Von NIS2 betroffen? Der Unternehmenscheck

Das Wichtigste in Kürze

• Geprüft wird die einzelne Einrichtung. Ausgangspunkt ist die konkrete Gesellschaft oder Organisation und ihre tatsächliche Tätigkeit.
• Eine Branchenbezeichnung genügt nicht. Die Tätigkeit muss einer Einrichtungsart aus Anlage 1 oder Anlage 2 des BSI-Gesetzes entsprechen.
• Die Größenlogik enthält mehrere Oder-und-Und-Verknüpfungen. Beschäftigtenzahl sowie Umsatz und Bilanzsumme müssen deshalb getrennt und nachvollziehbar geprüft werden.
• Nur wenige Einrichtungsarten sind größenunabhängig erfasst. Cloud-, Rechenzentrums-, Managed-Service- oder Sicherheitsdienste sind nicht allein wegen ihrer Tätigkeit automatisch NIS2-pflichtig.
• Vertraglicher Druck ist keine gesetzliche Betroffenheit. Nicht direkt erfasste Zulieferer können dennoch weitreichende Sicherheits- und Meldeanforderungen ihrer Kunden erhalten.

NIS2-Betroffenheit in sechs Schritten prüfen

Eine belastbare Prüfung folgt einer festen Reihenfolge. Wer direkt mit den Größenwerten beginnt, riskiert Fehlentscheidungen: Ohne einschlägige Einrichtungsart führt auch ein großes Unternehmen nicht allein wegen seiner Größe in den Anwendungsbereich.

1. Prüfeinheit festlegen: Welche konkrete Gesellschaft, Organisation oder sonstige rechtliche Einheit wird beurteilt?
2. Tatsächliche Tätigkeiten erfassen: Welche Waren oder Dienstleistungen bietet die Einrichtung an und welche Rolle nimmt sie dabei ein?
3. Einrichtungsart zuordnen: Passt mindestens eine Tätigkeit zu einer Definition aus Anlage 1 oder Anlage 2 BSIG?
4. Größenwerte bestimmen: Welche Beschäftigten-, Umsatz- und Bilanzwerte sind einschließlich relevanter Unternehmensverbindungen anzusetzen?
5. Sonderregeln prüfen: Besteht eine größenunabhängige Zuordnung, eine sektorspezifische Regelung oder eine gesetzliche Ausnahme?
6. Ergebnis dokumentieren: Ist die Einrichtung besonders wichtig, wichtig, wahrscheinlich nicht direkt erfasst oder bleibt ein klärungsbedürftiger Grenzfall?

Schritt 1: Welche rechtliche Einheit wird geprüft?

Die NIS2-Betroffenheit knüpft an eine „Einrichtung“ an. In einer Unternehmensgruppe ist daher grundsätzlich jede Gesellschaft gesondert zu beurteilen. Das gilt auch, wenn Markenauftritt, Management, Einkauf oder IT zentral organisiert sind.

Der Prüfvermerk sollte mindestens Firma, Rechtsform, Sitz und relevante Tätigkeiten der untersuchten Einheit nennen. Bei Gruppenunternehmen sind außerdem Leistungsbeziehungen, Beteiligungen und gemeinsam betriebene IT-Strukturen festzuhalten.

Übt eine Einrichtung mehrere Tätigkeiten aus, darf die Prüfung nicht bei der Haupttätigkeit enden. Auch ein kleinerer Geschäftsbereich kann eine Einrichtungsart aus Anlage 1 oder 2 erfüllen. Nach § 28 Absatz 3 BSIG können allerdings Tätigkeiten außer Betracht bleiben, die im Hinblick auf die gesamte Geschäftstätigkeit vernachlässigbar sind. Ob das der Fall ist, sollte anhand von Umfang, Umsatzanteil, Personal, Kundenkreis und tatsächlicher Bedeutung begründet werden.

Schritt 2: Welche Tätigkeit und Einrichtungsart liegt vor?

Das BSI-Gesetz erfasst nicht pauschal „Industrie“, „IT“, „Gesundheit“ oder „Logistik“. Maßgeblich sind die konkreten Einrichtungsarten in Anlage 1 und Anlage 2 BSIG.

Für die gewöhnlichen Zuordnungen nach § 28 Absatz 1 Nummer 4 und Absatz 2 Nummer 3 BSIG kommt hinzu, dass die Einrichtung anderen natürlichen oder juristischen Personen entgeltlich Waren oder Dienstleistungen anbietet. Das kann auch bei Leistungen zwischen rechtlich selbstständigen Konzerngesellschaften relevant sein. Größenunabhängige Sondertatbestände wie der Betrieb einer kritischen Anlage sind davon getrennt zu prüfen.

Typische Bereiche der Anlage 1

• Energie, Verkehr, Bankwesen und Finanzmarktinfrastrukturen,
• Gesundheitswesen, Trinkwasser und Abwasser,
• bestimmte digitale Infrastrukturen und digitale Dienste, darunter Cloud-Computing-, Rechenzentrums-, CDN-, Managed-Service- und Managed-Security-Service-Anbieter, sowie
• Weltraum.

Typische Bereiche der Anlage 2

• Post- und Kurierdienste sowie Abfallbewirtschaftung,
• Herstellung, Produktion und Vertrieb chemischer Stoffe,
• Produktion, Verarbeitung und Großhandel von Lebensmitteln,
• Herstellung bestimmter Medizinprodukte, Elektronik, elektrischer Ausrüstungen, Maschinen und Fahrzeuge,
• Online-Marktplätze, Online-Suchmaschinen und Plattformen sozialer Netzwerke sowie
• Forschungseinrichtungen.

Entscheidend ist die gesetzliche Beschreibung im Einzelfall. Teilweise verweist sie auf andere Gesetze, Genehmigungen, Produktgruppen oder Wirtschaftszweigklassifikationen. Ein Unternehmen sollte deshalb dokumentieren, welche konkrete Nummer und welche Definition der Anlage erfüllt sein sollen. Der bloße Eintrag eines allgemeinen Branchencodes oder eine ähnliche Bezeichnung auf der Website reicht für eine belastbare Einordnung nicht aus.

Schritt 3: Welche Größenwerte gelten?

Erst wenn eine einschlägige Einrichtungsart feststeht, werden die Größenwerte geprüft. Für die üblichen Fälle gelten zwei zentrale Stufen.

Wann liegt grundsätzlich eine wichtige Einrichtung vor?

Eine Einrichtungsart aus Anlage 1 oder Anlage 2 gilt grundsätzlich als wichtige Einrichtung, wenn mindestens eine der folgenden Alternativen erfüllt ist:

• Die Einrichtung beschäftigt mindestens 50 Mitarbeiter, oder
• ihr Jahresumsatz und ihre Jahresbilanzsumme liegen jeweils über 10 Millionen Euro.

Die Beschäftigtenalternative steht also neben der Finanzalternative. Bei 50 oder mehr Beschäftigten müssen die Finanzwerte nicht zusätzlich überschritten sein. Bei weniger als 50 Beschäftigten genügt dagegen nicht nur ein hoher Umsatz oder nur eine hohe Bilanzsumme: Beide Finanzwerte müssen jeweils über 10 Millionen Euro liegen.

Wann liegt grundsätzlich eine besonders wichtige Einrichtung vor?

Für die sonstigen Einrichtungsarten aus Anlage 1 gilt grundsätzlich die höhere Kategorie, wenn mindestens eine der folgenden Alternativen erfüllt ist:

• Die Einrichtung beschäftigt mindestens 250 Mitarbeiter, oder
• ihr Jahresumsatz liegt über 50 Millionen Euro und ihre Jahresbilanzsumme zugleich über 43 Millionen Euro.

Diese höhere Größenstufe wird nicht pauschal auf Anlage 2 übertragen. Ein sehr großer Maschinenbauer wird aufgrund der Maschinenbautätigkeit grundsätzlich wichtige Einrichtung; allein 250 Beschäftigte machen ihn nicht zur besonders wichtigen Einrichtung. Eine solche Einordnung kann sich aber aus einer zusätzlichen Tätigkeit nach Anlage 1, dem Betrieb einer kritischen Anlage oder einem anderen Sondertatbestand ergeben.

Schritt 4: Welche Sonderfälle gelten unabhängig von der üblichen Größe?

Nur bestimmte Einrichtungen werden unabhängig von den allgemeinen Größenwerten erfasst. Besonders praxisrelevant sind:

• Betreiber kritischer Anlagen: Sie sind besonders wichtige Einrichtungen.
• Qualifizierte Vertrauensdiensteanbieter: Sie sind größenunabhängig besonders wichtige Einrichtungen.
• Top-Level-Domain-Name-Registries und DNS-Diensteanbieter: Sie sind größenunabhängig besonders wichtige Einrichtungen.
• Sonstige Vertrauensdiensteanbieter: Sie sind größenunabhängig wichtige Einrichtungen.
• Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze: Sie sind auch unterhalb der allgemeinen Größe erfasst; die Größenwerte entscheiden hier über die Einstufung als wichtige oder besonders wichtige Einrichtung.

Demgegenüber sind Cloud-Computing-Dienste, Rechenzentren, Content Delivery Networks, Managed Services und Managed Security Services zwar Einrichtungsarten aus Anlage 1, aber nicht schon deshalb größenunabhängig erfasst. Für sie müssen grundsätzlich auch die Größenwerte des § 28 BSIG erfüllt sein, sofern kein weiterer Sonderfall greift.

Schritt 5: Wie wirken Konzern- und Beteiligungsstrukturen?

Die rechtliche Betroffenheit wird für jede Einrichtung gesondert geprüft. Für die Größenberechnung verweist § 28 Absatz 4 BSIG jedoch grundsätzlich auf die europäische KMU-Empfehlung 2003/361/EG. Je nach Beteiligung und Kontrolle können Beschäftigten-, Umsatz- und Bilanzwerte von Partnerunternehmen anteilig oder von verbundenen Unternehmen vollständig einzubeziehen sein.

Das BSI-Gesetz enthält zugleich eine besondere Korrektur: Werte von Partner- oder verbundenen Unternehmen müssen nicht hinzugerechnet werden, wenn die geprüfte Einrichtung unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände mit Blick auf Beschaffenheit und Betrieb ihrer IT-Systeme, Komponenten und Prozesse unabhängig ist.

Diese Ausnahme sollte nicht pauschal behauptet werden. Zentral betriebene Netze, gemeinsame Identitäts- und Berechtigungssysteme, gruppenweite Sicherheitsdienste, personelle Abhängigkeiten oder einheitliche Betriebsprozesse können gegen eine solche IT-Unabhängigkeit sprechen. Für die Entscheidung sind Organisationsunterlagen, Verträge, technische Abhängigkeiten und tatsächliche Betriebsabläufe relevant.

Schritt 6: Welche sektorspezifischen Regeln und Ausnahmen sind zu prüfen?

In einzelnen Sektoren greifen besondere Regelungen. Dazu gehören insbesondere Abgrenzungen im Energie- und Telekommunikationsrecht sowie das Verhältnis zur europäischen Verordnung über die digitale operationale Resilienz im Finanzsektor (DORA).

Finanzunternehmen sollten deshalb nicht nur fragen, ob ihre Tätigkeit in Anlage 1 genannt ist. Zusätzlich ist zu prüfen, welche Pflichten unmittelbar durch DORA geregelt werden und welche Vorschriften des BSI-Gesetzes deshalb nicht oder nur eingeschränkt anwendbar sind. Für nicht von DORA erfasste Gruppengesellschaften ist eine eigenständige Prüfung erforderlich.

Auch öffentlich-rechtliche Einrichtungen folgen teilweise eigenen gesetzlichen Zuordnungen. Der hier beschriebene Unternehmenscheck sollte deshalb nicht ungeprüft auf Behörden und sonstige Verwaltungseinrichtungen übertragen werden.

Direkt betroffen oder nur Anforderungen aus der Lieferkette?

Das BSI-Gesetz unterscheidet zwischen besonders wichtigen und wichtigen Einrichtungen. Eine dritte gesetzliche Kategorie „indirekt betroffen“ gibt es nicht.

Ein nicht direkt erfasstes Unternehmen kann dennoch erhebliche praktische Auswirkungen spüren. Nach § 30 BSIG müssen regulierte Einrichtungen Risiken in ihren Lieferketten und die Sicherheitsqualität ihrer unmittelbaren Anbieter und Dienste berücksichtigen. Deshalb verlangen Kunden häufig:

• vertraglich definierte Sicherheitsmaßnahmen und Mindeststandards,
• kurze Informations- und Mitwirkungsfristen bei Sicherheitsvorfällen,
• Nachweise, Fragebögen, Auditrechte oder Prüfberichte,
• Vorgaben für Unterauftragnehmer und Cloud-Dienste sowie
• Notfall-, Wiederanlauf- und Exit-Regelungen.

Solche Kundenanforderungen können wirtschaftlich sehr relevant sein, machen den Dienstleister oder Zulieferer aber nicht automatisch selbst zur wichtigen oder besonders wichtigen Einrichtung.

Wie sollte das Ergebnis des Betroffenheitschecks aussehen?

Ein belastbarer Check endet nicht nur mit „ja“ oder „nein“. Sinnvoll sind vier klar begründete Ergebnisarten:

1. Besonders wichtige Einrichtung: Ein passender Tatbestand des § 28 Absatz 1 BSIG ist erfüllt. Die gesetzliche Grundlage und gegebenenfalls die Größenberechnung werden benannt.
2. Wichtige Einrichtung: Ein Tatbestand des § 28 Absatz 2 BSIG ist erfüllt, ohne dass eine vorrangige Einstufung als besonders wichtige Einrichtung greift.
3. Wahrscheinlich nicht direkt erfasst: Keine geprüfte Einrichtungsart oder kein erforderlicher Größen- beziehungsweise Sondertatbestand ist erfüllt. Verbleibende vertragliche Anforderungen werden getrennt dokumentiert.
4. Weiterer Klärungsbedarf: Eine Definition, Größenzurechnung, Tätigkeit oder Ausnahme ist noch nicht belastbar geklärt. Offene Tatsachen, benötigte Unterlagen und Verantwortliche werden festgehalten.

Was gehört in eine belastbare Prüfdokumentation?

Die Dokumentation sollte so konkret sein, dass eine fachkundige dritte Person die Einordnung nachvollziehen und später aktualisieren kann.

1. Bezeichnung, Rechtsform und Sitz der geprüften Einrichtung,
2. Beschreibung ihrer tatsächlichen Waren, Dienste und Rollen,
3. Zuordnung zu konkreten Nummern und Definitionen der Anlage 1 oder 2,
4. verwendete Beschäftigten-, Umsatz- und Bilanzwerte mit Stichtag und Quellen,
5. berücksichtigte Partner- und verbundene Unternehmen einschließlich Berechnungsweg,
6. Begründung einer angenommenen IT-Unabhängigkeit nach § 28 Absatz 4 BSIG,
7. Prüfung größenunabhängiger und sektorspezifischer Sonderregeln,
8. Ergebnis mit gesetzlicher Grundlage, Annahmen und verbleibenden Unsicherheiten,
9. fachlich Verantwortliche, Freigabe und Datum der Entscheidung sowie
10. Anlässe für eine erneute Prüfung, etwa Wachstum, Zukäufe, neue Leistungen oder Umstrukturierungen.

Eine solche Dokumentation schafft keine automatische Rechtssicherheit. Sie verhindert aber, dass die Einordnung nur auf einer nicht belegten Annahme beruht, und erleichtert Geschäftsleitungsentscheidung, Registrierung und spätere Aktualisierung.

Was folgt aus dem Prüfergebnis?

Wenn das Unternehmen wichtig oder besonders wichtig ist

1. Registrierung organisieren: Die Einrichtung muss sich grundsätzlich innerhalb von drei Monaten nach erstmaliger oder erneuter Erfüllung der Voraussetzungen registrieren; Änderungen registrierter Angaben sind unverzüglich, spätestens innerhalb von zwei Wochen ab Kenntnis mitzuteilen. Für Betreiber kritischer Anlagen erfolgt die Registrierung nach dem KRITIS-Dachgesetz.
2. Scope und Verantwortlichkeiten festlegen: Betroffene Dienste, Systeme, Standorte, Schnittstellen und Entscheidungswege müssen klar sein.
3. Geschäftsleitung einbinden: Die Leitung muss die Risikomanagementmaßnahmen umsetzen und überwachen sowie die gesetzlich vorgesehene Schulung absolvieren.
4. Lücken zu § 30 BSIG bewerten: Bestehende technische und organisatorische Maßnahmen sind auf Angemessenheit, Verhältnismäßigkeit und Wirksamkeit zu prüfen.
5. Meldeprozess testen: Erhebliche Sicherheitsvorfälle müssen intern schnell erkannt, bewertet und nach dem gestuften gesetzlichen Verfahren gemeldet werden können.

Die Details erläutern unsere Beiträge zur NIS2-Meldepflicht, zur Verantwortung der Geschäftsleitung und zu Bußgeldern und Sanktionen.

Wenn das Unternehmen wahrscheinlich nicht direkt erfasst ist

Auch ein negatives Ergebnis sollte dokumentiert und mit einem Wiedervorlageanlass versehen werden. Parallel ist zu prüfen, welche Anforderungen regulierte Kunden, Versicherer, Auftraggeber oder Gruppengesellschaften vertraglich stellen. Neue Produkte, zusätzliche Dienste, Wachstum, Akquisitionen oder geänderte Konzernstrukturen können eine erneute Bewertung auslösen.

NIS2-Betroffenheitscheck

Betroffenheit nachvollziehbar und belastbar klären

Wir prüfen Einrichtungsart, Größenwerte, Unternehmensverbindungen und Sonderregeln und dokumentieren das Ergebnis als Grundlage für Geschäftsleitung und Umsetzung.

Unverbindliches Erstgespräch anfragen

Einrichtungsbezogene Prüfung · Klare Rechtsgrundlage · Priorisierte nächste Schritte

Häufige Fragen zur NIS2-Betroffenheit

Ist jedes Unternehmen ab 50 Beschäftigten von NIS2 betroffen?

Nein. Die Größe ist erst relevant, wenn die konkrete Tätigkeit einer Einrichtungsart aus Anlage 1 oder Anlage 2 BSIG entspricht. Ein großes Unternehmen außerhalb dieser Einrichtungsarten wird nicht allein wegen seiner Beschäftigtenzahl erfasst.

Sind Unternehmen mit weniger als 50 Beschäftigten immer ausgenommen?

Nein. Die allgemeine Schwelle kann auch über Umsatz und Bilanzsumme erreicht werden. Außerdem gibt es größenunabhängige Sondertatbestände, und bei der Größenberechnung können Werte von Partner- oder verbundenen Unternehmen relevant sein.

Ist jedes Unternehmen mit mindestens 250 Beschäftigten besonders wichtig?

Nein. Die allgemeine 250-Beschäftigten-Schwelle für besonders wichtige Einrichtungen bezieht sich auf sonstige Einrichtungsarten aus Anlage 1. Für eine ausschließlich in Anlage 2 genannte Tätigkeit führt die Größe allein grundsätzlich nicht in die höhere Kategorie.

Sind Cloud- und Managed-Service-Anbieter unabhängig von ihrer Größe betroffen?

Nein. Sie sind Einrichtungsarten aus Anlage 1, gehören aber nicht zu den ausdrücklich größenunabhängig erfassten Fällen. Ohne einen weiteren Sondertatbestand müssen sie grundsätzlich die gesetzlichen Größenwerte erfüllen.

Macht ein NIS2-pflichtiger Kunde seinen Zulieferer automatisch ebenfalls betroffen?

Nein. Die gesetzliche Betroffenheit des Zulieferers wird eigenständig geprüft. Der Kunde kann aufgrund seiner Lieferkettenpflichten aber Sicherheits-, Melde-, Nachweis- und Auditanforderungen vertraglich weitergeben.

Wird ein Konzern für NIS2 als ein Unternehmen behandelt?

Nein. Die Betroffenheit ist grundsätzlich für jede Einrichtung gesondert zu prüfen. Bei der Größenberechnung können jedoch Werte von Partner- und verbundenen Unternehmen einzubeziehen sein. Eine gesetzliche Ausnahme kann bei hinreichender IT-Unabhängigkeit greifen und muss im Einzelfall begründet werden.

Wann muss sich ein betroffenes Unternehmen registrieren?

Die Registrierung muss grundsätzlich spätestens drei Monate nach dem Zeitpunkt erfolgen, zu dem die Voraussetzungen erstmals oder erneut erfüllt sind. Für Unternehmen, die bereits mit Inkrafttreten der neuen Regelungen am 6. Dezember 2025 erfasst waren, ist die reguläre Dreimonatsfrist inzwischen abgelaufen. Eine ausstehende Registrierung sollte daher unverzüglich geklärt werden.

Beweist eine ISO-27001-Zertifizierung, dass ein Unternehmen NIS2-konform ist?

Nein. Eine Zertifizierung kann die strukturierte Umsetzung unterstützen, entscheidet aber weder über die Betroffenheit noch ersetzt sie automatisch die Prüfung sämtlicher gesetzlicher Anforderungen. Das BSI-Gesetz schreibt nicht für jedes betroffene Unternehmen pauschal eine ISO-27001-Zertifizierung vor.

Hinweis