Welche Kriterien entscheiden über die NIS2-Betroffenheit?

Alexander Brütsch · 24 Juli 2026

Ob ein Unternehmen unter die NIS2-Richtlinie fällt, ist keine Frage des Bauchgefühls. Die Betroffenheit ergibt sich aus konkreten Kriterien, die im deutschen Umsetzungsgesetz (NIS2UmsuCG) klar geregelt sind. Trotzdem herrscht in der Praxis oft Unsicherheit: Viele Betriebe gehen davon aus, dass sie zu klein sind oder in der falschen Branche tätig sind, und übersehen dabei, dass auch indirekte Beziehungen zu betroffenen Sektoren eine Rolle spielen können. Wer die NIS2-Betroffenheit falsch einschätzt, riskiert empfindliche Bußgelder und ungeplanten Handlungsdruck.

Dieser Beitrag erklärt, welche Faktoren tatsächlich über die NIS2-Pflichten entscheiden, wo Grenzfälle entstehen und wie eine strukturierte Betroffenheitsanalyse aussieht.

Größe, Sektor und Rolle: die drei Hauptkriterien

Die NIS2-Betroffenheit hängt im Wesentlichen von drei Faktoren ab: der Unternehmensgröße, dem Sektor, in dem das Unternehmen tätig ist, und der Rolle, die es innerhalb kritischer Versorgungsstrukturen einnimmt.

Bei der Größe gelten als Orientierung die EU-Schwellenwerte für mittlere Unternehmen: mindestens 50 Mitarbeitende oder ein Jahresumsatz sowie eine Bilanzsumme von jeweils über 10 Millionen Euro. Unternehmen unterhalb dieser Grenze sind grundsätzlich ausgenommen, sofern sie nicht ausdrücklich als kritische Einrichtungen eingestuft werden. Für die Sektorzugehörigkeit unterscheidet die Richtlinie zwischen Anhang I (besonders kritische Sektoren wie Energie, Gesundheit, Wasser, digitale Infrastruktur) und Anhang II (weitere wichtige Sektoren wie Post, Lebensmittel, Chemie, Maschinenbau). Wer in keinem dieser Sektoren tätig ist, fällt in der Regel nicht unter die NIS2-Pflichten. Die Rolle schließlich betrifft Unternehmen, die als Anbieter öffentlicher elektronischer Kommunikationsnetze oder als Betreiber kritischer Anlagen eingestuft wurden, unabhängig von ihrer Größe.

Wesentliche vs. wichtige Einrichtungen: was der Unterschied bedeutet

NIS2 unterscheidet zwei Kategorien betroffener Unternehmen, und diese Unterscheidung hat direkte Auswirkungen auf den Umfang der Pflichten und die Intensität der Aufsicht.

Wesentliche Einrichtungen sind Unternehmen aus Anhang I, die die Größenschwellen überschreiten, sowie bestimmte Einrichtungen, die unabhängig von ihrer Größe als besonders kritisch eingestuft werden. Für sie gelten strengere Anforderungen: proaktive Aufsicht durch die zuständigen Behörden, höhere Bußgeldrahmen und engere Fristen bei Meldepflichten. Wichtige Einrichtungen aus Anhang II unterliegen denselben Sicherheitsanforderungen, werden aber reaktiv beaufsichtigt, also erst dann, wenn Hinweise auf Verstöße vorliegen. In beiden Fällen sind Risikomanagement, Incident-Reporting und Governance-Anforderungen verbindlich. Der Unterschied liegt nicht in den Maßnahmen selbst, sondern in der Kontrollintensität und den Haftungsrisiken.

Lieferkette und indirekte Betroffenheit nicht unterschätzen

Ein häufig unterschätzter Aspekt der NIS2-Kriterien ist die Lieferkettenperspektive. Auch Unternehmen, die selbst nicht direkt unter die Richtlinie fallen, können durch ihre Kunden oder Auftraggeber mit NIS2-Anforderungen konfrontiert werden.

Betroffene Einrichtungen sind verpflichtet, Sicherheitsanforderungen an ihre Lieferanten und Dienstleister weiterzugeben. Das bedeutet: Wer als IT-Dienstleister, Softwareanbieter oder technischer Zulieferer für eine wesentliche oder wichtige Einrichtung tätig ist, muss damit rechnen, dass Kunden entsprechende Nachweise oder vertragliche Zusicherungen einfordern. Diese indirekte Betroffenheit entsteht nicht durch das Gesetz selbst, sondern durch die Vertragsbeziehung. Für Unternehmen, die in mehreren Lieferketten aktiv sind, kann das bedeuten, dass sie de facto ähnliche Sicherheitsstandards einhalten müssen wie direkt betroffene Einrichtungen, ohne formal unter NIS2 zu fallen.

Grenzfälle und Sonderregelungen im deutschen Umsetzungsgesetz

Das NIS2UmsuCG enthält eine Reihe von Sonderregelungen, die in der Praxis zu Grenzfällen führen. Wer diese nicht kennt, kann seine NIS2-Betroffenheit falsch einschätzen, in beide Richtungen.

Erstens gibt es eine größenunabhängige Einstufung: Bestimmte Einrichtungen gelten unabhängig von Mitarbeiterzahl oder Umsatz als wesentlich, etwa DNS-Dienstleister, TLD-Registries oder Anbieter von Cloud-Diensten ab einer bestimmten Marktbedeutung. Zweitens können Behörden Unternehmen auch dann einstufen, wenn sie zwar die Schwellenwerte nicht erreichen, aber eine erhebliche Rolle für die öffentliche Versorgung spielen. Drittens existieren Ausnahmen für bestimmte öffentliche Einrichtungen im Bereich Strafverfolgung und nationale Sicherheit, die aus dem Anwendungsbereich herausfallen. Für Unternehmen in Sektoren wie Gesundheit, Energie oder digitale Infrastruktur lohnt sich eine genaue Prüfung der nationalen Umsetzungsvorschriften, da das deutsche Gesetz in einigen Punkten über die EU-Mindestanforderungen hinausgeht.

Betroffenheitsanalyse strukturiert durchführen

Eine Betroffenheitsanalyse ist der erste und notwendige Schritt, bevor Maßnahmen geplant oder Ressourcen eingesetzt werden. Sie klärt, ob und in welchem Umfang NIS2-Pflichten gelten.

Eine strukturierte Analyse folgt einer klaren Abfolge. Zunächst wird die Sektorzugehörigkeit geprüft: Ist das Unternehmen in einem der Sektoren aus Anhang I oder II tätig? Dann folgt die Größenprüfung anhand der EU-Schwellenwerte. Im nächsten Schritt werden Sonderregelungen und Ausnahmen geprüft, die im nationalen Recht verankert sind. Abschließend wird die Lieferkettenperspektive einbezogen: Welche Anforderungen stellen Kunden oder Auftraggeber, die selbst betroffen sind? Das Ergebnis ist eine klare Einordnung, ob das Unternehmen als wesentliche oder wichtige Einrichtung gilt, ob es indirekt betroffen ist oder ob es außerhalb des Anwendungsbereichs liegt. Auf dieser Grundlage lässt sich ein realistisches NIS2-Audit planen, das den tatsächlichen Handlungsbedarf sichtbar macht.

Für Unternehmen, die in mehreren Sektoren tätig sind oder komplexe Lieferkettenstrukturen haben, ist eine externe Einschätzung oft der schnellste Weg zu einer belastbaren Aussage. Die Analyse sollte dokumentiert werden, damit sie bei behördlichen Anfragen oder Kundenaudits als Nachweis dienen kann.

So unterstützt UBESAFE bei der NIS2-Betroffenheitsprüfung

UBESAFE begleitet Unternehmen von der ersten Einschätzung bis zur nachweisbaren Umsetzung aller relevanten NIS2-Anforderungen. Das beginnt mit einer strukturierten Betroffenheitsanalyse und einem Gap-Assessment, das den Ist-Zustand bewertet und konkrete Handlungsfelder benennt. Darauf aufbauend übernimmt UBESAFE:

Die Prüfung der Sektorzugehörigkeit, Unternehmensgröße und möglicher Sonderregelungen nach NIS2UmsuCG
Den Aufbau von Governance-Strukturen, Risikomanagement und Meldeprozessen
Die technische Umsetzung von Schutzmaßnahmen wie 24/7-Monitoring, SIEM, Schwachstellen-Scans und Patchmanagement
Einen Managed Service, der NIS2-Konformität nicht einmalig herstellt, sondern dauerhaft sicherstellt

Einzelne Komponenten lassen sich flexibel einbinden oder als vollumfängliches Paket beziehen. Wer wissen möchte, wo sein Unternehmen heute steht, kann mit einem kostenlosen Erstgespräch beginnen und den konkreten Handlungsbedarf klären lassen.