Bin ich von NIS2 betroffen?
Seit dem 6. Dezember 2025 gilt das neu gefasste BSI-Gesetz (BSIG), mit dem Deutschland die europäische NIS2-Richtlinie umgesetzt hat. Ob ein Unternehmen darunter fällt, entscheiden zwei Dinge: die Branche und die Größe.
Schritt 1: Gehört Ihre Branche dazu?
Das Gesetz nennt die Branchen in zwei Anlagen.
Anlage 1: Sektoren mit hoher Kritikalität
- Energie (Strom, Fernwärme und Fernkälte, Kraftstoffe und Heizöl, Gas, Wasserstoff)
- Transport und Verkehr (Luftverkehr, Schienenverkehr, Schifffahrt, Straßenverkehr)
- Finanzwesen (Kreditinstitute, Handelsplätze, zentrale Gegenparteien)
- Gesundheit (Gesundheitsdienstleister, Hersteller pharmazeutischer Erzeugnisse, Arzneimittelforschung, Hersteller kritischer Medizinprodukte für Notlagen)
- Wasser (Trinkwasserversorgung, Abwasserbeseitigung)
- Digitale Infrastruktur (unter anderem Cloud-Computing, Rechenzentrumsdienste, Content Delivery Networks, Telekommunikation, Managed Service Provider, Managed Security Service Provider)
- Weltraum (Bodeninfrastrukturen für weltraumgestützte Dienste)
Anlage 2: weitere Sektoren
- Post- und Kurierdienste
- Abfallbewirtschaftung, wenn sie die Haupttätigkeit ist
- Chemie: Hersteller und Importeure chemischer Stoffe und Gemische, die der REACH-Registrierungspflicht unterliegen
- Lebensmittel: Großhandel sowie industrielle Produktion und Verarbeitung
- Verarbeitendes Gewerbe: Medizinprodukte, Datenverarbeitungsgeräte sowie elektronische und optische Erzeugnisse, elektrische Ausrüstungen, Maschinenbau, Kraftwagen und Kraftwagenteile, sonstiger Fahrzeugbau
- Anbieter digitaler Dienste: Online-Marktplätze, Online-Suchmaschinen, Plattformen für soziale Netzwerke
- Forschungseinrichtungen
Im verarbeitenden Gewerbe, in der Chemie und bei den Lebensmitteln sind die Einrichtungsarten über Wirtschaftszweige (NACE) abgegrenzt.
Schritt 2: Wie groß ist Ihr Unternehmen?
Die Einstufung regelt § 28 BSIG. Es gibt zwei Gruppen.
| Gruppe | Sektoren | Größe |
|---|---|---|
| Besonders wichtige Einrichtung (§ 28 Abs. 1) | Anlage 1 | mindestens 250 Beschäftigte, oder Jahresumsatz über 50 Mio. € und zugleich Bilanzsumme über 43 Mio. € |
| Wichtige Einrichtung (§ 28 Abs. 2) | Anlage 1 und 2 | mindestens 50 Beschäftigte, oder Jahresumsatz und Bilanzsumme jeweils über 10 Mio. € |
Unternehmen aus Anlage 2 sind also, sobald sie die Schwelle von 50 Beschäftigten oder 10 Mio. € erreichen, wichtige Einrichtungen, auch wenn sie sehr groß sind. Die höhere Stufe der besonders wichtigen Einrichtungen gibt es nur in Anlage 1.
Einige Einrichtungen sind unabhängig von der Größe erfasst, zum Beispiel Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries und DNS-Diensteanbieter. Telekommunikationsanbieter erreichen die Stufe der besonders wichtigen Einrichtung schon ab 50 Beschäftigten oder 10 Mio. € Umsatz und Bilanzsumme.
So wird gezählt
- Für Beschäftigtenzahl, Umsatz und Bilanzsumme gilt die EU-Empfehlung 2003/361/EG (§ 28 Abs. 4).
- Zahlen von Partner- oder verbundenen Unternehmen werden nicht hinzugerechnet, wenn Ihr Unternehmen bei seinen IT-Systemen unabhängig ist. Ist es das nicht, können sie mitzählen.
- Geschäftstätigkeiten, die im Verhältnis zur gesamten Tätigkeit vernachlässigbar sind, bleiben bei der Zuordnung außer Betracht (§ 28 Abs. 3).
Beispiele
- Maschinenbauer, 80 Beschäftigte: Anlage 2 (Maschinenbau), über 50 Beschäftigte. Wichtige Einrichtung.
- Lebensmittelgroßhändler, 120 Beschäftigte: Anlage 2 (Lebensmittel, Großhandel). Wichtige Einrichtung.
- IT-Dienstleister als Managed Service Provider, 60 Beschäftigte: Anlage 1 (Digitale Infrastruktur). Wichtige Einrichtung, weil unter 250 Beschäftigten.
- Hersteller elektrischer Ausrüstungen, 30 Beschäftigte, 8 Mio. € Umsatz und Bilanzsumme: Branche in Anlage 2, aber unter den Schwellen. Das Unternehmen ist nicht unmittelbar erfasst.
- Steuerberatung oder Architekturbüro: kommen in den Anlagen 1 und 2 nicht vor und sind deshalb nicht unmittelbar betroffen.
Und wenn ich nicht betroffen bin?
Betroffene Einrichtungen müssen nach § 30 Abs. 2 Nr. 4 BSIG die Sicherheit ihrer Lieferkette berücksichtigen, auch im Verhältnis zu Zulieferern und Dienstleistern. In der Praxis fragen sie deshalb Zulieferer nach Nachweisen zur IT-Sicherheit. Wer selbst unter den Schwellen liegt, kann also trotzdem Fragebögen und Vertragsklauseln von betroffenen Kunden bekommen.
Mehr zu den Anforderungen: Pflichten und Fristen nach NIS2.
Wo stehen Sie?
Der kostenlose Kurztest klärt in drei Fragen, ob Ihr Unternehmen unter das Gesetz fällt, und zeigt danach mit zwölf Kernfragen, wie weit Sie bei den wichtigsten Maßnahmen sind. Dauer: etwa fünf Minuten, ohne Anmeldung.
Stand: Oktober 2026. Diese Seite fasst das BSI-Gesetz in der Fassung des NIS2-Umsetzungsgesetzes verständlich zusammen und ist eine Orientierung, keine Rechtsberatung. Maßgeblich ist der Gesetzestext unter gesetze-im-internet.de.