Ratgeber NIS2
Ist Ihr Unternehmen von NIS2 betroffen?
Ob NIS2 für Sie gilt, entscheiden zwei Fragen: Fällt Ihre Tätigkeit unter einen Sektor aus Anlage 1 oder 2 des BSI-Gesetzes, und erreichen Sie die Größenschwelle? Für einige Einrichtungsarten kommt es auf die Größe gar nicht an. Diese Seite zeigt die Prüfung Schritt für Schritt, mit Beispielen aus dem Mittelstand.
Stand: Oktober 2026 · Rechtsgrundlage: BSI-Gesetz (BSIG) nach dem NIS2-Umsetzungsgesetz
Die Rechtsgrundlage in Kürze
NIS2 ist die EU-Richtlinie (EU) 2022/2555. Deutschland hat sie mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) umgesetzt, das das BSI-Gesetz neu gefasst hat. Die neuen Pflichten gelten seit dem 6. Dezember 2025. Aufsichtsbehörde ist das Bundesamt für Sicherheit in der Informationstechnik (BSI).
Das Gesetz unterscheidet zwei Einrichtungsarten: besonders wichtige und wichtige Einrichtungen (§ 28 BSIG). Beide müssen sich registrieren, Sicherheitsmaßnahmen nach § 30 BSIG umsetzen und erhebliche Vorfälle melden. Der Unterschied liegt vor allem in der Aufsicht und im Bußgeldrahmen.
Welche Sektoren erfasst sind
Die Sektoren stehen in zwei Anlagen zum BSIG. Anlage 1 enthält die Sektoren mit hoher Kritikalität, Anlage 2 sonstige kritische Sektoren.
| Anlage 1 (hohe Kritikalität) | Anlage 2 (sonstige kritische Sektoren) |
|---|---|
| Energie (Strom, Fernwärme und Fernkälte, Kraftstoff und Heizöl, Gas und Wasserstoff) | Post- und Kurierdienste |
| Transport und Verkehr (Luft, Schiene, Schifffahrt, Straße) | Abfallbewirtschaftung |
| Finanzwesen (Banken, Finanzmarktinfrastruktur) | Chemie |
| Gesundheitswesen | Lebensmittel (Großhandel, industrielle Produktion und Verarbeitung) |
| Trinkwasser | Verarbeitendes Gewerbe: Medizinprodukte, Computer, Elektronik und Optik, elektrische Ausrüstung, Maschinenbau, Kraftwagen und Kfz-Teile, sonstiger Fahrzeugbau |
| Abwasser | Digitale Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke) |
| Digitale Infrastruktur (z. B. Rechenzentren, Cloud, CDN) | Forschungseinrichtungen |
| IT-Dienstleister: Managed Services und Managed Security Services | |
| Weltraum |
Für das verarbeitende Gewerbe knüpfen die Anlagen an die europäische Wirtschaftszweig-Systematik an. Ob Ihr Betrieb dazugehört, ergibt sich aus dem, was Sie herstellen, und nicht aus dem Namen Ihrer Branche.
Die Größenschwellen und drei Rechenbeispiele
Für die meisten Einrichtungen gilt NIS2 erst ab mittlerer Größe. Die Werte stammen aus der KMU-Empfehlung der EU-Kommission 2003/361/EG, auf die § 28 Abs. 4 BSIG verweist.
| Größe | Beschäftigte | oder Finanzkennzahlen |
|---|---|---|
| Mittel | ab 50 | mehr als 10 Mio. € Jahresumsatz und mehr als 10 Mio. € Jahresbilanzsumme |
| Groß | ab 250 | mehr als 50 Mio. € Jahresumsatz und mehr als 43 Mio. € Jahresbilanzsumme |
Es reicht also entweder die Zahl der Beschäftigten oder beide Finanzwerte zusammen. Daraus ergibt sich die Einstufung:
- Besonders wichtig: große Einrichtungen in einem Sektor der Anlage 1 (§ 28 Abs. 1 BSIG).
- Wichtig: mittlere Einrichtungen in Anlage 1 sowie mittlere und große Einrichtungen in Anlage 2 (§ 28 Abs. 2 BSIG).
Beispiel 1: Maschinenbauer mit 60 Beschäftigten
Ein Hersteller von Verpackungsmaschinen hat 60 Beschäftigte, 9 Mio. € Umsatz und 6 Mio. € Bilanzsumme. Maschinenbau steht in Anlage 2. Mit 60 Beschäftigten ist das Unternehmen mittelgroß, die Finanzwerte spielen dann keine Rolle mehr. Ergebnis: wichtige Einrichtung. Hätte derselbe Betrieb 40 Beschäftigte, 25 Mio. € Umsatz und 8 Mio. € Bilanzsumme, wäre er nicht betroffen, weil die Bilanzsumme unter 10 Mio. € liegt.
Beispiel 2: Softwarehaus mit Betriebsverträgen
Ein Softwarehaus mit 80 Beschäftigten entwickelt Branchensoftware. Reine Softwareentwicklung steht in keiner Anlage. Betreibt und überwacht das Unternehmen aber für Kunden Server, Netzwerke oder Anwendungen, ist das ein Managed Service und fällt unter Anlage 1. Mit 80 Beschäftigten ist es dann eine wichtige Einrichtung, ab 250 Beschäftigten eine besonders wichtige. Prüfen Sie genau, ob Betriebsleistungen nur gelegentlich anfallen oder ein fester Geschäftszweig sind.
Beispiel 3: Klinik mit 400 Beschäftigten
Eine Fachklinik mit 400 Beschäftigten ist Gesundheitsdienstleister im Sinne von Anlage 1 und groß. Ergebnis: besonders wichtige Einrichtung. Ob sie zusätzlich eine kritische Anlage betreibt, richtet sich nach eigenen Schwellenwerten für kritische Anlagen und ist gesondert zu prüfen.
Sonderfälle, bei denen die Größe nicht zählt
Einige Einrichtungen sind unabhängig von ihrer Größe erfasst:
- Betreiber kritischer Anlagen sind immer besonders wichtige Einrichtungen (§ 28 Abs. 1 BSIG).
- Qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries und DNS-Diensteanbieter sind besonders wichtig.
- Anbieter öffentlicher Telekommunikationsnetze oder -dienste sind ab mittlerer Größe besonders wichtig, darunter wichtig.
- Nicht qualifizierte Vertrauensdiensteanbieter sind wichtige Einrichtungen (§ 28 Abs. 2 BSIG).
Ein kleiner Hoster, der nebenbei DNS-Dienste für Kundendomains betreibt, kann damit betroffen sein, obwohl er weit unter 50 Beschäftigten liegt.
Tätigkeit statt Branche, Nebentätigkeit, Konzern
Maßgeblich ist, was Ihr Unternehmen tatsächlich tut, nicht der Eintrag im Handelsregister oder die Selbstbeschreibung auf der Website. Ein Handelsunternehmen, das selbst Lebensmittel verarbeitet, kann unter den Sektor Lebensmittel fallen. Ein Maschinenbauer, der seine Anlagen beim Kunden auch fernwartet und betreibt, sollte prüfen, ob daraus ein Managed Service wird.
Nach § 28 Abs. 3 BSIG dürfen Geschäftstätigkeiten unberücksichtigt bleiben, die gemessen an der gesamten Geschäftstätigkeit unbedeutend sind. Eine kleine Kantine macht einen Elektronikhersteller nicht zum Lebensmittelbetrieb. Halten Sie fest, warum Sie eine Tätigkeit als unbedeutend einstufen, etwa über ihren Anteil an Umsatz und Personal.
Bei Unternehmensgruppen zählen nach der KMU-Empfehlung grundsätzlich auch Daten von Partner- und verbundenen Unternehmen mit. § 28 Abs. 4 BSIG macht davon eine Ausnahme: Sie werden nicht hinzugerechnet, wenn das Unternehmen hinsichtlich seiner IT-Systeme, Komponenten und Prozesse rechtlich, wirtschaftlich und tatsächlich unabhängig ist. Eine Tochter, die das Netz und die Dienste der Mutter nutzt, kann sich darauf in der Regel nicht berufen. Dokumentieren Sie die Begründung, wenn Sie die Ausnahme nutzen.
Finanzunternehmen und Energieversorger
Für Finanzunternehmen geht die EU-Verordnung DORA (EU) 2022/2554 weitgehend vor. § 28 Abs. 5 und 6 BSIG nehmen deshalb für sie sowie für bestimmte Telekommunikations- und Energieunternehmen einzelne Pflichten des BSIG aus, darunter die §§ 30, 32 und 38. Energieversorger unterliegen insoweit Regeln des Energiewirtschaftsgesetzes (EnWG). Prüfen Sie im Einzelfall, welche Pflichten des BSIG trotzdem bleiben, und klären Sie das mit Ihrer Fachaufsicht.
Prüfen und dokumentieren, auch wenn Sie nicht betroffen sind
Das BSI bietet eine offizielle Betroffenheitsprüfung an. Sie führt durch die Fragen zu Sektor, Tätigkeit und Größe. Das Ergebnis ist eine Orientierung, keine verbindliche Feststellung. Die Verantwortung für die Einstufung bleibt bei Ihnen.
Halten Sie das Ergebnis schriftlich fest, auch wenn es „nicht betroffen“ lautet. Ein solcher Vermerk sollte enthalten:
- Datum und verantwortliche Person der Prüfung.
- Beschreibung der Tätigkeiten und die geprüften Sektoren.
- Beschäftigtenzahl in Jahresarbeitseinheiten, Umsatz und Bilanzsumme mit Quelle (Jahresabschluss).
- Bei Gruppen: die einbezogenen Partner- und verbundenen Unternehmen oder die Begründung der IT-Unabhängigkeit.
- Die Bewertung von Nebentätigkeiten und Sonderfällen.
- Einen Termin zur Wiederholung, spätestens nach dem nächsten Jahresabschluss oder einer Übernahme.
Wer später über die Schwelle wächst, hat drei Monate Zeit für die Registrierung beim BSI (§ 33 Abs. 1 BSIG). Wer nicht betroffen ist, bekommt die Anforderungen oft trotzdem über Kunden. Das beschreibt die Seite NIS2 für Zulieferer. Wenn Sie betroffen sind, zeigt Ihnen das NIS2-Scoring in wenigen Minuten, wo Sie bei den Pflichten nach §§ 30 bis 38 BSIG stehen.
Häufige Fragen
Ab wie vielen Beschäftigten gilt NIS2?
In den Sektoren der Anlagen 1 und 2 ab 50 Beschäftigten oder ab mehr als 10 Mio. € Umsatz und mehr als 10 Mio. € Bilanzsumme. Für Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Diensteanbieter gilt keine Mindestgröße (§ 28 BSIG).
Ist die BSI-Betroffenheitsprüfung verbindlich?
Nein. Sie ist eine Orientierungshilfe. Die Einstufung müssen Sie selbst vornehmen und begründen können.
Zählen Teilzeitkräfte und Auszubildende mit?
Teilzeitkräfte zählen nach der KMU-Empfehlung 2003/361/EG anteilig in Jahresarbeitseinheiten, Auszubildende werden nicht mitgezählt.
Wir gehören zu einer Gruppe. Zählt deren Größe mit?
Grundsätzlich ja, nach den Regeln der KMU-Empfehlung. Nach § 28 Abs. 4 BSIG bleiben Partner- und verbundene Unternehmen außer Betracht, wenn Ihr Unternehmen bei IT-Systemen, Komponenten und Prozessen unabhängig ist.
Muss ich etwas tun, wenn ich nicht betroffen bin?
Gegenüber dem BSI nicht. Dokumentieren Sie aber das Prüfergebnis und wiederholen Sie die Prüfung jährlich. Kunden, die selbst betroffen sind, werden oft Nachweise von Ihnen verlangen.