NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 05. September 2026 | Lesezeit: ca. 8 Minuten

Die NIS2-Richtlinie ist seit dem 18. Oktober 2024 in deutsches Recht überführt – und viele Unternehmen fragen sich noch immer: Bin ich überhaupt betroffen? Diese Frage ist keine Kleinigkeit. Wer unter das NIS2-Umsetzungsgesetz (NIS2UmsuCG) fällt und die Pflichten ignoriert, riskiert empfindliche Bußgelder nach §65 BSIG. Wer hingegen unnötig Ressourcen in nicht-verpflichtende Compliance-Maßnahmen steckt, verschwendet wertvolles Budget.

Dieser Artikel führt Sie Schritt für Schritt durch die NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland 2025 – inklusive Sektorencheck, Größenkriterien, praktischem Selbsttest und den rechtlichen Konsequenzen bei Nichterfüllung.

Was regelt §3 NIS2UmsuCG – die Grundlage der Betroffenheitsprüfung

Der Ausgangspunkt jeder Betroffenheitsprüfung ist §3 NIS2UmsuCG (NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz). Dieser Paragraph definiert, welche Einrichtungen als „wesentlich" oder „wichtig" einzustufen sind und damit den Pflichten des Gesetzes unterliegen.

§3 NIS2UmsuCG verweist dabei auf die Anlagen 1 und 2 des Gesetzes, in denen die betroffenen Sektoren und Teilsektoren aufgelistet sind – analog zu Annex I und Annex II der EU-Richtlinie 2022/2555 (NIS2). Entscheidend ist: Die Betroffenheit ergibt sich nicht automatisch aus der Sektorzugehörigkeit allein, sondern aus dem Zusammenspiel von Sektor, Unternehmensgröße und – in bestimmten Fällen – der kritischen Bedeutung für die Versorgungssicherheit.

Schritt 1: Sektor-Check – In welcher Anlage finden Sie sich?

Anlage 1 – Sektoren hoher Kritikalität (ehemals KRITIS)

Die Anlage 1 des NIS2UmsuCG umfasst elf Sektoren, die als besonders kritisch für die gesellschaftliche und wirtschaftliche Stabilität gelten:

1. Energie (Strom, Gas, Fernwärme, Öl, Wasserstoff)
2. Transport und Verkehr (Luft, Bahn, Wasser, Straße)
3. Bankwesen
4. Finanzmarktinfrastrukturen
5. Gesundheitswesen (Krankenhäuser, Laboratorien, Forschungseinrichtungen)
6. Trinkwasser
7. Abwasser
8. Digitale Infrastruktur (Internet-Knoten, DNS, TLD-Registries, Cloud-Anbieter, Rechenzentren)
9. Verwaltung von IKT-Diensten (B2B)
10. Öffentliche Verwaltung
11. Weltraum

Unternehmen in diesen Sektoren werden – sofern sie die Größenkriterien erfüllen – als wesentliche Einrichtungen eingestuft und unterliegen den strengsten Anforderungen.

Anlage 2 – Wichtige Sektoren

Anlage 2 listet sieben weitere Sektoren, deren Einrichtungen als wichtige Einrichtungen gelten:

1. Post- und Kurierdienste
2. Abfallbewirtschaftung
3. Produktion, Herstellung und Handel mit chemischen Stoffen
4. Produktion, Verarbeitung und Vertrieb von Lebensmitteln
5. Verarbeitendes Gewerbe / Herstellung von Waren (Medizinprodukte, EDV, Elektronik, Maschinenbau, Kraftfahrzeuge, sonstiger Fahrzeugbau)
6. Anbieter digitaler Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke)
7. Forschungseinrichtungen

Schritt 2: Größenkriterien – Ab wann gilt das Gesetz?

Die Sektorzugehörigkeit allein reicht nicht aus. NIS2 gilt grundsätzlich für mittlere und große Unternehmen, definiert nach EU-Schwellenwerten:

Wichtig: Ein Unternehmen gilt als mittleres Unternehmen, wenn es mindestens 50 Mitarbeitende beschäftigt oder einen Jahresumsatz bzw. eine Jahresbilanzsumme von mehr als 10 Millionen Euro ausweist. Die Zehn-Millionen-Euro-Schwelle beim Umsatz ist dabei der häufig unterschätzte Faktor – viele Betriebe mit weniger als 50 Mitarbeitenden, aber relevantem Umsatz fallen dennoch in den Anwendungsbereich.

Ausnahmen von der Größenschwelle

§3 NIS2UmsuCG sieht ausdrücklich vor, dass bestimmte Einrichtungen unabhängig von ihrer Größe als wesentliche oder wichtige Einrichtungen gelten:

• Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste
• Trust Service Provider (qualifizierte Vertrauensdienste nach eIDAS)
• TLD-Registries und DNS-Dienstanbieter
• Einrichtungen, deren Ausfall erhebliche Auswirkungen auf die öffentliche Sicherheit, öffentliche Ordnung oder die öffentliche Gesundheit hätte
• Kritische Anlagen im Sinne des BSIG (ehemals KRITIS), die bereits vor NIS2 reguliert waren

Schritt 3: Wesentliche vs. wichtige Einrichtungen – Was ist der Unterschied?

Die Unterscheidung ist für die Aufsichtsintensität und die Haftung entscheidend:

Wesentliche Einrichtungen (§3 Abs. 1 NIS2UmsuCG)

• Große Unternehmen in Anlage-1-Sektoren
• Mittlere Unternehmen in bestimmten Anlage-1-Sektoren (z. B. Digitale Infrastruktur)
• Einrichtungen unabhängig von der Größe in bestimmten Kategorien

Folgen: Proaktive Aufsicht durch das BSI, umfassende Meldepflichten (§32 BSIG), verpflichtende Registrierung, höhere Bußgelder.

Wichtige Einrichtungen (§3 Abs. 2 NIS2UmsuCG)

• Mittlere und große Unternehmen in Anlage-2-Sektoren
• Mittlere Unternehmen in bestimmten Anlage-1-Sektoren (sofern nicht bereits als wesentlich eingestuft)

Folgen: Reaktive Aufsicht, Meldepflichten bestehen ebenfalls, geringfügig niedrigere Bußgelder – aber immer noch erheblich.

Selbsttest: Ist Ihr Unternehmen betroffen?

Beantworten Sie die folgenden Fragen der Reihe nach. Bereits ein „Ja" kann eine Betroffenheit begründen.

Frage 1: Ist Ihr Unternehmen in einem der Sektoren aus Anlage 1 oder Anlage 2 tätig?
→ Nein: Sie sind wahrscheinlich nicht betroffen (Ausnahmen beachten).
→ Ja: Weiter zu Frage 2.

Frage 2: Beschäftigt Ihr Unternehmen 50 oder mehr Mitarbeitende?
→ Ja: Sie sind sehr wahrscheinlich betroffen. Weiter zu Frage 4.
→ Nein: Weiter zu Frage 3.

Frage 3: Übersteigt Ihr Jahresumsatz 10 Millionen Euro?
→ Ja: Sie sind wahrscheinlich betroffen. Weiter zu Frage 4.
→ Nein: Weiter zu Frage 4 (Ausnahmen prüfen).

Frage 4: Ist Ihr Unternehmen ein Anbieter von Vertrauensdiensten, DNS, TLD oder öffentlichen Kommunikationsnetzen?
→ Ja: Sie sind unabhängig von der Größe betroffen (wesentliche Einrichtung).
→ Nein: Ergebnis aus Fragen 1–3 gilt.

Hinweis: Dieser Selbsttest ersetzt keine rechtliche oder fachliche Beratung. Bei Unsicherheiten empfiehlt das BSI die Nutzung des offiziellen Registrierungsportals sowie die Konsultation eines auf Cybersicherheitsrecht spezialisierten Rechtsanwalts oder eines zertifizierten CISO.

Konsequenzen bei Nichterfüllung: Bußgelder nach §65 BSIG

Wer unter NIS2 fällt und die Pflichten nicht erfüllt, riskiert erhebliche Sanktionen. §65 BSIG (Bußgeldvorschriften) sieht folgende Maximalstrafen vor:

Neben den Bußgeldern drohen:

• Persönliche Haftung der Geschäftsführung – §38 BSIG verpflichtet Leitungsorgane, die Umsetzung von Cybersicherheitsmaßnahmen zu überwachen und zu genehmigen. Bei nachgewiesener Pflichtverletzung können Geschäftsführer und Vorstände persönlich in Regress genommen werden.
• Reputationsschäden durch öffentliche Bekanntmachung von Verstößen (Name-and-Shame-Verfahren, §66 BSIG).
• Betriebsunterbrechungen durch behördliche Anordnungen.

Das BSI als zuständige nationale Aufsichtsbehörde hat seit 2025 seine Prüfaktivitäten deutlich intensiviert. Unternehmen, die ihrer Registrierungspflicht (§33 BSIG) nicht nachgekommen sind, werden aktiv kontaktiert.

Konkrete Handlungsempfehlungen: So gehen Sie jetzt vor

1. Sektorcheck durchführen: Prüfen Sie anhand der Anlagen 1 und 2 des NIS2UmsuCG, ob Ihre Kerntätigkeit einem geregelten Sektor zuzuordnen ist. Beachten Sie dabei alle Geschäftsbereiche – nicht nur die Haupttätigkeit.

2. Unternehmensdaten ermitteln: Stellen Sie Mitarbeiterzahl, Jahresumsatz und Bilanzsumme für das letzte abgeschlossene Geschäftsjahr zusammen. Beziehen Sie verbundene Unternehmen ein – NIS2 betrachtet Konzernstrukturen.

3. Einrichtungstyp bestimmen: Klären Sie auf Basis von §3 NIS2UmsuCG, ob Sie als wesentliche oder wichtige Einrichtung einzustufen sind. Im Zweifel gilt: Konservativ klassifizieren und höhere Anforderungen erfüllen.

4. Beim BSI registrieren: Gemäß §33 BSIG sind betroffene Einrichtungen verpflichtet, sich im BSI-Portal zu registrieren. Die Registrierung muss Angaben zu Sektor, Größe, Kontaktdaten und IT-Infrastruktur enthalten.

5. Gap-Analyse durchführen: Vergleichen Sie Ihre bestehenden Sicherheitsmaßnahmen mit den Anforderungen aus §30 BSIG (technische und organisatorische Maßnahmen). Nutzen Sie den BSI IT-Grundschutz oder ISO/IEC 27001 als Referenzrahmen.

6. Meldeprozesse einrichten: Implementieren Sie Prozesse zur Sicherheitsvorfallmeldung gemäß §32 BSIG. Erhebliche Sicherheitsvorfälle müssen innerhalb von 24 Stunden (Erstmeldung) und 72 Stunden (vollständige Meldung) dem BSI gemeldet werden.

7. Geschäftsführung einbinden: Stellen Sie sicher, dass Leitungsorgane über NIS2-Pflichten informiert sind und Cybersicherheitsmaßnahmen formal genehmigen (§38 BSIG). Schulungspflichten für das Management sind ebenfalls vorgesehen.

8. Lieferkette prüfen: NIS2 verpflichtet auch zur Absicherung der Lieferkette (§30 Abs. 2 Nr. 4 BSIG). Führen Sie eine Bewertung kritischer Drittanbieter durch.

Fazit: Betroffenheit klären – und dann zügig handeln

Die NIS2-Betroffenheitsprüfung ist kein bürokratischer Selbstzweck, sondern der erste und wichtigste Schritt auf dem Weg zu echter Cyberresilienz. Unternehmen, die unter §3 NIS2UmsuCG fallen, haben klare gesetzliche Pflichten – und das BSI prüft deren Einhaltung zunehmend aktiv.

Ihre nächsten Schritte zusammengefasst:

• ✅ Sektorzugehörigkeit anhand Anlage 1 & 2 prüfen
• ✅ Größenkriterien (50+ MA oder 10 Mio. € Umsatz) verifizieren
• ✅ Einrichtungstyp (wesentlich/wichtig) festlegen
• ✅ BSI-Registrierung vornehmen (§33 BSIG)
• ✅ Gap-Analyse starten und Maßnahmenplan erstellen
• ✅ Geschäftsführung formal einbinden (§38 BSIG)

Nächster Schritt: Betroffenheitsprüfung digital unterstützen

Die manuelle Prüfung aller Kriterien ist zeitaufwendig und fehleranfällig – besonders in Konzernstrukturen oder bei Unternehmen mit mehreren Tätigkeitsfeldern. Spezialisierte NIS2-Compliance-Software kann Ihnen helfen, die Betroffenheitsprüfung strukturiert durchzuführen, die erforderlichen ISMS-Dokumente (Richtlinien, Risikoanalysen, Meldeverfahren) automatisiert zu erstellen und den aktuellen Compliance-Status jederzeit transparent darzustellen.

Viele Lösungen bieten integrierte Checklisten nach BSI IT-Grundschutz und ISO 27001, automatische Erinnerungen für Meldepflichten sowie Audit-Trails für die Nachweisführung gegenüber dem BSI. Ein digitales Werkzeug ersetzt zwar keine rechtliche Beratung, gibt Ihnen aber eine verlässliche Basis – und spart im Ernstfall wertvolle Zeit.

Tipp: Suchen Sie nach Lösungen, die explizit auf das NIS2UmsuCG zugeschnitten sind und regelmäßige Updates bei Gesetzesänderungen garantieren. Die Anforderungen entwickeln sich weiter – Ihre Compliance-Tools sollten das auch.

Quellen und weiterführende Informationen: BSI (bsi.bund.de) – NIS2-Informationsportal; NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG); BSIG (BSI-Gesetz) in der Fassung von 2024; ENISA – NIS2 Directive Implementation Guidance; EU-Richtlinie 2022/2555 (NIS2).