NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 06. September 2026 | Lesedauer: ca. 8 Minuten

Die NIS2-Richtlinie der Europäischen Union ist seit ihrer Umsetzung in deutsches Recht durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) für tausende Unternehmen in Deutschland verbindlich. Dennoch stellen viele IT-Verantwortliche und Geschäftsführer noch immer dieselbe Frage: Betrifft uns das überhaupt?

Die Antwort auf diese Frage ist nicht trivial — und die Konsequenzen einer falschen Einschätzung können erheblich sein. Gemäß § 65 BSIG drohen bei Verstößen Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes. Dieser Artikel erklärt Ihnen Schritt für Schritt, wie Sie eine fundierte NIS2-Betroffenheitsprüfung für Ihr Unternehmen in Deutschland durchführen.

Was ist die NIS2-Betroffenheitsprüfung und warum ist sie 2025/2026 so wichtig?

Die Betroffenheitsprüfung ist der erste und entscheidende Schritt auf dem Weg zur NIS2-Compliance. Sie beantwortet konkret, ob Ihr Unternehmen unter den Geltungsbereich der Richtlinie fällt und — falls ja — in welcher Kategorie: als wesentliche Einrichtung (Essential Entity) oder als wichtige Einrichtung (Important Entity).

Rechtsgrundlage für die Einstufung in Deutschland ist § 3 NIS2UmsuCG, der die Begriffsbestimmungen und Anwendungsbereiche definiert und dabei eng an Artikel 3 der EU-Richtlinie 2022/2555 angelehnt ist. Wer diese Prüfung versäumt oder fehlerhaft durchführt, riskiert nicht nur Bußgelder, sondern auch operative Haftungsrisiken für die Geschäftsleitung.

Schritt 1: Welchem Sektor gehört Ihr Unternehmen an?

Der erste Prüfschritt betrifft die Sektorzugehörigkeit. Das NIS2UmsuCG unterscheidet dabei zwischen zwei Anlagen:

Anlage 1: Sektoren hoher Kritikalität (Wesentliche Einrichtungen)

Unternehmen in diesen Sektoren unterliegen den strengsten Anforderungen:

• Energie (Strom, Gas, Öl, Fernwärme, Wasserstoff)
• Verkehr (Luft, Schiene, Wasser, Straße)
• Bankwesen und Finanzmarktinfrastrukturen
• Gesundheitswesen (Krankenhäuser, Labore, Pharma)
• Trinkwasser und Abwasser
• Digitale Infrastruktur (Internet-Austauschknoten, DNS, TLD-Register, Cloud-Anbieter, Rechenzentren, öffentliche elektronische Kommunikationsnetze)
• Verwaltung von IKT-Diensten (B2B-Managed-Service-Provider)
• Öffentliche Verwaltung
• Weltraum

Anlage 2: Sonstige kritische Sektoren (Wichtige Einrichtungen)

Unternehmen in diesen Sektoren sind ebenfalls verpflichtet, unterliegen aber etwas abgeschwächten Aufsichtspflichten:

• Post- und Kurierdienste
• Abfallbewirtschaftung
• Chemie
• Lebensmittel (Produktion, Verarbeitung, Vertrieb)
• Verarbeitendes Gewerbe / Herstellung von Waren (u. a. Medizinprodukte, Elektronik, Maschinenbau, Fahrzeugbau)
• Digitale Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke)
• Forschungseinrichtungen

Praxishinweis: Viele mittelständische Maschinenbauer, Automobilzulieferer oder Lebensmittelproduzenten übersehen ihre Zugehörigkeit zu Anlage 2. Prüfen Sie daher Ihren NACE-Code und die tatsächliche Geschäftstätigkeit sorgfältig.

Schritt 2: Erfüllt Ihr Unternehmen die Größenkriterien?

Die Sektorzugehörigkeit allein reicht nicht aus. Zusätzlich müssen Größenkriterien erfüllt sein, die sich an EU-weiten KMU-Schwellenwerten orientieren:

Übersicht der Größenkriterien nach NIS2UmsuCG

Wichtig: Es genügt, wenn entweder das Umsatz- oder das Bilanzsummen-Kriterium erfüllt ist — nicht beide gleichzeitig.

Ausnahmen von der Größenschwelle

In bestimmten Fällen greift die NIS2-Pflicht unabhängig von der Unternehmensgröße:

• Betreiber kritischer Anlagen (KRITIS) nach BSI-Gesetz
• Anbieter öffentlicher elektronischer Kommunikationsnetze
• Vertrauensdiensteanbieter und TLD-Registries
• Unternehmen, die als einziger Anbieter eines kritischen Dienstes in einem Mitgliedstaat fungieren
• Behörden der Bundesverwaltung

Schritt 3: Wesentliche vs. Wichtige Einrichtung — Was ist der Unterschied?

Die Einstufung als wesentliche oder wichtige Einrichtung hat direkte Auswirkungen auf Ihre Compliance-Pflichten und die Aufsichtsintensität durch das Bundesamt für Sicherheit in der Informationstechnik (BSI).

Wesentliche Einrichtungen (Essential Entities)

• Großunternehmen aus Anlage 1
• Unterliegen der proaktiven Aufsicht durch das BSI
• Regelmäßige Audits, Sicherheitsprüfungen und Nachweise
• Strengere Meldepflichten bei Sicherheitsvorfällen (24-Stunden-Erstmeldung, 72-Stunden-detaillierte Meldung, 1-Monat-Abschlussbericht)
• Bußgelder bis zu 10 Mio. € oder 2 % des weltweiten Umsatzes

Wichtige Einrichtungen (Important Entities)

• Mittlere Unternehmen aus Anlage 1 und Unternehmen aus Anlage 2
• Unterliegen der reaktiven Aufsicht (Prüfung erst nach Vorfällen oder Hinweisen)
• Dieselben technischen und organisatorischen Maßnahmen wie wesentliche Einrichtungen
• Bußgelder bis zu 7 Mio. € oder 1,4 % des weltweiten Umsatzes

Selbsttest: Fällt Ihr Unternehmen unter NIS2? (Interaktive Checkliste)

Gehen Sie diese fünf Fragen der Reihe nach durch. Können Sie alle zutreffenden Fragen mit Ja beantworten, ist Ihr Unternehmen höchstwahrscheinlich betroffen.

✅ NIS2-Betroffenheits-Schnellcheck

Frage 1 — Sektorzugehörigkeit:
☐ Ist mein Unternehmen in einem der Sektoren aus Anlage 1 oder Anlage 2 des NIS2UmsuCG tätig?

Frage 2 — Größe (Mitarbeiter):
☐ Beschäftigt mein Unternehmen 50 oder mehr Mitarbeiter (Vollzeitäquivalente)?

Frage 3 — Größe (Umsatz/Bilanz):
☐ Erzielt mein Unternehmen einen Jahresumsatz von ≥ 10 Mio. € oder eine Bilanzsumme von ≥ 10 Mio. €?

Frage 4 — Niederlassung:
☐ Ist mein Unternehmen in Deutschland ansässig oder erbringt es Dienste für Empfänger in Deutschland?

Frage 5 — Ausnahmetatbestände prüfen:
☐ Gilt für mein Unternehmen eine der größenunabhängigen Ausnahmeregelungen (z. B. KRITIS-Betreiber, Vertrauensdiensteanbieter)?

Ergebnis: Wenn Sie Fragen 1–4 mit Ja beantwortet haben oder Frage 5 zutrifft, führen Sie unverzüglich eine vollständige Betroffenheitsanalyse durch und registrieren Sie sich beim BSI.

Was droht bei Nichterfüllung? Bußgelder nach § 65 BSIG

Wer die NIS2-Pflichten ignoriert oder die Betroffenheitsprüfung schlicht versäumt, geht erhebliche rechtliche und finanzielle Risiken ein. § 65 BSIG sieht folgende Sanktionen vor:

Bußgeldrahmen im Überblick

Besonders gravierend: Die persönliche Haftung der Geschäftsleitung ist im NIS2UmsuCG ausdrücklich verankert. Geschäftsführer und Vorstände können bei nachgewiesener Pflichtverletzung persönlich in Regress genommen werden — ein klares Signal an die Unternehmensführung, das Thema nicht an die IT-Abteilung zu delegieren.

Darüber hinaus kann das BSI bei schwerwiegenden Verstößen:
- Die öffentliche Bekanntmachung von Verstößen anordnen
- Temporäre Betriebsuntersagungen für Führungspersonen verhängen
- Zwangsgelder zur Durchsetzung von Anordnungen festsetzen

Konkrete Handlungsempfehlungen: So gehen Sie vor

Wenn Ihre Betroffenheitsprüfung ergibt, dass Ihr Unternehmen unter NIS2 fällt, sollten Sie folgende Schritte priorisieren:

1. Formale Einstufung dokumentieren: Halten Sie schriftlich fest, auf welcher Grundlage (Sektor, Größe, Ausnahmetatbestand) Ihr Unternehmen als wesentliche oder wichtige Einrichtung eingestuft wurde. Diese Dokumentation ist Grundlage für alle weiteren Compliance-Maßnahmen.

2. BSI-Registrierung durchführen: Wesentliche und wichtige Einrichtungen sind verpflichtet, sich beim BSI zu registrieren. Nutzen Sie das BSI-Portal und halten Sie Kontaktdaten für den Sicherheitsansprechpartner bereit.

3. Risikoanalyse initiieren: Gemäß § 30 BSIG müssen geeignete technische und organisatorische Maßnahmen (TOMs) implementiert werden. Ausgangspunkt ist eine systematische Risikoanalyse nach anerkannten Standards wie ISO/IEC 27001 oder dem BSI IT-Grundschutz.

4. Meldeprozesse für Sicherheitsvorfälle einrichten: Definieren Sie interne Prozesse, die sicherstellen, dass erhebliche Sicherheitsvorfälle innerhalb von 24 Stunden an das BSI gemeldet werden. Die vollständige Meldung muss innerhalb von 72 Stunden erfolgen.

5. Lieferkette prüfen: NIS2 schreibt ausdrücklich die Prüfung von Sicherheitsrisiken in der Lieferkette vor (§ 30 Abs. 2 NIS2UmsuCG). Überprüfen Sie Verträge mit IT-Dienstleistern und kritischen Zulieferern.

6. Schulungen für Management und Mitarbeiter: Sensibilisieren Sie Ihre Geschäftsführung und Führungskräfte für die persönliche Haftung. Regelmäßige Schulungen zur Cybersicherheit sind gemäß § 38 NIS2UmsuCG für leitende Organe verpflichtend.

7. Gap-Analyse und Maßnahmenplan: Vergleichen Sie Ihren aktuellen Sicherheitsstatus mit den NIS2-Anforderungen und erstellen Sie einen priorisierten Maßnahmenplan mit klaren Verantwortlichkeiten und Fristen.

Sonderfall: Auswirkungen auf die Lieferkette und indirekte Betroffenheit

Ein oft übersehener Aspekt: Auch Unternehmen, die selbst nicht direkt unter NIS2 fallen, können indirekt betroffen sein. Wenn Sie als Zulieferer oder Dienstleister für eine wesentliche oder wichtige Einrichtung tätig sind, werden diese Auftraggeber zunehmend vertragliche Sicherheitsanforderungen an Sie stellen — abgeleitet aus deren eigenen NIS2-Verpflichtungen.

Dies betrifft insbesondere:
- IT-Dienstleister und Managed-Service-Provider
- Software-Entwicklungsunternehmen
- Logistik- und Transportdienstleister
- Wartungs- und Instandhaltungsunternehmen für Industrieanlagen

Prüfen Sie daher nicht nur Ihre eigene Betroffenheit, sondern auch die Ihrer wichtigsten Kunden und Partner.

Fazit: Jetzt handeln — Nächste Schritte auf einen Blick

Die NIS2-Betroffenheitsprüfung ist kein einmaliger Verwaltungsakt, sondern der Ausgangspunkt eines kontinuierlichen Compliance-Prozesses. Die wichtigsten nächsten Schritte sind:

• Sofort: Sektorzugehörigkeit und Größenkriterien nach § 3 NIS2UmsuCG prüfen
• Innerhalb von 2 Wochen: Einstufung als wesentliche oder wichtige Einrichtung dokumentieren
• Innerhalb von 4 Wochen: BSI-Registrierung abschließen und Sicherheitsansprechpartner benennen
• Mittelfristig (3–6 Monate): Risikoanalyse durchführen, Gap-Analyse erstellen, Maßnahmenplan umsetzen
• Dauerhaft: Meldeprozesse betreiben, Lieferkette überwachen, Schulungen durchführen

Die gute Nachricht: Unternehmen, die frühzeitig handeln, können NIS2-Compliance systematisch und kosteneffizient aufbauen — und dabei gleichzeitig ihre allgemeine Cyberresilienz nachhaltig stärken.

Nächster Schritt: Betroffenheitsprüfung digital unterstützen

Die Komplexität der Betroffenheitsprüfung, die Vielzahl der zu prüfenden Kriterien und die laufende Dokumentationspflicht machen eine softwaregestützte Herangehensweise für die meisten Unternehmen sinnvoll. Spezialisierte ISMS- und NIS2-Compliance-Plattformen unterstützen Sie dabei, die Betroffenheitsprüfung strukturiert durchzuführen, Ihre Einstufung rechtssicher zu dokumentieren, Risikoanalysen nach BSI IT-Grundschutz oder ISO 27001 zu erstellen und Meldeprozesse zu automatisieren. Viele Plattformen bieten geführte Betroffenheits-Checks an, die auf Basis Ihrer Angaben zu Sektor, Mitarbeiterzahl und Umsatz automatisch eine vorläufige Einstufung vornehmen — ein idealer Einstieg für Unternehmen, die noch am Anfang ihres NIS2-Compliance-Weges stehen.

Haben Sie Fragen zur NIS2-Betroffenheitsprüfung in Ihrem Unternehmen? Hinterlassen Sie einen Kommentar oder kontaktieren Sie uns direkt — wir unterstützen Sie gerne bei der Einschätzung Ihrer individuellen Situation.