyse durchführen: Vergleichen Sie Ihre bestehenden Sicherheitsmaßnahmen mit den NIS2-Anforderungen. Wo sind die größten Lücken – bei der Risikoanalyse, dem Patch-Management oder den Notfallplänen?

4. ISMS aufbauen oder erweitern: Ein Informationssicherheits-Managementsystem nach ISO/IEC 27001 ist die solide Basis für die NIS2-Compliance. Viele der NIS2-Anforderungen lassen sich direkt auf ISMS-Kontrollen abbilden.

5. Lieferkette prüfen: Analysieren Sie Ihre kritischen Dienstleister und Zulieferer. NIS2 verpflichtet Sie ausdrücklich, auch die Cybersicherheit in der Supply Chain zu berücksichtigen.

6. Meldeprozesse etablieren: Legen Sie intern fest, wer bei einem Sicherheitsvorfall verantwortlich ist, wie die Meldung ans BSI erfolgt und wie die 24-Stunden-Frist eingehalten wird.

7. Geschäftsführung sensibilisieren: NIS2 ist kein reines IT-Thema. Die Leitungsebene trägt persönliche Verantwortung und muss regelmäßig geschult werden.

8. Dokumentation sicherstellen: Das BSI kann Nachweise über umgesetzte Maßnahmen verlangen. Lückenhafte Dokumentation ist einer der häufigsten Prüfungsmängel.

Fazit: NIS2-Betroffenheit ist kein theoretisches Problem

Die NIS2-Richtlinie betrifft in Deutschland schätzungsweise 30.000 bis 40.000 Unternehmen – deutlich mehr als die bisherigen KRITIS-Regelungen. Viele mittelständische Betriebe, IT-Dienstleister und Zulieferer industrieller Sektoren sind neu in den Regulierungsbereich einbezogen worden, ohne es vollständig realisiert zu haben.

Ihre nächsten Schritte im Überblick:

• ✅ Sektor-Zugehörigkeit prüfen (Anlage 1 oder 2)
• ✅ Größenschwellen verifizieren (50 MA / 10 Mio. €)
• ✅ Einrichtungstyp festlegen (wesentlich oder wichtig)
• ✅ Beim BSI registrieren
• ✅ Gap-Analyse und ISMS-Aufbau starten

Warten Sie nicht auf eine behördliche Anfrage oder einen Sicherheitsvorfall. Die Aufsichtsbehörden prüfen aktiv – und die Bußgeldrahmen nach §65 BSIG sind substanziell genug, um jede Investition in Compliance zu rechtfertigen.

Ihr nächster Schritt: Compliance strukturiert angehen

Eine strukturierte NIS2-Compliance lässt sich deutlich effizienter umsetzen, wenn Sie auf digitale Werkzeuge zurückgreifen. Spezialisierte ISMS- und Compliance-Software unterstützt Sie dabei, die Betroffenheitsprüfung zu dokumentieren, Risikobewertungen zu strukturieren, Maßnahmenpläne zu verwalten und Nachweise für BSI-Prüfungen revisionssicher zu speichern. Viele Anbieter stellen vorkonfigurierte NIS2-Vorlagen bereit, die sich direkt auf die gesetzlichen Anforderungen abbilden lassen – ein erheblicher Zeit- und Ressourcenvorteil gegenüber einer rein manuellen Umsetzung. Informieren Sie sich über geeignete Lösungen und fordern Sie eine Demo an: Es könnte der wichtigste IT-Compliance-Schritt sein, den Ihr Unternehmen 2026 geht.

Quellen: NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), BSI-Gesetz (BSIG), EU-Richtlinie 2022/2555, ENISA Threat Landscape 2025, Bundesamt für Sicherheit in der Informationstechnik (BSI)