NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 02. September 2026 | Lesezeit: ca. 10 Minuten

Die NIS2-Richtlinie ist längst kein Zukunftsthema mehr – sie ist gelebte Realität in Deutschland. Seit der Umsetzung durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) stehen tausende deutsche Unternehmen vor einer zentralen Frage: Bin ich überhaupt betroffen? Die Antwort darauf ist entscheidend – denn wer unter die Richtlinie fällt und Pflichten ignoriert, riskiert empfindliche Bußgelder nach §65 BSIG. Wer hingegen unnötig Ressourcen in nicht geforderte Maßnahmen investiert, verschwendet wertvolles Budget. Dieser Artikel führt Sie Schritt für Schritt durch die NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland 2025 – damit Sie Klarheit haben und handlungsfähig bleiben.

Was ist die NIS2-Richtlinie und warum ist die Betroffenheitsprüfung so wichtig?

Die europäische NIS2-Richtlinie (EU 2022/2555) erweitert den Anwendungsbereich der ursprünglichen NIS-Richtlinie erheblich. In Deutschland wurde sie durch das NIS2UmsuCG in nationales Recht überführt. §3 NIS2UmsuCG definiert dabei den Anwendungsbereich und legt fest, welche Einrichtungen als „wesentlich" oder „wichtig" eingestuft werden.

Der Gesetzgeber schätzt, dass in Deutschland rund 30.000 Unternehmen erstmals unter die erweiterten Cybersicherheitspflichten fallen – deutlich mehr als unter der alten NIS-Richtlinie. Viele mittelständische Unternehmen sind sich ihrer Betroffenheit schlicht nicht bewusst. Genau hier setzt die systematische Betroffenheitsprüfung an: Sie ist der erste und wichtigste Schritt auf dem Weg zur NIS2-Compliance.

Schritt 1: Gehört Ihr Unternehmen zu einem relevanten Sektor?

Der erste Filter bei der NIS2-Betroffenheitsprüfung ist die Sektorzugehörigkeit. Das NIS2UmsuCG unterscheidet zwischen zwei Anlagen, die unterschiedliche Kritikalitätsstufen beschreiben.

Anlage 1 – Sektoren mit hoher Kritikalität (wesentliche Einrichtungen)

Diese Sektoren gelten als besonders systemrelevant für Staat, Wirtschaft und Gesellschaft:

Anlage 2 – Sonstige kritische Sektoren (wichtige Einrichtungen)

Diese Sektoren unterliegen ebenfalls der NIS2-Regulierung, jedoch mit etwas abgestuften Anforderungen:

Praxis-Tipp: Prüfen Sie nicht nur Ihr Kerngeschäft, sondern auch Ihre Tochtergesellschaften und Beteiligungen. Konzernstrukturen können dazu führen, dass auch kleinere Einheiten in den Anwendungsbereich fallen.

Schritt 2: Erfüllt Ihr Unternehmen die Größenkriterien?

Sektorzugehörigkeit allein reicht nicht aus. Das Gesetz knüpft die Betroffenheit in den meisten Fällen an konkrete Größenschwellen, die an die EU-Definition für mittlere und große Unternehmen angelehnt sind.

Die Größenkriterien im Überblick

Ihr Unternehmen fällt grundsätzlich unter NIS2, wenn es beide der folgenden Kriterien erfüllt:

• Mindestens 50 Mitarbeitende (Vollzeitäquivalente, Jahresbasis), UND
• Jahresumsatz von mehr als 10 Millionen Euro ODER Jahresbilanzsumme von mehr als 10 Millionen Euro

Ausnahmen: Wenn Größe keine Rolle spielt

In bestimmten Fällen greift NIS2 unabhängig von der Unternehmensgröße:

• Anbieter von öffentlichen elektronischen Kommunikationsnetzen oder -diensten
• Vertrauensdiensteanbieter (qualifizierte und nicht-qualifizierte)
• TLD-Registrare und DNS-Diensteanbieter
• Einrichtungen, die als einziger Anbieter in einem Mitgliedstaat einen kritischen Dienst erbringen
• Einrichtungen, bei denen ein Ausfall erhebliche Auswirkungen auf die öffentliche Sicherheit haben könnte (Einzelfallentscheidung durch das BSI)

Schritt 3: Wesentliche vs. wichtige Einrichtungen – Was ist der Unterschied?

§3 NIS2UmsuCG unterscheidet zwischen zwei Kategorien von Einrichtungen, die unterschiedliche Regulierungsintensitäten nach sich ziehen.

Wesentliche Einrichtungen

Als wesentlich gelten Einrichtungen aus Anlage 1, die zudem als große Unternehmen klassifiziert sind (250+ Mitarbeitende oder 50 Mio. € Umsatz + 43 Mio. € Bilanzsumme). Wesentliche Einrichtungen unterliegen:

• Proaktiver Aufsicht durch das BSI (Ex-ante-Kontrollen)
• Regelmäßigen Sicherheitsaudits und Überprüfungen
• Strengeren Meldepflichten bei Sicherheitsvorfällen

Wichtige Einrichtungen

Als wichtig gelten mittlere Unternehmen aus Anlage 1 sowie alle qualifizierten Einrichtungen aus Anlage 2. Für sie gilt:

• Reaktive Aufsicht (Ex-post-Kontrollen, d.h. Prüfungen nur bei Anlass)
• Gleiche technisch-organisatorische Pflichten wie wesentliche Einrichtungen
• Etwas niedrigere Bußgeldobergrenzen

Wichtig: Die Pflichten bezüglich Risikomanagement, Sicherheitsmaßnahmen und Meldepflichten sind für beide Kategorien nahezu identisch – der Unterschied liegt primär in der Aufsichtsintensität.

Selbsttest: Checkliste zur NIS2-Betroffenheitsprüfung

Beantworten Sie die folgenden Fragen, um Ihre Betroffenheit schnell einzuschätzen:

Checkliste NIS2-Betroffenheitsprüfung

• [ ] Sektor: Ist mein Unternehmen in einem der Sektoren aus Anlage 1 oder Anlage 2 des NIS2UmsuCG tätig?
• [ ] Mitarbeitende: Beschäftigt mein Unternehmen 50 oder mehr Mitarbeitende (VZÄ)?
• [ ] Umsatz/Bilanzsumme: Erzielt mein Unternehmen mehr als 10 Millionen Euro Jahresumsatz oder hat eine Bilanzsumme von mehr als 10 Millionen Euro?
• [ ] Konzernverbund: Bin ich Teil einer Unternehmensgruppe, deren aggregierte Kennzahlen die Schwellenwerte überschreiten?
• [ ] Sonderfall: Bin ich Anbieter öffentlicher Kommunikationsnetze, Vertrauensdiensteanbieter oder kritischer Alleinanbieter?
• [ ] Registrierungspflicht: Habe ich mein Unternehmen bereits beim BSI als wesentliche oder wichtige Einrichtung registriert?

Auswertung:
- Mindestens die ersten drei Fragen mit „Ja" beantwortet → Sie sind höchstwahrscheinlich betroffen – handeln Sie jetzt.
- Frage 4 oder 5 mit „Ja" beantwortet → Prüfen Sie unbedingt im Detail, ggf. mit rechtlicher Beratung.
- Alle Fragen mit „Nein" beantwortet → Aktuell nicht direkt betroffen, aber Supply-Chain-Anforderungen Ihrer Auftraggeber sollten Sie im Blick behalten.

Was passiert, wenn Sie betroffen sind und nichts tun?

An dieser Stelle wird es ernst. Das BSIG (Gesetz über das Bundesamt für Sicherheit in der Informationstechnik) enthält in §65 detaillierte Bußgeldregelungen für Verstöße gegen NIS2-Pflichten.

Bußgeldrahmen nach §65 BSIG

Bußgelder drohen insbesondere bei:

• Unterlassener Registrierung beim BSI
• Fehlenden oder unzureichenden Risikomanagementmaßnahmen (§30 BSIG)
• Nicht fristgerechter Meldung von Sicherheitsvorfällen (§32 BSIG): Erstmeldung innerhalb von 24 Stunden, Folgemeldung innerhalb von 72 Stunden
• Missachtung von BSI-Anordnungen im Rahmen der Aufsicht

Hinzu kommt: Für wesentliche Einrichtungen können Geschäftsleitungen persönlich haftbar gemacht werden, wenn sie Risikomanagementmaßnahmen nicht ausreichend überwachen. Die Haftung der Leitungsorgane ist in §38 BSIG explizit verankert – ein Novum im deutschen Cybersicherheitsrecht.

Konkrete Handlungsempfehlungen: Was Sie jetzt tun müssen

Wenn Ihre Betroffenheitsprüfung ergibt, dass Sie unter NIS2 fallen, sind folgende Schritte in dieser Reihenfolge zu empfehlen:

1. Einstufung dokumentieren: Halten Sie schriftlich fest, warum und in welche Kategorie (wesentlich/wichtig) Ihr Unternehmen fällt. Diese Dokumentation ist Basis aller weiteren Maßnahmen.

2. BSI-Registrierung vornehmen: Wesentliche und wichtige Einrichtungen sind verpflichtet, sich beim BSI zu registrieren. Das BSI stellt hierfür eine Online-Plattform bereit. Versäumen Sie diese Frist nicht – die Registrierung ist eine eigenständige Pflicht mit Sanktionspotenzial.

3. Gap-Analyse durchführen: Vergleichen Sie Ihre bestehenden IT-Sicherheitsmaßnahmen mit den Anforderungen aus §30 BSIG. Identifizieren Sie Lücken in den Bereichen Risikoanalyse, Incident Management, Business Continuity, Supply-Chain-Sicherheit, Kryptographie und Zugangskontrolle.

4. Risikomanagementrahmen aufbauen: Implementieren Sie ein dokumentiertes Informationssicherheits-Managementsystem (ISMS) – idealerweise nach ISO/IEC 27001 oder dem BSI IT-Grundschutz. Beides wird vom BSI als geeigneter Rahmen anerkannt.

5. Meldeprozesse etablieren: Definieren Sie klare interne Prozesse für die Erkennung und Meldung von Sicherheitsvorfällen. Die 24-Stunden-Frist für die Erstmeldung an das BSI ist ambitioniert – ohne vorbereitete Abläufe kaum einzuhalten.

6. Lieferkette einbeziehen: NIS2 verlangt explizit das Sicherheitsmanagement in der Lieferkette. Prüfen Sie Ihre kritischen Dienstleister und Lieferanten und fordern Sie Nachweise über deren Sicherheitsmaßnahmen an.

7. Schulungen durchführen: Sensibilisieren Sie Ihre Geschäftsleitung und Mitarbeitenden für Cybersicherheitsrisiken. §38 BSIG macht die Leitungsebene verantwortlich – mangelndes Wissen schützt nicht vor Haftung.

8. Rechtsberatung hinzuziehen: Besonders bei Konzernen, grenzüberschreitenden Strukturen oder Unsicherheiten zur Sektorzuordnung empfiehlt sich die Einbindung eines auf IT-Recht spezialisierten Anwalts.

Fazit und nächste Schritte

Die NIS2-Betroffenheitsprüfung ist keine bürokratische Pflichtübung – sie ist der Startpunkt eines ernsthaften Risikomanagementprozesses. Wer jetzt handelt, verschafft sich einen entscheidenden Vorsprung gegenüber Wettbewerbern, die auf Zeit spielen.

Ihre nächsten Schritte auf einen Blick:

1. Prüfen Sie Ihre Sektorzugehörigkeit anhand von Anlage 1 und Anlage 2 des NIS2UmsuCG
2. Überprüfen Sie Ihre Unternehmenskennzahlen gegen die Größenschwellen (50 MA, 10 Mio. €)
3. Bestimmen Sie Ihre Kategorie (wesentlich oder wichtig)
4. Registrieren Sie sich beim BSI
5. Starten Sie mit einer strukturierten Gap-Analyse Ihrer IT-Sicherheitsmaßnahmen

Das BSI bietet unter bsi.bund.de aktuelle Orientierungshilfen und Informationsmaterial zur NIS2-Umsetzung an. ENISA stellt ergänzend europaweit gültige Leitlinien und Best Practices bereit.

Jetzt handeln: NIS2-Compliance strukturiert angehen

Wenn Sie nach der Betroffenheitsprüfung feststellen, dass Ihr Unternehmen unter NIS2 fällt, ist der nächste logische Schritt die strukturierte Umsetzung der Anforderungen. Spezialisierte NIS2-Compliance-Software und ISMS-Plattformen helfen Ihnen dabei, Pflichtdokumente wie Risikoanalysen, Richtlinien, Notfallpläne und Lieferantenbewertungen effizient zu erstellen, zu verwalten und aktuell zu halten. Viele Anbieter ermöglichen es, den gesamten NIS2-Anforderungskatalog in einem zentralen System abzubilden – von der Gap-Analyse bis zur Nachweisdokumentation für BSI-Audits. Investieren Sie in ein Tool, das Ihnen nicht nur beim Einstieg hilft, sondern auch bei der dauerhaften Aufrechterhaltung Ihrer Compliance-Fähigkeit.

Dieser Artikel stellt keine Rechtsberatung dar. Bei spezifischen rechtlichen Fragen zur NIS2-Betroffenheit Ihres Unternehmens wenden Sie sich bitte an einen qualifizierten Rechtsanwalt für IT-Recht oder Cybersicherheitsrecht.