NIS2.
Wer ist betroffen —
und wie umsetzen?

Wer ist von NIS2 betroffen?

Von NIS2 betroffen sind Unternehmen aus 18 Sektoren, die mindestens 50 Beschäftigte haben oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro ausweisen. Das deutsche BSI-Gesetz nennt sie „wichtige Einrichtungen“ und stuft sie ab 250 Beschäftigten oder über 50 Mio € Umsatz zusammen mit über 43 Mio € Bilanzsumme als „besonders wichtige Einrichtungen“ ein (§ 28 BSIG). Zu den Sektoren zählen Energie, Transport, Gesundheit, digitale Infrastruktur, Chemie, Lebensmittel und das verarbeitende Gewerbe, also auch Maschinenbau, Fahrzeugbau und Medizintechnik. Ohne Größenschwelle betroffen sind DNS-Anbieter, TLD-Registries, qualifizierte Vertrauensdiensteanbieter und KRITIS-Betreiber.

Hinter den 18 Sektoren stehen zwei Anhänge der NIS2-Richtlinie, die das deutsche Recht als Anlage 1 („Sektoren hoher Kritikalität“, elf Einträge) und Anlage 2 („sonstige kritische Sektoren“, sieben Einträge) zum BSIG übernommen hat. Ein Hinweis zur Begrifflichkeit: Die Richtlinie spricht von „wesentlichen“ Einrichtungen, das seit dem 6. Dezember 2025 maßgebliche BSI-Gesetz von „besonders wichtigen“. Gemeint ist dieselbe Kategorie. Welche der beiden Stufen für Sie gilt, entscheidet die Kombination aus Einrichtungsart und Unternehmensgröße, und diese Einstufung ist kein Etikett. Sie bestimmt Aufsichtsregime und Bußgeldrahmen:

Besonders wichtige oder wichtige Einrichtung?

Dahinter steht die sogenannte Size-Cap-Regel: Erfasst werden grundsätzlich mittlere und große Unternehmen. Kleinst- und Kleinunternehmen bleiben außen vor, sofern sie nicht zu den größenunabhängig erfassten Anbietern gehören. Der praktische Unterschied der beiden Kategorien liegt in der Aufsicht. Besonders wichtige Einrichtungen unterliegen proaktiver Aufsicht mit anlassunabhängigen Prüfungen und Bußgeldern bis 10 Mio € oder 2 % des weltweiten Jahresumsatzes; wichtige Einrichtungen werden anlassbezogen beaufsichtigt, mit Bußgeldern bis 7 Mio € oder 1,4 % (§ 65 BSIG). Die Pflichten nach Art. 21 sind für beide Kategorien weitgehend identisch.

Zählt der Umsatz oder die Bilanzsumme?

Beides zusammen. § 28 BSIG verknüpft die Beschäftigtenzahl mit oder, die beiden Finanzkennzahlen untereinander aber mit und. Eine wichtige Einrichtung ist deshalb, wer mindestens 50 Personen beschäftigt, oder wer Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio € ausweist. Umsatz allein genügt nicht.

Der Unterschied ist keine Spitzfindigkeit. Ein Zulieferer mit 40 Beschäftigten, 14 Mio € Umsatz und einer Bilanzsumme von 8 Mio € liegt unter beiden Schwellen und ist damit nicht selbst pflichtig. Wer nur auf den Umsatz schaut, stuft sich hier falsch ein und baut ein Programm auf, das das Gesetz nicht verlangt. Für die Größenbestimmung gilt die KMU-Empfehlung der EU-Kommission (2003/361/EG), wobei Partner- und verbundene Unternehmen ausnahmsweise nicht hinzugerechnet werden, wenn die Einrichtung ihre IT nachweislich unabhängig von der Gruppe betreibt (§ 28 Abs. 4 BSIG). Für Tochtergesellschaften im Konzern ist das die entscheidende Frage.

Wer fällt nicht unter NIS2?

Nicht erfasst sind Unternehmen unterhalb der Schwellen des § 28 BSIG und Branchen, die in keiner der beiden Anlagen zum BSIG stehen, etwa Baugewerbe, Gastgewerbe und Einzelhandel. Eine Brauerei mit sechs Beschäftigten und 4 Mio € Umsatz gehört zwar zum Sektor Lebensmittel, bleibt aber deutlich unter der Größenschwelle und ist damit nicht pflichtig.

Zwei Regeln entschärfen die Zuordnung zusätzlich. Vernachlässigbare Geschäftstätigkeiten bleiben unberücksichtigt (§ 28 Abs. 3 BSIG): Ein Maschinenbauer mit angeschlossener Kantine wird nicht über den Sektor Lebensmittel erfasst. Und Einrichtungen der Bundesverwaltung sind aus § 28 herausgenommen und in § 29 BSIG gesondert geregelt. Eine feste Prozentgrenze für „vernachlässigbar“ nennt das Gesetz nicht, maßgeblich sind Umsatzanteil, Personaleinsatz und Bedeutung für das Geschäftsmodell. Halten Sie die Einschätzung schriftlich fest, denn im Streitfall müssen Sie sie begründen.

Ein Vorbehalt bleibt selbst dann. Sobald ein betroffener Kunde seine Lieferkette nach Art. 21 absichern muss, reicht er die Anforderungen vertraglich weiter. Für Zulieferer im Maschinenbau und in der Steuerungstechnik ist das inzwischen der häufigere Weg in die NIS2-Pflichten als die eigene Betroffenheit. Wer dann SBOM und Schwachstellenmanagement vorweisen kann, beantwortet den Fragebogen, statt das Projekt zu verlieren.

Wie setzt man NIS2 in der CI/CD-Pipeline um?

Die Anforderungen an sichere Entwicklung, Lieferkette und Nachweisbarkeit lassen sich am wirksamsten als automatische Quality Gates in der CI/CD-Pipeline verankern: SBOM-Generierung, Dependency- und Code-Scans, Secrets-Prüfung, signierte Artefakte und revisionssichere Deployment-Protokolle. So entsteht der Compliance-Nachweis bei jedem Release — statt durch ein manuelles Audit einmal im Jahr.

pipeline (NIS2-Gates, vereinfacht)
├── 01 sbom-generate     CycloneDX-SBOM pro Build-Artefakt erzeugen
├── 02 sca-scan          Abhängigkeiten gegen CVE-Datenbanken prüfen
├── 03 sast              Statische Analyse des eigenen Codes
├── 04 secrets-check     Keine Zugangsdaten im Repository
├── 05 sign-artifacts    Artefakte signieren, Build-Provenance ablegen
└── 06 audit-log         Deployment revisionssicher protokollieren

Wie die Gates auf die gesetzlichen Pflichten einzahlen, zeigt das Mapping — jede Zeile verbindet eine Art.-21-Maßnahme mit ihrer technischen Umsetzung in der Pipeline: