NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 27. August 2026 | Lesedauer: ca. 8 Minuten

Die NIS2-Richtlinie der Europäischen Union hat die Cybersicherheitslandschaft in Deutschland grundlegend verändert. Seit dem Inkrafttreten des NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes (NIS2UmsuCG) gelten für tausende Unternehmen neue, weitreichende Pflichten. Doch noch immer herrscht bei vielen Geschäftsführern und IT-Verantwortlichen Unsicherheit: Bin ich überhaupt betroffen?

Diese Frage ist keine Kleinigkeit. Wer die Betroffenheit falsch einschätzt, riskiert empfindliche Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes. In diesem Artikel erfahren Sie Schritt für Schritt, wie Sie eine rechtssichere NIS2-Betroffenheitsprüfung für Ihr Unternehmen in Deutschland durchführen – klar, praxisnah und ohne juristisches Kauderwelsch.

Was regelt §3 NIS2UmsuCG?

Der §3 des NIS2UmsuCG definiert den persönlichen Anwendungsbereich des Gesetzes. Er legt fest, welche Einrichtungen als „wesentlich" oder „wichtig" eingestuft werden und damit den Pflichten des Gesetzes unterliegen. Die Einordnung hängt dabei von zwei zentralen Faktoren ab:

  1. Zugehörigkeit zu einem definierten Sektor (Anlage 1 oder Anlage 2 des NIS2UmsuCG)
  2. Erfüllung der Größenkriterien (Mitarbeiterzahl und Jahresumsatz bzw. Jahresbilanzsumme)

Zusätzlich gibt es bestimmte Einrichtungen, die unabhängig von ihrer Größe als wesentlich oder wichtig gelten – etwa Betreiber kritischer Infrastrukturen oder Anbieter bestimmter digitaler Dienste.

Schritt 1: Gehört Ihr Unternehmen zu einem betroffenen Sektor?

Anlage 1 – Sektoren mit hoher Kritikalität (wesentliche Einrichtungen)

Die Anlage 1 des NIS2UmsuCG listet Sektoren auf, die als besonders kritisch für Gesellschaft und Wirtschaft gelten. Unternehmen in diesen Bereichen werden als wesentliche Einrichtungen eingestuft, wenn sie zusätzlich die Größenschwellen überschreiten:

  • Energie (Strom, Gas, Wärme, Wasserstoff, Öl)
  • Verkehr (Luft, Schiene, Wasser, Straße)
  • Bankwesen und Finanzmarktinfrastrukturen
  • Gesundheitswesen (Krankenhäuser, Labore, Pharmaunternehmen)
  • Trinkwasser und Abwasser
  • Digitale Infrastruktur (Internet-Knoten, DNS, TLD-Registries, Cloud-Computing, Rechenzentren)
  • IKT-Dienstleistungsmanagement (Managed Services, Managed Security Services)
  • Öffentliche Verwaltung
  • Weltraum

Anlage 2 – Sonstige kritische Sektoren (wichtige Einrichtungen)

Die Anlage 2 umfasst Sektoren, die ebenfalls reguliert werden, jedoch in der Regel weniger strengen Aufsichtsmechanismen unterliegen. Hier gelten Unternehmen als wichtige Einrichtungen:

  • Post- und Kurierdienste
  • Abfallbewirtschaftung
  • Herstellung, Produktion und Vertrieb chemischer Stoffe
  • Produktion, Verarbeitung und Vertrieb von Lebensmitteln
  • Verarbeitendes Gewerbe / Herstellung von Waren (z. B. Medizinprodukte, Maschinen, Fahrzeuge, Elektronik)
  • Anbieter digitaler Dienste (Online-Marktplätze, Online-Suchmaschinen, soziale Netzwerke)
  • Forschung

Praxishinweis: Viele mittelständische Unternehmen unterschätzen ihre Sektorzugehörigkeit. Ein Automobilzulieferer fällt beispielsweise unter „Verarbeitendes Gewerbe" (Anlage 2), ein Softwareanbieter für Krankenhäuser möglicherweise unter „Digitale Infrastruktur" (Anlage 1). Prüfen Sie Ihre Wertschöpfungskette sorgfältig.

Schritt 2: Erfüllt Ihr Unternehmen die Größenkriterien?

Die Schwellenwerte im Überblick

Nicht jedes Unternehmen in einem betroffenen Sektor unterliegt automatisch der NIS2-Regulierung. Entscheidend sind die EU-weiten KMU-Kriterien, die auch im NIS2UmsuCG zugrunde gelegt werden:

Unternehmensgröße Mitarbeiter Jahresumsatz ODER Jahresbilanzsumme NIS2-Status (bei Sektorzugehörigkeit)
Mittleres Unternehmen 50–249 MA > 10 Mio. € bis 50 Mio. € Wichtige Einrichtung (Anlage 1 & 2)
Großes Unternehmen ≥ 250 MA > 50 Mio. € Umsatz ODER > 43 Mio. € Bilanzsumme Wesentliche Einrichtung (Anlage 1) / Wichtige Einrichtung (Anlage 2)
Kleinstunternehmen / Klein < 50 MA ≤ 10 Mio. € In der Regel nicht betroffen*

*Ausnahmen gelten für bestimmte Einrichtungstypen, z. B. Vertrauensdiensteanbieter, TLD-Registries oder Einrichtungen, die als einziger Anbieter eines wesentlichen Dienstes in einem Mitgliedstaat fungieren.

Wichtig: Konzernstrukturen berücksichtigen

Bei der Berechnung der Mitarbeiterzahl und des Umsatzes sind verbundene Unternehmen und Partnerunternehmen gemäß der EU-KMU-Definition zu berücksichtigen. Eine Tochtergesellschaft mit 30 Mitarbeitern kann also durch die Einbeziehung der Muttergesellschaft die Schwellenwerte überschreiten. Dies ist ein häufig übersehener Fallstrick in der Praxis.

Schritt 3: Wesentliche vs. wichtige Einrichtung – Was ist der Unterschied?

Die Unterscheidung zwischen wesentlichen Einrichtungen (§28 NIS2UmsuCG) und wichtigen Einrichtungen (§29 NIS2UmsuCG) ist nicht nur eine Frage der Kategorisierung – sie hat direkte Auswirkungen auf die Intensität der Aufsicht und die Höhe möglicher Bußgelder.

Wesentliche Einrichtungen

  • Unterliegen der proaktiven, anlassunabhängigen Aufsicht durch das BSI
  • Das BSI kann jederzeit Audits, Sicherheitsprüfungen und Inspektionen anordnen
  • Höhere Bußgeldrahmen: bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes
  • Müssen sich beim BSI registrieren (§30 NIS2UmsuCG)

Wichtige Einrichtungen

  • Unterliegen der reaktiven Aufsicht – das BSI wird in der Regel nur bei konkreten Hinweisen auf Verstöße tätig
  • Geringere (aber immer noch erhebliche) Bußgeldrahmen: bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes
  • Ebenfalls Registrierungspflicht beim BSI

Interaktiver Selbsttest: Bin ich von NIS2 betroffen?

Nutzen Sie die folgende Checkliste für eine erste Orientierung. Beantworten Sie jede Frage mit Ja oder Nein:

✅ NIS2-Betroffenheitsprüfung – Schnell-Checkliste

  • [ ] Sektor: Ist mein Unternehmen in einem der Sektoren aus Anlage 1 oder Anlage 2 des NIS2UmsuCG tätig?
  • [ ] Mitarbeiterzahl: Beschäftigt mein Unternehmen (inkl. verbundene Unternehmen) 50 oder mehr Mitarbeiter?
  • [ ] Umsatz/Bilanzsumme: Überschreitet mein Unternehmen einen Jahresumsatz von 10 Millionen Euro oder eine Jahresbilanzsumme von 10 Millionen Euro?
  • [ ] Sonderfall Anlage 1: Bin ich unabhängig von der Größe als wesentliche Einrichtung definiert (z. B. als Betreiber kritischer Infrastruktur gemäß KRITIS-Dachgesetz)?
  • [ ] Sonderfall digitale Dienste: Bin ich Anbieter von DNS-Diensten, TLD-Registries oder Vertrauensdiensten?
  • [ ] Konzernzugehörigkeit: Ist mein Unternehmen Teil einer Unternehmensgruppe, die in der Summe die Größenschwellen überschreitet?

Auswertung:
- Fragen 1–3 alle mit Ja: Sie sind sehr wahrscheinlich von NIS2 betroffen – handeln Sie jetzt.
- Frage 4 oder 5 mit Ja: Größenunabhängige Betroffenheit – sofortige Prüfung erforderlich.
- Alle mit Nein: Aktuell möglicherweise nicht betroffen – dennoch empfiehlt sich eine jährliche Überprüfung, da sich Sektordefinitionen und Schwellenwerte ändern können.

Was droht bei Nichterfüllung? Die Bußgeldregelungen nach §65 BSIG

Der §65 des BSIG (Bundessicherheitsgesetz in der Fassung des NIS2UmsuCG) regelt die Sanktionen bei Verstößen gegen die NIS2-Pflichten. Die Bußgeldtatbestände sind umfassend und treffen nicht nur das Unternehmen, sondern können auch Geschäftsführer und Vorstände persönlich in Haftung nehmen.

Überblick Bußgeldrahmen

Verstoß Wesentliche Einrichtungen Wichtige Einrichtungen
Schwere Verstöße (z. B. fehlende Sicherheitsmaßnahmen, keine Meldung) bis zu 10 Mio. € oder 2 % Weltjahresumsatz bis zu 7 Mio. € oder 1,4 % Weltjahresumsatz
Verstoß gegen Registrierungspflicht Bis zu 500.000 € Bis zu 500.000 €
Persönliche Haftung Geschäftsführung Bis zu 2 Mio. € (bei Verletzung der Aufsichtspflicht) Bis zu 2 Mio. €

Achtung: Das BSI hat seit 2025 deutlich mehr personelle und technische Kapazitäten für die Aufsicht erhalten. Die Behörde führt aktiv Stichproben und Schwerpunktprüfungen durch. Eine „Wir wussten es nicht"-Argumentation schützt Unternehmen nicht vor Sanktionen.

7 konkrete Handlungsempfehlungen für Ihr Unternehmen

  1. Betroffenheitsanalyse jetzt durchführen: Beauftragen Sie intern oder extern eine strukturierte NIS2-Betroffenheitsprüfung anhand der Kriterien des §3 NIS2UmsuCG. Dokumentieren Sie das Ergebnis nachvollziehbar.

  2. Konzernstruktur einbeziehen: Klären Sie mit Ihrer Rechtsabteilung oder einem Berater, ob verbundene Unternehmen die Größenschwellen beeinflussen. Nutzen Sie die offizielle EU-KMU-Definition als Grundlage.

  3. Beim BSI registrieren: Wesentliche und wichtige Einrichtungen sind gemäß §30 NIS2UmsuCG verpflichtet, sich beim BSI zu registrieren. Wer dies versäumt, riskiert bereits erste Bußgelder.

  4. Gap-Analyse der Sicherheitsmaßnahmen: Prüfen Sie, ob Ihre bestehenden technischen und organisatorischen Maßnahmen den Anforderungen des §30 NIS2UmsuCG (Risikomanagement, Incident Response, Supply Chain Security etc.) entsprechen.

  5. Meldeprozesse etablieren: NIS2 schreibt eine 24-Stunden-Erstmeldung bei erheblichen Sicherheitsvorfällen vor. Stellen Sie sicher, dass Ihre Incident-Response-Prozesse diese Anforderung erfüllen.

  6. Geschäftsführung und Vorstand sensibilisieren: Die persönliche Haftung des Managements ist ein zentrales Element des NIS2UmsuCG. Schulungen und klare Verantwortlichkeiten sind keine Option, sondern Pflicht.

  7. Kontinuierliches Monitoring etablieren: Die Betroffenheit kann sich durch Wachstum, Akquisitionen oder Änderungen im Produktportfolio jederzeit ändern. Planen Sie eine jährliche Überprüfung ein.

Fazit: Handeln statt Abwarten – Ihre nächsten Schritte

Die NIS2-Richtlinie und ihre deutsche Umsetzung im NIS2UmsuCG sind kein bürokratisches Beiwerk, sondern ein ernstzunehmender Rechtsrahmen mit erheblichen Konsequenzen. Die gute Nachricht: Wer strukturiert vorgeht, kann die Compliance-Anforderungen systematisch und ressourceneffizient umsetzen.

Ihre nächsten drei Schritte:

  1. Jetzt prüfen: Führen Sie die Betroffenheitsprüfung anhand der Sektoren (Anlage 1 & 2) und Größenkriterien durch – am besten mit externer Unterstützung oder einer strukturierten Software-Lösung.
  2. Registrieren: Melden Sie sich beim BSI an, wenn Sie betroffen sind. Die Registrierungspflicht ist bindend.
  3. Maßnahmen umsetzen: Starten Sie mit einer Gap-Analyse und priorisieren Sie die Maßnahmen nach Risikoexposition.

Tools und Software zur NIS2-Compliance

Die manuelle Verwaltung aller NIS2-Anforderungen – von der Betroffenheitsprüfung über das Risikomanagement bis hin zur Dokumentation von Sicherheitsvorfällen – ist komplex und fehleranfällig. Spezialisierte NIS2-Compliance-Softwarelösungen und ISMS-Plattformen helfen Ihnen dabei, den Überblick zu behalten, Pflichten nachzuverfolgen und BSI-konforme Dokumentation automatisch zu erstellen. Viele Anbieter ermöglichen es, direkt mit einer digitalen NIS2-Betroffenheitsprüfung zu starten und auf Basis des Ergebnisses einen strukturierten Maßnahmenplan zu generieren. Informieren Sie sich über Tools, die speziell auf die Anforderungen des deutschen NIS2UmsuCG zugeschnitten sind – das spart Zeit, reduziert Risiken und schafft Revisionssicherheit.

Haben Sie Fragen zur NIS2-Betroffenheitsprüfung oder zu den Anforderungen des NIS2UmsuCG? Nutzen Sie die Kommentarfunktion oder wenden Sie sich an einen zertifizierten BSI-IT-Grundschutz-Berater.