Wer ist von NIS2 betroffen? Fünf Schritte.

Das BSI-Gesetz listet die Sektoren in zwei Anlagen. Maßgeblich ist, was Sie gegen Entgelt anbieten. Tätigkeiten, die gemessen an Ihrer gesamten Geschäftstätigkeit vernachlässigbar sind, dürfen bei der Zuordnung außer Betracht bleiben (§28 Abs. 3 BSIG).

• Anlage 1: Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur, Weltraum.
• Anlage 2: Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe (unter anderem Medizinprodukte, Elektronik, Maschinen, Fahrzeuge), Anbieter digitaler Dienste, Forschung.

• Wichtige Einrichtung: Sektor aus Anlage 1 oder 2 und mindestens 50 Beschäftigte, oder Jahresumsatz und Jahresbilanzsumme jeweils über 10 Mio. €.
• Besonders wichtige Einrichtung: Sektor aus Anlage 1 und mindestens 250 Beschäftigte, oder Jahresumsatz über 50 Mio. € und Jahresbilanzsumme über 43 Mio. €.

Gerechnet wird nach der KMU-Empfehlung der EU-Kommission. Zahlen von Partner- und verbundenen Unternehmen werden grundsätzlich mitgezählt. Ausnahme: Ihr Unternehmen ist von ihnen unabhängig, gemessen vor allem daran, wie IT-Systeme und Prozesse aufgestellt und betrieben werden (§28 Abs. 4 BSIG). Diese Ausnahme ist eine Einzelfallprüfung und sollte dokumentiert werden.

Einige Einrichtungen fallen unabhängig von ihrer Größe unter NIS2. Besonders wichtig sind unter anderem Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries und DNS-Diensteanbieter. Öffentliche TK-Anbieter sind ab 50 Beschäftigten oder über 10 Mio. € Umsatz und Bilanzsumme besonders wichtig, kleinere sind wichtige Einrichtungen. Nicht qualifizierte Vertrauensdiensteanbieter sind unabhängig von der Größe wichtige Einrichtungen.

Cloud-Computing-Anbieter, Rechenzentren, Content Delivery Networks, Managed Service Provider und Managed Security Service Provider stehen in Anlage 1 unter digitaler Infrastruktur. Online-Marktplätze, Suchmaschinen und soziale Netzwerke stehen in Anlage 2. Für diese Einrichtungsarten gilt zusätzlich die Durchführungsverordnung (EU) 2024/2690 unmittelbar, mit konkreten Vorgaben etwa zu sicherer Entwicklung, Sicherheitstests, Patch-Management und Schwachstellenbehandlung.

Reines Anwendungs-SaaS ist nicht automatisch ein Cloud-Computing-Dienst im Sinne der Anlage. Ob Ihr Produkt darunterfällt, hängt von der Ausgestaltung ab und ist eine Einzelfallprüfung. Unser Self-Check sagt in diesem Fall „möglich“, nicht „betroffen“.

Und auch wer nicht betroffen ist, bekommt NIS2 oft über die Kunden: Betroffene Einrichtungen müssen die Sicherheit ihrer unmittelbaren Lieferanten steuern und geben Anforderungen per Vertrag und Fragebogen weiter.

Halten Sie das Ergebnis fest, auch wenn es „nicht betroffen“ lautet, mit Sektor, Zahlen, Konzernbetrachtung und Datum. Wenn Sie wachsen oder Ihr Angebot ändern, prüfen Sie neu.

Wenn Sie betroffen sind: Registrierung beim BSI, die Risikomanagementmaßnahmen nach §30 BSIG, Meldewege für erhebliche Sicherheitsvorfälle und die Pflichten der Geschäftsleitung. Die Details stehen in unseren Guides zur Registrierung und zu den NIS2-Pflichten.

• Seit 06.12.2025: Risikomanagementmaßnahmen, Meldepflicht und Pflichten der Geschäftsleitung, ohne Übergangsfrist.
• Registrierung: Die Frist für alle, die seit Inkrafttreten betroffen sind, lief am 06.03.2026 ab. Nachholen ist der richtige Schritt.
• Ab 06.12.2028: Das BSI darf von besonders wichtigen Einrichtungen anlasslos Nachweise verlangen (§61 Abs. 3 BSIG). Für Krankenhäuser ist der 06.12.2030 vorgesehen.
• Bußgeldverfahren sind bis heute nicht öffentlich dokumentiert. Der Druck kommt derzeit vor allem über Kundenverträge, Lieferantenfragebögen, Versicherer und die persönliche Verantwortung der Geschäftsleitung.