Wie viele Mitarbeitende und wie viel Umsatz lösen die NIS2-Pflicht aus?

Alexander Brütsch · 22 Juli 2026

Ob ein Unternehmen unter die NIS2-Richtlinie fällt, hängt nicht von einer einzelnen Kennzahl ab. Mitarbeiterzahl und Jahresumsatz spielen eine Rolle, aber erst in Verbindung mit dem Sektor, in dem ein Unternehmen tätig ist, ergibt sich ein vollständiges Bild. Wer die NIS2-Pflicht unterschätzt oder sich fälschlicherweise für nicht betroffen hält, riskiert empfindliche Bußgelder und im Ernstfall auch die persönliche Haftung der Geschäftsführung. Dieser Artikel erklärt, welche Schwellenwerte gelten, wie die Kategorisierung funktioniert und wann Ausnahmen greifen.

Die Schwellenwerte der NIS2-Richtlinie im Überblick

Die NIS2-Richtlinie orientiert sich an der EU-Definition für Unternehmensgrößen. Grundsätzlich gilt: Wer mindestens 50 Mitarbeitende beschäftigt oder einen Jahresumsatz sowie eine Jahresbilanzsumme von jeweils mehr als 10 Millionen Euro aufweist, überschreitet die Schwelle zum mittleren Unternehmen. Ab diesem Punkt kann NIS2 anwendbar sein, sofern auch die Sektorzugehörigkeit zutrifft.

Für größere Unternehmen gilt eine eigene Kategorie: Ab 250 Mitarbeitenden oder einem Umsatz von mehr als 50 Millionen Euro sowie einer Bilanzsumme von mehr als 43 Millionen Euro spricht die Richtlinie von großen Unternehmen. Diese werden in der Regel als wesentliche Einrichtungen eingestuft und unterliegen strengeren Anforderungen und intensiverer Aufsicht. Kleinunternehmen mit weniger als 50 Beschäftigten und einem Umsatz unter 10 Millionen Euro sind grundsätzlich ausgenommen, wobei es hier wichtige Sonderfälle gibt.

Wesentliche und wichtige Einrichtungen: Wer fällt in welche Kategorie?

NIS2 unterscheidet zwei Klassen betroffener Organisationen, die sich in Pflichten und Aufsichtsintensität unterscheiden. Wesentliche Einrichtungen unterliegen proaktiver Kontrolle durch die zuständigen Behörden, während wichtige Einrichtungen primär reaktiv beaufsichtigt werden, also dann, wenn ein Vorfall oder ein konkreter Hinweis vorliegt.

Wesentliche Einrichtungen sind typischerweise große Unternehmen in besonders kritischen Sektoren wie Energie, Trinkwasserversorgung, Gesundheitswesen, Bankwesen oder digitale Infrastruktur. Wichtige Einrichtungen umfassen mittlere Unternehmen in diesen Sektoren sowie Organisationen in weiteren regulierten Bereichen wie Post und Kurierdienste, Abfallbewirtschaftung, Lebensmittelproduktion oder verarbeitendes Gewerbe. Die Pflichten selbst, etwa Risikomanagement, Meldeprozesse und technische Schutzmaßnahmen, sind für beide Kategorien weitgehend identisch; der Unterschied liegt vor allem in der Kontrolltiefe und den möglichen Sanktionen.

Sektorzugehörigkeit als zweite Bedingung

Größe allein reicht nicht aus. Ein mittleres Unternehmen, das die Schwellenwerte überschreitet, aber in einem nicht regulierten Sektor tätig ist, fällt nicht unter NIS2. Die Richtlinie definiert zwei Gruppen von Sektoren: hochkritische Sektoren (Anhang I) und sonstige kritische Sektoren (Anhang II).

Zu den hochkritischen Sektoren zählen unter anderem Energie, Transport, Banken, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur sowie öffentliche Verwaltung. Die sonstigen kritischen Sektoren umfassen Post und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, Maschinenbau und verarbeitendes Gewerbe, digitale Anbieter sowie Forschung. Für viele mittelständische Unternehmen in Deutschland, etwa im produzierenden Gewerbe oder in der Logistik, ist die Sektorzugehörigkeit damit der entscheidende Prüfpunkt, der über die Betroffenheit entscheidet.

Wer sich über die eigene Einordnung unsicher ist, findet auf der NIS2-Übersichtsseite weiterführende Orientierung zu Sektoren und Pflichten.

Ausnahmen und Sonderfälle: Kleine Unternehmen unter dem Radar?

Kleinunternehmen sind grundsätzlich vom Anwendungsbereich der NIS2-Richtlinie ausgenommen. Diese Ausnahme gilt aber nicht absolut. Die Richtlinie erlaubt es den Mitgliedstaaten, bestimmte kleine Unternehmen dennoch einzubeziehen, wenn sie eine systemrelevante Rolle in einem kritischen Sektor spielen oder wenn ihre Dienste für die öffentliche Sicherheit, wirtschaftliche Aktivitäten oder für andere regulierte Einrichtungen unverzichtbar sind.

Konkret bedeutet das: Ein kleines Unternehmen, das als einziger Anbieter eine kritische Infrastruktur betreibt oder als Zulieferer tief in die Lieferkette einer wesentlichen Einrichtung integriert ist, kann trotz geringer Mitarbeiterzahl reguliert werden. Auch Vertrauensdiensteanbieter, bestimmte DNS-Anbieter und TLD-Registrare fallen unabhängig von ihrer Größe in den Anwendungsbereich. Für Unternehmen in der Automobilzulieferkette kommt hinzu, dass OEM-Anforderungen wie TISAX® eigene Sicherheitspflichten erzeugen, die unabhängig von NIS2 greifen.

Ein weiterer Sonderfall betrifft Konzernstrukturen: Wenn Tochtergesellschaften zusammen mit der Muttergesellschaft die Schwellenwerte überschreiten, kann die Betroffenheit auch auf kleinere Einheiten innerhalb des Verbunds durchschlagen. Die Berechnung der Mitarbeiterzahl und des Umsatzes erfolgt in solchen Fällen auf konsolidierter Basis.

Nächste Schritte nach der Betroffenheitsprüfung

Wer nach einer ersten Einschätzung feststellt, dass NIS2 anwendbar sein könnte, sollte nicht bei der Frage der Betroffenheit stehen bleiben. Die Richtlinie verpflichtet betroffene Einrichtungen zur Registrierung bei der zuständigen nationalen Behörde, in Deutschland beim Bundesamt für Sicherheit in der Informationstechnik (BSI), sowie zur Umsetzung eines Mindeststandards an Sicherheitsmaßnahmen.

Zu diesen Maßnahmen gehören ein dokumentiertes Risikomanagement, Prozesse zur Meldung erheblicher Sicherheitsvorfälle, Regelungen zur Lieferkettensicherheit, Vorgaben für Zugangskontrollen und Kryptografie sowie Maßnahmen zur Aufrechterhaltung des Betriebs im Störungsfall. Für viele Unternehmen ist der erste praktische Schritt ein strukturiertes Gap-Assessment, das den Ist-Stand der eigenen Sicherheitsorganisation gegen die NIS2-Anforderungen spiegelt und konkrete Handlungsfelder benennt.

Wer die Betroffenheitsprüfung systematisch angehen möchte, kann mit einem kostenlosen Erstaudit beginnen, um den eigenen Ausgangspunkt zu verstehen.

Wie UBESAFE bei der NIS2-Umsetzung unterstützt

UBESAFE begleitet Unternehmen durch den gesamten NIS2-Prozess, von der ersten Betroffenheitsanalyse bis zur dauerhaften Erfüllung der Anforderungen. Das Leistungsspektrum umfasst:

Betroffenheitsprüfung und Einordnung in die richtige Einrichtungskategorie
Strukturiertes NIS2-Audit mit GAP-Analyse und priorisierten Maßnahmen
Aufbau von Governance-Strukturen, Meldeprozessen und Risikomanagement
Technische Umsetzung: 24/7-Monitoring, SIEM, Schwachstellen-Scans, Patchmanagement
Managed Service für kontinuierliche Überwachung, Reviews und Anpassung an neue Anforderungen

Das Besondere am Ansatz von UBESAFE ist die Kombination aus Beratungs- und Engineering-Kompetenz: Konzepte werden nicht nur entwickelt, sondern direkt technisch umgesetzt, ohne Übergaben zwischen externen Dienstleistern. Einzelne Komponenten lassen sich flexibel einbinden oder als vollständiges Paket beziehen. Wer wissen möchte, wo das eigene Unternehmen heute steht, findet auf der NIS2-Seite von UBESAFE den passenden Einstieg oder vereinbart direkt ein unverbindliches Erstgespräch.