NIS2-Betroffenheitsprüfung 2025: Fällt Ihr Unternehmen unter die Richtlinie?

Veröffentlicht am 08. September 2026 | Lesezeit: ca. 10 Minuten

Seit dem Inkrafttreten des NIS2-Umsetzungsgesetzes (NIS2UmsuCG) stehen tausende deutsche Unternehmen vor einer zentralen Frage: Bin ich überhaupt betroffen? Die Antwort darauf ist keine Formalie – sie entscheidet darüber, ob Ihr Unternehmen umfangreiche Sicherheits- und Meldepflichten erfüllen muss oder ob Sie bei Verstößen mit empfindlichen Bußgeldern rechnen müssen. In diesem Artikel führen wir Sie Schritt für Schritt durch die NIS2-Betroffenheitsprüfung für Unternehmen in Deutschland und geben Ihnen konkrete Handlungsempfehlungen für 2025 und darüber hinaus.

Was regelt §3 NIS2UmsuCG – und warum ist er so wichtig?

Der §3 des NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes (NIS2UmsuCG) definiert den Anwendungsbereich des deutschen NIS2-Rechts. Er legt fest, welche Einrichtungen als „wesentlich" oder „wichtig" eingestuft werden und damit den Pflichten des Gesetzes unterliegen. Anders als viele EU-Richtlinien arbeitet NIS2 nicht mit einer behördlichen Einzelfallentscheidung: Unternehmen müssen selbst prüfen, ob sie unter die Richtlinie fallen, und sich gegebenenfalls beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren.

Dieser Selbstidentifikationsansatz ist bewusst gewählt – und gleichzeitig eine der häufigsten Fehlerquellen. Wer die Prüfung versäumt oder falsch durchführt, haftet für die Konsequenzen.

Die zwei zentralen Prüfkriterien: Sektor und Unternehmensgröße

Die NIS2-Betroffenheitsprüfung folgt einer klaren Logik aus zwei kombinierten Kriterien: Erstens muss Ihr Unternehmen in einem der regulierten Sektoren tätig sein. Zweitens müssen bestimmte Größenschwellen überschritten werden. Nur wenn beide Bedingungen erfüllt sind, unterliegen Sie den Pflichten des NIS2UmsuCG.

Schritt 1: Sektor-Zugehörigkeit prüfen (Anlage 1 & 2 NIS2UmsuCG)

Das NIS2UmsuCG unterscheidet zwischen zwei Anlagenkategorien mit unterschiedlich regulierten Sektoren:

Anlage 1 – Sektoren mit hoher Kritikalität (wesentliche Einrichtungen):

• Energie (Strom, Gas, Öl, Wasserstoff, Fernwärme)
• Transport und Verkehr (Luft, Schiene, Straße, Wasser)
• Bankwesen und Finanzmarktinfrastrukturen
• Gesundheitswesen (Krankenhäuser, Labore, Pharmaproduktion)
• Trinkwasser und Abwasser
• Digitale Infrastruktur (DNS, TLD-Registries, Rechenzentren, Cloud-Dienste)
• IKT-Dienstemanagement (Managed Service Provider, Managed Security Provider)
• Öffentliche Verwaltung (Bundes- und Landesebene)
• Weltraum

Anlage 2 – Sonstige kritische Sektoren (wichtige Einrichtungen):

• Post- und Kurierdienste
• Abfallwirtschaft
• Chemische Industrie
• Lebensmittelproduktion und -verarbeitung
• Verarbeitendes Gewerbe / Herstellung von Medizinprodukten, Maschinen, Fahrzeugen, elektronischen Geräten
• Digitale Anbieter (Online-Marktplätze, Suchmaschinen, soziale Netzwerke)
• Forschungseinrichtungen

Praxishinweis: Auch wenn Ihr Kerngeschäft nicht in einem dieser Sektoren liegt, können Sie betroffen sein, wenn Sie als Zulieferer oder Dienstleister kritische Infrastrukturen unterstützen. Die Lieferkette ist ein zentrales Thema der NIS2.

Schritt 2: Größenkriterien prüfen

Liegt Ihr Unternehmen in einem der genannten Sektoren, entscheidet die Unternehmensgröße über die Einstufung:

Ausnahmen gelten für sogenannte unabhängig von der Größe regulierte Einrichtungen, etwa DNS-Anbieter, TLD-Registries, Betreiber kritischer Anlagen (KRITIS nach BSI-KritisV) und bestimmte qualifizierte Vertrauensdiensteanbieter – diese unterliegen NIS2 unabhängig von Mitarbeiterzahl oder Umsatz.

Wesentliche vs. wichtige Einrichtungen: Was ist der Unterschied?

Die Unterscheidung zwischen wesentlichen und wichtigen Einrichtungen hat erhebliche praktische Konsequenzen – insbesondere bei Aufsicht und Sanktionen.

Wesentliche Einrichtungen

Wesentliche Einrichtungen sind Unternehmen aus Anlage 1, die die Größenschwellen für Großunternehmen überschreiten. Sie unterliegen der proaktiven Aufsicht durch das BSI: Das bedeutet, das BSI kann anlasslos Prüfungen, Audits und Inspektionen durchführen. Typische Beispiele sind große Energieversorger, Krankenhäuser über 250 Mitarbeitende oder Betreiber kritischer digitaler Infrastruktur.

Wichtige Einrichtungen

Wichtige Einrichtungen sind mittlere Unternehmen aus Anlage 1 sowie mittlere und große Unternehmen aus Anlage 2. Sie unterliegen einer reaktiven Aufsicht: Das BSI wird in der Regel erst bei konkreten Hinweisen auf Verstöße tätig. Das bedeutet jedoch nicht, dass die Pflichten geringer sind – die inhaltlichen Anforderungen an Risikomanagement und Meldepflichten sind weitgehend identisch.

Selbsttest: Fällt Ihr Unternehmen unter NIS2?

Beantworten Sie die folgenden Fragen, um eine erste Einschätzung zu erhalten:

Frage 1: Ist Ihr Unternehmen in einem der Sektoren aus Anlage 1 oder Anlage 2 des NIS2UmsuCG tätig?
- ✅ Ja → weiter zu Frage 2
- ❌ Nein → Sie sind wahrscheinlich nicht betroffen (Ausnahmen prüfen)

Frage 2: Beschäftigt Ihr Unternehmen 50 oder mehr Mitarbeitende?
- ✅ Ja → weiter zu Frage 3
- ❌ Nein → Prüfen Sie, ob eine größenunabhängige Ausnahme gilt

Frage 3: Überschreitet Ihr Jahresumsatz oder Ihre Jahresbilanzsumme 10 Millionen Euro?
- ✅ Ja → Sie sind wahrscheinlich betroffen – weiter mit der Einstufung
- ❌ Nein → Sie sind wahrscheinlich nicht betroffen (Ausnahmen prüfen)

Frage 4: Überschreiten Sie 250 Mitarbeitende und 50 Mio. € Umsatz/Bilanzsumme in einem Anlage-1-Sektor?
- ✅ Ja → Wesentliche Einrichtung
- ❌ Nein → Wichtige Einrichtung

Achtung: Dieser Selbsttest ersetzt keine rechtliche oder fachliche Beratung. Für eine rechtssichere Einordnung empfiehlt das BSI die Nutzung des offiziellen Registrierungsportals sowie ggf. die Hinzuziehung eines Fachberaters.

Welche Pflichten entstehen nach der Betroffenheitsprüfung?

Sobald feststeht, dass Ihr Unternehmen unter NIS2 fällt, entstehen konkrete Handlungspflichten – unabhängig davon, ob Sie als wesentliche oder wichtige Einrichtung eingestuft sind:

1. Registrierungspflicht beim BSI

Betroffene Unternehmen müssen sich beim BSI registrieren und dabei grundlegende Informationen zur Organisation und den eingesetzten Diensten melden.

2. Risikomanagementmaßnahmen (§30 NIS2UmsuCG)

Unternehmen müssen ein umfassendes Informationssicherheits-Risikomanagement implementieren. Dazu gehören unter anderem:
- Risikoanalysen und Sicherheitskonzepte
- Incident-Response-Prozesse
- Business Continuity Management und Backup-Strategien
- Lieferkettensicherheit
- Kryptographie und Verschlüsselung
- Zugangskontrolle und Identitätsmanagement
- Sicherheit bei der Entwicklung und Beschaffung von IT-Systemen

3. Meldepflichten bei Sicherheitsvorfällen (§32 NIS2UmsuCG)

Erhebliche Sicherheitsvorfälle müssen innerhalb von 24 Stunden als Frühwarnung an das BSI gemeldet werden. Ein detaillierter Folgebericht ist binnen 72 Stunden einzureichen.

4. Geschäftsleitungshaftung (§38 NIS2UmsuCG)

Besonders gravierend: Die Geschäftsleitung haftet persönlich für die Umsetzung der Sicherheitsmaßnahmen. Geschäftsführer und Vorstände können bei Pflichtverletzungen nicht auf Haftungsausschlüsse verweisen.

Konsequenzen bei Nichterfüllung: Bußgelder nach §65 BSIG

Wer die NIS2-Pflichten missachtet, muss mit erheblichen finanziellen Sanktionen rechnen. §65 des novellierten BSIG sieht folgende Bußgeldrahmen vor:

Hinzu kommen mögliche Reputationsschäden, operative Einschränkungen durch Aufsichtsmaßnahmen und – im Extremfall – die vorübergehende Untersagung von Managementfunktionen für verantwortliche Geschäftsleiter wesentlicher Einrichtungen.

Das BSI hat signalisiert, dass die Aufsichtsbehörden ab 2025 verstärkt aktiv prüfen und Bußgeldverfahren einleiten werden. Die Phase der reinen Sensibilisierung ist damit beendet.

7 konkrete Handlungsempfehlungen für Ihr Unternehmen

1. Betroffenheitsprüfung jetzt durchführen: Analysieren Sie Ihren Sektor anhand der Anlagen 1 und 2 des NIS2UmsuCG und prüfen Sie Mitarbeiterzahl sowie Umsatz/Bilanzsumme. Dokumentieren Sie das Ergebnis schriftlich.

2. Lieferkette einbeziehen: Prüfen Sie, ob Sie als Zulieferer für betroffene Unternehmen tätig sind. Auch wenn Sie selbst nicht direkt unter NIS2 fallen, werden Ihre Kunden vertragliche NIS2-Anforderungen an Sie weitergeben.

3. Registrierung beim BSI vornehmen: Nutzen Sie das BSI-Registrierungsportal und melden Sie Ihre Einrichtung fristgerecht an. Versäumte Registrierungen gelten bereits als Pflichtverletzung.

4. Gap-Analyse durchführen: Vergleichen Sie Ihren aktuellen Sicherheitsstand mit den Anforderungen des §30 NIS2UmsuCG. Identifizieren Sie Lücken in Ihrem Risikomanagement, Ihrer Notfallplanung und Ihrer Supply-Chain-Sicherheit.

5. Geschäftsleitung sensibilisieren: Informieren Sie Vorstand und Geschäftsführung über die persönliche Haftung nach §38 NIS2UmsuCG. NIS2-Compliance ist Chefsache – nicht nur eine IT-Aufgabe.

6. Meldeprozesse etablieren: Implementieren Sie klare interne Prozesse für die Erkennung, Klassifizierung und Meldung von Sicherheitsvorfällen. Die 24-Stunden-Frist für Frühwarnungen lässt keinen Spielraum für improvisierten Krisenmanagement.

7. ISMS implementieren oder aufrüsten: Ein Informationssicherheits-Managementsystem (ISMS) nach ISO/IEC 27001 oder BSI IT-Grundschutz bildet die strukturelle Basis für NIS2-Compliance und erleichtert die Nachweisführung gegenüber Aufsichtsbehörden erheblich.

Fazit: NIS2-Betroffenheitsprüfung als strategische Priorität

Die NIS2-Betroffenheitsprüfung ist kein bürokratischer Selbstzweck – sie ist der erste und wichtigste Schritt auf dem Weg zur Cybersicherheits-Compliance. Unternehmen, die jetzt handeln, verschaffen sich nicht nur rechtliche Sicherheit, sondern stärken ihre Resilienz gegen reale Cyberbedrohungen und schaffen Vertrauen bei Kunden, Partnern und Aufsichtsbehörden.

Nächste Schritte auf einen Blick:
- ✅ Sektor-Zugehörigkeit anhand Anlage 1 & 2 prüfen
- ✅ Größenschwellen (50+ MA, 10 Mio. € Umsatz/Bilanzsumme) verifizieren
- ✅ Einrichtungstyp (wesentlich/wichtig) festlegen und dokumentieren
- ✅ BSI-Registrierung einleiten
- ✅ Gap-Analyse und ISMS-Aufbau starten

Wer bei der Betroffenheitsprüfung und der anschließenden Umsetzung auf strukturierte Unterstützung setzt, ist klar im Vorteil.

💡 Tipp für Ihre NIS2-Umsetzung

Die Betroffenheitsprüfung ist nur der Anfang. Für die strukturierte Umsetzung aller NIS2-Anforderungen – von der Risikoanalyse über die Dokumentation von Sicherheitsmaßnahmen bis hin zur Verwaltung von Meldepflichten – empfehlen sich spezialisierte NIS2-Compliance-Softwarelösungen. Diese Tools helfen Ihnen, den Überblick über Ihren Compliance-Status zu behalten, ISMS-Dokumente revisionssicher zu erstellen und den Nachweis gegenüber dem BSI zu vereinfachen. Viele Anbieter bieten kostenlose Erstbewertungen oder Betroffenheitschecks an – ein niedrigschwelliger Einstieg, der sich lohnt.

Quellen und weiterführende Informationen: BSI (bsi.bund.de), NIS2UmsuCG (BGBl. 2024), ENISA NIS2 Directive Implementation Guidelines, §65 BSIG (novellierte Fassung)