Ob NIS2 für ein Unternehmen gilt, entscheidet nicht die Branche allein und nicht die Größe allein, sondern beides zusammen – und in drei Fällen keines von beiden. § 28 des BSI-Gesetzes legt das fest, und die Sektoren stehen in zwei Anlagen: Anlage 1 nennt die Sektoren mit hoher Kritikalität, Anlage 2 die sonstigen kritischen Sektoren.
Die Prüfung läuft in dieser Reihenfolge: Erst die Fälle ohne Schwellenwert, dann der Sektor, dann die Größe. Wer sie in einer Minute durchlaufen will, nimmt den Betroffenheits-Check; wer wissen will, was dahintersteht, liest hier weiter.
Drei Sonderfälle vor der Sektorprüfung
Für die ersten beiden Gruppen gilt das Gesetz unabhängig von der Größe; für die dritte gelten die üblichen Schwellen, aber mit anderer Zuordnung der Stufen.
- Betreiber kritischer AnlagenWer eine Anlage betreibt, die nach der BSI-Kritisverordnung als kritisch bestimmt ist, ist besonders wichtige Einrichtung – ohne Blick auf Beschäftigte oder Umsatz (§ 28 Abs. 1 Nr. 1).
- Vertrauensdienste, DNS, Top-Level-DomainsQualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries und DNS-Diensteanbieter sind besonders wichtige Einrichtungen; nicht qualifizierte Vertrauensdiensteanbieter sind wichtige Einrichtungen (§ 28 Abs. 1 Nr. 2, Abs. 2 Nr. 1).
- TelekommunikationAnbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Netze sind ab 50 Beschäftigten oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme besonders wichtige Einrichtungen, darunter wichtige (§ 28 Abs. 1 Nr. 3, Abs. 2 Nr. 2).
Anlage 1: Sektoren mit hoher Kritikalität
Sieben Sektoren. In ihnen gibt es beide Pflichtenstufen – wichtige und besonders wichtige Einrichtungen.
| Sektor | Teilsektoren und Einrichtungsarten (Auswahl) |
|---|---|
| Energie | Stromversorgung, Fernwärme und Fernkälte, Kraftstoff- und Heizölversorgung, Gasversorgung |
| Transport und Verkehr | Luftverkehr, Schienenverkehr, Schifffahrt, Straßenverkehr |
| Finanzwesen | Bankwesen, Finanzmarktinfrastrukturen |
| Gesundheit | Erbringer von Gesundheitsdienstleistungen, EU-Referenzlaboratorien, Forschung und Herstellung von Arzneimitteln, kritische Medizinprodukte für Notlagen |
| Wasser | Trinkwasserversorgung, Abwasserbeseitigung |
| Digitale Infrastruktur | Internet-Knoten, DNS, Top-Level-Domains, Cloud-Computing-Dienste, Rechenzentrumsdienste, Content Delivery Networks, Vertrauensdienste, Telekommunikation, Managed Services, Managed Security Services |
| Weltraum | Betreiber von Bodeninfrastrukturen |
Anlage 2: Sonstige kritische Sektoren
Ebenfalls sieben Sektoren. Hier gibt es nur die Stufe der wichtigen Einrichtung – gleich, wie groß das Unternehmen ist.
| Sektor | Einrichtungsarten (Auswahl) |
|---|---|
| Post- und Kurierdienste | Anbieter von Postdienstleistungen einschließlich Kurierdiensten |
| Abfallbewirtschaftung | Unternehmen der Abfallbewirtschaftung nach § 3 Abs. 14 KrWG |
| Chemische Stoffe | Hersteller und Importeure nach der REACH-Verordnung |
| Lebensmittel | Lebensmittelunternehmen im Großhandel und in der industriellen Produktion |
| Verarbeitendes Gewerbe | Medizinprodukte und In-vitro-Diagnostika, Datenverarbeitungsgeräte, elektrische Ausrüstungen, Maschinenbau, Kraftwagen und -teile, sonstiger Fahrzeugbau |
| Anbieter digitaler Dienste | Online-Marktplätze, Online-Suchmaschinen, Plattformen sozialer Netzwerke |
| Forschung | Forschungseinrichtungen |
Die Schwellen des § 28
- 50Beschäftigte
- Ab hier – oder ab mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme – ist ein Unternehmen der Anlagen 1 oder 2 wichtige Einrichtung.
- 250Beschäftigte
- Ab hier – oder ab mehr als 50 Millionen Euro Umsatz und 43 Millionen Euro Bilanzsumme – ist ein Unternehmen der Anlage 1 besonders wichtige Einrichtung.
- 0Schwellen
- für Betreiber kritischer Anlagen, qualifizierte Vertrauensdienste, Top-Level-Domain-Registries und DNS-Diensteanbieter.
Das Missverständnis mit der 250
In Gesprächen taucht regelmäßig die Vorstellung auf, NIS2 beginne bei 250 Beschäftigten. Das ist falsch. Die 250 trennt nicht „betroffen“ von „nicht betroffen“, sondern zwei Pflichtenstufen innerhalb der Anlage 1. Betroffen ist, wer in einem Sektor der Anlagen 1 oder 2 tätig ist und mindestens 50 Beschäftigte hat – oder mehr als 10 Millionen Euro Umsatz und zugleich mehr als 10 Millionen Euro Bilanzsumme.
Die zweite Falle ist das Wort „und“ bei den Finanzschwellen. Das Gesetz verlangt, dass Umsatz und Bilanzsumme beide über der jeweiligen Grenze liegen. Ein Handelsunternehmen mit 30 Millionen Euro Umsatz und 8 Millionen Euro Bilanzsumme erreicht die Finanzschwelle nicht – es kann aber über die Beschäftigtenzahl erfasst sein. Beide Wege führen hinein; einer genügt.
Die dritte Falle ist der Sektor selbst. Die Einrichtungsarten sind in den Anlagen teils über andere Rechtsakte definiert – Lebensmittelunternehmen nach der Basisverordnung, Chemiehersteller nach REACH, das verarbeitende Gewerbe über NACE-Abteilungen. Ein Maschinenbauer mit 60 Beschäftigten ist wichtige Einrichtung; ein Großhändler für Baustoffe mit 600 Beschäftigten ist es nicht, weil sein Sektor nicht genannt ist.
Wer nicht genannt ist und trotzdem betroffen sein kann
§ 30 Abs. 2 Nr. 4 BSIG verpflichtet jede erfasste Einrichtung, die Sicherheit ihrer Lieferkette zu regeln – einschließlich der Beziehungen zu Anbietern und Dienstleistern. Was das für einen Zulieferer bedeutet, steht nicht im Gesetz, sondern im Vertrag seines Kunden: Nachweise über Sicherungen, Zugriffskontrolle, Vorfallmeldung, mitunter eine Zertifizierung.
Für ein mittelständisches Unternehmen in der Metropolregion ist das der häufigere Weg hinein als die eigene Einstufung. Wer ein Krankenhaus, einen Energieversorger, einen Automobilhersteller oder ein Rechenzentrum beliefert, bekommt dessen Anforderungen weitergereicht – ohne dass das BSI ihn kennt. Die Pflicht ist dann keine gesetzliche, aber eine vertragliche, und sie kann über Aufträge entscheiden.
Weiter im Thema
Häufige Fragen
- Wir sind ein IT-Dienstleister mit 40 Beschäftigten – betrifft uns NIS2?
- Unmittelbar nur, wenn Sie mehr als 10 Millionen Euro Umsatz und zugleich mehr als 10 Millionen Euro Bilanzsumme haben oder als Rechenzentrums-, Cloud- oder Managed-Service-Anbieter die Schwellen erreichen. Mittelbar fast sicher: Wer erfasste Einrichtungen betreut, bekommt deren Lieferkettenanforderungen nach § 30 Abs. 2 Nr. 4 BSIG vertraglich weitergereicht.
- Zählen Teilzeitkräfte und Auszubildende bei den 50 Beschäftigten?
- Das Gesetz spricht von Beschäftigten, ohne eine Umrechnung festzulegen. In der Praxis wird meist nach der KMU-Definition der EU-Kommission gezählt, also in Vollzeitäquivalenten; verbindlich ist das nicht. Wer nahe an der Schwelle liegt, sollte die Zählweise mit seiner Rechtsberatung festlegen und dokumentieren.
- Wir gehören zu einem Konzern – zählt die Gruppe oder unser Betrieb?
- Diese Frage ist im Gesetzestext nicht abschließend geregelt und gehört zu den Punkten, die wir hier bewusst nicht beantworten. Sie betrifft die Zurechnung verbundener Unternehmen und ist eine Frage für Ihre Rechtsberatung – mit dem Hinweis, dass die EU-Richtlinie auf die KMU-Empfehlung der Kommission verweist, die verbundene Unternehmen zusammenrechnet.
- Wir produzieren Lebensmittel, aber nur regional – sind wir ein Sektor?
- Anlage 2 nennt Lebensmittelunternehmen nach Artikel 3 Nr. 2 der Verordnung (EG) Nr. 178/2002, soweit sie im Großhandel und in der industriellen Produktion tätig sind. Ein regionaler Hersteller mit 50 Beschäftigten kann darunter fallen; eine Bäckerei mit drei Filialen eher nicht. Entscheidend ist die Tätigkeit, nicht der Absatzradius.
- Was ändert sich, wenn wir die Schwelle erst nächstes Jahr überschreiten?
- Dann gelten Sie ab diesem Zeitpunkt als Einrichtung und müssen sich nach § 33 BSIG spätestens drei Monate danach registrieren. Die Pflichten nach § 30 gelten ab demselben Zeitpunkt – es gibt keine Übergangsfrist. Wer das Wachstum absehen kann, sollte die Maßnahmen vorher aufbauen, nicht danach.
Quellen und Nachweise
- § 28 BSIG – Besonders wichtige Einrichtungen und wichtige Einrichtungen · Bundesministerium der Justiz (gesetze-im-internet.de)amtlich
- Anlage 1 BSIG – Sektoren mit hoher Kritikalität · Bundesministerium der Justiz (gesetze-im-internet.de)amtlich
- Anlage 2 BSIG – Sonstige kritische Sektoren · Bundesministerium der Justiz (gesetze-im-internet.de)amtlich
- § 30 BSIG – Risikomanagementmaßnahmen, Absatz 2 Nummer 4: Sicherheit der Lieferkette · Bundesministerium der Justiz (gesetze-im-internet.de)amtlich