Wer ist von NIS2 betroffen? Sektoren, Schwellen, Sofort-Check

Welche Branchen sind von NIS2 betroffen?

NIS2 knüpft die Betroffenheit an zwei Bedingungen, die kumulativ erfüllt sein müssen: die Tätigkeit in einem gelisteten Sektor und das Erreichen einer Größenschwelle. Anlage 1 des NIS2-Umsetzungsgesetzes führt die Sektoren mit hoher Kritikalität, Anlage 2 die sonstigen kritischen Sektoren. Aus der Kombination von Anlage und Unternehmensgröße ergibt sich die Einstufung als wesentliche oder wichtige Einrichtung.

Größenunabhängig betroffen sind unter anderem qualifizierte Vertrauensdiensteanbieter, DNS-Diensteanbieter, Registries für Top-Level-Domains, Anbieter öffentlicher Telekommunikationsnetze und -dienste sowie Betreiber kritischer Anlagen nach der BSI-Kritisverordnung. Auch Teile der öffentlichen Verwaltung fallen unabhängig von der Größe in den Anwendungsbereich.

Wer ist nicht betroffen?

Nicht betroffen sind Unternehmen, die unter beiden Größenschwellen liegen, also weniger als 50 Beschäftigte und höchstens 10 Mio. € Jahresumsatz und Bilanzsumme aufweisen, sofern kein größenunabhängiger Sonderfall greift. Ebenfalls nicht erfasst sind Unternehmen, deren Tätigkeit keinem der Sektoren aus Anlage 1 oder 2 zuzuordnen ist. Zu beachten ist allerdings die mittelbare Betroffenheit: Wer als Lieferant oder Dienstleister für eine betroffene Einrichtung arbeitet, wird über die Lieferkettenanforderungen des § 30 BSIG vertraglich zu vergleichbaren Maßnahmen verpflichtet, ohne selbst Adressat des Gesetzes zu sein.

Was bedeutet das konkret?

Häufige Fragen

Bin ich von NIS2 betroffen?

Ja, wenn Ihr Unternehmen in einem NIS2-Sektor (Anlage 1 oder 2 des NIS2UmsuCG) tätig ist und mindestens die mittlere Größe erreicht (≥ 50 MA oder mehr als 10 Mio. € Jahresumsatz bzw. Bilanzsumme). Zusätzlich sind KRITIS-Betreiber unabhängig von der Größe betroffen. Der Check auf dieser Seite gibt Ihnen in unter einer Minute eine belastbare Ersteinschätzung.

Was unterscheidet wesentliche von wichtigen Einrichtungen?

Wesentliche Einrichtungen (Anlage 1, groß) unterliegen proaktiver Aufsicht (Vor-Ort-Prüfung, Bußgeld bis 10 Mio. € / 2 %). Wichtige Einrichtungen (Anlage 2 oder Anlage 1 mittelgroß) werden reaktiv beaufsichtigt (Bußgeld bis 7 Mio. € / 1,4 %). Beide haben dieselben Risikomanagement- und Meldepflichten.

Was bedeuten die Schwellen 250 / 50 Beschäftigte?

NIS2 nutzt die EU-Größendefinition: groß (≥ 250 MA oder > 50 Mio. € Umsatz und > 43 Mio. € Bilanz), mittel (≥ 50 MA oder > 10 Mio. € Umsatz). Für Anlage-1-Sektoren führt groß zu „wesentlich", mittel zu „wichtig"; für Anlage-2 reicht mittel für „wichtig".

Gilt NIS2 auch ohne ausdrückliche Einstufung?

Ja. Die Einrichtung muss selbst prüfen und sich beim BSI registrieren (§ 32 BSIG-E). Eine Nichtregistrierung schützt nicht vor Pflichten und Bußgeld - das BSI kann von Amts wegen einstufen und Bußgelder verhängen.

Wann gelten die Pflichten in Deutschland?

Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist im Gesetzgebungsverfahren. Aktueller Stand siehe /nis2-umsetzungsgesetz-status. Übergangsfristen sind kurz - Risikomaßnahmen und Schulungen sollten jetzt vorbereitet werden.

Weiterführend

• NIS2-Umsetzungsgesetz: aktueller Stand
• Meldefristen 24h / 72h / 30 Tage
• NIS2-Bußgelder und Geschäftsleitungshaftung
• NIS2-Betroffenheit im Detail
• NIS2-Risikomanagement § 30 BSIG
• NIS2-Meldepflichten 24/72/30
• Anwalt für NIS2
• Detaillierter Entscheidungsbaum

Branchen-Einordnungen: Energie & Stadtwerke, IT-Dienstleister & MSP, Finanzdienstleister, Pharma & Medizinprodukte, Kommunen.