Der Check in 6 Schritten
- Schritt 1: Sektor prüfen
Ist Ihr Unternehmen in einem der NIS2-Sektoren tätig? Sektoren mit hoher Kritikalität führen zur Einstufung als wesentliche Einrichtung, sonstige NIS2-Sektoren zur wichtigen Einrichtung.
- Schritt 2: Mitarbeiterzahl ermitteln
Vollzeitäquivalente konzernweit. Verbundene Unternehmen werden nach EU-Empfehlung 2003/361/EG zusammengerechnet.
- Schritt 3: Umsatz und Bilanzsumme prüfen
Jahresumsatz und Bilanzsumme des letzten abgeschlossenen Geschäftsjahres, ebenfalls konzernweit.
- Schritt 4: Schwellen abgleichen
Großunternehmen: ab 250 MA oder 50 Mio. € Umsatz und 43 Mio. € Bilanz. Mittelunternehmen: ab 50 MA oder 10 Mio. € Umsatz und 10 Mio. € Bilanz.
- Schritt 5: Sonderfälle prüfen
Qualifizierte Vertrauensdiensteanbieter, TLD-Registries, DNS-Anbieter, IKT-Dienstleister sind unabhängig von der Größe betroffen.
- Schritt 6: Pflichtenprogramm starten
Bei Betroffenheit: Registrierung BSI, Risikomanagement, Meldewege, Geschäftsleitungsbeschluss zu Maßnahmen, Lieferkettenvereinbarungen.
Sektoren mit hoher Kritikalität (Anhang I)
Tätigkeit in diesen Sektoren führt bei Erreichen der Großunternehmen-Schwellen zur Einstufung als wesentliche Einrichtung.
- Energie (Strom, Gas, Öl, Fernwärme, Wasserstoff)
- Verkehr (Luft, Schiene, Wasser, Straße)
- Banken und Finanzmarktinfrastrukturen
- Gesundheit (Krankenhäuser, Hersteller von Arzneimitteln, Medizinprodukten)
- Trink- und Abwasser
- Digitale Infrastruktur (Rechenzentren, DNS, TLD, Cloud, CDN)
- IKT-Dienstleister (Managed Service Provider, Managed Security)
- Öffentliche Verwaltung (Bund, Länder, teilweise Kommunen)
- Weltraum
Sonstige kritische Sektoren (Anhang II)
Tätigkeit hier führt bei Erreichen der Mittelunternehmen-Schwellen zur Einstufung als wichtige Einrichtung.
- Post und Kurierdienste
- Abfallbewirtschaftung
- Herstellung, Produktion und Vertrieb chemischer Stoffe
- Produktion, Verarbeitung und Vertrieb von Lebensmitteln
- Verarbeitendes Gewerbe (Medizinprodukte, Datenverarbeitung, Maschinenbau, Kfz, Elektronik)
- Anbieter digitaler Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke)
- Forschung
Schwellen im Überblick
| Einstufung | Sektor | Mitarbeitende | Umsatz/Bilanz |
|---|---|---|---|
| Wesentlich | Anhang I | ab 250 | 50 Mio. € und 43 Mio. € Bilanz |
| Wichtig | Anhang I oder II | ab 50 | 10 Mio. € und 10 Mio. € Bilanz |
| Sonderfall | Vertrauensdienste, DNS, TLD, IKT-MSP | unabhängig | unabhängig |
| Nicht betroffen | kein NIS2-Sektor | — | — |
Pflichten bei Betroffenheit
- Registrierung beim BSI binnen drei Monaten nach Inkrafttreten
- Risikomanagement nach § 30 BSIG-E (10 Maßnahmenfelder)
- Meldepflichten: 24h Frühwarnung, 72h Vorfallsmeldung, 30 Tage Abschlussbericht
- Lieferkettensicherheit, Vertragspflichten gegenüber Dienstleistern
- Geschäftsleitung: Schulung, Beschlussfassung, Überwachung, persönliche Haftung nach § 38 BSIG-E
- Bußgeldrisiko bis 10 Mio. € oder 2 % des Konzernumsatzes (wesentliche), 7 Mio. € oder 1,4 % (wichtige)
Häufige Fragen
- Wann gilt mein Unternehmen als wesentliche Einrichtung?
- Wenn es in einem der 11 Sektoren der hohen Kritikalität tätig ist UND mindestens 250 Mitarbeitende oder mehr als 50 Mio. € Jahresumsatz und 43 Mio. € Bilanzsumme erreicht. Zusätzlich: Qualifizierte Vertrauensdiensteanbieter, TLD-Registries, DNS-Anbieter unabhängig von der Größe.
- Wann gilt mein Unternehmen als wichtige Einrichtung?
- Wenn es in einem der NIS2-Sektoren tätig ist UND mindestens 50 Mitarbeitende oder 10 Mio. € Umsatz und 10 Mio. € Bilanzsumme erreicht, aber die Schwellen für wesentliche Einrichtungen nicht überschreitet.
- Sind Kommunen von NIS2 betroffen?
- Nur in begrenztem Umfang. Der deutsche Gesetzgeber hat im BSIG-Entwurf die kommunale Verwaltung nicht vollständig einbezogen. Krankenhäuser, Energieversorger und Wasserwerke in kommunaler Trägerschaft sind aber als wesentliche Einrichtungen betroffen.
- Was sind die wichtigsten Pflichten bei Betroffenheit?
- Registrierung beim BSI, Risikomanagement nach § 30 BSIG-E (10 Maßnahmenfelder), Meldepflichten (24h/72h/30 Tage nach § 32 BSIG-E), Lieferkettensicherheit, Geschäftsleitungsverantwortung mit persönlicher Haftung nach § 38 BSIG-E.
- Wie hoch sind die Bußgelder?
- Wesentliche Einrichtungen bis 10 Mio. € oder 2 % des weltweiten Vorjahresumsatzes. Wichtige Einrichtungen bis 7 Mio. € oder 1,4 %. Zusätzlich persönliche Haftung der Geschäftsleitung in voller Höhe gegenüber dem Unternehmen.
- Wann tritt das Gesetz in Kraft?
- Die NIS2-Richtlinie gilt seit 18. Oktober 2024 EU-weit. Die deutsche Umsetzung (NIS2UmsuCG) ist in Verzug, das BSIG-E lag Ende 2025 vor. Bis zur nationalen Umsetzung gilt die Richtlinie nicht unmittelbar, das Risiko aufsichtsrechtlicher Maßnahmen ab Inkrafttreten ist aber real.
Mehr Hintergrund
Dieser Beitrag gibt den Rechtsstand Stand: Juni 2026 wieder und ersetzt keine Beratung im Einzelfall.
