NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 29. August 2026 | Lesezeit: ca. 8 Minuten

Die NIS2-Richtlinie ist längst kein Zukunftsthema mehr – sie ist geltendes Recht. Dennoch herrscht in vielen deutschen Unternehmen noch immer Unsicherheit darüber, ob sie überhaupt betroffen sind. Dabei ist die Frage der Betroffenheit der entscheidende erste Schritt: Wer sie falsch beantwortet, riskiert empfindliche Bußgelder nach §65 BSIG – oder investiert unnötig Ressourcen in Anforderungen, die gar nicht gelten. Dieser Artikel liefert Ihnen eine strukturierte NIS2-Betroffenheitsprüfung für Deutschland 2025/2026 – mit konkreten Kriterien, einem Selbsttest und klaren Handlungsempfehlungen.

Was ist die NIS2-Richtlinie – und warum betrifft sie so viele Unternehmen?

Die NIS2-Richtlinie (EU 2022/2555) wurde in Deutschland durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in nationales Recht überführt. Die zentrale Norm für die Definition betroffener Einrichtungen findet sich in §3 NIS2UmsuCG, der regelt, welche Unternehmen als „wesentliche" oder „wichtige" Einrichtungen eingestuft werden.

Im Vergleich zur Vorgängerrichtlinie (NIS1) hat NIS2 den Anwendungsbereich drastisch erweitert: Schätzungen des Bundesamts für Sicherheit in der Informationstechnik (BSI) gehen davon aus, dass in Deutschland mehr als 29.000 Unternehmen unter die neue Regelung fallen – gegenüber einigen Hundert unter dem alten KRITIS-Regime. Der Grund: NIS2 denkt in Sektoren und Größenklassen, nicht nur in kritischer Infrastruktur im engeren Sinne.

Schritt 1: Gehört Ihr Unternehmen zu einem betroffenen Sektor?

Die erste Frage der Betroffenheitsprüfung ist die Sektorzugehörigkeit. Das NIS2UmsuCG unterscheidet zwischen zwei Anlagenlisten, die den Anlagen 1 und 2 der EU-Richtlinie entsprechen.

Anlage 1: Sektoren mit hoher Kritikalität (Wesentliche Einrichtungen)

Unternehmen in diesen Sektoren unterliegen den strengsten Anforderungen:

Anlage 2: Sonstige kritische Sektoren (Wichtige Einrichtungen)

Diese Sektoren unterliegen ebenfalls NIS2, allerdings mit etwas geringerer Prüfintensität:

Praxishinweis: Wenn Ihr Unternehmen in einer komplexen Lieferkette tätig ist, sollten Sie auch prüfen, ob Sie als wesentlicher Zulieferer eines betroffenen Unternehmens indirekt in den Fokus geraten – auch wenn Sie selbst nicht direkt reguliert werden.

Schritt 2: Erfüllt Ihr Unternehmen die Größenkriterien?

Die Sektorzugehörigkeit allein reicht nicht aus. Gemäß §3 NIS2UmsuCG gelten grundsätzlich folgende Schwellenwerte, die sich an der EU-Empfehlung 2003/361/EG zur KMU-Definition orientieren:

Größenklassen im Überblick

Wichtig: Für bestimmte Einrichtungen gelten die Größenschwellen nicht. Das betrifft insbesondere:

• Anbieter öffentlicher elektronischer Kommunikationsnetze
• Vertrauensdiensteanbieter
• TLD-Registries und DNS-Diensteanbieter
• Betreiber kritischer Anlagen nach BSI-Gesetz (KRITIS)
• Einrichtungen der öffentlichen Verwaltung auf Bundesebene

Diese Einrichtungen fallen automatisch unter NIS2, unabhängig von ihrer Unternehmensgröße.

Schritt 3: Selbsttest – Fällt Ihr Unternehmen unter NIS2?

Nutzen Sie die folgende Checkliste als ersten Orientierungspunkt. Beantworten Sie jede Frage mit Ja oder Nein:

NIS2-Betroffenheits-Schnellcheck

• [ ] Frage 1: Ist Ihr Unternehmen in einem der Sektoren aus Anlage 1 oder Anlage 2 tätig?
• [ ] Frage 2: Beschäftigt Ihr Unternehmen 50 oder mehr Mitarbeiter (Vollzeitäquivalente)?
• [ ] Frage 3: Überschreitet Ihr Jahresumsatz 10 Millionen Euro oder Ihre Bilanzsumme 10 Millionen Euro?
• [ ] Frage 4: Handelt es sich um eine Einrichtung, bei der Größenschwellen nicht gelten (siehe oben)?
• [ ] Frage 5: Erbringt Ihr Unternehmen Dienste, die für die Gesellschaft oder die Wirtschaft systemrelevant sind?

Auswertung:
- Fragen 1 + 2 + 3 = Ja → Sie sind wahrscheinlich als wichtige oder wesentliche Einrichtung einzustufen.
- Frage 4 = Ja → Sie fallen unabhängig von Größe unter NIS2.
- Fragen 1–3 = Nein → Sie sind vermutlich nicht direkt betroffen, sollten aber Ihre Lieferkettenposition prüfen.

Rechtlicher Hinweis: Dieser Schnellcheck ersetzt keine rechtliche Prüfung. Für eine verbindliche Einschätzung empfehlen wir die Konsultation eines auf Cybersicherheitsrecht spezialisierten Rechtsanwalts sowie die Selbstregistrierung beim BSI.

Wesentliche vs. wichtige Einrichtungen: Was ist der Unterschied?

Die Unterscheidung zwischen wesentlichen und wichtigen Einrichtungen hat praktische Konsequenzen – vor allem bei der Aufsicht und den Bußgeldern.

Wesentliche Einrichtungen (§3 Abs. 1 NIS2UmsuCG)

• Unterliegen der proaktiven Aufsicht durch das BSI
• Das BSI kann anlasslos Prüfungen anordnen
• Höhere Bußgeldobergrenzen: bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (der höhere Betrag gilt)
• Strengere Anforderungen an das Risikomanagement und die Meldepflichten

Wichtige Einrichtungen (§3 Abs. 2 NIS2UmsuCG)

• Unterliegen der reaktiven Aufsicht: Das BSI wird in der Regel nur bei Vorfällen oder Hinweisen tätig
• Bußgeldobergrenzen: bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes
• Gleiche inhaltliche Anforderungen, aber geringere Kontrollintensität

Konsequenzen bei Nichterfüllung: Was droht Ihrem Unternehmen?

Viele Unternehmen unterschätzen die Sanktionsmacht des BSI. §65 BSIG regelt den Bußgeldrahmen im Detail und macht deutlich: NIS2 hat Zähne.

Bußgelder nach §65 BSIG

Die Bußgeldtatbestände umfassen unter anderem:

• Unterlassene oder verspätete Meldung von erheblichen Sicherheitsvorfällen
• Fehlende oder unzureichende Risikomanagementmaßnahmen (§30 BSIG)
• Nichtregistrierung beim BSI (§33 BSIG)
• Behinderung von Aufsichtsmaßnahmen

Besonders weitreichend: Das NIS2UmsuCG sieht vor, dass Geschäftsführer und Vorstände persönlich haftbar gemacht werden können, wenn sie die Umsetzung von Cybersicherheitsmaßnahmen schuldhaft vernachlässigt haben. Eine Haftungsbefreiung durch Delegation auf die IT-Abteilung ist nicht möglich.

Beispielrechnung: Ein mittelständischer Energieversorger mit 80 Millionen Euro Jahresumsatz, der als wesentliche Einrichtung eingestuft wird und keine NIS2-konformen Maßnahmen implementiert hat, riskiert ein Bußgeld von bis zu 1,6 Millionen Euro (2 % von 80 Mio. €).

Konkrete Handlungsempfehlungen: Was Sie jetzt tun sollten

Wenn Sie nach dem Selbsttest zu dem Schluss kommen, dass Ihr Unternehmen unter NIS2 fällt, sollten Sie unverzüglich handeln. Hier sind die wichtigsten Schritte in der empfohlenen Reihenfolge:

1. Betroffenheit formal feststellen und dokumentieren: Erstellen Sie ein internes Dokument, das die Sektorzugehörigkeit, die Größenkennzahlen und die daraus resultierende Einstufung (wesentlich/wichtig) belegt. Dieses Dokument dient im Zweifel als Nachweis gegenüber dem BSI.

2. Beim BSI registrieren: Gemäß §33 BSIG sind betroffene Einrichtungen verpflichtet, sich beim BSI zu registrieren. Die Registrierung erfolgt über das BSI-Portal. Versäumnisse hier sind unmittelbar bußgeldbewehrt.

3. GAP-Analyse durchführen: Prüfen Sie, welche der geforderten Maßnahmen nach §30 BSIG (Risikomanagement, technische und organisatorische Maßnahmen, Incident Response etc.) bereits umgesetzt sind und wo Lücken bestehen.

4. Informationssicherheits-Managementsystem (ISMS) aufbauen oder anpassen: Ein ISMS nach ISO 27001 bildet die solide Basis für NIS2-Compliance. Wenn Sie noch kein ISMS haben, beginnen Sie mit der Definition des Geltungsbereichs und einer Risikoanalyse.

5. Meldeprozesse für Sicherheitsvorfälle etablieren: NIS2 schreibt ein dreistufiges Meldeverfahren vor: Frühwarnung (24 Stunden), Meldung (72 Stunden), Abschlussbericht (1 Monat). Diese Prozesse müssen dokumentiert und geübt werden.

6. Lieferkette prüfen: Fordern Sie von Ihren kritischen Lieferanten Nachweise über deren Cybersicherheitsstandards. NIS2 macht Sie mitverantwortlich für Risiken in der Lieferkette (§30 Abs. 2 Nr. 4 BSIG).

7. Schulungen für Geschäftsführung und IT durchführen: Die persönliche Haftung der Leitungsorgane macht NIS2 zur Chefsache. Führungskräfte müssen die wesentlichen Anforderungen kennen und aktiv in den Prozess eingebunden sein.

8. Externe Unterstützung einbeziehen: Besonders für kleinere Unternehmen (50–249 Mitarbeiter) lohnt die Zusammenarbeit mit spezialisierten Beratern oder Managed Security Service Providers (MSSPs), die NIS2-Compliance als Service anbieten.

Fazit: Betroffenheit prüfen – und dann handeln

Die NIS2-Betroffenheitsprüfung ist keine einmalige Aufgabe, sondern ein laufender Prozess. Unternehmen, die heute nicht betroffen sind, können es morgen sein – durch Wachstum, Unternehmenskäufe oder die Aufnahme neuer Geschäftsfelder. Umgekehrt gilt: Wer die Betroffenheit frühzeitig und korrekt feststellt, hat die Chance, strukturiert und kosteneffizient vorzugehen, anstatt unter Zeitdruck zu reagieren.

Ihre nächsten Schritte auf einen Blick:

• Führen Sie den Selbsttest anhand der Sektorlisten und Größenschwellen durch
• Dokumentieren Sie das Ergebnis intern schriftlich
• Registrieren Sie sich beim BSI, wenn Sie betroffen sind
• Starten Sie eine strukturierte GAP-Analyse gegen die Anforderungen des §30 BSIG

Jetzt NIS2-Compliance systematisch angehen

Wenn Sie die Betroffenheitsprüfung abgeschlossen haben und nun die Umsetzung strukturiert angehen möchten, kann eine spezialisierte NIS2-Compliance-Software den Prozess erheblich vereinfachen. Solche Lösungen unterstützen Sie dabei, die geforderte Dokumentation systematisch aufzubauen, Risikobewertungen zu verwalten, Meldepflichten zu tracken und den Nachweis der Compliance gegenüber dem BSI zu erbringen. Achten Sie bei der Auswahl auf Lösungen, die explizit auf die Anforderungen des NIS2UmsuCG und des BSIG ausgerichtet sind – und nicht nur auf die EU-Richtlinie als solche. Denn im Zweifelsfall gilt das deutsche Gesetz.

Dieser Artikel wurde nach bestem Wissen und unter Berücksichtigung des NIS2UmsuCG sowie des BSIG in der Fassung vom 29. August 2026 erstellt. Er ersetzt keine Rechtsberatung. Für die verbindliche Einschätzung Ihrer Betroffenheit empfehlen wir die Konsultation eines Fachanwalts für IT-Recht oder Cybersicherheitsrecht.