Welche Einrichtungen NIS2 wirklich betrifft (§ 28 BSIG)

§ 28 BSIG definiert die Betroffenheitsprüfung als Zweistufentest: Sektorzugehörigkeit und Größenschwelle. Die meisten Fehler passieren nicht, weil die Kriterien unklar wären, sondern weil Einrichtungen nur ihre Haupttätigkeit prüfen und übersehen, dass sie in einem zweiten regulierten Sektor tätig sind. Das zweithäufigste Problem betrifft Konzernstrukturen: Die Prüfung wird auf Gruppenebene gemacht, obwohl § 28 BSIG jede Rechtseinheit einzeln beurteilt, bei der Schwellenberechnung aber die konsolidierten Gruppengrößen einbezieht.

Das NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft. Die BSI-Registrierungsfrist ist am 6. März 2026 abgelaufen. Wer seine Betroffenheit noch nicht geprüft hat, sollte das jetzt nachholen. Der KaitoSec Vor-Check liefert eine erste Einschätzung in wenigen Minuten.

Die Sektorstruktur – Anlage 1 und Anlage 2 des BSIG

§ 28 BSIG erfasst Einrichtungen in 18 regulierten Sektoren, aufgeteilt in zwei Anlagen. Die Zuordnung bestimmt zusammen mit der Unternehmensgröße, ob eine Einrichtung als besonders wichtig oder wichtig eingestuft wird.

Anlage 1 – Sektoren mit hoher Kritikalität (11)

• Energie (Strom, Gas, Fernwärme, Öl, Wasserstoff)
• Verkehr (Luftfahrt, Eisenbahn, Schifffahrt, Straßenverkehr)
• Bankwesen
• Finanzmarktinfrastrukturen
• Gesundheitswesen (Krankenhäuser, Laboratorien, Pharma, Medizinproduktehersteller)
• Trinkwasser
• Abwasser
• Digitale Infrastruktur (DNS-Anbieter, TLD-Registries, Cloud-Computing, Rechenzentren, CDN, Vertrauensdiensteanbieter, öffentliche TK-Netze)
• Verwaltung von IKT-Diensten (B2B), insbesondere MSP und MSSP
• Öffentliche Verwaltung
• Weltraum (Betreiber von Bodeninfrastruktur)

Anlage 2 – Sonstige kritische Sektoren (7)

• Post- und Kurierdienste
• Abfallbewirtschaftung
• Chemikalien (Herstellung, Erzeugung, Vertrieb)
• Lebensmittel (Herstellung, Verarbeitung, Vertrieb)
• Verarbeitendes Gewerbe (beschränkt auf NACE-Abteilungen 26–30: Elektronik, Optik, Maschinenbau, Fahrzeugbau)
• Digitale Anbieter (Online-Marktplätze, Online-Suchmaschinen, soziale Netzwerke)
• Forschung

Klassifikationsmatrix

• Großunternehmen + Anlage 1 → besonders wichtige Einrichtung
• Großunternehmen + Anlage 2 → wichtige Einrichtung
• Mittleres Unternehmen + Anlage 1 oder 2 → wichtige Einrichtung

Tätigkeitsbezug: Sektorzugehörigkeit richtet sich nach der tatsächlichen Funktion, nicht nach der Branchenklassifikation im Handelsregister. Die Sektordefinitionen sind überwiegend tätigkeitsbezogen, aber einzelne Sektoren verweisen explizit auf NACE-Codes. Das Verarbeitende Gewerbe in Anlage 2 umfasst die NACE-Abteilungen 26 bis 30. Mehrspartige Einrichtungen müssen alle Tätigkeitsbereiche prüfen.

Die Größenschwellen – EU-KMU-Empfehlung im Detail

§ 28 Abs. 4 BSIG verweist für die Größenklassifikation auf die EU-Empfehlung 2003/361/EG, mit einer entscheidenden Verschärfung beim Finanztest.

Schwelle 1 – Großunternehmen

• ≥ 250 Beschäftigte (allein hinreichend, Finanzkennzahlen irrelevant)
• ODER: Jahresumsatz > 50 Mio. EUR UND Jahresbilanzsumme > 43 Mio. EUR (beide Kriterien müssen gleichzeitig erfüllt sein)

Schwelle 2 – Mittleres Unternehmen

• ≥ 50 Beschäftigte (allein hinreichend)
• ODER: Jahresumsatz > 10 Mio. EUR UND Jahresbilanzsumme > 10 Mio. EUR

Unterhalb der mittleren Schwelle (unter 50 Beschäftigte, Umsatz und Bilanzsumme jeweils ≤ 10 Mio. EUR) sind Einrichtungen grundsätzlich nicht erfasst. Die Ausnahmen (größenunabhängige Sonderkategorien) folgen im nächsten Abschnitt.

Der UND-Operator – eine bewusste Verschärfung gegenüber der EU-Empfehlung

Beim Finanztest müssen Umsatz UND Bilanzsumme die Schwelle überschreiten. Diese Verknüpfung ist eine bewusste Verschärfung des BSIG gegenüber der EU-Empfehlung 2003/361/EG, die alternativ (ODER) formuliert ist. Ein Unternehmen mit 65 Mio. EUR Umsatz, aber nur 38 Mio. EUR Bilanzsumme ist nach BSIG kein Großunternehmen. Es ist mittelgroß.

Wer beim Beschäftigtenkriterium unter der Schwelle bleibt, muss beim Finanztest beide Werte gleichzeitig überschreiten. Diese Verschärfung führt dazu, dass umsatzstarke Unternehmen mit geringer Bilanzsumme (oder umgekehrt) eine Stufe niedriger eingestuft werden als nach der EU-Empfehlung.

Prüflogik: ≥ 250 Beschäftigte → Großunternehmen. Unter 250 Beschäftigte → Finanztest: Umsatz > 50 Mio. EUR UND Bilanzsumme > 43 Mio. EUR → Großunternehmen. Einer oder beide Tests negativ → prüfen ob ≥ 50 Beschäftigte oder Umsatz > 10 Mio. EUR UND Bilanzsumme > 10 Mio. EUR → mittleres Unternehmen.

Größenunabhängige Betroffenheit und Sonderkategorien

Bestimmte Einrichtungen fallen unabhängig von ihrer Größe unter das BSIG. Die Liste ist kürzer als häufig dargestellt.

Größenunabhängig als besonders wichtige Einrichtung (§ 28 Abs. 1)

• Betreiber kritischer Anlagen nach § 28 Abs. 1 Nr. 1
• Qualifizierte Vertrauensdiensteanbieter nach § 28 Abs. 1 Nr. 2
• TLD-Namenregistries nach § 28 Abs. 1 Nr. 2
• DNS-Diensteanbieter nach § 28 Abs. 1 Nr. 2

Reduzierte Schwelle als besonders wichtige Einrichtung (§ 28 Abs. 1 Nr. 3)

Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze mit mindestens 50 Beschäftigten oder mehr als 10 Mio. EUR Jahresumsatz. Die Schwelle liegt hier deutlich niedriger als bei normalen Anlage-1-Einrichtungen.

Größenunabhängig als wichtige Einrichtung (§ 28 Abs. 2 Nr. 1)

• Nicht-qualifizierte Vertrauensdiensteanbieter – unabhängig von Beschäftigtenzahl oder Umsatz als wichtige Einrichtung erfasst

Häufiger Irrtum

Viele Übersichten listen Cloud-Computing, Rechenzentren, Managed Services und Online-Marktplätze als größenunabhängig. Das stimmt nicht. Diese Einrichtungsarten sind zwar in Anlage 1 (Digitale Infrastruktur) bzw. Anlage 2 (Digitale Anbieter) aufgeführt, unterliegen aber den normalen Größenschwellen des § 28. Ein Cloud-Anbieter mit 20 Beschäftigten und 5 Mio. EUR Umsatz ist nicht betroffen.

Die Konsolidierungsregel – Konzernstrukturen

Klassifikation: pro Rechtseinheit. Schwellenberechnung: unter Aggregation verbundener Unternehmen nach Anhang I der EU-Empfehlung 2003/361/EG (§ 28 Abs. 4 BSIG).

Wann Unternehmen als „verbunden" gelten

• Mehrheitsbeteiligung: Ein Unternehmen hält direkt oder indirekt die Mehrheit der Stimmrechte eines anderen Unternehmens.
• Bestellungsrecht: Ein Unternehmen hat das Recht, die Mehrheit des Leitungs- oder Aufsichtsgremiums zu bestellen oder abzuberufen.
• Vertraglicher Einfluss: Ein Unternehmen übt aufgrund eines Vertrags bestimmenden Einfluss aus.

Was die Aggregation konkret bedeutet

Alle Beschäftigten und Finanzkennzahlen der verbundenen Unternehmen werden addiert. Eine Tochtergesellschaft mit 30 Beschäftigten und 8 Mio. EUR Umsatz ist nicht automatisch ausgenommen, wenn der Konzern insgesamt 600 Beschäftigte bei 300 Mio. EUR Umsatz hat. Für die Schwellenwertprüfung der Tochtergesellschaft gilt die Gruppengesamtgröße.

Die Tochtergesellschaft ist eigenständig betroffen, wenn sie in einem regulierten Sektor tätig ist. Ihre Compliance-Pflichten (§§ 30–38 BSIG), ihre Registrierungspflicht (§ 33 BSIG) und die persönliche Verantwortung ihrer Geschäftsleitung (§ 38 BSIG) liegen bei der Tochtergesellschaft, nicht bei der Konzernmutter.

Ausnahme bei IT-Unabhängigkeit (§ 28 Abs. 4)

Falls eine Einrichtung nachweisen kann, dass sie hinsichtlich der Beschaffenheit und des Betriebs ihrer IT-Systeme vollständig unabhängig von den verbundenen Unternehmen ist, kann die Konsolidierungsregel entfallen. Die Beweislast liegt bei der Einrichtung. In der Praxis ist vollständige IT-Unabhängigkeit innerhalb eines Konzerns selten gegeben.

Häufiger Konzernirrtum: „Die Konzernzentrale ist bereits nach NIS2 registriert und ISMS-zertifiziert. Unsere Tochtergesellschaft mit 28 Mitarbeitern fällt nicht darunter." – Falsch. Wenn die Konzerngruppe die Größenschwelle erfüllt, ist die Tochtergesellschaft eigenständig betroffen: eigenes Leitungsorgan, eigene Registrierung, eigenes ISMS.

Einrichtungen der Bundesverwaltung – § 29 BSIG

Die öffentliche Verwaltung wird in § 29 BSIG geregelt, nicht in § 28. Das ist ein eigener Paragraph mit eigenen Regeln. Einrichtungen der Bundesverwaltung sind aus dem Anwendungsbereich des § 28 Abs. 1 und 2 ausdrücklich ausgenommen.

Bundesverwaltung: Nach § 29 BSIG als besonders wichtige Einrichtungen eingestuft, größenunabhängig. Sie unterliegen den Pflichten aus §§ 30–38 BSIG.

Landes- und Kommunalverwaltung: Das BSIG regelt nur die Bundesverwaltung. Für Landes- und Kommunalverwaltungen sind die Länder zuständig, die eigene Umsetzungsgesetze erlassen können.

Öffentliche Einrichtungen in regulierten Sektoren (z. B. kommunale Energieversorgung oder Stadtwerke): Diese werden über den Sektortatbestand in § 28 erfasst, nicht über § 29. Ein kommunales Energieversorgungsunternehmen, das die Größenschwelle überschreitet, ist als Einrichtung im Sektor Energie betroffen.

Selbsteinstufung – was § 33 BSIG verlangt

Das BSIG verfolgt das Prinzip der Selbsteinstufung. Es gibt keinen Bescheid vom BSI, der Ihnen sagt, ob Sie betroffen sind. Sie müssen das selbst prüfen und dokumentieren.

Vier Schritte

• Sektorzugehörigkeit prüfen – tätigkeitsbezogen, alle Geschäftsbereiche durchgehen. Auch Nebentätigkeiten können eine Betroffenheit auslösen.
• Größenschwelle berechnen – inklusive Aggregation verbundener Unternehmen nach der Konsolidierungsregel. Beide Stufen prüfen (Großunternehmen und mittleres Unternehmen).
• Klassifikation festlegen und dokumentieren – besonders wichtige oder wichtige Einrichtung. Die Dokumentation muss schriftlich verteidigbar sein.
• BSI-Registrierung durchführen – die Registrierungsfrist nach § 33 BSIG ist am 6. März 2026 abgelaufen. Wer sich noch nicht registriert hat, sollte das unverzüglich nachholen.

Risiko der Fehleinstufung

„Nicht betroffen" obwohl betroffen: Das schwerwiegendste Szenario. Keine Registrierung, kein ISMS-Aufbau, kein Risikomanagement. Im Ernstfall droht ein Bußgeld von bis zu 10 Mio. EUR nach § 65 BSIG. Die umsatzabhängige Obergrenze von 2 % des weltweiten Jahresumsatzes greift nur bei Einrichtungen mit mehr als 500 Mio. EUR Umsatz.

„Wichtig" obwohl besonders wichtig: Die ex-ante-Aufsichtslücke führt dazu, dass das BSI nicht proaktiv prüft. Die Einrichtung wiegt sich in falscher Sicherheit, bis ein Vorfall die Fehlklassifikation aufdeckt.

Die Selbsteinstufung muss schriftlich nachvollziehbar sein. Halten Sie fest, welche Sektoren geprüft wurden, wie die Größenschwelle berechnet wurde und zu welchem Ergebnis Sie gekommen sind. Der KaitoSec NIS2 Guide führt Sie durch diesen Prozess in Kapitel 1.

Besonders wichtig vs. wichtig – der operative Unterschied

Die Einstufung bestimmt den Aufsichtsmodus und die Bußgeldobergrenzen. Die Sicherheitspflichten selbst sind für beide Kategorien identisch.

BSI-Aufsicht

• Besonders wichtige Einrichtungen: ex-ante-Aufsicht (§ 61 BSIG). Das BSI kann proaktiv prüfen, Audits anordnen und Nachweise verlangen, ohne dass ein Vorfall vorliegt.
• Wichtige Einrichtungen: ex-post-Aufsicht (§ 62 BSIG). Das BSI wird erst tätig, wenn ein Vorfall gemeldet wird oder konkrete Anhaltspunkte für Pflichtverstöße vorliegen.

Bußgelder nach § 65 BSIG

• Besonders wichtige Einrichtungen: bis zu 10 Mio. EUR. Bei Einrichtungen mit mehr als 500 Mio. EUR weltweitem Jahresumsatz alternativ bis zu 2 % des Umsatzes.
• Wichtige Einrichtungen: bis zu 7 Mio. EUR. Bei Einrichtungen mit mehr als 500 Mio. EUR weltweitem Jahresumsatz alternativ bis zu 1,4 % des Umsatzes.

Persönliche Haftung nach § 38 BSIG

§ 38 Abs. 1 verpflichtet die Geschäftsleitung, die Risikomanagementmaßnahmen nach § 30 zu billigen und deren Umsetzung zu überwachen. Nach § 38 Abs. 2 haftet die Geschäftsleitung bei Pflichtverletzung nach den Regeln des jeweils anwendbaren Gesellschaftsrechts. Diese Haftung gilt für beide Kategorien gleich. § 38 Abs. 3 regelt die Schulungspflicht der Geschäftsleitung.

Meldepflicht nach § 32 BSIG

Für beide Kategorien identisch: Erstmeldung innerhalb von 24 Stunden, Folgemeldung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats nach dem Vorfall.

Der operativ bedeutsamste Unterschied ist die ex-ante-Aufsicht bei besonders wichtigen Einrichtungen. Sie müssen jederzeit belegen können, dass Ihre Sicherheitsmaßnahmen den Anforderungen des § 30 BSIG entsprechen. Der KaitoSec NIS2 Guide bildet diesen gesamten Umsetzungspfad in 8 Kapiteln ab.

Dieser Artikel im NIS2 Guide

Dieser Artikel vertieft die Inhalte aus Kapitel 1, Schritt 1-1 des NIS2 Guide (Betroffenheitsprüfung und Registrierung). Weiterführende Artikel:

• B-01: Selbsteinstufung und Registrierung (operative Checkliste, Schritt-für-Schritt)
• A-42: Zuständige Aufsichtsbehörde und Meldewege
• A-44: NIS2 in Konzernstrukturen und das Hauptniederlassungsprinzip
• A-01: NIS2 vs. NIS1: Was sich mit dem NIS2UmsuCG geändert hat

Dieser Artikel ersetzt keine Rechtsberatung. Für die verbindliche Bestimmung der Betroffenheit nach § 28 BSIG, insbesondere bei Konzernstrukturen oder Einrichtungen mit Mischtätigkeiten, sollte ein auf Cybersicherheitsrecht spezialisierter Rechtsanwalt hinzugezogen werden.