NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 31. August 2026 | Lesezeit: ca. 10 Minuten

Die NIS2-Richtlinie der Europäischen Union hat die Cybersicherheitslandschaft in Deutschland grundlegend verändert. Seit der nationalen Umsetzung durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) stehen tausende Unternehmen vor der entscheidenden Frage: Bin ich betroffen – und wenn ja, in welchem Umfang? Dieser Artikel liefert Ihnen eine strukturierte Betroffenheitsprüfung, erklärt die relevanten Kriterien nach §3 NIS2UmsuCG und zeigt auf, welche Konsequenzen eine Nichterfüllung haben kann.

Warum die NIS2-Betroffenheitsprüfung für Ihr Unternehmen 2025 so wichtig ist

Viele Geschäftsführer und IT-Verantwortliche unterschätzen nach wie vor, wie weit der Anwendungsbereich von NIS2 tatsächlich reicht. Im Vergleich zur Vorgängerrichtlinie NIS1 hat sich die Zahl der betroffenen Unternehmen in Deutschland nach Schätzungen des Bundesamts für Sicherheit in der Informationstechnik (BSI) auf rund 29.000 Einrichtungen mehr als verfünffacht. Der Grund: NIS2 erfasst nicht mehr nur kritische Infrastrukturen im engsten Sinne, sondern erstreckt sich auf eine deutlich breitere Palette von Sektoren und Unternehmensgrößen.

Wer die eigene Betroffenheit nicht prüft, riskiert empfindliche Bußgelder, behördliche Anordnungen und im Ernstfall auch persönliche Haftung der Geschäftsleitung. Umgekehrt profitieren Unternehmen, die NIS2-konform aufgestellt sind, von einem nachweislich verbesserten Sicherheitsniveau und stärkerem Vertrauen bei Geschäftspartnern und Kunden.

Schritt 1: Die Sektoren nach Anlage 1 und Anlage 2 NIS2UmsuCG

Der erste Schritt bei der NIS2-Betroffenheitsprüfung ist die Sektorzuordnung. Das NIS2UmsuCG unterscheidet zwei Kategorien von Sektoren, die in den Anlagen 1 und 2 des Gesetzes aufgeführt sind.

Anlage 1: Sektoren mit hoher Kritikalität (Wesentliche Einrichtungen)

Diese Sektoren gelten als besonders kritisch für das Funktionieren von Staat und Gesellschaft:

• Energie (Strom, Gas, Öl, Wasserstoff, Fernwärme)
• Verkehr (Luft, Schiene, Wasserstraße, Straße)
• Bankwesen und Finanzmarktinfrastrukturen
• Gesundheit (Krankenhäuser, Labore, Pharmaunternehmen)
• Trinkwasser und Abwasser
• Digitale Infrastruktur (Internet-Knoten, DNS-Anbieter, TLD-Register, Cloud-Anbieter, Rechenzentren, CDN, Vertrauensdiensteanbieter, öffentliche Kommunikationsnetze)
• Verwaltung von IKT-Diensten (B2B)
• Öffentliche Verwaltung (Bundes- und Landesbehörden)
• Weltraum

Anlage 2: Sonstige kritische Sektoren (Wichtige Einrichtungen)

Neben den Hochrisikosektoren der Anlage 1 umfasst Anlage 2 weitere Bereiche:

• Post- und Kurierdienste
• Abfallbewirtschaftung
• Chemische Industrie
• Lebensmittelproduktion, -verarbeitung und -vertrieb
• Verarbeitendes Gewerbe / Herstellung (Medizinprodukte, Datenverarbeitungsgeräte, Fahrzeuge, Maschinenbau u. a.)
• Digitale Dienste (Online-Marktplätze, Online-Suchmaschinen, Social-Media-Plattformen)
• Forschung

Praxishinweis: Unternehmen, die mehreren Sektoren angehören, sind grundsätzlich nach den strengeren Anforderungen der Anlage 1 zu behandeln, sofern sie in diesem Bereich die Größenkriterien erfüllen.

Schritt 2: Die Größenkriterien nach §3 NIS2UmsuCG

Die bloße Zugehörigkeit zu einem der genannten Sektoren reicht allein nicht aus, um unter NIS2 zu fallen. Entscheidend sind zusätzlich die Größenschwellen, die §3 NIS2UmsuCG definiert. Maßgeblich sind dabei EU-weit einheitliche Kriterien aus der EU-KMU-Definition.

Überblick der Größenschwellen

Wichtig: Beide Schwellen müssen gleichzeitig überschritten werden – also Mitarbeiterzahl UND Umsatz/Bilanzsumme. Ausnahmen gelten für bestimmte Einrichtungen, die unabhängig von ihrer Größe als wesentlich eingestuft werden können (z. B. qualifizierte Vertrauensdiensteanbieter, TLD-Namensregister, Betreiber kritischer Anlagen nach BSI-KritisV).

Schritt 3: Wesentliche vs. wichtige Einrichtungen – der Unterschied zählt

Die Einstufung als wesentliche oder wichtige Einrichtung hat unmittelbare Auswirkungen auf die Aufsichtsintensität und die Bußgeldhöhe.

Wesentliche Einrichtungen

• Unterliegen der proaktiven, regelmäßigen Aufsicht durch das BSI
• Das BSI kann Sicherheitsprüfungen und Audits anlassfrei anordnen
• Meldepflichten bei erheblichen Sicherheitsvorfällen (§ 32 NIS2UmsuCG): Frühwarnung innerhalb von 24 Stunden, vollständiger Bericht innerhalb von 72 Stunden, Abschlussbericht nach einem Monat
• Maximales Bußgeld: bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (§ 65 BSIG, je nachdem, welcher Betrag höher ist)

Wichtige Einrichtungen

• Unterliegen der reaktiven Aufsicht – das BSI wird in der Regel nur bei konkretem Anlass tätig
• Gleiche Meldepflichten wie wesentliche Einrichtungen
• Maximales Bußgeld: bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes (§ 65 BSIG)

Interaktiver Selbsttest: Fällt Ihr Unternehmen unter NIS2?

Nutzen Sie diese Checkliste als erste Orientierung. Bitte beachten Sie: Diese Prüfung ersetzt keine rechtliche oder fachkundige Beratung.

✅ NIS2-Selbsttest-Checkliste

Block A – Sektorzugehörigkeit
- [ ] Ist mein Unternehmen in einem der Sektoren der Anlage 1 tätig?
- [ ] Ist mein Unternehmen in einem der Sektoren der Anlage 2 tätig?
- [ ] Erbringt mein Unternehmen Dienstleistungen für andere Unternehmen in NIS2-relevanten Sektoren (Lieferkette)?

Block B – Größenschwellen
- [ ] Beschäftigt mein Unternehmen 50 oder mehr Mitarbeiter?
- [ ] Übersteigt der Jahresumsatz 10 Millionen Euro?
- [ ] Übersteigt die Jahresbilanzsumme 10 Millionen Euro?

Block C – Sondertatbestände
- [ ] Ist mein Unternehmen als Betreiber kritischer Anlagen nach BSI-KritisV eingestuft?
- [ ] Bin ich qualifizierter Vertrauensdiensteanbieter oder TLD-Namensregister?
- [ ] Betreibt mein Unternehmen öffentliche elektronische Kommunikationsnetze?

Auswertung:
- Mindestens ein Kreuz in Block A und alle drei Kriterien in Block B erfüllt → Hohe Wahrscheinlichkeit der Betroffenheit (wichtige oder wesentliche Einrichtung)
- Ein Kreuz in Block C → Betroffenheit unabhängig von der Unternehmensgröße möglich
- Kein Kreuz in Block A oder B nicht erfüllt → Aktuell wahrscheinlich nicht direkt betroffen, aber Lieferkettenrisiko prüfen

Konsequenzen bei Nichterfüllung: Was § 65 BSIG bedeutet

Wer die NIS2-Pflichten ignoriert oder die eigene Betroffenheit nicht rechtzeitig prüft, geht ein erhebliches Haftungsrisiko ein. Der Bußgeldrahmen nach § 65 des Bundessicherheitsgesetzes (BSIG) ist beträchtlich:

Bußgeldrahmen im Überblick

Besonders gravierend: Das NIS2UmsuCG sieht in §38 eine persönliche Haftung der Geschäftsleitung vor. Geschäftsführer und Vorstände können bei grober Fahrlässigkeit oder Vorsatz persönlich in Regress genommen werden – und zwar auch dann, wenn sie die Implementierung von Sicherheitsmaßnahmen nicht ausreichend überwacht haben. Zudem kann das BSI bei wesentlichen Einrichtungen die vorübergehende Untersagung von Leitungsfunktionen anordnen.

Was nach der Betroffenheitsprüfung zu tun ist: 7 konkrete Handlungsempfehlungen

Haben Sie festgestellt, dass Ihr Unternehmen unter NIS2 fällt? Dann gilt es, strukturiert vorzugehen:

1. Registrierung beim BSI (§ 33 NIS2UmsuCG): Betroffene Einrichtungen sind verpflichtet, sich beim BSI zu registrieren. Nutzen Sie dafür das BSI-Meldeportal. Die Frist zur Registrierung sollte unverzüglich nach Feststellung der Betroffenheit eingehalten werden.

2. Risikoanalyse und ISMS aufbauen: Implementieren Sie ein Informationssicherheits-Managementsystem (ISMS) nach ISO/IEC 27001 oder alternativ nach BSI IT-Grundschutz. Eine strukturierte Risikoanalyse bildet die Basis aller weiteren Maßnahmen.

3. Technische und organisatorische Maßnahmen (TOM) dokumentieren: § 30 NIS2UmsuCG fordert ein Mindestmaß an Sicherheitsmaßnahmen: Patch-Management, Zugangskontrolle, Multi-Faktor-Authentifizierung, Verschlüsselung, Incident-Response-Planung und Business-Continuity-Management gehören dazu.

4. Meldeprozesse für Sicherheitsvorfälle etablieren: Definieren Sie intern, wer im Ernstfall zuständig ist, wie Vorfälle erkannt und bewertet werden und wie die 24-Stunden-Frühwarnung an das BSI sichergestellt wird.

5. Lieferkettensicherheit bewerten: NIS2 verlangt, dass Sie auch die Cybersicherheitsrisiken Ihrer Zulieferer und Dienstleister bewerten. Integrieren Sie Sicherheitsanforderungen in Vertragswerke und führen Sie Lieferantenbewertungen durch.

6. Schulung der Geschäftsleitung: Das Gesetz verpflichtet die Unternehmensleitung zur aktiven Teilnahme an Cybersicherheits-Schulungen. Dokumentieren Sie diese Maßnahmen sorgfältig.

7. Regelmäßige Audits und Überprüfung: NIS2-Compliance ist kein Einmalprojekt. Planen Sie jährliche interne Audits sowie – bei wesentlichen Einrichtungen – die Möglichkeit externer Prüfungen durch das BSI ein.

Fazit: Betroffenheit prüfen, handeln, dokumentieren

Die NIS2-Betroffenheitsprüfung ist der unverzichtbare erste Schritt auf dem Weg zur Compliance. Unternehmen in Deutschland sollten nicht abwarten, bis das BSI aktiv wird – sondern die Initiative selbst ergreifen. Die Frage „Falle ich unter NIS2?" lässt sich in den meisten Fällen anhand von drei einfachen Kriterien beantworten: Sektor, Mitarbeiterzahl und Umsatz. Wer in einem der Sektoren der Anlage 1 oder 2 tätig ist und die Größenschwellen von 50 Mitarbeitern und 10 Millionen Euro Umsatz überschreitet, ist mit hoher Wahrscheinlichkeit betroffen.

Ihre nächsten Schritte auf einen Blick:
- Sektorzugehörigkeit anhand der Anlagen 1 und 2 NIS2UmsuCG prüfen
- Größenkriterien (Mitarbeiter, Umsatz, Bilanzsumme) intern verifizieren
- Einstufung als wesentliche oder wichtige Einrichtung vornehmen
- Beim BSI registrieren und ISMS-Aufbau starten
- Melde- und Notfallprozesse definieren

Tools und nächste Schritte: Compliance strukturiert angehen

Die manuelle Umsetzung aller NIS2-Anforderungen ist zeitaufwendig und fehleranfällig – insbesondere, wenn es darum geht, Risikoanalysen zu dokumentieren, Maßnahmenpläne nachzuverfolgen und Meldeprozesse revisionssicher abzubilden. Spezialisierte NIS2-Compliance-Softwarelösungen und ISMS-Plattformen helfen Ihnen dabei, die Betroffenheitsprüfung zu strukturieren, Pflichtdokumente zu erstellen, Sicherheitsvorfälle fristgerecht zu melden und den Nachweis gegenüber dem BSI und Ihrer Geschäftsleitung zu erbringen. Viele Lösungen bieten auch integrierte Selbsttests, vorgefertigte Richtlinienvorlagen und automatische Erinnerungen für Fristen – ein wertvoller Ausgangspunkt, um NIS2-Compliance effizient und nachhaltig umzusetzen.

Dieser Artikel wurde mit größtmöglicher Sorgfalt auf Basis des NIS2UmsuCG, des BSIG sowie der ENISA-Leitlinien erstellt. Er dient der allgemeinen Information und ersetzt keine rechtliche Beratung im Einzelfall. Bei Unsicherheiten zur eigenen Betroffenheit empfehlen wir die Konsultation eines auf IT-Recht spezialisierten Anwalts oder eines zertifizierten Informationssicherheitsbeauftragten (CISO).