NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 03. September 2026 | Lesezeit: ca. 8 Minuten

Die Uhr tickt: Wer die NIS2-Betroffenheitsprüfung noch nicht abgeschlossen hat, riskiert empfindliche Bußgelder und – schwerwiegender – eine unzureichende Cyberresilienz in einer Zeit, in der Angriffe auf Unternehmen in Deutschland täglich zunehmen. Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) ist seit Ende 2024 in deutsches Recht überführt und verpflichtet tausende Unternehmen zu konkreten Maßnahmen. Doch viele Geschäftsführer und IT-Verantwortliche stellen sich noch immer die entscheidende Frage: Bin ich überhaupt betroffen?

Dieser Artikel liefert Ihnen die Antwort – strukturiert, praxisnah und mit einem konkreten Selbsttest.

Was ist die NIS2-Betroffenheitsprüfung und warum ist sie 2025 so wichtig?

Die NIS2-Richtlinie der Europäischen Union (EU 2022/2555) wurde mit dem NIS2UmsuCG in nationales Recht überführt. Zentrale Grundlage für die Betroffenheitsprüfung in Deutschland ist § 3 NIS2UmsuCG in Verbindung mit den Anlagen 1 und 2 des Gesetzes sowie den relevanten Schwellenwerten. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist die zuständige nationale Aufsichtsbehörde und überwacht die Einhaltung der Anforderungen.

Warum ist die Prüfung dringend? Weil Unwissenheit ausdrücklich kein Schutz vor Bußgeldern ist. Unternehmen, die objektiv in den Anwendungsbereich fallen, müssen die Anforderungen erfüllen – unabhängig davon, ob sie sich selbst als betroffen eingestuft haben. Gleichzeitig möchten viele Unternehmen sicher sein, nicht unnötig Ressourcen für Compliance-Maßnahmen zu vergeuden, die sie gar nicht betreffen.

Schritt 1: Der richtige Sektor – Anlage 1 und Anlage 2 im Überblick

Der erste Filter der NIS2-Betroffenheitsprüfung ist die Sektorzugehörigkeit. Das NIS2UmsuCG unterscheidet – analog zur EU-Richtlinie – zwischen zwei Kategorien von Sektoren:

Anlage 1: Sektoren mit hoher Kritikalität (Hochkritisch)

Unternehmen in diesen Sektoren werden als wesentliche Einrichtungen eingestuft, sofern sie die Größenkriterien erfüllen:

• Energie (Strom, Gas, Öl, Wasserstoff, Fernwärme)
• Verkehr (Luftfahrt, Bahn, Schifffahrt, Straßenverkehr)
• Bankwesen und Finanzmarktinfrastrukturen
• Gesundheitswesen (Krankenhäuser, Labore, Pharmaunternehmen)
• Trinkwasser und Abwasser
• Digitale Infrastruktur (DNS-Anbieter, TLD-Registrare, Rechenzentrumsdienste, CDN)
• IKT-Dienstemanagement (Managed Service Provider)
• Öffentliche Verwaltung
• Weltraum (Betreiber von Bodeninfrastruktur)

Anlage 2: Sonstige kritische Sektoren (Wichtig)

Unternehmen hier fallen als wichtige Einrichtungen unter NIS2:

• Post- und Kurierdienste
• Abfallbewirtschaftung
• Chemie (Herstellung, Erzeugung, Handel)
• Lebensmittel (Produktion, Verarbeitung, Vertrieb im Großhandel)
• Verarbeitendes Gewerbe / Herstellung von Waren (Medizinprodukte, EDV, Elektronik, Maschinenbau, Fahrzeuge)
• Digitale Dienste (Online-Marktplätze, Online-Suchmaschinen, soziale Netzwerke)
• Forschungseinrichtungen

Wichtig: Wenn Ihr Unternehmen in keinem dieser Sektoren tätig ist, sind Sie mit hoher Wahrscheinlichkeit nicht direkt betroffen – es sei denn, Sie sind kritischer Lieferant oder Dienstleister für eine betroffene Einrichtung (Stichwort: Lieferkettensicherheit nach § 30 NIS2UmsuCG).

Schritt 2: Die Größenkriterien – Ab wann greift NIS2?

Der zweite Filter ist die Unternehmensgröße. Grundsätzlich gilt: NIS2 erfasst mittlere und große Unternehmen in den genannten Sektoren. Die maßgeblichen Schwellenwerte gemäß EU-Empfehlung 2003/361/EG, auf die das NIS2UmsuCG verweist:

Ein Unternehmen gilt als mittelgroß oder groß, wenn es die Mitarbeiterzahl UND mindestens ein Finanzmerkmal überschreitet (Umsatz oder Bilanzsumme).

Wichtige Ausnahmen: Kleine Unternehmen können trotzdem betroffen sein

Es gibt Konstellationen, in denen auch Unternehmen unterhalb der Größenschwellen als wesentliche oder wichtige Einrichtungen eingestuft werden – unabhängig von der Betriebsgröße:

• Kritische Infrastrukturen (KRITIS): Betreiber, die bereits nach dem alten BSIG als KRITIS eingestuft waren
• Qualifizierte Vertrauensdiensteanbieter und Trust Service Provider nach eIDAS
• TLD-Registries und DNS-Resolver (unabhängig von der Unternehmensgröße)
• Alleinige Anbieter eines Dienstes in einem Mitgliedsstaat, der für das gesellschaftliche oder wirtschaftliche Leben unentbehrlich ist

Schritt 3: Wesentliche vs. wichtige Einrichtungen – Was ist der Unterschied?

Wenn Ihr Unternehmen in Sektor und Größe in den Anwendungsbereich fällt, stellt sich die Folgefrage: Sind Sie eine wesentliche oder eine wichtige Einrichtung?

Wesentliche Einrichtungen (§ 3 Nr. 1 NIS2UmsuCG)

• Große Unternehmen (250+ MA, 50 Mio. € Umsatz oder 43 Mio. € Bilanzsumme) aus Anlage 1
• Mittlere Unternehmen aus Anlage 1, sofern sie als kritische Infrastruktur eingestuft sind
• Qualifizierte Vertrauensdiensteanbieter und TLD-Registrare (größenunabhängig)
• Öffentliche Verwaltungen auf Bundes- und Landesebene

Aufsicht: Proaktiv, regelmäßige BSI-Audits, strengere Sanktionen (bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes)

Wichtige Einrichtungen (§ 3 Nr. 2 NIS2UmsuCG)

• Mittlere und große Unternehmen aus Anlage 1, sofern sie keine wesentlichen Einrichtungen sind
• Mittlere und große Unternehmen aus Anlage 2
• Vertrauensdiensteanbieter (nicht-qualifiziert)

Aufsicht: Reaktiv (nach Vorfällen oder Beschwerden), Bußgelder bis zu 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes

Interaktiver Selbsttest: Fällt Ihr Unternehmen unter NIS2?

Beantworten Sie die folgenden Fragen der Reihe nach, um Ihre Betroffenheit schnell einzuschätzen:

Checkliste NIS2-Betroffenheitsprüfung 2025

Frage 1 – Sektorzugehörigkeit:
- [ ] Mein Unternehmen ist in einem der Sektoren der Anlage 1 tätig → weiter mit Frage 2
- [ ] Mein Unternehmen ist in einem der Sektoren der Anlage 2 tätig → weiter mit Frage 2
- [ ] Keines der obigen → Wahrscheinlich nicht direkt betroffen (Lieferkette prüfen!)

Frage 2 – Mitarbeiterzahl:
- [ ] 250 oder mehr Mitarbeiter → weiter mit Frage 3 (Kandidat für "wesentlich" oder "wichtig")
- [ ] 50–249 Mitarbeiter → weiter mit Frage 3 (Kandidat für "wichtig")
- [ ] Weniger als 50 Mitarbeiter → Wahrscheinlich nicht betroffen (Ausnahmen prüfen!)

Frage 3 – Finanzkennzahlen:
- [ ] Jahresumsatz ≥ 10 Mio. Euro oder Bilanzsumme ≥ 10 Mio. Euro → weiter mit Frage 4
- [ ] Unter beiden Schwellen → Wahrscheinlich nicht betroffen (Ausnahmen prüfen!)

Frage 4 – Einrichtungstyp:
- [ ] Anlage 1 + groß (250+ MA, 50 Mio. € Umsatz/43 Mio. € Bilanzsumme) → Wesentliche Einrichtung
- [ ] Anlage 1 + mittelgroß ODER Anlage 2 + mittelgroß oder groß → Wichtige Einrichtung
- [ ] Qualifizierter Vertrauensdiensteanbieter oder TLD-Registrar → Wesentliche Einrichtung (größenunabhängig)

Hinweis: Dieser Selbsttest ersetzt keine rechtliche oder fachliche Prüfung. Gerade in Grenzfällen empfiehlt sich die Beratung durch einen NIS2-zertifizierten Dienstleister oder Rechtsbeistand.

Welche Pflichten entstehen nach der Betroffenheitsklärung?

Wer feststellt, dass er betroffen ist, muss zunächst seiner Registrierungspflicht beim BSI nachkommen (§ 33 NIS2UmsuCG). Darüber hinaus sind folgende Kernpflichten umzusetzen:

1. Risikomanagement (§ 30 NIS2UmsuCG): Technische und organisatorische Maßnahmen zur Risikobeherrschung – darunter Zugangskontrolle, Verschlüsselung, Schwachstellenmanagement, Incident Response und Business Continuity Management (BCM).
2. Meldepflichten (§ 32 NIS2UmsuCG): Erhebliche Sicherheitsvorfälle müssen dem BSI innerhalb von 24 Stunden (Erstmeldung) und 72 Stunden (ausführliche Meldung) gemeldet werden.
3. Lieferkettensicherheit (§ 30 Abs. 2 Nr. 4 NIS2UmsuCG): Sicherheitsmaßnahmen müssen auf Lieferanten und Dienstleister ausgeweitet werden.
4. Nachweispflichten: Wesentliche Einrichtungen müssen proaktiv Nachweise gegenüber dem BSI erbringen (Audits, Zertifizierungen).
5. Geschäftsführerhaftung (§ 38 NIS2UmsuCG): Leitungsorgane haften persönlich für die Umsetzung – eine Haftungsübertragung auf IT-Abteilungen ist nicht zulässig.

Was droht bei Nichterfüllung? Bußgelder nach § 65 BSIG

Das NIS2UmsuCG verweist auf den aktualisierten § 65 BSIG (BSI-Gesetz) für den Bußgeldkatalog. Die Sanktionen sind erheblich:

Hinzu kommen mögliche zivilrechtliche Schadensersatzansprüche Dritter bei Datenverlust oder Betriebsunterbrechungen infolge unzureichender Sicherheitsmaßnahmen sowie – besonders einschneidend – die persönliche Haftung der Geschäftsführung.

Das BSI hat angekündigt, die Überwachung ab 2025 schrittweise zu intensivieren. Erste Verfahren gegen säumige Einrichtungen befinden sich bereits in der Bearbeitungsphase.

7 konkrete Handlungsempfehlungen für NIS2-betroffene Unternehmen

Wenn Ihre Betroffenheitsprüfung ergeben hat, dass Sie unter NIS2 fallen, empfehlen sich die folgenden Sofortmaßnahmen:

1. BSI-Registrierung abschließen: Melden Sie Ihr Unternehmen umgehend über das BSI-Portal an. Die Registrierungspflicht ist keine Kann-Bestimmung.
2. Gap-Analyse durchführen: Vergleichen Sie Ihren aktuellen Sicherheitsstatus mit den Anforderungen aus § 30 NIS2UmsuCG. Dokumentieren Sie Lücken systematisch.
3. Risikobeurteilung etablieren: Implementieren Sie ein strukturiertes Risikomanagementsystem – idealerweise auf Basis von ISO/IEC 27001 oder dem BSI IT-Grundschutz.
4. Meldeprozesse definieren: Legen Sie intern fest, wer im Ernstfall die 24-Stunden-Meldung an das BSI auslöst und welche Informationen dafür benötigt werden.
5. Lieferanten bewerten: Erstellen Sie eine Übersicht Ihrer kritischen Dienstleister und führen Sie Sicherheitsfragebögen oder Audits durch.
6. Geschäftsführung einbinden: Informieren und schulen Sie das Leitungsorgan über seine persönliche Verantwortung gemäß § 38 NIS2UmsuCG.
7. Dokumentation aufbauen: Erstellen Sie oder aktualisieren Sie Ihre Sicherheitsrichtlinien, Notfallpläne und Incident-Response-Prozesse – vollständig schriftlich und versioniert.

Fazit: Jetzt handeln – die Betroffenheitsprüfung ist der erste Schritt

Die NIS2-Betroffenheitsprüfung ist kein bürokratisches Pflichtprogramm, sondern der strategische Ausgangspunkt für eine nachhaltige Cybersicherheitsstrategie. Wer in einem der relevanten Sektoren tätig ist, die Mitarbeiterzahl von 50 Personen und einen Jahresumsatz oder eine Bilanzsumme von 10 Millionen Euro überschreitet, sollte keine weitere Zeit verlieren.

Ihre nächsten Schritte auf einen Blick:
1. Sektor und Unternehmensgröße mit Anlage 1 und 2 des NIS2UmsuCG abgleichen (§ 3 NIS2UmsuCG)
2. Einrichtungstyp bestimmen (wesentlich oder wichtig)
3. BSI-Registrierung einleiten (§ 33 NIS2UmsuCG)
4. Gap-Analyse und Maßnahmenplan erstellen
5. Compliance kontinuierlich dokumentieren und überwachen

Nächster Schritt: NIS2-Compliance strukturiert angehen

Die größte Herausforderung für viele Unternehmen ist nicht das Verstehen der Anforderungen – sondern deren systematische Umsetzung und lückenlose Dokumentation. Spezialisierte NIS2-Compliance-Softwarelösungen und ISMS-Plattformen helfen Ihnen dabei, Ihre Betroffenheit automatisiert zu prüfen, Risikobewertungen zu strukturieren, Maßnahmen zu tracken und Nachweise BSI-konform zu archivieren. Fragen Sie Ihren IT-Dienstleister gezielt nach Lösungen, die auf das NIS2UmsuCG und den deutschen Rechtsraum zugeschnitten sind – und nutzen Sie kostenlose Erstberatungen oder Demos, um die passende Plattform für Ihr Unternehmen zu identifizieren.

Quellen und weiterführende Informationen: BSI-Website (bsi.bund.de), NIS2UmsuCG (Bundesgesetzblatt), EU-Richtlinie 2022/2555, ENISA NIS2 Implementation Guidance, § 65 BSIG (aktuelle Fassung)