Wer ist von NIS2 betroffen? Sektoren, Größe und Sonderfälle
Ob ein Unternehmen unter NIS2 fällt, entscheiden drei Fragen: In welchem Sektor ist es tätig, wie groß ist es, und liegt ein Sonderfall vor? Diese Seite listet alle Sektoren der Anlagen 1 und 2 zum BSIG, erklärt die Schwellenwerte und wie richtig gezählt wird und führt Sie in fünf Schritten durch die Betroffenheitsprüfung.
- 15 Sektoren in Anlage 1 und Anlage 2 zum BSIG
- 50 / 250 Mitarbeitende: die beiden Größenschwellen
- rund 29.500 betroffene Einrichtungen in Deutschland
- 2 Kategorien: besonders wichtige und wichtige Einrichtungen
Besonders wichtige und wichtige Einrichtungen
Das BSIG ordnet betroffene Unternehmen einer von zwei Kategorien zu. Maßgeblich sind Sektor und Unternehmensgröße; die Kategorie bestimmt Aufsichtsintensität und Bußgeldrahmen, die Pflichten selbst sind weitgehend gleich.
| Kategorie | Sektoren | Größe | Bußgeldrahmen |
|---|---|---|---|
| Besonders wichtige Einrichtung | Anlage 1 | Großunternehmen: ab 250 Mitarbeitenden oder mehr als 50 Mio. € Jahresumsatz und 43 Mio. € Bilanzsumme | bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes |
| Wichtige Einrichtung | Anlage 1 oder Anlage 2 | Mittlere Unternehmen: ab 50 Mitarbeitenden oder mehr als 10 Mio. € Jahresumsatz und Bilanzsumme; Großunternehmen in Sektoren der Anlage 2 | bis zu 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes |
| Nicht direkt betroffen | Kein erfasster Sektor, oder erfasster Sektor unterhalb der Schwellen | Kleine und Kleinstunternehmen ohne Sonderfall | Keine eigenen Pflichten aus dem BSIG; Anforderungen kommen über die Lieferkette |
Die Kategorie hängt am Sektor, nicht nur an der Größe: Ein Großunternehmen im Maschinenbau (Anlage 2) ist eine wichtige Einrichtung, ein Großunternehmen in der Energieversorgung (Anlage 1) eine besonders wichtige. Bei mehreren Tätigkeiten zählt die strengste Einordnung.
Alle Sektoren der Anlagen 1 und 2
Die Anlagen zum BSIG beschreiben nicht Branchen, sondern Einrichtungsarten. Prüfen Sie deshalb, ob Ihr Unternehmen tatsächlich eine der beschriebenen Tätigkeiten ausübt. Die Beispiele dienen der Orientierung, maßgeblich ist der Wortlaut der Anlagen.
| Sektor | Typische erfasste Einrichtungsarten |
|---|---|
| Energie | Stromerzeugung und -versorgung, Betreiber von Energieversorgungsnetzen, Fernwärme und -kälte, Gas, Öl, Wasserstoff |
| Transport und Verkehr | Luftverkehr, Schienenverkehr, Schifffahrt und Häfen, Straßenverkehr, etwa Betreiber intelligenter Verkehrssysteme |
| Finanz- und Versicherungswesen | Kreditinstitute, Finanzmarktinfrastrukturen und weitere Finanzunternehmen; soweit DORA gilt, gehen deren Regeln weitgehend vor |
| Gesundheit | Krankenhäuser und andere Gesundheitsdienstleister, EU-Referenzlaboratorien, Forschung und Herstellung von Arzneimitteln |
| Wasser und Abwasser | Trinkwasserversorgung, Abwasserbeseitigung |
| Digitale Infrastruktur | Internetknoten, DNS-Dienste, TLD-Registries, Cloud-Dienste, Rechenzentren, Content-Delivery-Netze, Vertrauensdienste, öffentliche TK-Netze und -Dienste |
| IKT-Dienstleistungsmanagement (B2B) | Managed Service Provider und Managed Security Service Provider, die IT für andere Unternehmen betreiben oder absichern |
| Weltraum | Betreiber von Bodeninfrastruktur für weltraumgestützte Dienste |
| Sektor | Typische erfasste Einrichtungsarten |
|---|---|
| Post- und Kurierdienste | Anbieter von Post- und Kurierdiensten |
| Abfallwirtschaft | Abfallbewirtschaftung als Haupttätigkeit |
| Chemie | Herstellung von und Handel mit chemischen Stoffen |
| Lebensmittel | Produktion, Verarbeitung und Großhandel von Lebensmitteln |
| Verarbeitendes Gewerbe (u. a. Medizinprodukte, Elektronik, Maschinenbau, Fahrzeugbau) | Medizinprodukte und In-vitro-Diagnostika, Datenverarbeitungsgeräte, elektronische und optische Erzeugnisse, elektrische Ausrüstungen, Maschinenbau, Kraftwagen und Fahrzeugbau |
| Digitale Dienste (Marktplätze, Suchmaschinen, soziale Netzwerke) | Online-Marktplätze, Online-Suchmaschinen, Plattformen sozialer Netzwerke |
| Forschung | Forschungseinrichtungen, die angewandte Forschung oder experimentelle Entwicklung betreiben |
Nebentätigkeiten: Geschäftstätigkeiten, die im Verhältnis zur gesamten Geschäftstätigkeit vernachlässigbar sind, können bei der Zuordnung unberücksichtigt bleiben. Ein eigenes kleines Rechenzentrum für den Eigenbedarf macht ein Handelsunternehmen nicht zum Rechenzentrumsbetreiber. Halten Sie die Begründung fest.
Sonderfälle: Wer auch als kleines Unternehmen betroffen ist
Für einige Einrichtungsarten gelten die Größenschwellen nicht. Sie fallen wegen ihrer Bedeutung für Staat, Wirtschaft und digitale Infrastruktur immer unter das Gesetz.
- Besonders wichtig
Betreiber kritischer Anlagen
Unternehmen, die eine Anlage betreiben, die die Schwellenwerte der KRITIS-Regelungen erreicht, etwa in Energie, Wasser, Gesundheit oder Transport. Sie sind unabhängig von ihrer Mitarbeiterzahl besonders wichtige Einrichtungen und erbringen zusätzlich regelmäßig Nachweise gegenüber dem BSI.
- Besonders wichtig oder wichtig
Vertrauensdiensteanbieter
Qualifizierte Vertrauensdiensteanbieter, etwa für qualifizierte elektronische Signaturen, Siegel oder Zeitstempel, sind unabhängig von der Größe besonders wichtige Einrichtungen. Nicht qualifizierte Vertrauensdiensteanbieter sind unabhängig von der Größe wichtige Einrichtungen.
- Besonders wichtig
TLD-Registries und DNS-Diensteanbieter
Wer eine Top-Level-Domain verwaltet oder DNS-Dienste anbietet, ist unabhängig von der Größe besonders wichtige Einrichtung. Auch kleine Anbieter fallen darunter, weil Ausfälle unmittelbar auf viele andere Dienste durchschlagen.
- Besonders wichtig oder wichtig
Öffentliche Telekommunikationsnetze und -dienste
Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze sind immer erfasst. Ab der Größe eines mittleren Unternehmens sind sie besonders wichtige Einrichtungen, darunter wichtige Einrichtungen.
Unternehmensgröße nach der EU-KMU-Empfehlung
Die Schwellen klingen eindeutig, die Berechnung ist es nicht. Das BSIG verweist für Mitarbeiterzahl, Jahresumsatz und Bilanzsumme auf die Empfehlung 2003/361/EG der EU-Kommission, und die zählt mehr als nur die eigene Gesellschaft.
- Mitarbeitende
Jahresarbeitseinheiten statt Köpfe
Gezählt werden Beschäftigte in Vollzeitäquivalenten über das Jahr. Teilzeitkräfte und Saisonkräfte gehen anteilig ein; Auszubildende werden nicht mitgezählt. Grundlage sind die Zahlen des letzten abgeschlossenen Geschäftsjahres.
- Finanzzahlen
Umsatz und Bilanzsumme
Für wichtige Einrichtungen gilt die Schwelle ab 50 Mitarbeitenden oder mehr als 10 Mio. € Jahresumsatz und Bilanzsumme. Wer unter 50 Mitarbeitenden liegt, aber Umsatz und Bilanzsumme über 10 Mio. € hat, kann also trotzdem betroffen sein. Prüfen Sie beide Wege.
- Unternehmensverbund
Partner- und verbundene Unternehmen
Verbundene Unternehmen, etwa Mutter- und Tochtergesellschaften mit Mehrheitsbeteiligung, werden voll hinzugerechnet. Partnerunternehmen mit Beteiligungen ab 25 Prozent gehen anteilig ein. Deshalb kann eine kleine Gesellschaft in einem großen Konzern als Großunternehmen gelten.
Praxishinweis: Ziehen Sie die Zahlen für jede geprüfte Gesellschaft aus Jahresabschluss und Personalstatistik und dokumentieren Sie den Konsolidierungskreis. Gerade bei Beteiligungen zwischen 25 und 50 Prozent entscheidet die saubere Rechnung über die Einordnung.
Nicht direkt betroffen heißt nicht unberührt
Betroffene Einrichtungen müssen nach § 30 BSIG die Sicherheit ihrer Lieferkette absichern. Sie geben die Anforderungen an Zulieferer und Dienstleister weiter, unabhängig von deren Größe.
-
Was auf Zulieferer zukommt
Sicherheitsfragebögen, Vertragsklauseln mit Meldepflichten und Auditrechten, Mindestanforderungen wie Multi-Faktor-Authentifizierung oder Backup-Konzept und die Frage nach Zertifikaten. Besonders IT-Dienstleister und Hersteller vernetzter Komponenten sind gefragt.
-
Betroffen als Zulieferer?
Wie die Lieferkettenpflicht wirkt, was Fragebögen und Verträge typischerweise verlangen und wie Sie einmal statt zwanzigmal antworten, lesen Sie auf unserer Seite für Zulieferer und Dienstleister.
Die NIS2-Betroffenheitsprüfung in fünf Schritten
So kommen Sie zu einer belastbaren Einordnung. Das Ergebnis gehört schriftlich in die Akte, auch wenn es lautet: nicht betroffen.
-
Tätigkeiten erfassen und Sektoren zuordnen
Listen Sie alle Geschäftstätigkeiten je Gesellschaft auf und gleichen Sie sie mit den Einrichtungsarten der Anlagen 1 und 2 ab. Geprüft wird die tatsächliche Tätigkeit, nicht der Eintrag im Handelsregister. Vernachlässigbare Nebentätigkeiten begründet ausklammern.
-
Unternehmensgröße bestimmen
Mitarbeitende in Jahresarbeitseinheiten, Jahresumsatz und Bilanzsumme des letzten Geschäftsjahres, einschließlich Partner- und verbundener Unternehmen nach der EU-KMU-Empfehlung. Vergleichen Sie mit beiden Schwellen.
-
Sonderfälle prüfen
Betreiben Sie eine kritische Anlage, Vertrauensdienste, DNS-Dienste, eine TLD-Registry oder öffentliche Telekommunikationsnetze und -dienste? Dann greifen die Größenschwellen nicht oder nur für die Kategorie.
-
Kategorie ableiten
Besonders wichtige Einrichtung, wichtige Einrichtung oder nicht betroffen. Bei mehreren Tätigkeiten gilt die strengste Einordnung. Bei Nichtbetroffenheit festhalten, welches Kriterium fehlt und wie knapp das Ergebnis ist.
-
Dokumentieren, freigeben, Folgen auslösen
Ergebnis mit Begründung und Zahlen schriftlich festhalten und von der Geschäftsleitung freigeben lassen. Bei Betroffenheit folgt die Registrierung beim BSI binnen drei Monaten. Wiedervorlage mit jedem Jahresabschluss und bei Zukäufen oder neuen Geschäftsfeldern.
Schnelle Ersteinschätzung: Der NIS2-Check auf jamorie.eu gibt Ihnen in drei Minuten eine erste Orientierung. Wie die Geschäftsleitung die Prüfung veranlasst und was das freigabefähige Dokument enthalten muss, erklärt die Seite Betroffenheit prüfen auf nis2-geschaeftsfuehrer.de.
Wer von NIS2 betroffen ist
NIS2: Wer ist betroffen?
Betroffen sind Unternehmen, die in einem der 15 Sektoren der Anlagen 1 und 2 zum BSIG tätig sind und mindestens die Größe eines mittleren Unternehmens erreichen, also ab 50 Mitarbeitenden oder mehr als 10 Mio. € Jahresumsatz und Bilanzsumme. Großunternehmen ab 250 Mitarbeitenden oder mehr als 50 Mio. € Jahresumsatz und 43 Mio. € Bilanzsumme in Sektoren der Anlage 1 sind besonders wichtige Einrichtungen. Hinzu kommen Sonderfälle unabhängig von der Größe, etwa Betreiber kritischer Anlagen, Vertrauensdiensteanbieter, DNS-Diensteanbieter, TLD-Registries und Anbieter öffentlicher Telekommunikationsnetze und -dienste.
Wie läuft eine NIS2-Betroffenheitsprüfung ab?
In fünf Schritten: Tätigkeiten erfassen und Sektoren zuordnen, Unternehmensgröße nach der EU-KMU-Empfehlung bestimmen, Sonderfälle prüfen, Kategorie ableiten und das Ergebnis schriftlich mit Freigabe der Geschäftsleitung festhalten. In klaren Fällen ist das eine Sache von Stunden; bei mehreren Tätigkeiten, Konzernstrukturen oder Zahlen nahe der Schwelle lohnt eine begründete externe Einordnung.
Welche NIS2-Sektoren gibt es?
Anlage 1 (Sektoren mit hoher Kritikalität): Energie, Transport und Verkehr, Finanz- und Versicherungswesen, Gesundheit, Wasser und Abwasser, Digitale Infrastruktur, IKT-Dienstleistungsmanagement (B2B), Weltraum. Anlage 2 (sonstige kritische Sektoren): Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, Verarbeitendes Gewerbe (u. a. Medizinprodukte, Elektronik, Maschinenbau, Fahrzeugbau), Digitale Dienste (Marktplätze, Suchmaschinen, soziale Netzwerke), Forschung. Entscheidend ist nicht die Branchenbezeichnung, sondern ob Ihr Unternehmen tatsächlich eine der in den Anlagen beschriebenen Einrichtungsarten betreibt.
Wer ist nach der NIS2-Richtlinie betroffen, und was gilt in Deutschland?
Die NIS2-Richtlinie (EU) 2022/2555 legt Sektoren und Größenschwellen EU-weit fest, gilt aber nicht unmittelbar. In Deutschland ist sie durch das NIS2-Umsetzungsgesetz umgesetzt, das am 6. Dezember 2025 in Kraft getreten ist und das BSI-Gesetz neu gefasst hat. Maßgeblich für Ihre Einordnung sind deshalb die Anlagen 1 und 2 zum BSIG. Sie folgen weitgehend den Anhängen der Richtlinie, verwenden aber eigene Begriffe wie besonders wichtige und wichtige Einrichtungen.
Wie viele Unternehmen sind von NIS2 betroffen?
In Deutschland wird mit rund 29.500 betroffenen Einrichtungen gerechnet. Ob Ihr Unternehmen dazugehört, ergibt sich nicht aus einer Liste: Das BSI verschickt keine Bescheide, jedes Unternehmen muss selbst prüfen, ob es unter das Gesetz fällt. Mittelbar betroffen sind deutlich mehr Unternehmen, nämlich alle Zulieferer und Dienstleister, an die betroffene Kunden ihre Anforderungen weitergeben.
Sind Unternehmen mit weniger als 50 Mitarbeitenden von NIS2 betroffen?
In der Regel nicht direkt, solange Umsatz und Bilanzsumme nicht über den Schwellen liegen und kein Sonderfall vorliegt. Achten Sie aber auf zwei Punkte: Partner- und verbundene Unternehmen werden bei der Größe mitgezählt, sodass eine kleine Tochter eines großen Konzerns betroffen sein kann. Und als Zulieferer betroffener Kunden erreichen Sie die Anforderungen über Fragebögen und Verträge trotzdem.
Vertiefung zur NIS2-Umsetzung
-
Registrierung beim BSI
Die erste Pflicht nach der Einordnung: Angaben, Drei-Monats-Frist und wie Sie eine versäumte Registrierung nachholen.
-
NIS2-Anforderungen
Die zehn Maßnahmen nach § 30 BSIG mit typischen Nachweisen und häufigen Lücken.
-
Betroffen als Zulieferer?
Wie NIS2 über die Lieferkette auch Unternehmen unterhalb der Schwellen erreicht.
-
NIS2-Beratung im Überblick
Betroffenheit, Pflichten, Vorgehen in vier Schritten und die häufigsten Fragen auf der Startseite.
Marcel Rieger
Betroffenheit klären, schriftlich und begründet
Im kostenlosen Erstgespräch gehen wir Sektor, Größe und mögliche Sonderfälle Ihres Unternehmens durch und sagen Ihnen, ob und wie Sie betroffen sind und was daraus folgt.
- Zuordnung Ihrer Tätigkeiten zu den Anlagen 1 und 2
- Größenberechnung inklusive Partner- und verbundener Unternehmen
- Freigabefähige Einordnung für die Geschäftsleitung
Danke, wir rufen Sie an.
Sie hören innerhalb eines Werktags von uns, meist deutlich schneller. Wenn Sie lieber gleich einen festen Termin wählen möchten, geht das direkt im Kalender auf jamorie.eu.
Termin selbst wählen