NIS2: Ist mein Unternehmen betroffen?

Welche Branchen fallen unter NIS2?

NIS2 gilt nicht für alle Unternehmen, sondern nur für bestimmte Einrichtungsarten. Maßgeblich sind Anlage 1 und Anlage 2 des BSI-Gesetzes. Anlage 1 umfasst die Sektoren mit hoher Kritikalität, Anlage 2 weitere Sektoren – darunter das verarbeitende Gewerbe, das für den Mittelstand besonders wichtig ist.

Wie sich das in der Praxis verteilt, zeigt die BSI-Statistik „NIS-2 in Zahlen“ zum Stichtag 30.06.2026: Aus Anlage 2 kommen die meisten Registrierungen aus dem verarbeitenden Gewerbe (4.095), gefolgt von Lebensmitteln (1.782), Abfall (880) und Chemie (737). In Anlage 1 führen Gesundheit (3.354), digitale Infrastruktur (2.373) und Energie (2.365); Mehrfachnennungen sind möglich.

Ob Ihr Unternehmen dazugehört, können Sie in wenigen Minuten mit dem NIS2-Check einschätzen – höchstens acht Fragen, Ergebnis sofort, ohne Anmeldung.

Ab welcher Unternehmensgröße gilt NIS2?

Der Sektor allein genügt nicht: Hinzu kommt eine Größenschwelle. Wichtige Einrichtung ist, wer mindestens 50 Beschäftigte hat oder mehr als 10 Mio. € Umsatz und zugleich mehr als 10 Mio. € Bilanzsumme erreicht. Besonders wichtig ist, wer aus Anlage 1 stammt und mindestens 250 Beschäftigte hat oder mehr als 50 Mio. € Umsatz und mehr als 43 Mio. € Bilanzsumme.

Der Prüfweg in fünf Fragen

Fünf Fragen entlang der Prüfschritte des § 28 BSIG. Jede Frage müssen Sie für jede Gesellschaft einzeln beantworten. Das Ergebnis ist eine Ersteinschätzung und ersetzt keine rechtliche Prüfung im Einzelfall.

1. 1

   Frage 1: Bietet Ihr Unternehmen Waren oder Dienstleistungen gegen Entgelt an?

   Das Entgelt ist Voraussetzung für die Größen-Kategorien (§ 28 Abs. 1 Nr. 4, Abs. 2 Nr. 3 BSIG).

   • Nein Keine direkte Betroffenheit über die Größen-Kategorien.

2. 2

   Frage 2: Gehört diese Tätigkeit zu einer Einrichtungsart aus Anlage 1 oder Anlage 2 des BSI-Gesetzes?

   Anlage 1: Energie, Transport, Finanzen, Gesundheit, Wasser, digitale Infrastruktur, Weltraum. Anlage 2: Post, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe (u. a. Maschinenbau), digitale Dienste, Forschung.

   • Nein Nicht direkt betroffen. Anforderungen können Sie trotzdem über Ihre Kunden erreichen.

3. 3

   Frage 3: Sind Sie ein größenunabhängiger Sonderfall – etwa Betreiber einer kritischen Anlage, Vertrauensdiensteanbieter, TLD-Registry, DNS-Diensteanbieter oder Telekommunikationsanbieter?

   Diese Einrichtungen sind unabhängig von Beschäftigtenzahl, Umsatz und Bilanzsumme erfasst (§ 28 Abs. 1 Nr. 1, 2 BSIG). Nicht qualifizierte Vertrauensdiensteanbieter und kleinere Anbieter von Telekommunikationsnetzen und -diensten sind ebenfalls größenunabhängig erfasst, dann als wichtige Einrichtung (§ 28 Abs. 2 Nr. 1, 2 BSIG).

   • Ja Größenunabhängig erfasst – besonders wichtige oder wichtige Einrichtung.
   • Nein Weiter zur Größenprüfung.

4. 4

   Frage 4: Anlage 1 und mindestens 250 Beschäftigte – oder mehr als 50 Mio. € Umsatz und zugleich mehr als 43 Mio. € Bilanzsumme?

   Beschäftigte zählen alternativ („oder“), Umsatz und Bilanzsumme nur zusammen („und“).

   • Ja Besonders wichtige Einrichtung (§ 28 Abs. 1 Nr. 4 BSIG).
   • Nein Weiter zur nächsten Schwelle.

5. 5

   Frage 5: Anlage 1 oder 2 und mindestens 50 Beschäftigte – oder mehr als 10 Mio. € Umsatz und zugleich mehr als 10 Mio. € Bilanzsumme?

   Maßgeblich ist der letzte Rechnungsabschluss; der Status wechselt erst nach zwei aufeinanderfolgenden Geschäftsjahren.

   • Ja Wichtige Einrichtung (§ 28 Abs. 2 Nr. 3 BSIG).
   • Nein Voraussichtlich nicht direkt betroffen – prüfen Sie Ihre Kundenverträge.

Zum NIS2-Check

Wie werden Mitarbeitende gezählt?

Gezählt wird nach der europäischen KMU-Empfehlung in Jahresarbeitseinheiten, auf die § 28 Abs. 4 BSIG verweist. Teilzeitkräfte zählen anteilig. Auszubildende zählen nach Auskunft des BSI nicht mit, ebenso wenig Zeiten von Mutterschutz und Elternzeit. Maßgeblich sind die Werte des letzten Rechnungsabschlusses, nicht der heutige Personalstand.

Praktisch heißt das: Die Zahl auf der Gehaltsabrechnung ist nicht automatisch die Zahl, die zählt. Lassen Sie sich die Jahresarbeitseinheiten aus der Personalabteilung geben und halten Sie fest, wie Sie gerechnet haben – das ist Teil Ihrer Dokumentation.

Zählen Konzern- und Partnerunternehmen mit?

Grundsätzlich ja: Nach § 28 Abs. 4 BSIG werden die Daten von Partner- und verbundenen Unternehmen hinzugerechnet, auch von Konzerngesellschaften außerhalb der EU. Es gibt aber eine wichtige Ausnahme: Ist Ihre Gesellschaft mit Blick auf Beschaffenheit und Betrieb ihrer IT-Systeme, Komponenten und Prozesse unabhängig, bleibt die Zurechnung aus.

Nach der Gesetzesbegründung liegt Unabhängigkeit regelmäßig vor, wenn die Einrichtung grundsätzliche Entscheidungen zu Beschaffung, Betrieb und Konfiguration eigenverantwortlich treffen kann – auch dann, wenn ein beauftragter Dienstleister die IT betreibt. Sie fehlt regelmäßig, wenn die Konzernmutter die IT vollständig betreibt und die Tochter keinen Einfluss hat.

Zwei weitere Punkte für Unternehmensgruppen: Die Betroffenheit wird pro Einrichtung geprüft – eine Mutter wird nicht automatisch pflichtig, weil eine Tochter es ist. Und: Eine konzerninterne IT-GmbH mit administrativem Zugriff auf Systeme anderer Konzerngesellschaften ist nach Auffassung des BSI ein Managed Service Provider und damit selbst eine Einrichtungsart aus Anlage 1.

Was, wenn wir die Schwelle nur ein Jahr überschreiten?

Ein einzelnes starkes Jahr ändert den Status noch nicht. Nach der Gesetzesbegründung (BT-Drs. 21/1501, S. 144 f.) und der BSI-FAQ wechselt die Einordnung erst, wenn die Schwelle in zwei aufeinanderfolgenden Geschäftsjahren über- oder unterschritten wird. Das gilt in beide Richtungen. Ausnahmen gelten für Neugründungen, bei denen noch keine zwei Abschlüsse vorliegen.

Für die Praxis heißt das: Beobachten Sie die Entwicklung, statt jedes Jahr neu zu erschrecken. Wer absehbar hineinwächst, sollte die Vorbereitung früh beginnen – Registrierung, Maßnahmen und Nachweise entstehen nicht in drei Monaten.

Was ist eine vernachlässigbare Tätigkeit?

Geschäftstätigkeiten, die im Verhältnis zur gesamten Geschäftstätigkeit vernachlässigbar sind, können bei der Zuordnung zu Anlage 1 und 2 unberücksichtigt bleiben (§ 28 Abs. 3 BSIG). Anhaltspunkte sind Beschäftigte, Umsatz oder Bilanzsumme dieses Bereichs im Verhältnis zum Unternehmen insgesamt. Eine feste Prozentgrenze nennt das Gesetz nicht; entscheidend ist das Gesamtbild.

Ein Indiz gegen eine vernachlässigbare Tätigkeit ist ihre Nennung im Gesellschaftsvertrag oder in der Satzung. Wer sich auf diese Ausnahme stützt, sollte die Begründung schriftlich festhalten – im Zweifel müssen Sie sie gegenüber dem BSI erläutern können.

Wer ist unabhängig von der Größe betroffen?

Einige Einrichtungsarten sind nach § 28 BSIG unabhängig von Beschäftigtenzahl, Umsatz und Bilanzsumme erfasst. Dazu gehören als besonders wichtige Einrichtungen die Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Diensteanbieter – und als wichtige Einrichtungen die nicht qualifizierten Vertrauensdiensteanbieter sowie kleinere Anbieter von Telekommunikationsnetzen und -diensten.

Gerade kleine Anbieter unterschätzen das: Ein Unternehmen mit zehn Beschäftigten kann als Vertrauensdiensteanbieter oder Telekommunikationsanbieter erfasst sein, während ein Maschinenbauer mit 40 Beschäftigten es nicht ist.

Welche Sonderregeln gelten für Finanzwirtschaft, Telekommunikation und Energie?

Für drei Bereiche gilt vorrangiges Fachrecht. Für Finanzunternehmen unter DORA gelten die §§ 30, 31, 32, 35, 36, 38 und 39 BSIG nicht – die Registrierung beim BSI bleibt aber Pflicht, weil § 33 BSIG von dieser Ausnahme nicht erfasst ist. Für Telekommunikation und Energie stehen gleichwertige Pflichten der Geschäftsleitung im TKG und im EnWG.

• Finanzwirtschaft: DORA ist das speziellere Recht; Art. 5 Abs. 4 DORA verlangt eigene regelmäßige Schulungen des Leitungsorgans.
• Telekommunikation: § 165 Abs. 2b bis 2d TKG regelt Umsetzung, Überwachung, Haftung und Schulungspflicht.
• Energie: § 5e EnWG enthält die Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen.

Die Pflicht zur Schulung der Geschäftsleitung verschwindet in diesen Bereichen also nicht – sie steht nur an anderer Stelle im Gesetz.

Sind kommunale Unternehmen betroffen?

Landes- und Kommunalverwaltungen sind als solche kein Sektor des BSI-Gesetzes. Das heißt aber nicht, dass kommunale Stellen nie betroffen sind: § 28 Abs. 1 Nr. 4 und Abs. 2 Nr. 3 BSIG erfassen ausdrücklich auch rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft, die entgeltlich Waren oder Dienstleistungen einer Einrichtungsart aus Anlage 1 oder 2 anbieten.

Typische Beispiele sind Eigenbetriebe in den Bereichen Energie, Wasser oder Abfall. Ausgenommen sind nur die Fälle des § 28 Abs. 8 BSIG – etwa bestimmte Verwaltungsdienstleister, die landesrechtlich vergleichbar reguliert sind.

Was müssen betroffene Unternehmen jetzt tun?

Vier Schritte stehen am Anfang, und sie hängen zusammen: Betroffenheit feststellen und dokumentieren, beim BSI registrieren, die Maßnahmen nach § 30 BSIG umsetzen und die Meldewege einrichten. Dazu kommen die Pflichten der Geschäftsleitung nach § 38 BSIG – Umsetzung, Überwachung und regelmäßige Schulung.

1. Betroffenheit prüfen und festhalten: Sektor, entgeltliches Angebot, Jahresarbeitseinheiten, Umsatz, Bilanzsumme, Konzernzurechnung – mit Datum und Begründung.
2. Registrieren: Die Frist beträgt drei Monate ab Eintritt der Betroffenheit. Wie das abläuft, steht im Artikel NIS2-Registrierung beim BSI.
3. Maßnahmen umsetzen: die zehn Mindestmaßnahmen nach § 30 BSIG, dokumentiert und überwacht.
4. Meldewege einrichten und üben: 24 Stunden, 72 Stunden, ein Monat – die Fristen stehen im Artikel NIS2-Meldepflicht.

Wenn Sie bei Schritt 1 unsicher sind: Die Betroffenheitsprüfung von GEFIM ordnet Ihre Situation fachlich ein und hält das Ergebnis nachvollziehbar fest. Eine rechtsverbindliche Prüfung ist das nicht – auch die Betroffenheitsprüfung des BSI ist nicht rechtsverbindlich.

Nicht betroffen – und jetzt?

Dann haben Sie keine Pflichten aus dem BSI-Gesetz. Anforderungen können Sie trotzdem erreichen: Betroffene Kunden müssen die Sicherheit ihrer Lieferkette berücksichtigen und geben Anforderungen zunehmend vertraglich weiter. Nach Schätzung des BSI vom 05.12.2025 sind rund 29.500 Unternehmen und Einrichtungen in Deutschland betroffen – jedes davon hat Lieferanten.

Drei Dinge lohnen sich auch ohne eigene Pflicht: die Zahlen im Blick behalten (wer zwei Jahre über der Schwelle liegt, wird betroffen), Kundenfragebögen vorbereiten – dazu der Artikel NIS2 in der Lieferkette – und die Grundlagen im Leitungskreis verstehen. Die BSI-Handreichung zur Geschäftsleitungsschulung^{¹Fußnote 1: Hinweis zur BSI-Handreichung} richtet sich ausdrücklich auch an nicht regulierte Unternehmen.