NIS2-Betroffenheitsprüfung: Fällt Ihr Unternehmen unter NIS2?
Die zwei Kriterien: Sektor und Größe
NIS2 greift, wenn Ihr Unternehmen in einem erfassten Sektor tätig ist und bestimmte Größenschwellen erreicht. Grundsätzlich müssen beide Bedingungen zusammen erfüllt sein. Einzelne Einrichtungen werden allerdings unabhängig von ihrer Größe erfasst.
Welche Sektoren erfasst NIS2?
Sektoren mit hoher Kritikalität (Anhang I), u. a.:
- Energie, Transport/Verkehr, Bankwesen und Finanzmarktinfrastrukturen
- Gesundheitswesen, Trinkwasser und Abwasser
- Digitale Infrastruktur, Verwaltung von IKT-Diensten (B2B), Raumfahrt
- Öffentliche Verwaltung (nach nationaler Festlegung)
Sonstige kritische Sektoren (Anhang II), u. a.:
- Post- und Kurierdienste, Abfallwirtschaft
- Produktion/Herstellung (u. a. Medizinprodukte, Elektronik, Maschinenbau, Kfz)
- Chemie, Lebensmittel
- Anbieter digitaler Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke), Forschung
Die Größenkriterien
In der Regel sind mittlere und große Unternehmen betroffen, also Einrichtungen ab etwa 50 Beschäftigten oder mit mehr als 10 Mio. € Jahresumsatz und Bilanzsumme über 10 Mio. €. Unterhalb dieser Schwellen greift NIS2 grundsätzlich nicht. Eine Ausnahme gilt, wenn Ihr Unternehmen unter eine der größenunabhängigen Sonderregelungen fällt.
Besonders wichtige vs. wichtige Einrichtung
Große Unternehmen aus Anhang I sind besonders wichtige Einrichtungen. Mittlere Unternehmen aus Anhang I und alle erfassten Unternehmen aus Anhang II sind wichtige Einrichtungen (§ 28 BSIG, § 24 NISG 2026). Die Einstufung bestimmt die Intensität der Aufsicht und den Bußgeldrahmen. Besonders wichtige Einrichtungen unterliegen einer proaktiven Aufsicht und einem höheren Bußgeldrahmen (bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes), wichtige Einrichtungen einer reaktiven Aufsicht (bis 7 Mio. € oder 1,4 %). Zur Terminologie: Die Richtlinie und das österreichische NISG 2026 sprechen von „wesentlichen" Einrichtungen. Das deutsche BSIG (§ 28) nennt dieselbe Kategorie „besonders wichtige Einrichtungen".
Größenunabhängige Sonderfälle
Unabhängig von der Größe können u. a. erfasst sein: qualifizierte Vertrauensdiensteanbieter, Betreiber öffentlicher TK-Netze, DNS-Diensteanbieter, TLD-Namenregister sowie Einrichtungen, die alleiniger Anbieter eines wesentlichen Dienstes sind. Im Zweifel ist eine individuelle Prüfung erforderlich.
So gehen Sie vor
- Sektor und Tätigkeit anhand der NIS2-Sektorenlisten (Anhang I und II) einordnen.
- Größenschwellen prüfen (Beschäftigte, Umsatz, Bilanzsumme).
- Als besonders wichtige oder wichtige Einrichtung klassifizieren.
- Bei Betroffenheit: beim BSI registrieren und die Anforderungen nach Art. 21 umsetzen.
Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung. Maßgeblich sind die jeweils geltenden Gesetzes- und Verordnungstexte sowie der aktuelle Stand der nationalen Umsetzung.