NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 28. August 2026 | Lesezeit: ca. 9 Minuten

Die NIS2-Richtlinie der Europäischen Union und ihre Umsetzung in deutsches Recht durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) haben die Cybersicherheitslandschaft für tausende Unternehmen in Deutschland grundlegend verändert. Doch viele Geschäftsführer und IT-Verantwortliche stehen noch immer vor einer entscheidenden Frage: Ist mein Unternehmen überhaupt betroffen?

Diese Frage ist alles andere als trivial. Wer die Betroffenheit falsch einschätzt, riskiert empfindliche Bußgelder nach §65 BSIG – und im schlimmsten Fall persönliche Haftung der Geschäftsleitung. Dieser Artikel führt Sie Schritt für Schritt durch die NIS2-Betroffenheitsprüfung und zeigt, welche konkreten Maßnahmen jetzt erforderlich sind.

Was regelt §3 NIS2UmsuCG – und warum ist er so wichtig?

Der §3 NIS2UmsuCG definiert den Anwendungsbereich des Gesetzes und damit die Grundlage jeder Betroffenheitsprüfung. Er unterscheidet zwischen zwei Kategorien von regulierten Einrichtungen:

• Wesentliche Einrichtungen (Essential Entities, EE)
• Wichtige Einrichtungen (Important Entities, IE)

Die Einordnung in eine dieser Kategorien hängt von zwei zentralen Faktoren ab: dem Sektor, in dem das Unternehmen tätig ist, und der Unternehmensgröße. Erst wenn beide Kriterien gleichzeitig erfüllt sind, greift die NIS2-Regulierung – mit wenigen, aber bedeutsamen Ausnahmen (etwa für Betreiber kritischer Infrastrukturen oder bestimmte Anbieter digitaler Dienste unabhängig von der Größe).

Schritt 1: Fällt Ihr Sektor unter NIS2?

Anlage 1: Sektoren mit hoher Kritikalität (wesentliche Einrichtungen)

Die Anlage 1 des NIS2UmsuCG listet Sektoren auf, die als besonders kritisch eingestuft werden. Unternehmen in diesen Bereichen unterliegen strengeren Anforderungen und intensiverer Aufsicht durch das Bundesamt für Sicherheit in der Informationstechnik (BSI):

Anlage 2: Sonstige kritische Sektoren (wichtige Einrichtungen)

Die Anlage 2 umfasst weitere Sektoren mit ebenfalls erheblicher wirtschaftlicher Bedeutung, jedoch mit etwas abgestuften Anforderungen:

Wichtig: Wenn Ihr Unternehmen in keinem dieser Sektoren tätig ist, sind Sie grundsätzlich nicht von NIS2 betroffen. Allerdings sollten Sie die Lieferkettenperspektive nicht außer Acht lassen: Auch wenn Sie selbst nicht direkt reguliert sind, können Ihre Kunden als regulierte Einrichtungen vertragliche Anforderungen an Sie als Dienstleister oder Zulieferer stellen.

Schritt 2: Erfüllt Ihr Unternehmen die Größenkriterien?

Sektorzugehörigkeit allein reicht nicht aus. Das NIS2UmsuCG orientiert sich an der EU-Empfehlung zur KMU-Definition und unterscheidet nach Mitarbeiterzahl und Jahresumsatz bzw. Jahresbilanzsumme:

Größenkriterien im Überblick

Grundregel: Unternehmen in Anlage-1-Sektoren mit ≥ 250 Mitarbeitern oder ≥ 50 Mio. € Umsatz gelten als wesentliche Einrichtungen. Unternehmen in Anlage-1- oder Anlage-2-Sektoren mit ≥ 50 Mitarbeitern oder ≥ 10 Mio. € Umsatz gelten mindestens als wichtige Einrichtungen.

Ausnahmen von der Größenschwelle

Bestimmte Einrichtungen fallen unabhängig von ihrer Größe unter NIS2, darunter:

• Anbieter öffentlicher elektronischer Kommunikationsnetze
• Qualifizierte Vertrauensdiensteanbieter
• TLD-Registries und DNS-Diensteanbieter
• Kritische Infrastrukturen nach BSIG (KRITIS)
• Einrichtungen, die als einzige in einem Mitgliedstaat eine systemkritische Dienstleistung erbringen

Wesentliche vs. wichtige Einrichtungen: Was sind die Unterschiede?

Die Einordnung in eine der beiden Kategorien hat konkrete Auswirkungen auf Pflichten, Aufsichtsintensität und Bußgeldrahmen:

Wesentliche Einrichtungen (Anlage 1, Großunternehmen)

• Proaktive Aufsicht durch das BSI (ex-ante)
• Registrierungspflicht beim BSI
• Regelmäßige Sicherheitsaudits und Zertifizierungen
• Nachweispflicht gegenüber Behörden
• Bußgeld bei Verstößen: bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (§65 Abs. 1 BSIG), je nachdem, welcher Betrag höher ist

Wichtige Einrichtungen (Anlage 1/2, mittlere Unternehmen)

• Reaktive Aufsicht (ex-post) – BSI greift bei Anhaltspunkten für Verstöße ein
• Registrierungspflicht beim BSI
• Sicherheitsmaßnahmen nach Stand der Technik
• Bußgeld bei Verstößen: bis zu 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes (§65 Abs. 2 BSIG)

Beide Kategorien müssen gleichermaßen:
- Ein Informationssicherheitsmanagementsystem (ISMS) implementieren
- Sicherheitsvorfälle melden (innerhalb von 24 Stunden Erstmeldung, 72 Stunden vollständige Meldung)
- Lieferkettensicherheit gewährleisten
- Die Geschäftsleitung in Cybersicherheitsfragen schulen und haftbar machen

Selbsttest: Ist Ihr Unternehmen NIS2-pflichtig?

Beantworten Sie die folgenden Fragen, um eine erste Einschätzung zu erhalten:

Checkliste zur NIS2-Betroffenheitsprüfung

Block A – Sektorzugehörigkeit
- [ ] Ist mein Unternehmen in einem der Sektoren aus Anlage 1 tätig?
- [ ] Ist mein Unternehmen in einem der Sektoren aus Anlage 2 tätig?
- [ ] Betreibe ich digitale Infrastruktur oder Dienste (Rechenzentren, Cloud, DNS)?

Block B – Unternehmensgröße
- [ ] Beschäftigt mein Unternehmen 50 oder mehr Mitarbeiter?
- [ ] Beträgt mein Jahresumsatz 10 Millionen Euro oder mehr?
- [ ] Gilt eine der Ausnahmen von der Größenschwelle für mein Unternehmen?

Block C – Konzernstrukturen und Tochterunternehmen
- [ ] Bin ich Teil eines Konzerns, dessen Muttergesellschaft NIS2-pflichtig ist?
- [ ] Erbringt mein Unternehmen wesentliche Dienste für regulierte Einrichtungen?

Auswertung:
- Block A: mindestens 1x Ja + Block B: mindestens 1x Ja → Hohe Wahrscheinlichkeit der NIS2-Betroffenheit – rechtliche Prüfung dringend empfohlen
- Nur Block C: Ja → Indirekte Betroffenheit über Lieferkette möglich – vertragliche Anforderungen klären
- Alle Nein → Aktuell keine direkte NIS2-Pflicht, aber Situation regelmäßig überprüfen

Konsequenzen bei Nichterfüllung: Was droht Ihrem Unternehmen?

Bußgelder nach §65 BSIG

Der Gesetzgeber hat die Sanktionen im Bundessicherheitsgesetz (BSIG) erheblich verschärft. Verstöße gegen NIS2-Pflichten können folgende Konsequenzen haben:

• Wesentliche Einrichtungen: Bußgelder bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes
• Wichtige Einrichtungen: Bußgelder bis 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes
• Persönliche Haftung der Geschäftsleitung: Nach §38 BSIG können Geschäftsführer und Vorstände bei grober Fahrlässigkeit oder Vorsatz persönlich in Regress genommen werden
• Einstweilige Maßnahmen: Das BSI kann temporäre Betriebsuntersagungen aussprechen oder den Einsatz bestimmter Systeme untersagen

Reputationsschäden und zivilrechtliche Haftung

Neben den behördlichen Sanktionen drohen:
- Öffentliche Bekanntmachung von Verstößen durch das BSI
- Schadensersatzansprüche betroffener Kunden und Partner (in Verbindung mit der DSGVO)
- Vertrauensverlust bei Geschäftspartnern und Ausschluss aus Ausschreibungen

7 konkrete Handlungsempfehlungen für Ihr Unternehmen

1. Betroffenheit rechtssicher prüfen lassen: Beauftragen Sie einen spezialisierten Rechtsanwalt oder Cybersicherheitsberater mit einer formalen NIS2-Betroffenheitsanalyse auf Basis Ihrer Unternehmensstruktur, Umsatzzahlen und Sektorzugehörigkeit.

2. Beim BSI registrieren: Sofern Betroffenheit besteht, sind Sie verpflichtet, sich im BSI-Portal zu registrieren. Das BSI stellt hierfür ein Online-Formular bereit. Versäumnisse können bereits als Ordnungswidrigkeit geahndet werden.

3. Sektorspezifische Anforderungen identifizieren: NIS2 ist ein Rahmenwerk – zusätzliche sektorspezifische Vorschriften (z. B. aus dem Energiewirtschaftsgesetz oder dem Krankenhausversorgungsverbesserungsgesetz) können parallel gelten.

4. ISMS aufbauen oder auditieren: Implementieren Sie ein Informationssicherheitsmanagementsystem nach ISO/IEC 27001 oder einem gleichwertigen Standard. Bestehende Systeme sollten auf NIS2-Konformität geprüft werden.

5. Meldeprozesse etablieren: Definieren Sie klare interne Prozesse für die Erkennung, Bewertung und Meldung von Sicherheitsvorfällen – 24 Stunden für die Erstmeldung sind eine sehr knappe Frist.

6. Lieferkette sichern: Führen Sie eine Risikoanalyse Ihrer kritischen Dienstleister und Zulieferer durch. Verankerung von Sicherheitsanforderungen in Verträgen ist Pflicht, nicht Kür.

7. Geschäftsleitung schulen und sensibilisieren: NIS2 macht Cybersicherheit zur Chefsache. Vorstand und Geschäftsführung müssen nachweislich geschult werden – dokumentieren Sie diese Maßnahmen sorgfältig.

Fazit: Jetzt handeln statt abwarten

Die NIS2-Betroffenheitsprüfung ist kein einmaliger Vorgang, sondern ein fortlaufender Prozess. Unternehmensstrukturen ändern sich, neue Tochtergesellschaften entstehen, Umsatzschwellen werden überschritten – und damit kann sich auch der Regulierungsstatus Ihres Unternehmens verändern.

Ihre nächsten Schritte im Überblick:

1. Führen Sie anhand dieser Checkliste eine erste Selbsteinschätzung durch
2. Lassen Sie die Betroffenheit rechtlich und fachlich bestätigen
3. Registrieren Sie sich beim BSI, falls Betroffenheit besteht
4. Starten Sie den Aufbau oder die Anpassung Ihres ISMS
5. Schulen Sie Ihre Führungsebene und etablieren Sie Meldeprozesse

Die Zeit des Abwartens ist vorbei. Das BSI intensiviert seine Aufsichtstätigkeit, und die ersten Bußgeldverfahren nach §65 BSIG zeigen, dass die Behörde die neuen Befugnisse konsequent einsetzt.

Ihr nächster Schritt: NIS2-Compliance systematisch umsetzen

Wenn Sie die Betroffenheitsprüfung abgeschlossen haben und nun in die konkrete Umsetzung einsteigen möchten, empfiehlt sich der Einsatz einer spezialisierten NIS2-Compliance-Software. Moderne Plattformen unterstützen Sie dabei, Ihre ISMS-Dokumentation zu erstellen, Risikoanalysen zu strukturieren, Meldeprozesse zu digitalisieren und den Nachweis Ihrer Compliance gegenüber dem BSI zu erbringen – alles in einer zentralen Lösung, die auf die spezifischen Anforderungen des NIS2UmsuCG ausgerichtet ist. Das spart nicht nur wertvolle Ressourcen, sondern schafft auch die Revisionssicherheit, die im Ernstfall den Unterschied machen kann.

Dieser Artikel dient der allgemeinen Information und ersetzt keine individuelle Rechts- oder Fachberatung. Für eine verbindliche NIS2-Betroffenheitsanalyse wenden Sie sich an einen qualifizierten Rechtsanwalt oder zertifizierten Informationssicherheitsberater.

Quellen: NIS2UmsuCG (BGBl. 2023 I Nr. 259), BSIG in der Fassung des NIS2UmsuCG, ENISA NIS2-Leitfaden 2024, BSI-Orientierungshilfe zur NIS2-Umsetzung