NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 26. August 2026 | Lesedauer: ca. 8 Minuten

Die NIS2-Richtlinie ist seit der Umsetzung durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) verbindliches deutsches Recht. Dennoch herrscht in vielen Unternehmen noch immer Unsicherheit: Bin ich überhaupt betroffen? Diese Frage ist nicht trivial – und die Konsequenzen einer falschen Einschätzung können empfindlich sein. Bußgelder nach §65 BSIG, Haftungsrisiken für die Geschäftsführung und Reputationsschäden drohen denjenigen, die ihre Pflichten ignorieren.

Dieser Artikel führt Sie Schritt für Schritt durch die NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland 2025, erklärt die relevanten Sektoren, Größenkriterien und Einrichtungskategorien – und zeigt Ihnen, was konkret zu tun ist.

Was regelt §3 NIS2UmsuCG – und warum ist er entscheidend?

Der §3 NIS2UmsuCG definiert den Anwendungsbereich des Gesetzes. Er bestimmt, welche Einrichtungen als „wesentlich" oder „wichtig" eingestuft werden und damit den umfangreichen Pflichten aus dem Gesetz unterliegen. Die Norm setzt Artikel 2 und 3 der europäischen NIS2-Richtlinie (Richtlinie (EU) 2022/2555) in nationales Recht um.

Entscheidend ist: Die Betroffenheit ergibt sich nicht aus einer behördlichen Zuweisung, sondern aus einer Selbsteinschätzung des Unternehmens anhand gesetzlich definierter Kriterien. Wer irrtümlich oder bewusst annimmt, nicht betroffen zu sein, handelt auf eigenes Risiko.

Drei Prüfschritte sind maßgeblich:

1. Gehört mein Unternehmen einem der erfassten Sektoren an?
2. Erfülle ich die Größenschwellen?
3. Bin ich eine wesentliche oder eine wichtige Einrichtung?

Schritt 1: Die erfassten Sektoren nach Anlage 1 und Anlage 2 NIS2UmsuCG

Das NIS2UmsuCG unterscheidet zwei Kategorien von Sektoren, die in Anlage 1 (hochkritische Sektoren) und Anlage 2 (sonstige kritische Sektoren) aufgeführt sind.

Anlage 1 – Hochkritische Sektoren

Unternehmen in diesen Bereichen unterliegen den strengsten Anforderungen:

Anlage 2 – Sonstige kritische Sektoren

Diese Sektoren gelten als wichtig, jedoch mit etwas weniger strengen Aufsichtsregelungen:

Praxishinweis: Auch Zulieferer und Dienstleister, die nicht direkt in einem dieser Sektoren tätig sind, können betroffen sein – etwa wenn sie kritische Dienste für betroffene Einrichtungen erbringen. Supply-Chain-Risiken spielen bei der NIS2-Betroffenheitsprüfung eine zunehmende Rolle.

Schritt 2: Die Größenkriterien – Ab wann greift NIS2?

Die Größenschwellen sind ein zentrales Kriterium der NIS2-Betroffenheitsprüfung. Grundsätzlich gilt: Kleinstunternehmen und kleine Unternehmen sind ausgenommen – es sei denn, sie erfüllen besondere Ausnahmetatbestände (z. B. alleiniger Anbieter eines kritischen Dienstes in einem Mitgliedstaat).

Definitionen nach EU-Empfehlung 2003/361/EG (weiterhin maßgeblich):

NIS2 greift ab mittleren Unternehmen: mindestens 50 Mitarbeitende und mehr als 10 Millionen Euro Jahresumsatz oder Bilanzsumme.

Wichtig: Beide Schwellen müssen kumulativ erfüllt sein. Ein Unternehmen mit 80 Mitarbeitenden, aber nur 8 Millionen Euro Jahresumsatz, fiele nach dieser Logik grundsätzlich nicht unter die Schwellenwerte – vorausgesetzt, es liegt kein Ausnahmetatbestand vor.

Ausnahmen von der Größenschwelle

Gemäß §3 NIS2UmsuCG sind bestimmte Einrichtungen unabhängig von ihrer Größe erfasst:

• Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste
• Vertrauensdiensteanbieter
• TLD-Registries und DNS-Diensteanbieter
• Einrichtungen, die als kritische Infrastruktur (KRITIS) nach §28 BSIG eingestuft sind
• Einrichtungen der Bundesverwaltung

Schritt 3: Wesentliche vs. Wichtige Einrichtungen – Ein entscheidender Unterschied

Nicht alle betroffenen Unternehmen werden gleich behandelt. Das NIS2UmsuCG unterscheidet zwischen wesentlichen Einrichtungen (Essential Entities, EE) und wichtigen Einrichtungen (Important Entities, IE).

Wesentliche Einrichtungen

Dies sind in der Regel:
- Große Unternehmen (≥ 250 MA, > 50 Mio. € Umsatz) in Anlage-1-Sektoren
- Einrichtungen, die aufgrund ihrer besonderen Bedeutung explizit als wesentlich eingestuft wurden

Für wesentliche Einrichtungen gilt:
- Proaktive Aufsicht durch das BSI (§61 BSIG)
- Regelmäßige Sicherheitsaudits und Prüfungen
- Strenge Meldepflichten bei Sicherheitsvorfällen (§32 BSIG)
- Höhere Bußgeldrahmen bei Verstößen

Wichtige Einrichtungen

Dies sind typischerweise:
- Mittlere Unternehmen (≥ 50 MA, > 10 Mio. €) in Anlage-1- oder Anlage-2-Sektoren
- Große Unternehmen in Anlage-2-Sektoren

Für wichtige Einrichtungen gilt:
- Reaktive Aufsicht (BSI greift nur bei konkreten Hinweisen ein)
- Gleichwertige technisch-organisatorische Pflichten, aber geringere direkte Prüffrequenz
- Niedrigere, aber immer noch erhebliche Bußgeldrahmen

NIS2-Selbsttest: Sind Sie betroffen?

Nutzen Sie diese Checkliste für eine erste Einschätzung:

✅ Checkliste zur NIS2-Betroffenheitsprüfung

• [ ] Sektor: Ist mein Unternehmen in einem Sektor aus Anlage 1 oder Anlage 2 des NIS2UmsuCG tätig?
• [ ] Mitarbeitende: Beschäftigt mein Unternehmen 50 oder mehr Mitarbeitende (Vollzeitäquivalente)?
• [ ] Umsatz/Bilanzsumme: Übersteigt der Jahresumsatz oder die Bilanzsumme 10 Millionen Euro?
• [ ] Ausnahme: Bin ich ein Vertrauensdiensteanbieter, DNS-Anbieter oder TLD-Registry – unabhängig von der Größe?
• [ ] KRITIS: Wurde mein Unternehmen bereits als kritische Infrastruktur nach §28 BSIG eingestuft?
• [ ] Verbundene Unternehmen: Sind bei der Berechnung der Schwellenwerte verbundene Unternehmen (Mutter-/Tochtergesellschaften) einzubeziehen?
• [ ] Einrichtungstyp: Bin ich als wesentliche oder wichtige Einrichtung einzuordnen?
• [ ] Registrierungspflicht: Habe ich mein Unternehmen beim BSI registriert? (§32 BSIG)

Hinweis: Wenn Sie mehr als drei dieser Punkte mit „Ja" beantwortet haben, ist eine vertiefte Prüfung dringend empfohlen. Das BSI stellt auf seiner Website eine offizielle Orientierungshilfe bereit: bsi.bund.de

Konsequenzen bei Nichterfüllung: Was droht bei Verstößen?

Wer die NIS2-Pflichten ignoriert oder seine Betroffenheit falsch einschätzt, riskiert erhebliche Sanktionen. Der §65 BSIG regelt den Bußgeldrahmen:

Bußgeldrahmen nach §65 BSIG

Persönliche Haftung der Geschäftsführung

Ein besonders kritischer Aspekt: Das NIS2UmsuCG schreibt in §38 BSIG vor, dass Leitungsorgane (also Geschäftsführer, Vorstände) die Umsetzung von Cybersicherheitsmaßnahmen persönlich verantworten und entsprechende Schulungen nachweisen müssen. Eine Haftungsübertragung auf die IT-Abteilung ist nicht möglich.

Weitere mögliche Konsequenzen:
- Vorübergehende Betriebsuntersagungen (§62 BSIG)
- Veröffentlichung von Verstößen durch das BSI (Naming and Shaming)
- Zivilrechtliche Haftung gegenüber geschädigten Dritten
- Reputationsverlust bei Kunden und Geschäftspartnern

Konkrete Handlungsempfehlungen: Was tun, wenn Sie betroffen sind?

Wenn Ihre Betroffenheitsprüfung ergibt, dass Sie unter NIS2 fallen, sollten Sie strukturiert vorgehen:

1. Betroffenheit dokumentieren: Halten Sie Ihre Prüfung schriftlich fest – Sektor, Mitarbeiterzahl, Umsatz, Einrichtungstyp. Diese Dokumentation ist im Aufsichtsfall relevant.

2. BSI-Registrierung vornehmen: Wesentliche und wichtige Einrichtungen sind verpflichtet, sich beim BSI zu registrieren (§32 Abs. 4 BSIG). Nutzen Sie das BSI-Portal für die Selbstregistrierung.

3. Risikoanalyse durchführen: Führen Sie eine strukturierte Risikoanalyse Ihrer IT- und OT-Systeme durch (§30 BSIG). Orientieren Sie sich am BSI IT-Grundschutz oder an ISO/IEC 27001.

4. Technische und organisatorische Maßnahmen (TOM) implementieren: §30 BSIG listet konkrete Mindestmaßnahmen: Multi-Faktor-Authentifizierung, Verschlüsselung, Patch-Management, Incident-Response-Plan, Business Continuity Management.

5. Meldeprozesse einrichten: Sicherheitsvorfälle müssen innerhalb von 24 Stunden (Frühwarnung) und 72 Stunden (Erstmeldung) an das BSI gemeldet werden. Stellen Sie sicher, dass interne Prozesse diese Fristen einhalten können.

6. Schulungen für die Geschäftsführung organisieren: Die Pflicht aus §38 BSIG ist ernst zu nehmen. Cybersicherheitsschulungen für das Management sollten mindestens jährlich stattfinden und dokumentiert werden.

7. Lieferkette prüfen: Analysieren Sie Ihre Dienstleister und Zulieferer hinsichtlich deren Cybersicherheitsstandards. NIS2 fordert explizit das Management von Supply-Chain-Risiken.

8. Kontinuierliches Monitoring etablieren: Betroffenheit und Sicherheitslage sind keine statischen Größen. Überprüfen Sie Ihren Status jährlich oder bei wesentlichen Unternehmensveränderungen.

Fazit: NIS2-Betroffenheitsprüfung ist Pflicht – nicht Kür

Die NIS2-Betroffenheitsprüfung ist der erste und wichtigste Schritt auf dem Weg zur Compliance. Wer diesen Schritt überspringt oder nachlässig durchführt, riskiert nicht nur empfindliche Bußgelder nach §65 BSIG, sondern auch die persönliche Haftung der Unternehmensleitung.

Ihre nächsten Schritte im Überblick:

1. Führen Sie jetzt die Selbstprüfung anhand der Checkliste oben durch.
2. Identifizieren Sie Ihren Sektor (Anlage 1 oder 2) und Ihre Einrichtungskategorie.
3. Registrieren Sie Ihr Unternehmen beim BSI, sofern die Schwellenwerte erfüllt sind.
4. Starten Sie mit einer Risikoanalyse und leiten Sie geeignete TOMs ab.
5. Etablieren Sie klare Verantwortlichkeiten – insbesondere auf Ebene der Geschäftsführung.

Die gute Nachricht: Wer früh handelt, hat die Kontrolle. Wer wartet, hat sie nicht.

Ihr nächster Schritt: NIS2-Compliance strukturiert angehen

Die manuelle Durchführung einer Betroffenheitsprüfung, die Erstellung eines ISMS und die Dokumentation aller NIS2-relevanten Maßnahmen ist zeitaufwendig – besonders für mittelständische Unternehmen ohne große Compliance-Abteilung. Spezialisierte NIS2-Compliance-Softwarelösungen helfen Ihnen dabei, die Betroffenheitsprüfung zu strukturieren, Risiken zu bewerten, ISMS-Dokumente zu erstellen und Meldeprozesse abzubilden – alles gemäß den aktuellen Anforderungen des NIS2UmsuCG und des BSIG. Ein geführter, softwaregestützter Prozess reduziert den Aufwand erheblich und schafft die Audit-Trails, die Sie im Ernstfall gegenüber dem BSI nachweisen müssen.

Dieser Artikel wurde mit größtmöglicher Sorgfalt auf Basis der aktuellen Gesetzeslage (Stand: August 2026) erstellt. Er ersetzt keine individuelle Rechts- oder Compliance-Beratung. Wenden Sie sich bei konkreten Fragen an spezialisierte Anwälte oder IT-Sicherheitsberater.