NIS2-Betroffenheit prüfen: So geht's

Mit dem NIS2-Umsetzungsgesetz hat sich die Zahl der betroffenen Unternehmen in Deutschland von rund 4.500 auf über 30.000 (§28 BSIG) versechsfacht. Viele Unternehmen wissen noch nicht, dass sie betroffen sind. Dieser Artikel hilft Ihnen bei der Ersteinordnung.

Die drei entscheidenden Fragen

1. Gehört Ihr Unternehmen zu einem der 18 NIS2-Sektoren?

11 hochkritische Sektoren (Besonders Wichtige Einrichtungen — BWE):

• Energie (Strom, Gas, Öl, Fernwärme, Wasserstoff)
• Transport und Verkehr (Luft, Schiene, Wasser, Straße)
• Bankwesen
• Finanzmarktinfrastrukturen
• Gesundheitswesen
• Trinkwasser
• Abwasser
• Digitale Infrastruktur (IXP, DNS, TLD, Cloud, Rechenzentren, CDN)
• ICT-Dienstleistungsmanagement (B2B)
• Öffentliche Verwaltung
• Weltraum

7 sonstige kritische Sektoren (Wichtige Einrichtungen — WE):

• Post- und Kurierdienste
• Abfallbewirtschaftung
• Chemie
• Lebensmittel (Produktion, Verarbeitung, Vertrieb)
• Verarbeitendes Gewerbe (Medizinprodukte, Elektronik, Maschinenbau, Kfz)
• Digitale Dienste (Marktplätze, Suchmaschinen, Soziale Netzwerke)
• Forschung

Die Sektorenzuordnung erfolgt anhand der tatsächlichen Tätigkeit, nicht anhand der Branchenbezeichnung im Handelsregister. Ein Softwareunternehmen, das Cloud-Dienste für Dritte betreibt, fällt unter „Digitale Infrastruktur" — unabhängig davon, ob es sich selbst als IT-Dienstleister oder Softwarehaus bezeichnet. Entscheidend ist die wirtschaftliche Aktivität, die das Unternehmen erbringt.

2. Überschreitet Ihr Unternehmen die Schwellenwerte?

Kategorie	Mitarbeiter	Jahresumsatz	Bilanzsumme
BWE (besonders wichtig, §28 Abs. 1 BSIG)	ab 250 MA	oder ab 50 Mio. EUR	oder ab 43 Mio. EUR
WE (wichtig, §28 Abs. 2 BSIG)	50–250 MA	oder 10–50 Mio. EUR	oder 10–43 Mio. EUR

Wichtig: Die Schwellenwerte sind alternativ zu verstehen. Es reicht, wenn eine der drei Bedingungen (Mitarbeiter oder Umsatz oder Bilanzsumme) überschritten wird. Ein Unternehmen mit 40 Mitarbeitern, aber 12 Mio. EUR Umsatz, fällt bereits in die Kategorie WE — obwohl die Mitarbeiterzahl allein unter der Schwelle liegt.

3. Greift die Konzernklausel?

Achtung — das wird häufig übersehen: Bei verbundenen Unternehmen werden Mitarbeiterzahlen und Umsätze addiert. Ein mittelständisches Unternehmen mit 30 Mitarbeitern kann durch die Konzernzugehörigkeit plötzlich die Schwelle von 50 Mitarbeitern überschreiten.

Die Konzernklausel basiert auf der EU-Empfehlung 2003/361/EG zur Definition von Kleinstunternehmen sowie kleinen und mittleren Unternehmen. Maßgeblich ist das Kriterium der wirtschaftlichen Eigenständigkeit. Als verbundenes Unternehmen gilt, wer:

• mehr als 25 % der Anteile eines anderen Unternehmens hält oder von diesem gehalten wird,
• wesentliche Ressourcen (Personal, Infrastruktur, IT-Systeme) mit einem verbundenen Unternehmen teilt,
• durch Beherrschungsverträge oder faktische Kontrolle mit anderen Unternehmen verbunden ist.

In der Praxis bedeutet das: Auch Tochtergesellschaften, die operativ eigenständig aufgestellt sind, werden häufig als verbundene Unternehmen eingestuft, wenn die Muttergesellschaft die wirtschaftliche Kontrolle ausübt. Lassen Sie die Konzernstruktur im Zweifel juristisch bewerten.

Sonderfälle: Automatisch betroffen

Einige Unternehmen sind unabhängig von ihrer Größe betroffen:

• Vertrauensdiensteanbieter (qualifizierte elektronische Signaturen)
• DNS-Diensteanbieter und TLD-Registries
• Betreiber öffentlicher Telekommunikationsnetze
• Unternehmen, die von einem EU-Mitgliedstaat als kritisch eingestuft wurden

Bei diesen Sonderfällen spielen weder Mitarbeiterzahl noch Umsatz eine Rolle. Selbst ein Einpersonenunternehmen, das qualifizierte Vertrauensdienste nach der eIDAS-Verordnung anbietet, fällt vollständig unter NIS2. Die Registrierungspflicht beim BSI besteht hier ab dem ersten Tag der Geschäftstätigkeit.

Sektorspezifische Sonderregelungen

Nicht jedes Unternehmen in einem NIS2-Sektor unterliegt auch den NIS2-Pflichten im vollen Umfang. Für einige Branchen existieren sektorspezifische Regelwerke, die NIS2-Anforderungen teilweise oder vollständig ersetzen. Die wichtigsten drei:

DORA — Finanzsektor

Der Digital Operational Resilience Act (DORA, Verordnung (EU) 2022/2554) gilt seit Januar 2025 für Banken, Versicherungen, Wertpapierfirmen, Zahlungsdienstleister und deren kritische IKT-Drittdienstleister. DORA geht in wesentlichen Bereichen über NIS2 hinaus: Es fordert detaillierte IKT-Risikomanagement-Rahmenwerke, regelmäßige Threat-Led Penetration Tests (TLPT) und ein spezifisches Drittparteien-Risikomanagement. Für Unternehmen, die unter DORA fallen, ersetzt DORA die NIS2-Anforderungen in Bezug auf Cybersicherheit vollständig. Die BaFin ist hier die zuständige Aufsichtsbehörde — nicht das BSI. Allerdings müssen Unternehmen prüfen, ob sie neben DORA auch weitere NIS2-relevante Tätigkeiten ausüben. Ein Finanzdienstleister, der gleichzeitig ein eigenes Rechenzentrum für externe Kunden betreibt, könnte für diesen Geschäftsbereich zusätzlich unter NIS2 fallen.

EnWG — Energiesektor

Unternehmen im Energiesektor unterliegen bereits seit Jahren dem IT-Sicherheitskatalog der Bundesnetzagentur gemäß §11 Abs. 1a und 1b EnWG. Strom- und Gasnetzbetreiber sowie Energieanlagenbetreiber müssen ein Informationssicherheits-Managementsystem (ISMS) nach ISO 27001 mit dem branchenspezifischen Sicherheitsstandard (B3S) implementieren. Mit dem NIS2UmsuCG werden die EnWG-Anforderungen an NIS2 angepasst. Die bestehenden Pflichten nach EnWG gelten als NIS2-konform, sofern der aktuelle IT-Sicherheitskatalog eingehalten wird. Für Energieunternehmen bedeutet das in der Regel: Wer den IT-Sicherheitskatalog bereits umsetzt, erfüllt die Kernanforderungen von NIS2 — muss aber die neuen Meldepflichten und die Registrierung beim BSI zusätzlich beachten.

TKG — Telekommunikation

Betreiber öffentlicher Telekommunikationsnetze und Anbieter öffentlich zugänglicher Telekommunikationsdienste unterliegen bereits den Sicherheitsanforderungen des Telekommunikationsgesetzes (§§165–169 TKG). Diese Pflichten umfassen ein Sicherheitskonzept, technische Schutzmaßnahmen und Meldepflichten bei Sicherheitsvorfällen an die Bundesnetzagentur und das BSI. Mit dem NIS2UmsuCG werden die TKG-Vorgaben an die NIS2-Standards angepasst. Unternehmen, die bereits die TKG-Sicherheitsanforderungen erfüllen, haben einen Vorsprung — müssen aber prüfen, ob die erweiterten Meldepflichten nach NIS2 (insbesondere die 24-Stunden-Erstmeldung) bereits abgedeckt sind.

Sonderregelung	Betroffene Branchen	Verhältnis zu NIS2	Zuständige Aufsicht
DORA	Banken, Versicherungen, Zahlungsdienste	Ersetzt NIS2-Cyberpflichten vollständig	BaFin
EnWG	Strom-/Gasnetzbetreiber, Energieanlagen	IT-Sicherheitskatalog gilt als NIS2-konform	BNetzA / BSI
TKG	TK-Netzbetreiber, TK-Diensteanbieter	TKG-Pflichten werden an NIS2 angepasst	BNetzA / BSI

Lieferketten-Betroffenheit: Indirekt, aber real

Auch wenn Ihr Unternehmen die NIS2-Schwellenwerte nicht erreicht und keinem der 18 Sektoren angehört, können Sie indirekt betroffen sein. Der Grund: §30 Abs. 2 Nr. 4 BSIG verpflichtet alle NIS2-betroffenen Unternehmen, die Sicherheit ihrer Lieferkette zu gewährleisten.

In der Praxis bedeutet das:

Vertragliche und auditbasierte Anforderungen

• Vertragliche Sicherheitsanforderungen: NIS2-betroffene Unternehmen müssen ihren Lieferanten und Dienstleistern konkrete Cybersicherheitsanforderungen vertraglich auferlegen. Erwarten Sie erweiterte Vertragsklauseln zu Patch-Management, Zugriffskontrolle, Incident-Response und Datensicherung.

• Lieferantenfragebögen und Audits: Viele betroffene Unternehmen werden strukturierte Sicherheitsbewertungen ihrer Zulieferer durchführen. Das kann von standardisierten Fragebögen (z. B. TISAX-ähnlich) bis hin zu Vor-Ort-Audits reichen.

Risikobewertung und Meldepflichten in der Lieferkette

• Risikobewertung der Lieferanten: NIS2 verlangt eine risikobasierte Bewertung aller Lieferanten hinsichtlich ihrer Cybersicherheitsreife. Lieferanten ohne nachweisbare Sicherheitsmaßnahmen riskieren, bei Ausschreibungen nicht mehr berücksichtigt zu werden.

• Meldepflichten bei Vorfällen: Wenn ein Sicherheitsvorfall in Ihrer IT-Infrastruktur Auswirkungen auf einen NIS2-betroffenen Kunden hat, können Informations- und Mitwirkungspflichten greifen — auch ohne eigene NIS2-Betroffenheit.

Für Zulieferer und Dienstleister ist die Botschaft klar: Wer frühzeitig ein dokumentiertes Sicherheitsniveau vorweisen kann — etwa durch ein ISMS nach ISO 27001, SOC-2-Berichte oder branchenspezifische Zertifizierungen — sichert sich einen Wettbewerbsvorteil. Die Lieferkettenpflicht wird faktisch zum Marktzugangs-Kriterium.

Praxisbeispiel: Betroffenheitsanalyse eines Maschinenbauers

Ein anonymisiertes Beispiel aus der Beratungspraxis verdeutlicht die Komplexität der Betroffenheitsprüfung:

Ausgangslage: Ein mittelständischer Maschinenbauer mit Sitz in Baden-Württemberg. 120 Mitarbeiter, 18 Mio. EUR Jahresumsatz, 14 Mio. EUR Bilanzsumme. Das Unternehmen gehört zu einer Unternehmensgruppe mit drei weiteren Gesellschaften (Muttergesellschaft: 200 Mitarbeiter, 45 Mio. EUR Umsatz).

Schritt 1 — Sektorzuordnung: Maschinenbau fällt unter den NIS2-Sektor „Verarbeitendes Gewerbe" (Anhang II der NIS2-Richtlinie). Es handelt sich um einen sonstigen kritischen Sektor. Ergebnis: Sektor ist einschlägig.

Schritt 2 — Schwellenwerte (isoliert betrachtet): Mit 120 Mitarbeitern und 18 Mio. EUR Umsatz überschreitet das Unternehmen bereits isoliert die WE-Schwellenwerte (50 MA / 10 Mio. EUR). Ergebnis: Schwellenwerte überschritten — Einstufung als Wichtige Einrichtung (WE).

Hochstufung durch Konzernklausel und Endergebnis

Schritt 3 — Konzernklausel prüfen: Durch die Verbindung zur Muttergesellschaft werden die Zahlen addiert: 120 + 200 = 320 Mitarbeiter, 18 + 45 = 63 Mio. EUR Umsatz. Die addierten Werte überschreiten die BWE-Schwellen (250 MA / 50 Mio. EUR). Ergebnis: Potenzielle Hochstufung zur Besonders Wichtigen Einrichtung (BWE). Diese Hochstufung wurde vom Unternehmen nicht erwartet — es rechnete mit der WE-Kategorie.

Schritt 4 — Sektorspezifische Sonderregelungen: Maschinenbau fällt nicht unter DORA, EnWG oder TKG. Keine Sonderregelung greift.

Schritt 5 — Lieferketten-Relevanz: Das Unternehmen liefert Komponenten an einen Energieversorger (BWE). Unabhängig von der eigenen Einstufung sind erweiterte Sicherheitsanforderungen des Kunden zu erwarten.

Ergebnis: Das Unternehmen ist als BWE einzustufen — mit allen daraus folgenden Pflichten: strengere Meldepflichten (24-Stunden-Erstmeldung), höhere Bußgeldrahmen (bis 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes, §65 BSIG) und BSI-Aufsicht mit Vor-Ort-Prüfungsbefugnis. Ohne die Konzernklausel-Prüfung hätte das Unternehmen nur die WE-Pflichten angenommen.

Zusätzlich: KRITIS-DachG Betroffenheit

Wenn Ihr Unternehmen mehr als 500.000 Personen versorgt (§10 KRITIS-DachG), fallen Sie zusätzlich unter das KRITIS-Dachgesetz und müssen sowohl Cyber- als auch physische Resilienzanforderungen erfüllen. Lesen Sie dazu unseren Artikel NIS2 und KRITIS-DachG: Das neue Dual-Regime, der die Zusammenhänge beider Gesetze erklärt.

WICHTIG: Nicht vorschnell registrieren

Ein häufiger Fehler: Unternehmen registrieren sich vorsorglich im BSI-Portal, ohne ihre Betroffenheit sauber geprüft zu haben. Das kann unbeabsichtigte regulatorische Erwartungen erzeugen.

Eine einmal erfolgte Registrierung signalisiert dem BSI, dass sich das Unternehmen selbst als NIS2-betroffen einschätzt. Die Rücknahme einer Registrierung ist zwar möglich, erfordert aber eine dokumentierte Begründung und kann eine Prüfung durch das BSI nach sich ziehen.

Unser Rat: Erst prüfen, dann handeln.

Checkliste: Erste Selbsteinschätzung

• Sektor identifiziert (einer der 18 NIS2-Sektoren?)
• Schwellenwerte geprüft (MA, Umsatz, Bilanz)
• Konzernklausel berücksichtigt (verbundene Unternehmen addiert?)
• Sonderfälle geprüft (automatische Betroffenheit?)
• Sektorspezifische Sonderregelungen geprüft (DORA, EnWG, TKG?)
• Lieferketten-Betroffenheit bewertet (Zulieferer eines NIS2-Unternehmens?)
• KRITIS-DachG Relevanz geprüft (>500.000 versorgte Personen?)
• Einstufung dokumentiert (WE oder BWE — mit Begründung?)

Fazit

Die Betroffenheit von NIS2 ist komplexer als viele denken — insbesondere durch die Konzernklausel, die sektorspezifischen Sonderregelungen und die indirekte Lieferketten-Betroffenheit. Eine oberflächliche Selbsteinschätzung reicht nicht aus. Unternehmen, die heute eine saubere Betroffenheitsanalyse durchführen, vermeiden morgen Bußgelder, Haftungsrisiken und operative Überraschungen.

Sobald Ihre Betroffenheit feststeht, erfahren Sie in unserem Artikel NIS2 in der Praxis: Konkrete Umsetzungsschritte für den Mittelstand, welche konkreten Anforderungen auf Sie zukommen.

Häufige Fragen zur NIS2-Betroffenheit, Sektoreinteilung und zu den Schwellenwerten beantwortet unser FAQ.

Unser Angebot: Kostenlose Ersteinordnung in 30 Minuten — wir prüfen Ihre Betroffenheit und geben eine klare Empfehlung. Jetzt Termin vereinbaren

Häufige Fragen zur NIS2-Betroffenheit

Bin ich als Tochterunternehmen betroffen, obwohl wir weniger als 50 Mitarbeiter haben?

Möglicherweise ja. Bei verbundenen Unternehmen werden Mitarbeiterzahlen und Umsätze gemäß EU-Empfehlung 2003/361/EG addiert. Ein Tochterunternehmen mit 30 Mitarbeitern kann durch die Konzernklausel die 50-Mitarbeiter-Schwelle überschreiten, wenn die Muttergesellschaft weitere Mitarbeiter hat. Entscheidend ist die wirtschaftliche Eigenständigkeit: Wer mehr als 25 % der Anteile in Fremdbesitz hält oder wesentliche Ressourcen mit verbundenen Unternehmen teilt, gilt als abhängiges Unternehmen — und die Zahlen werden addiert.

Ich bin Dienstleister für ein NIS2-betroffenes Unternehmen — betrifft mich NIS2 direkt?

Nicht direkt, aber indirekt über die Lieferkettenpflicht. §30 Abs. 2 Nr. 4 BSIG verpflichtet betroffene Unternehmen, Sicherheitsanforderungen vertraglich an ihre Lieferanten und Dienstleister weiterzugeben. Als Zulieferer können Sie daher mit Sicherheitsanforderungen in Verträgen, Lieferantenfragebögen und ggf. Vor-Ort-Audits rechnen. Wer eigene Sicherheitsmaßnahmen frühzeitig dokumentiert und nachweisbar umsetzt, ist bei Ausschreibungen und Verlängerungen gegenüber schlechter vorbereiteten Wettbewerbern im Vorteil.

Welche Sektoren fallen unter NIS2 und welche nicht?

NIS2 erfasst 18 Sektoren in zwei Kategorien. Hochkritische Sektoren (Anhang I): Energie, Transport, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, ICT-Service-Management, öffentliche Verwaltung und Weltraum. Sonstige kritische Sektoren (Anhang II): Post, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste und Forschung. Nicht erfasst sind unter anderem allgemeiner Einzelhandel, Unternehmensberatung ohne kritische Infrastrukturrelevanz und Handwerk.

Was passiert, wenn ich irrtümlich annehme, nicht betroffen zu sein?

Das BSI kann Verstöße unabhängig davon ahnden, ob ein Unternehmen die eigene Betroffenheit kannte. Unwissenheit schützt nicht vor Bußgeldern bis zu 7 Mio. EUR (wichtige Einrichtungen) oder 10 Mio. EUR (besonders wichtige Einrichtungen, §65 BSIG). Zudem kann fehlende Konformität im Schadensfall — etwa nach einem Cyberangriff mit Datenverlust — zu persönlichen Haftungsrisiken der Geschäftsführung nach §38 BSIG führen. Eine sorgfältige Betroffenheitsprüfung ist daher keine optionale Vorsichtsmaßnahme, sondern Teil der unternehmerischen Sorgfaltspflicht.

Unterliegt mein Unternehmen DORA statt NIS2?

DORA gilt für regulierte Finanzunternehmen — Banken, Versicherungen, Wertpapierfirmen, Zahlungsdienstleister — sowie deren kritische IKT-Drittdienstleister. Wenn Ihr Unternehmen ausschließlich unter DORA fällt, ersetzt DORA die NIS2-Cybersicherheitspflichten. Prüfen Sie jedoch, ob Sie neben dem regulierten Finanzgeschäft weitere Tätigkeiten in NIS2-Sektoren ausüben. In diesem Fall können beide Regelwerke parallel gelten.

---

Dieser Artikel basiert auf dem aktuellen Stand der NIS2-Gesetzgebung (März 2026). Für eine individuelle Einordnung kontaktieren Sie uns.