§ 28 BSIG Absatz für Absatz: Betroffenheit und Folgepflichten

§ 28 BSIG bestimmt, wer als besonders wichtige oder wichtige Einrichtung gilt und welche Ausnahmen zu beachten sind. Die konkreten Anforderungen an Risikomanagement, Meldungen, Registrierung und Geschäftsleitung stehen überwiegend in anderen Vorschriften. Dokumentieren Sie bei der Betroffenheitsprüfung deshalb zuerst die Einstufung und anschließend die daraus folgenden Pflichten.

Autor: Chris Müller. Rechtsstand und redaktionelle Prüfung: 5. September 2026.

Die Prüfung beginnt bei der tatsächlichen Tätigkeit

Eine Branchenbezeichnung auf der Internetseite reicht für die Zuordnung nicht. Erfassen Sie, welche rechtliche Einheit welche Waren oder Dienste anbietet und welche Einrichtungsart aus Anlage 1 oder 2 dazu passt. Halten Sie Abweichungen zwischen Kerngeschäft und weiteren Tätigkeiten fest. Für die Zuordnung können Sie die Arbeitsanleitung zu Sektoren und Schwellenwerten nutzen.

Lesen Sie die folgende Erläuterung zusammen mit dem vollständigen § 28 BSIG. Prüfen Sie bei kritischen Anlagen zusätzlich § 66 BSIG. Bestimmte Definitionen und Registrierungsregeln gelten erst ab dem dort bezeichneten Verordnungsauslöser. Lesen Sie einen konsolidierten Gesetzestext deshalb stets einschließlich seiner Anwendungsbestimmungen.

Absatz 1: Besonders wichtige Einrichtungen

Absatz 1 erfasst zunächst Betreiber kritischer Anlagen sowie qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries und DNS-Diensteanbieter. Für öffentlich zugängliche Telekommunikationsdienste beziehungsweise öffentliche Telekommunikationsnetze gelten eigene Schwellen. Andere erfasste Anbieter müssen einer Einrichtungsart aus Anlage 1 entsprechen und die dort genannten Größenmerkmale erfüllen.

Bei diesen sonstigen Anbietern genügt für das Größenkriterium eine Zahl von mindestens 250 Mitarbeitern. Alternativ müssen der Jahresumsatz über 50 Millionen Euro und die Jahresbilanzsumme über 43 Millionen Euro liegen. Das „und“ innerhalb des Finanzkriteriums ist entscheidend. Einrichtungen der Bundesverwaltung sind hier grundsätzlich ausgenommen, sofern sie nicht zugleich Betreiber kritischer Anlagen sind.

Absatz 2: Wichtige Einrichtungen

Absatz 2 erfasst Vertrauensdiensteanbieter, kleinere Anbieter beziehungsweise Betreiber im genannten Telekommunikationsbereich und weitere Anbieter aus Anlage 1 oder 2. Bei diesen sonstigen Anbietern gilt als Größenkriterium: mindestens 50 Mitarbeiter oder sowohl Jahresumsatz als auch Jahresbilanzsumme von jeweils über zehn Millionen Euro. Besonders wichtige Einrichtungen und Einrichtungen der Bundesverwaltung sind ausgenommen.

Bei einem Unternehmen mit 50 Beschäftigten müssen Sie also auch die sachliche Zuordnung für NIS2 prüfen. Besondere Einrichtungsarten haben eigene Regeln und können bereits mit weniger als 50 Beschäftigten erfasst sein. Dokumentieren Sie, auf welche gesetzliche Regelung Sie die Einstufung stützen.

Absatz 3: Vernachlässigbare Geschäftstätigkeiten

Nach Absatz 3 dürfen bei der Zuordnung Tätigkeiten außer Betracht bleiben, die gemessen an der gesamten Geschäftstätigkeit vernachlässigbar sind. Der Absatz enthält keine allgemeine Prozentgrenze. Schreiben Sie deshalb auf, welche Tätigkeit Sie aus welchem Grund ausklammern. Begriffe wie „klein“ oder „nur nebenbei“ ersetzen die Bewertung nicht.

Beschreiben Sie in der internen Akte Umsatzanteil, personellen Umfang und tatsächliche Betriebsorganisation. Diese Angaben begründen keine eigene gesetzliche Ausnahme. Kennzeichnen Sie Zweifelsfragen und benennen Sie jemanden, der sie klärt.

Absatz 4: Größenberechnung und Unternehmensverbund

Absatz 4 verweist für die Berechnung grundsätzlich auf die Empfehlung 2003/361/EG, mit einer ausdrücklich genannten Ausnahme. Bei der Berechnung müssen Sie gegebenenfalls Daten von Partner- oder verbundenen Unternehmen berücksichtigen. Sie werden nicht hinzugerechnet, wenn die gesetzlich beschriebene Unabhängigkeit in Bezug auf IT-Systeme, Komponenten und Prozesse vorliegt.

Eine eigene Handelsregisternummer belegt diese Unabhängigkeit nicht. Prüfen Sie gemeinsame Administration, Identitätsverwaltung, Betrieb und wirtschaftliche Zusammenhänge. Lassen Sie die Berechnung von den zuständigen Finanz- und Rechtsfunktionen bestätigen. Notieren Sie Datenjahr, Berechnungsmethode und zugrunde gelegte Struktur; Änderungen im Verbund können eine neue Prüfung auslösen.

Absatz 5: Telekommunikation und Energie

Für die erfassten Telekommunikations- und Energieeinrichtungen nimmt Absatz 5 ausdrücklich bezeichnete BSIG-Vorschriften aus. Er bedeutet keine allgemeine Befreiung von Cybersicherheitsrecht. Im Energiesektor kommt es insbesondere auf die Unterstellung unter die genannten Vorschriften des Energiewirtschaftsgesetzes an.

Weitere kritische Anlagen oder weitere Tätigkeiten nach Anlage 1 oder 2 können BSIG-Pflichten wieder auslösen. Der Absatz enthält außerdem eine besondere Regel zur bloßen Nebentätigkeit beim Betrieb einer Energieanlage. Prüfen Sie deshalb jede relevante Tätigkeit mit ihrem Systembezug. Für eine Ausnahme müssen Sie mehr begründen als die Zuordnung zu „Energie“ oder „Telekommunikation“.

Absatz 6: Finanzbereich und Telematikinfrastruktur

Absatz 6 nimmt bestimmte Finanzunternehmen im Anwendungsbereich der europäischen Regelungen zur digitalen operationalen Resilienz sowie gesetzlich bezeichnete Einrichtungen und Dienste der Telematikinfrastruktur von ausgewählten Pflichten aus. Der genaue Adressaten- und Tätigkeitsbezug ist entscheidend. Die Registrierung nach § 33 steht nicht in der Liste der hier ausgenommenen Vorschriften.

Absatz 7: Eine begrenzte Ausnahme von der Meldepflicht

§ 32 gilt nach Absatz 7 nicht für Betreiber kritischer Anlagen, soweit sie eine Anlage für Unternehmen nach Absatz 6 Nummer 1 betreiben. Das Wort „soweit“ begrenzt die Wirkung. Andere Anlagen oder Pflichten lassen sich damit nicht automatisch ausklammern.

Absatz 8: Bestimmte öffentliche Einrichtungen

Die Ausnahme nach Absatz 8 betrifft bestimmte rechtlich unselbstständige Einheiten und ausschließlich von Gebietskörperschaften außerhalb des Bundes gehaltene juristische Personen. Sie setzt Verwaltungsleistungen im öffentlichen Auftrag und vergleichbare landesrechtliche Regulierung mit ausdrücklichem Bezug auf diesen Absatz voraus. Öffentliche Beteiligung allein genügt nicht.

Aus der Einstufung eine Pflichtenmatrix machen

Fassen Sie die Prüfung in einer kurzen Zuordnungstabelle zusammen. Tragen Sie in der Spalte „anwendbar“ jeweils Ja, Nein oder Klärung erforderlich ein und begründen Sie ein Nein mit dem konkreten Ausnahmetatbestand. Unterscheiden Sie dabei, ob eine Einheit nicht betroffen ist oder nur von einzelnen Verpflichtungen ausgenommen wird.

Vorschrift	Prüffrage nach der Einstufung	Arbeitsnachweis
§ 30 BSIG	Welche Risikomanagementanforderungen gelten?	Maßnahmen und Wirksamkeitsbelege
§ 32 BSIG	Welche Vorfälle müssen gemeldet werden?	Meldeprozess und Vertretung
§§ 33, 34 BSIG	Welche Registrierung mit welchem Fristauslöser?	Übermittlungsbeleg und Datenpflege
§ 38 BSIG	Welche Leitungs- und Schulungspflichten gelten?	Beschlüsse und Schulungsplanung
§ 39 BSIG	Besteht eine besondere Nachweispflicht für kritische Anlagen?	Geprüfter Termin und Prüfungsunterlagen

Die Rechtsgrundlagen sind § 30, § 32, § 33, § 34, § 38 und § 39 BSIG, jeweils einschließlich möglicher Ausnahmen. Wie Sie daraus eine Prüfung der vorhandenen Maßnahmen vorbereiten, lesen Sie in der Anleitung zum NIS2-Gap-Assessment.

Stimmen Sie die Pflichtenmatrix zwischen Rechtsprüfung, IT und Geschäftsleitung ab, damit alle dieselben Ausnahmen berücksichtigen. Zur gemeinsamen Organisation dieser Aufgaben finden Sie Hinweise auf der Seite KaitoSec für den Mittelstand. Im NIS2-Framework-Überblick können Sie die Zusammenhänge der Pflichten nachlesen.

Häufige Fragen

Enthält § 28 selbst den vollständigen Maßnahmenkatalog?

Nein. Er regelt Einstufung und Ausnahmen. Der Mindestumfang der allgemeinen Risikomanagementmaßnahmen steht insbesondere in § 30 BSIG.

Reicht ein Betroffenheitscheck als Nachweis?

Ein Ergebnis ohne Tatsachen, Berechnung und Ausnahmeprüfung ist wenig belastbar. Bewahren Sie die entscheidenden Grundlagen zusammen mit der begründeten Einstufung auf.

Muss jede Einheit eines Verbunds getrennt betrachtet werden?

Die Prüfung braucht einen klaren rechtlichen Adressaten. Zugleich sind bei der Größenberechnung die Verbundregeln aus Absatz 4 zu berücksichtigen.

Wann sollte die Prüfung wiederholt werden?

Als organisatorische Praxis bei Änderungen von Tätigkeiten, Größenmerkmalen, Beteiligungen oder IT-Abhängigkeiten. Ein intern festgelegter Reviewtermin ergänzt diese anlassbezogene Prüfung.