Wer heute NIS2 Betroffenheit prüfen will, steht vor einer überraschend kleinteiligen Aufgabe. Seit dem 6. Dezember 2025 gilt in Deutschland das NIS-2-Umsetzungsgesetz, und mit ihm ein neu gefasstes BSI-Gesetz (BSIG). Rund 29.500 Unternehmen und Einrichtungen fallen nach Schätzung des BSI darunter. Viele davon hatten bis vor Kurzem keinerlei Berührung mit Cybersicherheitsregulierung.
Das Problem: Das Gesetz verpflichtet dich, selbst festzustellen, ob deine Organisation betroffen ist. Einen Bescheid vom BSI bekommst du nicht. Wer die Einordnung verschleppt oder falsch vornimmt, riskiert Bußgelder, persönliche Haftung der Geschäftsleitung und unangenehme Fragen von Kunden.
Dieser Ratgeber zeigt dir, wie du die Prüfung strukturiert angehst, welche Stolperfallen bei Konzernstrukturen und Nebentätigkeiten lauern und wie du dein Ergebnis so dokumentierst, dass es einer Nachfrage standhält.
Inhaltsverzeichnis
Was bedeutet es, die NIS2 Betroffenheit zu prüfen?
Die NIS2 Betroffenheit prüfen heißt: Du klärst systematisch, ob dein Unternehmen nach § 28 BSIG als besonders wichtige oder wichtige Einrichtung gilt. Dafür gleichst du deine Tätigkeit mit den Sektoren in den Anlagen 1 und 2 des BSIG ab, prüfst Mitarbeiterzahl, Umsatz und Bilanzsumme und berücksichtigst Sonderfälle, die unabhängig von der Größe gelten.
Das Ergebnis ist eine von drei Einstufungen: besonders wichtige Einrichtung, wichtige Einrichtung oder nicht betroffen. Diese Einstufung entscheidet über Registrierung, Meldepflichten, Risikomanagement und die Höhe möglicher Bußgelder.
Wichtig für das Verständnis: Die Prüfung ist eine Selbsteinschätzung. Das BSI stellt eine unverbindliche Online-Betroffenheitsprüfung und einen Entscheidungsbaum bereit, verbindlich entscheidet es im Einzelfall aber nicht vorab. Die Verantwortung liegt bei dir.
Warum du die NIS2 Betroffenheit prüfen solltest, auch wenn du dich nicht angesprochen fühlst
Viele Mittelständler gehen davon aus, NIS2 betreffe nur Energieversorger, Kliniken und Telekommunikationsanbieter. Das war beim alten KRITIS-Regime weitgehend richtig. Die neue Rechtslage ist deutlich breiter: Auch Maschinenbauer, Lebensmittelhersteller, Chemiehändler, Logistiker oder Anbieter von IT-Dienstleistungen für andere Unternehmen können unter das Gesetz fallen.
Hinzu kommt der Druck aus der Lieferkette. Betroffene Unternehmen müssen nach § 30 BSIG auch die Sicherheit ihrer Lieferkette steuern. Sie fragen deshalb bei Zulieferern und Dienstleistern nach, wie es um deren Sicherheitsniveau steht. Selbst wenn du am Ende nicht betroffen bist, hilft dir eine dokumentierte Prüfung, solche Anfragen souverän zu beantworten.
Und schließlich die Fristen: Die Pflicht zur Registrierung beginnt nicht erst mit einer Aufforderung, sondern sobald dein Unternehmen die Kriterien erfüllt. Wer die NIS2 Betroffenheit prüfen lässt, nachdem das BSI bereits nachfragt, hat wertvolle Zeit verloren.
Die Kriterien im Überblick: Sektor, Größe, Sonderfall
Die Logik des § 28 BSIG lässt sich auf zwei Grundfragen reduzieren. Erstens: Gehört deine Tätigkeit zu einer der gelisteten Einrichtungsarten? Zweitens: Erreicht dein Unternehmen die maßgeblichen Größenschwellen? Nur wenn beides zutrifft, bist du in der Regel betroffen. Daneben gibt es Einrichtungen, die unabhängig von ihrer Größe erfasst sind.
Sektoren der Anlagen 1 und 2
Anlage 1 des BSIG umfasst Sektoren mit hoher Kritikalität. Anlage 2 ergänzt weitere Sektoren, deren Einrichtungen höchstens als wichtige Einrichtung eingestuft werden. Zu den erfassten Bereichen gehören unter anderem:
- Anlage 1: Energie, Transport und Verkehr, Finanz- und Versicherungswesen, Gesundheitswesen, Trinkwasser, Abwasser, Informationstechnik und Telekommunikation, Management von IKT-Diensten sowie Weltraum.
- Anlage 2: Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe (etwa Medizinprodukte, elektronische Erzeugnisse, Maschinenbau, Fahrzeugbau), Anbieter digitaler Dienste wie Online-Marktplätze sowie Forschung.
Entscheidend ist die konkrete Einrichtungsart, die in den Anlagen beschrieben ist, nicht der Branchenname auf deiner Website. Ein Maschinenbauer fällt beispielsweise über die Herstellung bestimmter Warengruppen unter Anlage 2, während ein reines Ingenieurbüro anders zu bewerten sein kann.
Schwellenwerte nach § 28 BSIG
Für die meisten Einrichtungsarten gelten diese Größenschwellen, die sich an der EU-Empfehlung 2003/361/EG zur KMU-Definition orientieren:
- Besonders wichtige Einrichtung: mindestens 250 Mitarbeitende oder ein Jahresumsatz von über 50 Millionen Euro und eine Jahresbilanzsumme von über 43 Millionen Euro (Sektor aus Anlage 1).
- Wichtige Einrichtung: mindestens 50 Mitarbeitende oder ein Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro (Sektor aus Anlage 1 oder 2).
- Kleinere Unternehmen unterhalb dieser Werte sind grundsätzlich nicht erfasst, es sei denn, ein Sonderfall greift.
Beachte die Verknüpfung: Bei den Finanzkennzahlen müssen Umsatz und Bilanzsumme gemeinsam überschritten sein. Bei der Mitarbeiterzahl genügt dagegen das Erreichen der Schwelle allein.
Sonderfälle unabhängig von der Größe
Einige Einrichtungen sind immer erfasst. Dazu zählen Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries und DNS-Diensteanbieter. Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze sind je nach Größe besonders wichtige oder wichtige Einrichtung. Prüfe diese Fälle zuerst, denn hier spielt die Größenschwelle keine Rolle.
NIS2 Betroffenheit prüfen in 6 Schritten
Wenn du die NIS2 Betroffenheit prüfen willst, hilft ein fester Ablauf. Damit vermeidest du, dass die Einordnung an Bauchgefühl oder an einzelnen Abteilungen hängen bleibt. Die folgenden sechs Schritte haben sich als praxistaugliche Reihenfolge bewährt:
- Tätigkeiten erfassen: Liste alle Geschäftsbereiche, Produkte und Dienstleistungen auf, auch Nebentätigkeiten wie ein eigenes Rechenzentrum, das du für Dritte betreibst, oder einen Onlineshop.
- Sonderfälle ausschließen: Kläre, ob du DNS-Dienste, Vertrauensdienste, TLD-Registrierungen oder Telekommunikationsdienste anbietest oder eine kritische Anlage betreibst.
- Einrichtungsarten abgleichen: Ordne jede Tätigkeit den Einrichtungsarten der Anlagen 1 und 2 zu. Notiere die Fundstelle und deine Begründung.
- Größe berechnen: Ermittle Mitarbeitende, Umsatz und Bilanzsumme nach den Regeln der KMU-Empfehlung, einschließlich Partner- und verbundener Unternehmen.
- Geschäftstätigkeit gewichten: Prüfe, ob eine erfasste Tätigkeit im Gesamtbild nur vernachlässigbar ist (§ 28 Abs. 3 BSIG).
- Ergebnis dokumentieren und freigeben: Halte Einstufung, Datengrundlage und Begründung schriftlich fest und lass das Ergebnis von der Geschäftsleitung bestätigen.
Für einen schnellen ersten Eindruck eignet sich die Online-Prüfung des BSI, die du über die NIS-2-Themenseite des BSI erreichst. Sie ersetzt aber nicht die eigene Dokumentation, weil sie keine Begründung für deine konkrete Unternehmensstruktur liefert.
Wer im Unternehmen die NIS2 Betroffenheit prüfen sollte
Die Einordnung ist keine reine IT-Aufgabe. Sie verlangt Wissen über Geschäftsmodell, Konzernstruktur und Finanzkennzahlen, das selten in einer einzigen Abteilung liegt. Bewährt hat sich ein kleines Kernteam, das die NIS2 Betroffenheit prüfen und das Ergebnis der Geschäftsleitung vorlegen soll.
- Geschäftsleitung: trägt die Verantwortung, gibt die Einstufung frei und stellt Ressourcen bereit.
- Recht oder Compliance: ordnet Tätigkeiten den Einrichtungsarten zu und bewertet Ausnahmen.
- Finanzen und Controlling: liefern Mitarbeiterzahl in Jahresarbeitseinheiten, Umsatz und Bilanzsumme auf Konzernebene.
- IT und Informationssicherheit: beschreiben, welche Dienste technisch für Dritte erbracht werden, etwa Hosting oder Managed Services.
- Vertrieb und Einkauf: kennen Kundenanfragen und Lieferantenbeziehungen, die auf eine Betroffenheit hindeuten.
Plane für die erste Runde ein bis zwei Workshops ein. Wichtig ist, dass am Ende ein schriftliches Dokument steht. Es sollte mindestens enthalten: die geprüften Tätigkeiten, die herangezogenen Anlagen und Einrichtungsarten, die Kennzahlen mit Stichtag, die Bewertung von Ausnahmen, das Ergebnis und das Datum der Freigabe.
Ein häufiger Fehler besteht darin, die NIS2 Betroffenheit prüfen zu lassen, ohne den Stichtag der Kennzahlen festzuhalten. Fragt das BSI später nach, kannst du die Entscheidung dann kaum noch nachvollziehen. Lege die Unterlagen deshalb zentral ab und verknüpfe sie mit deinem Kalender für die jährliche Wiederholung.
Stolperfallen: Konzern, Nebentätigkeit und Mitarbeiterzählung
In der Praxis scheitert die Einordnung selten am Sektor, sondern an Details der Berechnung. Drei Fragen tauchen besonders häufig auf.
Verbundene und Partnerunternehmen
Nach § 28 Abs. 4 BSIG wendest du die KMU-Empfehlung der EU an. Das bedeutet: Daten verbundener Unternehmen und anteilig von Partnerunternehmen fließen in die Größenberechnung ein. Eine kleine Tochtergesellschaft mit 30 Beschäftigten kann so plötzlich die Schwelle überschreiten, weil die Konzernmutter mitzählt.
Es gibt allerdings einen Spielraum: Nach den FAQ des BSI kann eine Einrichtung, die einen bestimmenden Einfluss auf ihre eigenen IT-Systeme hat, unter Umständen eigenständig bewertet werden. Gerade bei Holdingstrukturen solltest du diesen Punkt juristisch absichern lassen.
Vernachlässigbare Geschäftstätigkeit
Viele Unternehmen haben einen kleinen Bereich, der formal unter eine Anlage fällt, etwa eine eigene Abfallbehandlung oder eine Forschungsabteilung. § 28 Abs. 3 BSIG erlaubt, solche Tätigkeiten außer Betracht zu lassen, wenn sie im Verhältnis zur gesamten Geschäftstätigkeit vernachlässigbar sind. Anhaltspunkte sind laut BSI die Zahl der dort tätigen Mitarbeitenden, der Umsatzanteil und die Bilanzsumme. Entscheidend ist das Gesamtbild.
Diese Regel gilt nicht für Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, TLD-Registries, DNS-Diensteanbieter und Telekommunikationsanbieter. Wenn du dich auf die Ausnahme stützt, ist eine nachvollziehbare Begründung Pflicht.
Richtig zählen
Wer die NIS2 Betroffenheit prüfen will, muss richtig zählen. Mitarbeitende werden in Jahresarbeitseinheiten erfasst, nicht nach Köpfen. Teilzeitkräfte zählen anteilig, Auszubildende in der Regel nicht. Grundlage ist der letzte abgeschlossene Jahresabschluss. Wer stark wächst, sollte die Prüfung daher nach jedem Abschluss wiederholen.
Was nach dem Ergebnis kommt
Sobald du die NIS2 Betroffenheit prüfen konntest, liegt eine Einstufung vor. Sie ist kein Selbstzweck. Sie löst konkrete Pflichten aus, die du zeitnah angehen musst. Wer betroffen ist, muss sich spätestens drei Monate nach Eintritt der Betroffenheit beim BSI registrieren (§ 33 BSIG). Wie das im BSI-Portal funktioniert, beschreibt unser Ratgeber zur NIS2-Registrierung beim BSI.
Parallel greifen die Kernpflichten des Gesetzes:
- Risikomanagement nach § 30 BSIG mit Maßnahmen von Risikoanalyse über Backup und Krisenmanagement bis zu Multi-Faktor-Authentifizierung.
- Meldepflichten nach § 32 BSIG: frühe Erstmeldung erheblicher Sicherheitsvorfälle innerhalb von 24 Stunden, Meldung nach 72 Stunden, Abschlussmeldung spätestens einen Monat danach.
- Pflichten der Geschäftsleitung nach § 38 BSIG: Umsetzung und Überwachung der Maßnahmen sowie regelmäßige Schulungen.
Wer bei null startet, findet in unserem Leitfaden Cybersecurity für KMU einen pragmatischen Einstieg in den technischen Grundschutz.
Bist du nicht betroffen, bewahre die Dokumentation trotzdem auf. Auch wer die NIS2 Betroffenheit prüfen ließ und ein negatives Ergebnis erhielt, profitiert davon. Sie dient als Nachweis gegenüber Kunden und Behörden und als Basis für die nächste Überprüfung.
Bußgelder und Haftung: Was bei falscher Einordnung droht
Das BSIG sieht abgestufte Bußgelder vor. Wer seine Registrierungsangaben nicht, nicht richtig oder nicht rechtzeitig übermittelt, riskiert nach § 65 BSIG bis zu 500.000 Euro. Für Verstöße gegen Risikomanagement- und Meldepflichten liegen die Höchstbeträge bei bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen und bis zu 7 Millionen Euro oder 1,4 Prozent für wichtige Einrichtungen, je nachdem, welcher Betrag höher ist.
Schwerer wiegt für viele Führungskräfte die persönliche Verantwortung. Nach § 38 BSIG haften Geschäftsleitungen ihrer Einrichtung für schuldhaft verursachte Schäden, wenn sie die Pflicht zur Umsetzung und Überwachung der Risikomaßnahmen verletzen. Wer die NIS2 Betroffenheit prüfen und das Ergebnis sauber dokumentieren lässt, schützt deshalb auch sich selbst.
Weil die Rechtslage neu ist und Auslegungsfragen offen sind, solltest du in Grenzfällen Fachleute für IT-Recht einbeziehen. Dieser Ratgeber ersetzt keine Rechtsberatung im Einzelfall.
Abgrenzung zu anderen Regelwerken
Die NIS2-Prüfung steht nicht allein. Für Finanzunternehmen gilt vorrangig die EU-Verordnung DORA, das BSIG enthält dafür Sonderregeln. Betreiber kritischer Anlagen unterliegen zusätzlich dem KRITIS-Dachgesetz mit eigenen Anforderungen an die physische Resilienz.
Wenn du Produkte mit digitalen Elementen herstellst, kommt der Cyber Resilience Act hinzu, der produktbezogene Pflichten regelt und unabhängig von NIS2 gilt. Einen Überblick über die dortigen Pflichten gibt unser Beitrag zur Cyber Resilience Act Meldepflicht. Grundlage für alle nationalen Umsetzungen ist die NIS-2-Richtlinie (EU) 2022/2555, die auf EUR-Lex im Volltext abrufbar ist.
Für international tätige Unternehmen gilt außerdem: Andere EU-Staaten haben die Richtlinie teils mit abweichenden Details umgesetzt. Erbringst du Dienste in mehreren Mitgliedstaaten, musst du auch dort die NIS2 Betroffenheit prüfen und die lokalen Regeln beachten.
Fazit: NIS2 Betroffenheit prüfen ist Chefsache
Die Frage, ob dein Unternehmen unter NIS2 fällt, lässt sich mit einem klaren Raster beantworten: Sektor abgleichen, Sonderfälle prüfen, Größe korrekt berechnen, Nebentätigkeiten gewichten. Die eigentliche Arbeit steckt in den Details der Konzernstruktur und in einer belastbaren Dokumentation.
Wer jetzt die NIS2 Betroffenheit prüfen lässt und das Ergebnis von der Geschäftsleitung freigeben lässt, schafft Klarheit für Registrierung, Budget und Lieferantengespräche. Wiederhole die Prüfung nach jedem Jahresabschluss und bei jeder Änderung des Geschäftsmodells. So bleibt die Einordnung aktuell, und du reagierst auf Anfragen von Behörden oder Kunden ohne Hektik.
Häufige Fragen zu NIS2 Betroffenheit prüfen
Wie kann ich die NIS2 Betroffenheit prüfen, ohne gleich eine Kanzlei zu beauftragen?
Starte mit der kostenlosen Online-Betroffenheitsprüfung des BSI und dem Entscheidungsbaum auf der NIS-2-Seite des Amts. Erfasse parallel alle Tätigkeiten deines Unternehmens und berechne Mitarbeitende, Umsatz und Bilanzsumme nach der KMU-Empfehlung. Bei eindeutigen Fällen reicht das oft aus. Bei Konzernstrukturen, Nebentätigkeiten oder Grenzwerten solltest du das Ergebnis zusätzlich von Fachleuten für IT-Recht absichern lassen.
Welche Schwellenwerte gelten für wichtige Einrichtungen?
Als wichtige Einrichtung gilt in der Regel, wer in einem Sektor der Anlagen 1 oder 2 des BSIG tätig ist und mindestens 50 Mitarbeitende beschäftigt oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro erreicht. Besonders wichtig ist eine Einrichtung aus Anlage 1 ab 250 Mitarbeitenden oder ab über 50 Millionen Euro Umsatz und über 43 Millionen Euro Bilanzsumme.
Warum zählen Konzerngesellschaften bei der Größenberechnung mit?
Das BSIG verweist auf die KMU-Empfehlung der EU. Danach werden Daten verbundener Unternehmen vollständig und von Partnerunternehmen anteilig einbezogen. So soll verhindert werden, dass große Gruppen ihre Tätigkeiten auf kleine Gesellschaften verteilen. Nach Auslegung des BSI kann eine Einrichtung mit bestimmendem Einfluss auf ihre eigene IT unter Umständen eigenständig bewertet werden. Diesen Punkt solltest du sorgfältig begründen.
Wann muss ich die NIS2 Betroffenheit prüfen und erneut bewerten?
Die Prüfung ist sofort fällig, denn das Gesetz gilt seit dem 6. Dezember 2025. Danach solltest du sie nach jedem Jahresabschluss wiederholen, weil Mitarbeiterzahl, Umsatz und Bilanzsumme auf dieser Basis berechnet werden. Auch neue Geschäftsfelder, Übernahmen oder Umstrukturierungen sind ein Anlass. Wirst du neu betroffen, beginnt die dreimonatige Registrierungsfrist ab diesem Zeitpunkt.
Was passiert, wenn ich trotz Betroffenheit nicht handle?
Das BSI kann die Registrierung selbst vornehmen, Unterlagen anfordern und Bußgelder verhängen. Für fehlende oder verspätete Registrierungsangaben sind bis zu 500.000 Euro möglich, bei Verstößen gegen Risikomanagement- oder Meldepflichten deutlich mehr. Zusätzlich haftet die Geschäftsleitung ihrer Einrichtung für schuldhaft verursachte Schäden. Frühes Handeln ist deshalb günstiger als jede nachträgliche Korrektur.
