Von NIS2 betroffen ist, wer in einem der 18 regulierten Sektoren tätig ist und mindestens 50 Mitarbeitende beschäftigt oder über 10 Millionen Euro Jahresumsatz und Bilanzsumme liegt. Ab 250 Mitarbeitenden oder 50 Millionen Euro Umsatz gelten Unternehmen der Anlage-1-Sektoren als besonders wichtige Einrichtung. Einige Dienste sind größenunabhängig erfasst. Die Prüfung ist Bringschuld — das BSI verschickt keine Bescheide.
„Betrifft uns NIS2?“ ist seit Dezember 2025 eine der häufigsten Fragen in deutschen Geschäftsführungen — und eine der am häufigsten falsch beantworteten. Manche Unternehmen wähnen sich sicher, weil sie „keine kritische Infrastruktur“ betreiben. Andere zahlen für Panik-Beratung, obwohl sie unter keiner Schwelle liegen. Beides lässt sich vermeiden: Die Betroffenheitsprüfung folgt klaren Kriterien und ist in einer Stunde erledigt.
Dieser Artikel führt Sie durch den Selbstcheck: alle 18 Sektoren mit typischen Beispielen, die Größenschwellen mit ihren Tücken bei der Berechnung, die Sonderfälle ohne Größenschwelle — und die Frage, was Zulieferer tun sollten, die selbst nicht erfasst sind. Wichtig zu wissen: Die Prüfung ist gesetzliche Bringschuld. Niemand teilt Ihnen mit, dass Sie betroffen sind.
Die Grundregel: Sektor plus Größe
Die Betroffenheit nach dem neuen BSI-Gesetz (§ 28 BSIG) beruht auf zwei Kriterien, die beide erfüllt sein müssen:
- Sektorzugehörigkeit: Ihre Geschäftstätigkeit fällt unter eine der Einrichtungsarten, die in Anlage 1 oder Anlage 2 des BSIG gelistet sind — insgesamt 18 Sektoren.
- Größenklasse: Ihr Unternehmen erreicht die Schwellenwerte für Mitarbeitende, Umsatz und Bilanzsumme.
Je nach Kombination wird ein Unternehmen als wichtige Einrichtung oder als besonders wichtige Einrichtung eingestuft. Die inhaltlichen Pflichten — Risikomanagement, Meldepflichten, Registrierung, Geschäftsleiterverantwortung — sind für beide Kategorien weitgehend gleich. Unterschiede bestehen bei der Aufsicht (proaktiv gegenüber reaktiv) und beim Bußgeldrahmen (bis 10 Millionen Euro gegenüber bis 7 Millionen Euro).
Daneben existiert eine dritte Gruppe: Betreiber kritischer Anlagen (KRITIS). Sie gelten unabhängig von ihrer Unternehmensgröße stets als besonders wichtige Einrichtung und tragen Zusatzpflichten, etwa Systeme zur Angriffserkennung und regelmäßige Nachweise gegenüber dem BSI. Ob eine Anlage kritisch ist, bestimmen Schwellenwerte einer Rechtsverordnung — etwa versorgte Personenzahlen.
Die 18 Sektoren im Überblick
Die folgende Tabelle zeigt beide Anlagen mit typischen Unternehmensbeispielen. Entscheidend ist immer die konkrete Einrichtungsart im Gesetz — die Beispiele dienen der Orientierung:
| Anlage | Sektor | Typische Beispiele |
|---|---|---|
| 1 | Energie | Stromnetzbetreiber, Stadtwerke, Gashändler, Ladepunktbetreiber |
| 1 | Transport und Verkehr | Fluggesellschaften, Reedereien, Bahnunternehmen, Speditionen mit Verkehrsinfrastruktur |
| 1 | Bankwesen | Kreditinstitute (vorrangig DORA) |
| 1 | Finanzmarktinfrastrukturen | Handelsplätze, zentrale Gegenparteien (vorrangig DORA) |
| 1 | Gesundheitswesen | Krankenhäuser, Labore, Pharmahersteller, Medizinforschung |
| 1 | Trinkwasser | Wasserversorger |
| 1 | Abwasser | Betreiber von Abwasseranlagen |
| 1 | Digitale Infrastruktur | Rechenzentren, Cloud-Anbieter, DNS-Dienste, TK-Anbieter, Vertrauensdienste |
| 1 | IKT-Dienstleistungsmanagement (B2B) | Managed-Service-Provider, Managed-Security-Provider |
| 1 | Öffentliche Verwaltung | Einrichtungen der Bundesverwaltung |
| 1 | Weltraum | Betreiber von Bodeninfrastruktur |
| 2 | Post- und Kurierdienste | Paketdienste, Kurierunternehmen |
| 2 | Abfallwirtschaft | Entsorger, Recyclingunternehmen |
| 2 | Chemie | Hersteller und Händler chemischer Stoffe |
| 2 | Lebensmittel | Lebensmittelproduktion, Großhandel |
| 2 | Verarbeitendes Gewerbe | Maschinenbau, Fahrzeugbau, Elektronik, Optik, Medizinprodukte |
| 2 | Digitale Dienste | Online-Marktplätze, Suchmaschinen, soziale Netzwerke |
| 2 | Forschung | Forschungseinrichtungen mit kommerzieller Ausrichtung |
Besonders unterschätzt wird das verarbeitende Gewerbe: Wer Maschinen, Fahrzeuge, elektronische Bauteile oder Medizinprodukte herstellt, ist bei entsprechender Größe erfasst — unabhängig davon, wie „kritisch“ sich das eigene Produkt anfühlt.
Größenklassen richtig berechnen
Die Schwellenwerte folgen der EU-KMU-Systematik. Es gelten zwei Stufen:
- Wichtige Einrichtung: mindestens 50 Mitarbeitende oder mehr als 10 Millionen Euro Jahresumsatz und mehr als 10 Millionen Euro Jahresbilanzsumme.
- Besonders wichtige Einrichtung: mindestens 250 Mitarbeitende oder mehr als 50 Millionen Euro Jahresumsatz und mehr als 43 Millionen Euro Bilanzsumme — nur in den Sektoren der Anlage 1.
Drei Punkte sorgen in der Praxis regelmäßig für Fehleinschätzungen:
- Die Oder-Verknüpfung bei den Mitarbeitenden: Schon 50 Beschäftigte genügen, selbst wenn der Umsatz unter 10 Millionen Euro liegt. Umgekehrt reicht ein hoher Umsatz allein nur, wenn auch die Bilanzsumme über der Schwelle liegt.
- Mitarbeiterzählung: Gezählt wird in Vollzeitäquivalenten (Jahresarbeitseinheiten), nicht nach Köpfen. Teilzeitkräfte gehen anteilig ein.
- Verbundene Unternehmen: Bei Partnerunternehmen und verbundenen Unternehmen können Kennzahlen anteilig oder vollständig zuzurechnen sein — eine Tochtergesellschaft mit 30 Mitarbeitenden kann über den Konzernverbund betroffen sein. Hier lohnt bei Konzernstrukturen ein genauer Blick, im Zweifel mit rechtlicher Beratung.
Wer die Schwellen im Laufe des Geschäftsjahres überschreitet — etwa durch Wachstum oder Zukäufe —, muss sich binnen drei Monaten nach Erfüllen der Kriterien beim BSI registrieren.
Sonderfälle: Betroffen unabhängig von der Größe
Für einige Einrichtungsarten gelten die Größenschwellen nicht oder nur eingeschränkt. Unabhängig von Mitarbeiterzahl und Umsatz erfasst sind unter anderem:
- Betreiber kritischer Anlagen (KRITIS) — immer besonders wichtige Einrichtung,
- qualifizierte Vertrauensdiensteanbieter (z. B. für qualifizierte elektronische Signaturen),
- Top-Level-Domain-Registrare und DNS-Diensteanbieter,
- Anbieter öffentlicher Telekommunikationsnetze und -dienste (hier gelten abgesenkte Schwellen).
Der Gedanke dahinter: Diese Dienste sind so grundlegend für das Funktionieren des Internets und der Verwaltung, dass ein Ausfall auch bei kleinen Anbietern weitreichende Folgen hätte. Wenn Ihr Unternehmen in eine dieser Kategorien fällt, erübrigt sich die Größenprüfung — die Pflichten gelten.
Häufige Fehleinschätzungen bei der Prüfung
Vier Denkfehler tauchen bei Betroffenheitsprüfungen immer wieder auf — und führen teils zu falscher Entwarnung, teils zu unnötigem Aufwand:
- „Wir sind doch keine kritische Infrastruktur“: KRITIS und NIS2 sind zwei verschiedene Kategorien. Die klassischen KRITIS-Schwellen (etwa 500.000 versorgte Personen) gelten für kritische Anlagen — die NIS2-Betroffenheit beginnt viel früher, bei 50 Mitarbeitenden im richtigen Sektor.
- „Wir handeln nur, wir stellen nichts her“: Einige Einrichtungsarten erfassen auch Handel und Vertrieb — etwa im Sektor Chemie. Die genaue Einrichtungsbeschreibung im Gesetz entscheidet, nicht das Bauchgefühl.
- „Unsere Holding hat nur 10 Leute“: Gezählt wird wirtschaftlich, nicht juristisch. Über die Zurechnung verbundener Unternehmen kann die kleine Gesellschaft die Kennzahlen der Gruppe erben.
- „Wir machen nur B2B-Software“: Managed-Service- und Sicherheitsdienstleister fallen als eigener Sektor unter Anlage 1 — hier greifen die Schwellen bereits bei geringer Größe, und einzelne digitale Dienste sind sogar größenunabhängig erfasst.
Im Zweifel gilt: lieber einmal sauber prüfen und das Ergebnis dokumentieren, als sich auf Analogien zu anderen Unternehmen zu verlassen.
Der Selbstcheck in fünf Schritten
So prüfen Sie Ihre Betroffenheit strukturiert und dokumentationsfest:
- Geschäftstätigkeiten auflisten: Erfassen Sie alle Tätigkeiten Ihres Unternehmens — nicht nur die Haupttätigkeit. Auch eine Nebentätigkeit (etwa ein kleiner Managed-Service-Bereich eines Systemhauses) kann die Betroffenheit auslösen.
- Sektorzuordnung prüfen: Gleichen Sie die Tätigkeiten mit den Einrichtungsarten der Anlagen 1 und 2 BSIG ab. Nutzen Sie die Betroffenheitsprüfung des BSI als Orientierung.
- Größenklasse berechnen: Ermitteln Sie Vollzeitäquivalente, Jahresumsatz und Bilanzsumme des letzten abgeschlossenen Geschäftsjahres — inklusive zurechenbarer Partnerunternehmen und verbundener Unternehmen.
- Sonderfälle prüfen: Klären Sie, ob eine größenunabhängige Kategorie oder eine kritische Anlage vorliegt.
- Ergebnis dokumentieren: Halten Sie das Prüfergebnis schriftlich fest — auch ein negatives. Falls sich die Einschätzung später als falsch herausstellt, belegt die Dokumentation, dass Sie sorgfältig geprüft haben. Wiederholen Sie die Prüfung jährlich und bei wesentlichen Änderungen.
Fällt der Check positiv aus, folgt die Registrierung beim BSI und die Umsetzung der Maßnahmen nach § 30 BSIG. Fällt er negativ aus, sind Sie damit nicht automatisch fertig — dazu der nächste Abschnitt.
Nicht direkt betroffen? Die Lieferkette holt viele ein
NIS2 verpflichtet betroffene Einrichtungen ausdrücklich, die Sicherheit ihrer Lieferkette zu managen. In der Praxis heißt das: Betroffene Unternehmen geben Anforderungen vertraglich an Dienstleister und Zulieferer weiter — Sicherheitsanhänge in Rahmenverträgen, Fragebögen zur Informationssicherheit, teils die Forderung nach Zertifikaten.
Wer als IT-Dienstleister, Softwareanbieter, Wartungsfirma oder Komponentenlieferant für NIS2-regulierte Kunden arbeitet, wird deshalb häufig mit denselben Anforderungen konfrontiert wie ein direkt Betroffener — nur eben privatrechtlich statt gesetzlich. Der Unterschied ist praktisch relevant: Vertragliche Anforderungen sind verhandelbar, gesetzliche nicht. Wer früh belegen kann, dass er strukturiert arbeitet — etwa durch ein dokumentiertes Sicherheitskonzept oder ein ISMS nach ISO 27001 —, verkürzt Lieferantenprüfungen erheblich und verschafft sich im Wettbewerb um regulierte Kunden einen Vorsprung. Für kleinere Zulieferer, die keinen formalen Nachweis für Ausschreibungen benötigen, kann dabei auch eine Zertifizierung im nicht akkreditierten Bereich die nötige Struktur und einen glaubwürdigen Beleg liefern; wo Kunden ausdrücklich ein akkreditiertes Zertifikat fordern, führt daran kein Weg vorbei.
Häufige Fragen
Prüfen Sie zwei Kriterien: Erstens, ob Ihre Geschäftstätigkeit unter einen der 18 Sektoren der Anlagen 1 und 2 BSIG fällt. Zweitens, ob Sie mindestens 50 Mitarbeitende beschäftigen oder über 10 Millionen Euro Umsatz und Bilanzsumme liegen. Das BSI bietet eine kostenlose Online-Betroffenheitsprüfung an. Einen Bescheid erhalten Sie nicht — die Prüfung ist Ihre Pflicht.
Nein. Die Betroffenheitsprüfung und die Registrierung sind Bringschulden des Unternehmens. Das BSI verschickt keine Feststellungsbescheide. Wer abwartet, bis sich eine Behörde meldet, riskiert ein Bußgeld wegen unterlassener Registrierung — und steht bei einem Sicherheitsvorfall ohne die geforderten Melde- und Sicherheitsprozesse da.
Ja, beides. Mitarbeitende werden als Vollzeitäquivalente gezählt, Teilzeitkräfte gehen anteilig ein. Bei Partnerunternehmen und verbundenen Unternehmen werden Kennzahlen nach der EU-KMU-Definition anteilig oder vollständig zugerechnet. Eine kleine Tochtergesellschaft kann dadurch über den Konzernverbund betroffen sein. Bei komplexen Strukturen empfiehlt sich eine rechtliche Prüfung.
In aller Regel nicht direkt: Unterhalb von 50 Mitarbeitenden und 10 Millionen Euro Umsatz greift das Gesetz nur in Sonderfällen wie DNS- oder Vertrauensdiensten. Als Zulieferer oder Dienstleister betroffener Unternehmen können Sie aber vertragliche Sicherheitsanforderungen erhalten. Ein schlankes, dokumentiertes Sicherheitskonzept ist dann oft die wirtschaftlichste Antwort.
Die inhaltlichen Pflichten sind fast identisch. Besonders wichtige Einrichtungen (große Unternehmen der Anlage-1-Sektoren, KRITIS-Betreiber und einige Sonderfälle) unterliegen jedoch proaktiver Aufsicht — das BSI kann jederzeit Nachweise verlangen — und einem höheren Bußgeldrahmen von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Wichtige Einrichtungen werden nur anlassbezogen geprüft.
Sobald Ihr Unternehmen die Kriterien erstmals erfüllt, beginnt eine Frist von drei Monaten für die Registrierung beim BSI. Die inhaltlichen Pflichten — Risikomanagement, Meldefähigkeit, Geschäftsleiterschulung — gelten ab der Einstufung. Planen Sie die Umsetzung deshalb rechtzeitig, wenn absehbar ist, dass Sie die Schwellen überschreiten, etwa durch Wachstum oder Übernahmen.
In 4–6 Wochen zum Zertifikat – zum Festpreis.
Kostenloses Erstgespräch: Wir sagen Ihnen ehrlich, ob eine nicht akkreditierte Zertifizierung für Ihren Fall reicht – oder eben nicht.
Erstgespräch vereinbaren
Thomas KowollInhaber und Leitung Zertifizierung bei KCERT. Auditiert Managementsysteme nach ISO 9001, 14001, 45001, 27001 und 50001. Mehr über KCERT