Ist mein Unternehmen von NIS2 betroffen? Die Prüfung nach § 28 BSIG

Warum sich viele Unternehmen falsch einschätzen

Die verbreitete Annahme lautet: NIS2 betrifft kritische Infrastruktur – Energieversorger, Krankenhäuser, Telekommunikation. Wer Maschinen baut, Lebensmittel verarbeitet oder forscht, sieht sich selbst nicht in dieser Kategorie.

Das BSIG kennt aber zwei Anlagen. Anlage 1 führt die Sektoren, die dem Bild der kritischen Infrastruktur entsprechen: Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, Digitale Infrastruktur und Weltraum. Anlage 2 führt weitere Sektoren, und dort steht unter anderem das verarbeitende Gewerbe.

Der Sektor „Verarbeitendes Gewerbe/Herstellung von Waren" ist in eigenständige Branchen untergliedert. Dazu gehören der Maschinenbau (Branche 5.4, abgegrenzt über Abteilung 28 der Statistischen Systematik NACE Rev. 2) und die Herstellung von Kraftwagen und Kraftwagenteilen (Branche 5.5, Abteilung 29). Der Lebensmittelsektor erfasst Unternehmen, die im Großhandel sowie in der industriellen Produktion und Verarbeitung tätig sind. Und Sektor 7 besteht schlicht aus Forschungseinrichtungen.

Das sind Branchen, die sich selbst überwiegend nicht als kritische Infrastruktur verstehen. Die Zuordnung zu Anlage 2 hängt jedoch nicht am Selbstbild, sondern an der ausgeübten Tätigkeit.

Zur Einordnung der Größenordnung: Nach Angaben des BSI gelten seit Inkrafttreten des NIS-2-Umsetzungsgesetzes für rund 29.500 Unternehmen in Deutschland und Institutionen der Bundesverwaltung neue gesetzliche Pflichten – zuvor waren etwa 4.500 Organisationen reguliert. Der Zuwachs entsteht überwiegend außerhalb der klassischen kritischen Infrastruktur.

Die Prüfung läuft in zwei Stufen

Ob eine Einrichtung unter das BSIG fällt, richtet sich nach § 28 BSIG. Maßgeblich sind zwei Voraussetzungen, die zusammen erfüllt sein müssen:

1. Die Einrichtung ist einer der in den Anlagen 1 oder 2 bestimmten Einrichtungsarten zuzuordnen.
2. Sie überschreitet eine Größenschwelle zu Beschäftigtenzahl, Jahresumsatz und Jahresbilanzsumme.

Die Reihenfolge ist nicht beliebig. Ohne Zuordnung zu einer Einrichtungsart spielt die Größe keine Rolle – und umgekehrt führt die Zugehörigkeit zu einem Sektor allein noch nicht zur Betroffenheit.

Stufe 1: Die Einrichtungsart

Anlage 1 BSIG umfasst die Sektoren Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, Digitale Infrastruktur sowie Weltraum. Einrichtungen dieser Sektoren können bei entsprechender Größe als besonders wichtige Einrichtungen gelten.

Anlage 2 BSIG umfasst Transport und Verkehr (Post- und Kurierdienste), Abfallbewirtschaftung, Produktion, Herstellung und Handel mit chemischen Stoffen, Produktion, Verarbeitung und Vertrieb von Lebensmitteln, das verarbeitende Gewerbe beziehungsweise die Herstellung von Waren, Anbieter digitaler Dienste sowie Forschung.

Zwei Dinge sind an dieser Stufe leicht zu übersehen:

Der Sektor allein genügt nicht. Maßgeblich ist die konkrete Einrichtungsart, wie sie die Anlage bestimmt – nicht die grobe Sektorbezeichnung. Im verarbeitenden Gewerbe etwa ist jede Branche über eine bestimmte NACE-Abteilung abgegrenzt.

Nebentätigkeiten können ausgeklammert werden. Nach § 28 Absatz 3 BSIG können bei der Zuordnung solche Geschäftstätigkeiten unberücksichtigt bleiben, die im Hinblick auf die gesamte Geschäftstätigkeit der Einrichtung vernachlässigbar sind. Ein kleiner Randbetrieb zieht also nicht zwangsläufig das ganze Unternehmen in den Anwendungsbereich – die Bewertung sollte aber begründet und dokumentiert werden.

Stufe 2: Die Größenschwellen – und ihre Verknüpfung

Hier liegt der Punkt, an dem die Prüfung in der Praxis am häufigsten kippt. Die drei Merkmale sind nicht einheitlich verknüpft:

Kategorie	Mitarbeiter	oder Umsatz und Bilanzsumme
Besonders wichtige Einrichtung (Anlage 1)	mind. 250	über 50 Mio. € und über 43 Mio. €
Wichtige Einrichtung (Anlagen 1 und 2)	mind. 50	jeweils über 10 Mio. €

Die Mitarbeiterzahl steht alternativ zum Finanzkriterium. Wer sie überschreitet, erfüllt die Schwelle – unabhängig davon, wie hoch Umsatz und Bilanzsumme ausfallen. Innerhalb des Finanzkriteriums sind Jahresumsatz und Jahresbilanzsumme dagegen kumulativ verknüpft: Beide Werte müssen über der Grenze liegen.

Daraus folgen zwei praktische Konsequenzen:

• Ein Maschinenbauer mit 80 Beschäftigten und bescheidenem Umsatz erfüllt die Schwelle der wichtigen Einrichtung bereits über die Mitarbeiterzahl. Ein niedriger Umsatz entlastet nicht.
• Umgekehrt reicht ein hoher Umsatz allein nicht aus, wenn die Bilanzsumme unter der Grenze bleibt und die Mitarbeiterzahl die Schwelle nicht erreicht.

Sind beide Zeilen der Tabelle erfüllt, geht die obere vor: Besonders wichtige Einrichtungen sind aus der Kategorie der wichtigen Einrichtungen ausdrücklich ausgenommen. Einrichtungen der Bundesverwaltung sind aus beiden Kategorien ausgenommen.

Wessen Zahlen eigentlich zählen

Die Werte sind nicht frei zu bestimmen. Nach § 28 Absatz 4 BSIG gilt für Mitarbeiteranzahl, Jahresumsatz und Jahresbilanzsumme die Empfehlung der Kommission 2003/361/EG – mit Ausnahme von Artikel 3 Absatz 4 ihres Anhangs.

Praktisch bedeutet das: Die Daten von Partner- und verbundenen Unternehmen sind grundsätzlich hinzuzurechnen. Eine Tochtergesellschaft mit 30 Beschäftigten kann über die Konzernzurechnung die 50er-Schwelle erreichen.

Es gibt jedoch eine Ausnahme, die eng gefasst ist: Die Daten bleiben außer Betracht, wenn das Unternehmen unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände mit Blick auf Beschaffenheit und Betrieb der informationstechnischen Systeme, Komponenten und Prozesse unabhängig von seinen Partner- oder verbundenen Unternehmen ist. Maßgeblich ist also die IT-seitige Unabhängigkeit, nicht die gesellschaftsrechtliche Konstruktion.

Wann die Größenschwelle gar nicht erst greift

Für einige Einrichtungen ist die Größe unerheblich. Nach § 28 Absatz 1 BSIG gelten als besonders wichtige Einrichtungen unabhängig von jeder Schwelle:

• Betreiber kritischer Anlagen,
• qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Name-Registries und DNS-Diensteanbieter.

Für Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze gilt eine eigene, niedrigere Schwelle: mindestens 50 Mitarbeiter oder ein Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro.

Wer in eine dieser Gruppen fällt, sollte die Prüfung nicht über die allgemeine Schwellenwerttabelle führen.

Was aus der Einordnung folgt

Die Einordnung ist kein Selbstzweck – an ihr hängen die weiteren Pflichten:

• Registrierung nach § 33 BSIG. Die Angaben sind spätestens drei Monate zu übermitteln, nachdem eine Einrichtung erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gilt. Das Gesetz nennt damit eine an den Einzelfall gebundene Frist und keinen einheitlichen Stichtag – eine in Sekundärquellen verbreitete Darstellung, die so nicht zutrifft.
• Risikomanagementmaßnahmen nach § 30 BSIG, einschließlich grundlegender Schulungen und Sensibilisierungsmaßnahmen im Bereich der Informationssicherheit (§ 30 Absatz 2 Nummer 7 BSIG).
• Pflichten der Geschäftsleitung nach § 38 BSIG: die Umsetzung der Risikomanagementmaßnahmen zu veranlassen, ihre Umsetzung zu überwachen und regelmäßig an Schulungen teilzunehmen. Was dabei konkret verlangt wird, behandelt der Beitrag zur NIS2-Schulungspflicht für Geschäftsführer.

Der zeitliche Rahmen: Das Gesetz zur Umsetzung der NIS-2-Richtlinie wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet und trat am 6. Dezember 2025 in Kraft. Die Pflichten gelten seither.

Die Prüfung dokumentieren

Die Einordnung einer konkreten Einrichtung bleibt eine Einzelfallprüfung. Sektorzugehörigkeit und Größenschwellen können sich überschneiden, es bestehen Sonderregelungen, und die Zurechnung im Konzern ist nicht immer eindeutig. Dieser Beitrag kann deshalb keiner Einrichtung die Betroffenheit zusprechen oder absprechen.

Was er leisten kann, ist die Struktur: Wer die beiden Stufen in der richtigen Reihenfolge prüft, die Verknüpfung der Schwellenwerte richtig liest und die Zurechnung im Konzern berücksichtigt, kommt zu einer belastbaren Einschätzung – und kann sie begründen.

Für genau diesen Zweck gibt es den Betroffenheits-Prüfbogen zum Download: Er führt die Prüfung Schritt für Schritt, hält die geprüften Einrichtungsarten und Werte fest und dokumentiert die Einschätzung samt offener Punkte. Kommt später eine Aufsichtsfrage oder verändert sich das Unternehmen durch Wachstum oder Zukauf, ist der Prüfpfad nachvollziehbar.

Dieselbe Logik – erst die Zuordnung, dann der dokumentierte Nachweis – gilt übrigens auch für andere Compliance-Pflichten; die Checkliste zum Nachweis von KI-Kompetenz zeigt sie für den EU AI Act.

Wer bereits weiß, dass die eigene Einrichtung erfasst ist, findet die Anschlussfrage nach den Leitungspflichten im Beitrag zur Schulungspflicht der Geschäftsleitung. Die NIS2-Schulung für Geschäftsleitungen setzt genau dort an.