Wer ist von NIS2 betroffen?
Betroffen ist, wer nach § 28 BSIG als besonders wichtige oder wichtige Einrichtung gilt. Das BSIG in der Fassung des NIS-2-Umsetzungsgesetzes kennt dafür keinen Bescheid: Die Einordnung tritt kraft Gesetzes ein, und jede Organisation nimmt sie selbst vor. Wird die Registrierungspflicht nicht erfüllt, kann das Bundesamt die Registrierung nach § 33 Abs. 3 BSIG im Einvernehmen mit den zuständigen Aufsichtsbehörden selbst vornehmen. Deuten Tatsachen auf eine unterlassene Registrierung hin, kann es nach § 33 Abs. 4 BSIG Unterlagen und Auskünfte verlangen.
Halten Sie die Prüfung deshalb auch dann schriftlich fest, wenn sie negativ ausfällt. Der Vermerk belegt, dass und wie Sie die Frage bewertet haben.
Schritt 1: Fällt Ihre Tätigkeit unter Anlage 1 oder Anlage 2?
Maßgeblich ist die tatsächliche Tätigkeit, nicht die Branchenangabe im Handelsregister. Die verbindlichen Kataloge stehen in den Anlagen 1 und 2 des BSIG, jeweils mit sieben Sektoren.
| Anlage | Sektoren |
|---|---|
| Anlage 1 „Sektoren besonders wichtiger und wichtiger Einrichtungen“ | Energie; Transport und Verkehr; Finanzwesen; Gesundheit; Wasser; Digitale Infrastruktur; Weltraum |
| Anlage 2 „Sektoren wichtiger Einrichtungen“ | Transport und Verkehr; Abfallbewirtschaftung; Produktion, Herstellung und Handel mit chemischen Stoffen; Produktion, Verarbeitung und Vertrieb von Lebensmitteln; Verarbeitendes Gewerbe/Herstellung von Waren; Anbieter digitaler Dienste; Forschung |
Die Überschriften sind die des Gesetzes. „Sektoren hoher Kritikalität“ und „sonstige kritische Sektoren“ stehen in den Anhängen I und II der Richtlinie (EU) 2022/2555, nicht im BSIG. Die Einordnung hängt an Spalte D der Anlagen, den Einrichtungsarten. Lesen Sie deshalb den Gesetzestext und keine Zusammenfassung.
Schritt 2: Erreichen Sie die Größenschwellen?
Die Schwellenwerte stehen in § 28 Abs. 1 und 2 BSIG.
| Kategorie | Sektor | Größe |
|---|---|---|
| Besonders wichtige Einrichtung | Anlage 1 | mindestens 250 Beschäftigte oder Jahresumsatz über 50 Mio. Euro und Jahresbilanzsumme über 43 Mio. Euro |
| Wichtige Einrichtung | Anlage 1 und Anlage 2 | mindestens 50 Beschäftigte oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. Euro |
Die Beschäftigtenzahl genügt jeweils allein, Umsatz und Bilanzsumme müssen dagegen beide überschritten sein. Ein großes Unternehmen eines Anlage-2-Sektors ist eine wichtige Einrichtung: Anlage 2 führt nie zur oberen Kategorie, aber auch nicht aus dem Anwendungsbereich heraus.
Schritt 3: Gilt eine Sonderregel ohne Größenbezug?
Unabhängig von der Größe erfasst sind Betreiber kritischer Anlagen (§ 28 Abs. 1 Nr. 1 BSIG) sowie qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries und DNS-Diensteanbieter (§ 28 Abs. 1 Nr. 2 BSIG). Alle übrigen Vertrauensdiensteanbieter sind unabhängig von ihrer Größe wichtige Einrichtungen (§ 28 Abs. 2 Nr. 1 BSIG).
Für Telekommunikation gelten eigene Schwellen: Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze sind ab 50 Beschäftigten oder über 10 Mio. Euro Umsatz und Bilanzsumme besonders wichtige Einrichtungen (§ 28 Abs. 1 Nr. 3). Darunter sind sie wichtige Einrichtungen (§ 28 Abs. 2 Nr. 2).
Weitere größenunabhängige Fälle der Richtlinie hat § 28 BSIG nicht übernommen. Artikel 2 Absatz 2 Buchstabe b der Richtlinie (EU) 2022/2555 erfasst etwa den einzigen Anbieter eines Dienstes, der für kritische gesellschaftliche oder wirtschaftliche Tätigkeiten unerlässlich ist; die Buchstaben c bis e nennen weitere Fälle. Wer seine Betroffenheit mit einer solchen Stellung begründet oder verneint, argumentiert mit der Richtlinie und nicht mit dem deutschen Gesetz.
Mehrere Tätigkeiten und Konzerne
Eine einzige einschlägige Tätigkeit kann den Anwendungsbereich eröffnen. Nach § 28 Abs. 3 BSIG dürfen Sie bei der Zuordnung aber Geschäftstätigkeiten unberücksichtigt lassen, die im Hinblick auf die gesamte Geschäftstätigkeit vernachlässigbar sind. Begründen Sie diese Bewertung im Prüfvermerk.
Für Beschäftigte, Umsatz und Bilanzsumme gilt nach § 28 Abs. 4 BSIG die Empfehlung 2003/361/EG, ohne Artikel 3 Absatz 4 ihres Anhangs. Partner- und verbundene Unternehmen werden danach grundsätzlich hinzugerechnet, sodass ein kleines Konzernunternehmen die Schwellen überschreiten kann. Nach Satz 2 entfällt die Zurechnung, wenn das Unternehmen mit Blick auf Beschaffenheit und Betrieb seiner informationstechnischen Systeme, Komponenten und Prozesse von den anderen Unternehmen unabhängig ist. Ob das zutrifft, ist eine Frage an die IT-Architektur, die Sie mit Belegen beantworten müssen.
Zwei Beispiele und ein Prüfvermerk
Beispiel (fiktiv), die Zahlen sind frei gewählt. Ein Softwarehaus mit 180 Beschäftigten, 32 Mio. Euro Umsatz und 21 Mio. Euro Bilanzsumme verkauft Lizenzen für eine Branchensoftware. Entscheidend ist, ob es die Software für Kunden installiert, betreibt oder wartet, vor Ort oder aus der Ferne. Dann erfüllt es nach dem Wortlaut die Definition des Managed Service Providers in § 2 Nr. 26 BSIG, einer Einrichtungsart der Anlage 1 (Nr. 6.1.10).
| Prüfschritt | Ergebnis |
|---|---|
| Einrichtungsart | Managed Service Provider, Anlage 1 Nr. 6.1.10, wegen Fernwartung beim Kunden |
| Besonders wichtig? | nein: 180 Beschäftigte unter 250, Umsatz 32 Mio. Euro nicht über 50 Mio. Euro |
| Wichtig? | ja: 180 Beschäftigte, also mindestens 50 |
| Folge | wichtige Einrichtung; Registrierung binnen drei Monaten nach § 33 Abs. 1 BSIG |
Ohne Installation, Betrieb oder Wartung beim Kunden fehlt die Einrichtungsart, und das Softwarehaus ist nicht betroffen. Steigt die Zahl der Beschäftigten auf 250, wird es zur besonders wichtigen Einrichtung. Für einen Verstoß gegen § 30 Abs. 1 Satz 1 BSIG steigt der Bußgeldrahmen dann von 7 auf 10 Mio. Euro (§ 65 Abs. 2 Nr. 2, Abs. 5 Satz 1 Nr. 1 BSIG).
Ein Lebensmittelgroßhändler mit 400 Beschäftigten fällt unter Anlage 2 Nr. 4.1.1. Trotz seiner Größe ist er eine wichtige Einrichtung und keine besonders wichtige.
In den Prüfvermerk gehören, datiert und von der Geschäftsleitung freigegeben:
- die geprüften Tätigkeiten und ihre Zuordnung zu den Einrichtungsarten der Anlagen 1 und 2, auch die verneinten (im Beispiel: Wartung beim Kunden ja oder nein);
- die nach § 28 Abs. 3 BSIG als vernachlässigbar bewerteten Tätigkeiten mit Begründung;
- Beschäftigtenzahl, Umsatz und Bilanzsumme des maßgeblichen Geschäftsjahres;
- die Konzernzurechnung nach § 28 Abs. 4 BSIG, bei Unabhängigkeit mit den Belegen zur IT;
- das Ergebnis und den Anlass für die nächste Prüfung, etwa ein neues Leistungsangebot, eine Übernahme oder eine überschrittene Schwelle.
Was Betroffenheit auslöst
Eine betroffene Einrichtung registriert sich, meldet erhebliche Sicherheitsvorfälle fristgerecht und setzt die Risikomanagementmaßnahmen nach § 30 BSIG um, die der NIS2-Leitfaden im Einzelnen beschreibt, und dokumentiert sie.
Die Registrierung nach § 33 Abs. 1 BSIG ist spätestens drei Monate fällig, nachdem eine Einrichtung erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gilt. Übermittelt wird über die gemeinsame Registrierungsmöglichkeit von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK). Die Frist knüpft an das Gelten als Einrichtung an; das BSI-Portal ist seit dem 6. Januar 2026 verfügbar. Ändern sich die Angaben, sind sie nach § 33 Abs. 5 BSIG unverzüglich, spätestens binnen zwei Wochen ab Kenntnis zu melden.
Die Registrierung ist eine eigene, bußgeldbewehrte Pflicht. Wer die Angaben nicht oder nicht rechtzeitig übermittelt, riskiert bis zu 500.000 Euro (§ 65 Abs. 2 Nr. 6, Abs. 5 Satz 1 Nr. 5 BSIG). Kritische Anlagen werden getrennt nach § 33 Abs. 2 BSIG in Verbindung mit § 8 KRITISDachG beim BBK registriert, ebenfalls spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt. Diese Registrierung ist nach § 66 BSIG erst anzuwenden, wenn die Rechtsverordnung nach § 4 Abs. 3 und § 5 Abs. 1 KRITISDachG in Kraft ist.
Betroffen und trotzdem ausgenommen
Betroffenheit und Pflichtenumfang sind nicht dasselbe. § 28 Abs. 5 bis 7 BSIG nimmt ganze Adressatenkreise von zentralen Pflichten aus:
| Adressat | Was nicht gilt | Fundstelle |
|---|---|---|
| Betreiber öffentlicher Telekommunikationsnetze und Anbieter öffentlich zugänglicher Telekommunikationsdienste sowie Betreiber von Energieversorgungsnetzen, Energieanlagen und digitalen Energiediensten, die den §§ 5c bis 5e EnWG unterliegen | §§ 30, 31, 32, 35, 36, 38, 39, 61 und 62 BSIG | § 28 Abs. 5 |
| Finanzunternehmen nach Artikel 2 Absatz 2 der Verordnung (EU) 2022/2554 (DORA) und über § 1a Abs. 2 und 2a KWG oder § 293 Abs. 5 VAG einbezogene Unternehmen sowie bestimmte Einrichtungen der Telematikinfrastruktur | §§ 30, 31, 32, 35, 36, 38 und 39 BSIG | § 28 Abs. 6 |
| Betreiber kritischer Anlagen, soweit sie eine Anlage für ein Unternehmen nach Abs. 6 Nr. 1 betreiben | § 32 BSIG | § 28 Abs. 7 |
Die Ausnahme nach Absatz 5 gilt nicht, soweit eine solche Einrichtung weitere kritische Anlagen betreibt oder aufgrund weiterer Tätigkeiten einer Einrichtungsart der Anlagen 1 oder 2 zuzuordnen ist. Die Registrierung nach § 33 BSIG steht in keiner der drei Ausnahmen.
NIS2-Anforderungen in Rizzqo
NIS2 wird in Rizzqo unterstützt. Steht fest, dass Sie betroffen sind, hängen die NIS2-Anforderungen an den Systemen hinter der erfassten Tätigkeit, etwa an Fernwartungssystemen. Die richtige Person beantwortet jede Anforderung, und offene Punkte bleiben sichtbar, bis sie erfüllt sind.