Seit dem 6. Dezember 2025 gilt in Deutschland das NIS-2-Umsetzungsgesetz. Nach Schätzung der Bundesregierung fallen rund 29.500 Einrichtungen darunter. Das BSI schreibt diese Unternehmen aber nicht an. Laut den FAQ des BSI müssen Unternehmen selbst prüfen, ob sie betroffen sind, und sich bei Betroffenheit selbst registrieren.
Genau hier entstehen in der Praxis die meisten Fehler. Manche Unternehmen halten sich für zu klein, obwohl sie es nicht sind. Andere glauben, sie seien betroffen, weil ein Kunde Sicherheitsnachweise verlangt, obwohl das Gesetz für sie gar nicht gilt.
In diesem Beitrag zeigen wir Ihnen ein Prüfschema in vier Schritten, erklären die Sonderfälle für Konzerne, Zulieferer und kleine Unternehmen und ordnen typische Beispiele ein. Einen allgemeinen Überblick über die Richtlinie finden Sie im Beitrag NIS2-Richtlinie einfach erklärt.
Das Prüfschema in vier Schritten
Ob ein Unternehmen unter NIS2 fällt, hängt nach § 28 BSIG im Wesentlichen von zwei Fragen ab: Ist es in einem der genannten Sektoren tätig? Und überschreitet es die Größenschwellen? Daraus ergibt sich ein einfaches Prüfschema:
- Größenunabhängige Sonderfälle prüfen. Gehört das Unternehmen zu den Einrichtungen, die unabhängig von der Größe erfasst sind?
- Sektor prüfen. Fällt die Tätigkeit unter eine Einrichtungsart der Anlage 1 oder Anlage 2 des BSI-Gesetzes?
- Größe prüfen. Werden die Schwellen für Beschäftigte, Umsatz und Bilanzsumme erreicht, unter Berücksichtigung der Konzernregeln?
- Kategorie bestimmen. Handelt es sich um eine besonders wichtige oder eine wichtige Einrichtung?
Für eine erste Einschätzung bietet das BSI eine kostenlose, unverbindliche Betroffenheitsprüfung an. Das Ergebnis sollten Sie dokumentieren, auch wenn es „nicht betroffen“ lautet.
Schritt 1: Größenunabhängige Sonderfälle
Einige Einrichtungen sind unabhängig von ihrer Größe erfasst:
| Kategorie | Einrichtungen |
|---|---|
| Besonders wichtige Einrichtung, unabhängig von der Größe | Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries, DNS-Diensteanbieter |
| Wichtige Einrichtung, unabhängig von der Größe | Vertrauensdiensteanbieter |
Betreiber kritischer Anlagen sind die bisherigen KRITIS-Betreiber, etwa große Strom-, Wasser- oder Krankenhausbetreiber oberhalb der jeweiligen Schwellenwerte. Für Telekommunikationsanbieter gelten eigene, teils niedrigere Schwellen.
Schritt 2: Der Sektor entscheidet
Das BSI-Gesetz listet die betroffenen Einrichtungsarten in zwei Anlagen auf. Entscheidend ist dabei nicht, wie sich ein Unternehmen selbst bezeichnet, sondern welche Tätigkeit es tatsächlich ausübt.
Anlage 1: Sektoren mit hoher Kritikalität
| Sektor | Beispiele für Einrichtungsarten |
|---|---|
| Energie | Stromversorgung, Fernwärme und Fernkälte, Kraftstoff- und Heizölversorgung, Gasversorgung |
| Transport und Verkehr | Luftverkehr, Schienenverkehr, Schifffahrt, Straßenverkehr |
| Finanzwesen | Bankwesen, Finanzmarktinfrastrukturen |
| Gesundheit | Erbringer von Gesundheitsdienstleistungen, EU-Referenzlabore, Arzneimittelforschung und -herstellung, Hersteller kritischer Medizinprodukte |
| Wasser | Trinkwasserversorgung, Abwasserbeseitigung |
| Digitale Infrastruktur | Internetknoten, DNS, Cloud-Computing, Rechenzentren, Content Delivery Networks, Vertrauensdienste, Telekommunikation, Managed Service Provider, Managed Security Service Provider |
| Weltraum | Betreiber von Bodeninfrastruktur für weltraumgestützte Dienste |
Anlage 2: sonstige kritische Sektoren
| Sektor | Beispiele für Einrichtungsarten |
|---|---|
| Transport und Verkehr | Post- und Kurierdienste |
| Abfallbewirtschaftung | Unternehmen der Abfallbewirtschaftung |
| Chemie | Hersteller und Importeure chemischer Stoffe und Gemische |
| Lebensmittel | Lebensmittelunternehmen im Großhandel sowie in der industriellen Produktion und Verarbeitung |
| Verarbeitendes Gewerbe | Medizinprodukte und In-vitro-Diagnostika, Datenverarbeitungsgeräte und elektronische Erzeugnisse, elektrische Ausrüstungen, Maschinenbau, Kraftwagen und Kraftwagenteile, sonstiger Fahrzeugbau |
| Anbieter digitaler Dienste | Online-Marktplätze, Online-Suchmaschinen, Plattformen für soziale Netzwerke |
| Forschung | Forschungseinrichtungen |
Die vollständigen Definitionen finden Sie in Anlage 1 und Anlage 2 des BSI-Gesetzes. Beim verarbeitenden Gewerbe richtet sich die Zuordnung nach den Abteilungen der europäischen Wirtschaftszweigklassifikation NACE, etwa Abteilung 28 für den Maschinenbau.
Vernachlässigbare Tätigkeiten
Viele Unternehmen sind in mehreren Bereichen tätig. Nach § 28 Abs. 3 BSIG können Tätigkeiten unberücksichtigt bleiben, die im Verhältnis zur gesamten Geschäftstätigkeit vernachlässigbar sind. Das BSI nennt in seinen FAQ als Beispiele Tätigkeiten, die ausschließlich für interne Zwecke erbracht werden, etwa eine Photovoltaikanlage zur Eigenversorgung oder die eigene IT-Abteilung. Wird die Tätigkeit dagegen am Markt angeboten, ist sie nicht vernachlässigbar.
Ein Beispiel: Ein Möbelhändler, der eine interne IT betreibt, wird dadurch nicht zum Managed Service Provider. Bietet er IT-Dienstleistungen aber auch Dritten an, sieht das anders aus.
Schritt 3: Die Größenschwellen
Erfüllt ein Unternehmen das Sektorkriterium, kommt es auf die Größe an. Maßgeblich sind die Definitionen der EU-Empfehlung 2003/361/EG für kleine und mittlere Unternehmen.
| Kategorie | Schwellenwerte |
|---|---|
| Besonders wichtige Einrichtung (Sektoren der Anlage 1) | mindestens 250 Beschäftigte oder mehr als 50 Mio. € Jahresumsatz und mehr als 43 Mio. € Jahresbilanzsumme |
| Wichtige Einrichtung (Sektoren der Anlage 1 oder 2) | mindestens 50 Beschäftigte oder mehr als 10 Mio. € Jahresumsatz und mehr als 10 Mio. € Jahresbilanzsumme |
Achten Sie auf das „und“: Beim finanziellen Kriterium müssen Umsatz und Bilanzsumme beide über der Schwelle liegen. Ein Unternehmen mit 40 Beschäftigten, 12 Mio. € Umsatz, aber nur 6 Mio. € Bilanzsumme erreicht die Schwelle für wichtige Einrichtungen nicht. Mit 50 Beschäftigten ist sie dagegen unabhängig von Umsatz und Bilanz erreicht.
Konzerne, Partner und verbundene Unternehmen
Nach der EU-Empfehlung werden die Zahlen von verbundenen Unternehmen und Partnerunternehmen grundsätzlich mitgerechnet. Eine kleine Tochtergesellschaft eines großen Konzerns kann deshalb die Schwellen überschreiten, obwohl sie selbst nur wenige Beschäftigte hat.
Das deutsche Recht sieht hier eine wichtige Ausnahme vor: Nach § 28 Abs. 4 BSIG werden die Daten von Partner- und verbundenen Unternehmen nicht hinzugerechnet, wenn das Unternehmen bei seinen IT-Systemen, Komponenten und Prozessen unabhängig ist. Maßgeblich sind rechtliche, wirtschaftliche und tatsächliche Umstände. Nutzt die Tochter also eigene Systeme und eine eigene IT-Organisation, kann sie trotz Konzernzugehörigkeit unter der Schwelle bleiben. Das sollte sauber begründet und dokumentiert werden.
Zwei weitere Punkte aus den BSI-FAQ:
- Die Betroffenheit wird für jede Einrichtung einzeln geprüft, nicht für den Konzern als Ganzes.
- Ein Mutterunternehmen wird nicht automatisch betroffen, nur weil eine Tochtergesellschaft betroffen ist.
Schritt 4: Besonders wichtig oder wichtig?
Die Kategorie entscheidet vor allem über die Art der Aufsicht und die Höhe möglicher Bußgelder:
| Merkmal | Besonders wichtige Einrichtung | Wichtige Einrichtung |
|---|---|---|
| Aufsicht | auch ohne Anlass möglich, etwa durch Prüfungen | vor allem anlassbezogen, etwa nach Hinweisen oder Vorfällen |
| Bußgeld bei Verstößen gegen Risikomanagement oder Meldepflicht | bis 10 Mio. €, bei großen Unternehmen bis 2 % des weltweiten Umsatzes | bis 7 Mio. €, bei großen Unternehmen bis 1,4 % des weltweiten Umsatzes |
| Grundpflichten | Registrierung, Risikomanagement, Meldepflichten, Pflichten der Geschäftsleitung | dieselben Grundpflichten |
Wichtig: Die Grundpflichten gelten für beide Kategorien gleichermaßen. Die Einstufung als wichtige Einrichtung ist kein Grund, weniger zu tun. Die Bußgeldrahmen ergeben sich aus § 65 BSIG.
Sind Zulieferer und Dienstleister betroffen?
Diese Frage gehört zu den häufigsten. Die klare Antwort: Ein Unternehmen wird nicht dadurch gesetzlich NIS2-pflichtig, dass es ein betroffenes Unternehmen beliefert. Das BSI stellt in seinen FAQ aber auch klar, dass sich das Gesetz mittelbar auf nicht betroffene Unternehmen auswirkt. Denn betroffene Einrichtungen müssen nach § 30 BSIG die Sicherheit ihrer Lieferkette berücksichtigen.
In der Praxis bedeutet das:
- Kunden fragen nach Sicherheitsmaßnahmen, Zertifikaten oder ausgefüllten Fragebögen.
- Sicherheitsanforderungen und Meldepflichten werden in Verträge aufgenommen.
- Bei Ausschreibungen wird ein nachweisbares Sicherheitsniveau zur Bedingung.
Für Zulieferer heißt das: Keine Registrierung beim BSI, keine Bußgelder nach dem BSI-Gesetz, aber sehr wohl vertragliche Anforderungen, die über Aufträge entscheiden können. Ausnahme sind IT-Dienstleister, die selbst als Managed Service Provider oder Managed Security Service Provider unter Anlage 1 fallen und die Größenschwellen erreichen. Sie sind direkt betroffen.
Und kleine Unternehmen?
Unternehmen unter 50 Beschäftigten, die die finanziellen Schwellen nicht erreichen, sind in der Regel nicht betroffen. Ausnahmen sind die größenunabhängigen Sonderfälle aus Schritt 1, also etwa DNS-Diensteanbieter, Vertrauensdiensteanbieter oder Betreiber kritischer Anlagen.
Daneben gilt auch für kleine Unternehmen: Sie können mittelbar über ihre Kunden betroffen sein, und die DSGVO verlangt unabhängig von NIS2 angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten.
Öffentliche Verwaltung und kommunale Unternehmen
Für die Bundesverwaltung gelten eigene Regeln im BSI-Gesetz. Landes- und Kommunalverwaltungen fallen nicht unter das Bundesgesetz, hier sind die Länder zuständig. Das BSI weist in seinen FAQ darauf hin, dass sich Kommunen mit Fragen zunächst an die zuständige Stelle ihrer Landesverwaltung wenden sollten. Kommunale Eigenbetriebe fallen in der Regel nicht unter das NIS-2-Umsetzungsgesetz. Betreiben sie aber kritische Anlagen oder erreichen sie als Unternehmen eines erfassten Sektors die Schwellenwerte, ist das BSI zuständig. Stadtwerke, Entsorger oder kommunale Krankenhäuser in privater Rechtsform sollten deshalb genau prüfen.
Praxisbeispiele: Wer ist betroffen, wer nicht?
| Unternehmen | Einordnung | Ergebnis |
|---|---|---|
| Maschinenbauer, 180 Beschäftigte, 35 Mio. € Umsatz | verarbeitendes Gewerbe, Anlage 2, über 50 Beschäftigte | wichtige Einrichtung |
| Lebensmittelhersteller, 120 Beschäftigte | Lebensmittel, Anlage 2 | wichtige Einrichtung |
| Paket- und Kurierdienst, 300 Beschäftigte | Post- und Kurierdienste, Anlage 2 | wichtige Einrichtung |
| Spedition im Straßengüterverkehr, 300 Beschäftigte | Straßenverkehr in Anlage 1 meint vor allem Straßenverkehrsbehörden und Betreiber intelligenter Verkehrssysteme | in der Regel nicht betroffen, sofern keine Kurierdienste angeboten werden |
| Managed Service Provider, 65 Beschäftigte | digitale Infrastruktur, Anlage 1, über 50, unter 250 Beschäftigte | wichtige Einrichtung |
| Softwarehaus, 40 Beschäftigte, entwickelt Software für Energieversorger | keine Einrichtungsart der Anlagen, unter den Schwellen | nicht betroffen, aber vertragliche Anforderungen der Kunden wahrscheinlich |
| Handwerksbetrieb, 15 Beschäftigte | kein erfasster Sektor | nicht betroffen |
| Tochtergesellschaft eines Konzerns, 30 Beschäftigte, Chemiehandel, nutzt Konzern-IT | Anlage 2, Konzerndaten werden mitgerechnet, da keine eigenständige IT | wahrscheinlich betroffen, genaue Prüfung nötig |
| Großhändler für Bürobedarf, 400 Beschäftigte | kein erfasster Sektor | nicht betroffen |
Die Beispiele zeigen: Die Größe allein sagt wenig. Ein großer Bürobedarfshändler ist nicht betroffen, ein mittelgroßer Maschinenbauer schon. Und innerhalb derselben Branche kann die genaue Tätigkeit den Unterschied machen, wie der Vergleich von Kurierdienst und Spedition zeigt. Die Tabelle ersetzt deshalb keine Einzelfallprüfung.
Typische Grenzfälle nach Branche
Einige Branchen werfen besonders häufig Fragen auf. Die folgenden Hinweise helfen bei der Einordnung, ersetzen aber keine Einzelfallprüfung.
IT-Dienstleister und Systemhäuser
Managed Service Provider und Managed Security Service Provider gehören zur digitalen Infrastruktur in Anlage 1. Gemeint sind Anbieter, die IT-Systeme, Netzwerke, Anwendungen oder Sicherheitsdienste für Kunden dauerhaft betreiben, verwalten oder überwachen. Ein Systemhaus, das nur Hardware verkauft und gelegentlich installiert, fällt nicht automatisch darunter. Ein Dienstleister mit Wartungs- und Betriebsverträgen, Fernzugriff auf Kundensysteme und mindestens 50 Beschäftigten sollte seine Betroffenheit dagegen sehr genau prüfen.
Arztpraxen, MVZ und Pflege
Zum Sektor Gesundheit gehören Erbringer von Gesundheitsdienstleistungen. Damit können auch größere medizinische Versorgungszentren oder Praxisverbünde betroffen sein, sobald sie die Größenschwellen erreichen. Für Krankenhäuser gelten zusätzlich die Vorgaben aus § 391 SGB V. Mehr dazu im Beitrag Authentifizierung im Krankenhaus.
Lebensmittelbranche
Erfasst sind Lebensmittelunternehmen im Großhandel sowie in der industriellen Produktion und Verarbeitung. Ein Lebensmittelhersteller mit 80 Beschäftigten ist damit in der Regel eine wichtige Einrichtung. Der reine Einzelhandel ist nach der EU-Richtlinie dagegen nicht erfasst.
Industrie und Zulieferer
Im verarbeitenden Gewerbe sind nur bestimmte Bereiche erfasst: Medizinprodukte, Elektronik und Datenverarbeitungsgeräte, elektrische Ausrüstungen, Maschinenbau sowie Fahrzeugbau. Ein Kunststoffverarbeiter oder eine Druckerei mit 200 Beschäftigten ist deshalb nicht betroffen, ein Maschinenbauer mit 60 Beschäftigten dagegen schon. Entscheidend ist die Zuordnung zur jeweiligen NACE-Abteilung.
Energie im Nebenbetrieb
Viele Unternehmen betreiben eine Photovoltaikanlage oder ein Blockheizkraftwerk. Dient die Anlage nur der Eigenversorgung, ist sie nach den BSI-FAQ in der Regel eine vernachlässigbare Tätigkeit. Wird Strom in größerem Umfang an Dritte verkauft, kann das anders aussehen.
Häufige Fehler bei der Betroffenheitsprüfung
- Nur auf die Mitarbeiterzahl schauen. Umsatz und Bilanzsumme, Konzernzugehörigkeit und größenunabhängige Sonderfälle werden übersehen.
- Das „und“ übersehen. Beim finanziellen Kriterium müssen Umsatz und Bilanzsumme beide die Schwelle überschreiten.
- Sich nach dem Firmennamen statt der Tätigkeit einordnen. Wer als „Händler“ firmiert, aber Medizinprodukte herstellt, gehört zum verarbeitenden Gewerbe.
- Konzernregeln ignorieren. Die Daten verbundener Unternehmen zählen mit, es sei denn, die IT ist nachweislich unabhängig.
- Zulieferbeziehungen mit gesetzlicher Pflicht verwechseln. Ein Kundenfragebogen macht ein Unternehmen nicht NIS2-pflichtig, kann aber trotzdem verbindliche Anforderungen enthalten.
- Das Ergebnis nicht dokumentieren. Auch eine Prüfung mit dem Ergebnis „nicht betroffen“ sollte mit Begründung festgehalten werden.
Sie sind betroffen: Was jetzt zu tun ist
- Registrieren. Die gesetzliche Registrierungsfrist ist abgelaufen. Wer sich noch nicht registriert hat, sollte das umgehend nachholen. Die Registrierung erfolgt über das BSI-Portal und setzt ein Konto bei „Mein Unternehmenskonto“ voraus.
- Geschäftsleitung einbinden. Nach § 38 BSIG muss die Geschäftsleitung die Maßnahmen umsetzen, überwachen und sich regelmäßig schulen lassen.
- Standort bestimmen. Eine Gap-Analyse zeigt, wo Sie im Vergleich zu den zehn Pflichtbereichen aus § 30 BSIG stehen. Unser NIS2-Check liefert dafür Reifegrad und Maßnahmenplan.
- Meldefähigkeit herstellen. Erhebliche Sicherheitsvorfälle müssen laut BSI spätestens nach 24 Stunden gemeldet werden.
- Maßnahmen umsetzen. Welche Anforderungen im Einzelnen gelten, zeigen unsere Beiträge zu den NIS2-Anforderungen und die NIS2 Checkliste.
Sie sind nicht betroffen: Trotzdem handeln?
Auch wenn das Gesetz nicht gilt, lohnt ein Blick auf die Anforderungen. Kunden aus regulierten Branchen werden Nachweise verlangen, Cyberversicherungen fragen ähnliche Punkte ab, und ein Cyberangriff trifft nicht betroffene Unternehmen genauso hart. Die zehn Bereiche aus § 30 BSIG sind eine gute Orientierung für ein angemessenes Sicherheitsniveau. Einen schnellen, bezahlbaren Einstieg bietet unser IT-Security-Audit zum Festpreis.
Fazit: Sektor plus Größe, mit genauem Blick auf die Details
Ob ein Unternehmen von NIS2 betroffen ist, entscheidet sich an zwei Kriterien: der Tätigkeit in einem Sektor der Anlagen 1 oder 2 des BSI-Gesetzes und dem Erreichen der Größenschwellen. Die Tücken liegen in den Details: dem „und“ bei Umsatz und Bilanzsumme, den Konzernregeln, vernachlässigbaren Tätigkeiten und den größenunabhängigen Sonderfällen. Zulieferer sind nicht gesetzlich verpflichtet, spüren NIS2 aber über ihre Kunden. Wer seine Betroffenheit sauber prüft und dokumentiert, schafft die Grundlage für alle weiteren Schritte.
Sie sind unsicher, ob Ihr Unternehmen unter NIS2 fällt? Wir prüfen Ihre Betroffenheit gemeinsam mit Ihnen und unterstützen bei Registrierung und Umsetzung. Mehr zu unserer NIS2-Beratung oder direkt kostenlose Erstberatung buchen.
Quellen
- BSI: FAQ zu NIS-2
- BSI: NIS-2-Betroffenheitsprüfung
- BSI: Infopaket NIS-2-Meldepflicht
- § 28 BSIG: Besonders wichtige und wichtige Einrichtungen
- Anlage 1 BSIG: Sektoren hoher Kritikalität
- Anlage 2 BSIG: Sonstige kritische Sektoren
- § 30 BSIG: Risikomanagementmaßnahmen
- § 38 BSIG: Pflichten der Geschäftsleitung
- § 65 BSIG: Bußgeldvorschriften
