NIS2.
Wer ist betroffen?
Und was jetzt?

Wer ist von NIS2 betroffen?

Von NIS2 betroffen sind Unternehmen, deren Tätigkeit unter eine Einrichtungsart der Anlage 1 oder 2 BSIG fällt und die mindestens 50 Beschäftigte haben oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro ausweisen. Das BSI-Gesetz nennt sie „wichtige Einrichtungen“. Unternehmen der Anlage 1 mit 250 Beschäftigten oder mehr als 50 Mio € Umsatz bei mehr als 43 Mio € Bilanzsumme sind „besonders wichtige Einrichtungen“. Betreiber kritischer Anlagen, Vertrauensdiensteanbieter, DNS-Anbieter, TLD-Registries und öffentliche Telekommunikationsanbieter sind unabhängig von ihrer Größe erfasst.

Die Betroffenheitsprüfung in vier Fragen

Für die erste Einordnung brauchen Sie drei Unterlagen: den letzten Jahresabschluss, die Beschäftigtenzahl und eine ehrliche Liste dessen, was Ihr Unternehmen tatsächlich verkauft. Damit gehen Sie diese vier Fragen der Reihe nach durch. Das BSI bietet dieselbe Prüfung als anonyme Online-Betroffenheitsprüfung an, das Ergebnis ist dort wie hier eine Orientierung und keine Rechtsauskunft.

1. /01

   Fällt Ihre Tätigkeit unter eine Einrichtungsart der Anlage 1 oder 2 BSIG?

   Die Anlagen beschreiben Tätigkeiten, keine Branchenschilder. Ein Maschinenbauer steht über den Maschinenbau in Anlage 2, ein Pharmahersteller über das Gesundheitswesen in Anlage 1. Tätigkeiten, die im Verhältnis zum Gesamtgeschäft vernachlässigbar sind, bleiben außen vor (§ 28 Abs. 3 BSIG). Kein Treffer? Dann weiter mit Frage 3.

2. /02

   Erreichen Sie die Größenschwelle?

   Mindestens 50 Beschäftigte, oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio €. Wer eine der beiden Bedingungen erfüllt, ist mindestens wichtige Einrichtung. Steht Ihre Tätigkeit in Anlage 1 und haben Sie 250 Beschäftigte oder mehr als 50 Mio € Umsatz bei mehr als 43 Mio € Bilanzsumme, sind Sie besonders wichtige Einrichtung.

3. /03

   Gehören Sie zu den Sonderfällen ohne Größenschwelle?

   Betreiber kritischer Anlagen, Vertrauensdiensteanbieter, DNS-Diensteanbieter, TLD-Registries und Anbieter öffentlicher Telekommunikationsnetze oder -dienste fallen unabhängig von ihrer Größe unter das Gesetz. Für alle anderen endet die Prüfung hier mit einem Nein.

4. /04

   Beliefern Sie eine betroffene Einrichtung?

   Dann sind Sie nicht selbst pflichtig. Ihr Kunde muss aber die Sicherheit seiner Lieferkette nachweisen (§ 30 Abs. 2 Nr. 4 BSIG) und reicht die Anforderungen über den Vertrag an Sie weiter.

AI

Besonders wichtige oder wichtige Einrichtung?

Welche der beiden Stufen gilt, entscheidet die Kombination aus Einrichtungsart und Größe. Die Stufe bestimmt, wie das BSI Sie beaufsichtigt und wie hoch ein Bußgeld ausfallen kann. Die Pflichten aus § 30 BSIG sind für beide fast gleich.

Einrichtungsart

WichtigAnlage 1 oder Anlage 2Besonders wichtignur Anlage 1

Beschäftigte

Wichtigab 50Besonders wichtigab 250

oder Finanzkennzahlen

WichtigUmsatz und Bilanzsumme je über 10 Mio €Besonders wichtigUmsatz über 50 Mio € und Bilanzsumme über 43 Mio €

Ohne Größenschwelle

WichtigVertrauensdiensteanbieter, kleine TelekommunikationsanbieterBesonders wichtigKRITIS-Betreiber, qualifizierte Vertrauensdienste, DNS, TLD-Registries

Aufsicht durch das BSI

Wichtigwenn Tatsachen auf Verstöße hindeutenBesonders wichtigauch ohne Anlass, etwa durch angeordnete Audits

Bußgeld bei Verstößen gegen §§ 30 oder 32

Wichtigbis 7 Mio €, ab 500 Mio € Gesamtumsatz bis 1,4 %Besonders wichtigbis 10 Mio €, ab 500 Mio € Gesamtumsatz bis 2 %

Beim BSI registriert, Stand 30.09.2026

Wichtig13.252Besonders wichtig6.837, davon 1.447 KRITIS

Für die Industrie folgt daraus eine Regel, die oft übersehen wird. Maschinenbau, Elektroindustrie und Fahrzeugbau stehen in Anlage 2, und dort gibt es keine besonders wichtigen Einrichtungen. Ein Maschinenbauer mit 5.000 Beschäftigten bleibt deshalb wichtige Einrichtung, solange er keine kritische Anlage betreibt und keine Tätigkeit aus Anlage 1 ausübt.

Ein Hinweis zu den Begriffen: Die EU-Richtlinie spricht von „wesentlichen“ und „wichtigen“ Einrichtungen. Das BSI-Gesetz sagt „besonders wichtig“ statt „wesentlich“ und meint dieselbe Gruppe. Wer in Unterlagen „wesentliche Einrichtung“ liest, hat die Sprache der Richtlinie vor sich, nicht die des deutschen Gesetzes.

Welche Sektoren fallen unter NIS2?

Die Richtlinie zählt 18 Sektoren, elf in Anhang I und sieben in Anhang II. Das BSI-Gesetz fasst die elf aus Anhang I in seiner Anlage 1 zu sieben Sektoren zusammen, etwa Trinkwasser und Abwasser zu „Wasser“, und regelt die öffentliche Verwaltung gesondert in § 29. Anlage 2 übernimmt die sieben Sektoren aus Anhang II. Neben jedem Sektor steht, wie viele Einrichtungen sich bis zum 30.09.2026 dafür beim BSI registriert haben.

Quelle: BSI, NIS-2 in Zahlen, Stand 30.09.2026. Eine Einrichtung kann mehrere Sektoren angeben, die Summe liegt deshalb über 20.141. Dazu kommen 337 Registrierungen der öffentlichen Verwaltung.

Auffällig ist das verarbeitende Gewerbe. Mit 4.739 Registrierungen ist es der größte einzelne Sektor, noch vor dem Gesundheitswesen. Für die meisten dieser Unternehmen ist es der erste Kontakt mit dem BSI überhaupt. Bis Dezember 2025 war IT-Sicherheitsrecht für sie etwas, das Energieversorger und Krankenhäuser betraf.

Zählt der Umsatz oder die Bilanzsumme?

Beides zusammen. § 28 BSIG verknüpft die Beschäftigtenzahl mit oder, die beiden Finanzkennzahlen untereinander aber mit und. Wichtige Einrichtung ist deshalb, wer mindestens 50 Personen beschäftigt oder wer Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio € ausweist. Umsatz allein genügt nicht.

Der Unterschied ist keine Spitzfindigkeit, wie die Beispiele zeigen. Wer nur auf den Umsatz schaut, stuft sich beim ersten Unternehmen falsch ein und baut ein Programm auf, das das Gesetz nicht verlangt.

• Zulieferer, Anlage 2

  40 Beschäftigte · 14 Mio € Umsatz · 8 Mio € Bilanzsumme
  nicht pflichtig

  Unter 50 Beschäftigten, und die Bilanzsumme bleibt unter 10 Mio €. Der Umsatz allein reicht nicht.

• Elektronikfertiger, Anlage 2

  45 Beschäftigte · 12 Mio € Umsatz · 11 Mio € Bilanzsumme
  wichtige Einrichtung

  Beide Finanzkennzahlen liegen über 10 Mio €. Die Beschäftigtenzahl spielt dann keine Rolle mehr.

• Maschinenbauer, Anlage 2

  1.200 Beschäftigte · 310 Mio € Umsatz
  wichtige Einrichtung

  In Anlage 2 gibt es keine besonders wichtigen Einrichtungen, egal wie groß das Unternehmen ist.

• Stadtwerk, Anlage 1

  260 Beschäftigte
  besonders wichtige Einrichtung

  Anlage 1 und mindestens 250 Beschäftigte. Betreibt es eine kritische Anlage, gilt das unabhängig von der Größe.

Gezählt wird nach der KMU-Empfehlung der EU-Kommission (2003/361/EG): Teilzeitkräfte anteilig, Auszubildende nicht. Partner- und verbundene Unternehmen werden ausnahmsweise nicht hinzugerechnet, wenn die Einrichtung ihre IT nachweislich unabhängig von der Gruppe betreibt (§ 28 Abs. 4 BSIG). Bei Tochtergesellschaften im Konzern hängt die Einstufung oft an genau dieser Ausnahme.

Wer fällt nicht unter NIS2?

Nicht erfasst sind Unternehmen unterhalb der Schwellen des § 28 BSIG und Branchen, die in keiner der beiden Anlagen stehen, etwa Baugewerbe, Gastgewerbe und Einzelhandel. Eine Brauerei mit sechs Beschäftigten und 4 Mio € Umsatz gehört zwar zum Sektor Lebensmittel, bleibt aber deutlich unter der Größenschwelle und ist nicht pflichtig.

Vernachlässigbare Geschäftstätigkeiten bleiben bei der Zuordnung unberücksichtigt (§ 28 Abs. 3 BSIG). Ein Maschinenbauer mit angeschlossener Kantine wird nicht über den Sektor Lebensmittel erfasst. Eine feste Prozentgrenze nennt das Gesetz nicht, maßgeblich sind Umsatzanteil, Personaleinsatz und Bedeutung für das Geschäftsmodell. Halten Sie die Einschätzung schriftlich fest, denn im Streitfall müssen Sie sie begründen. Einrichtungen der Bundesverwaltung regelt § 29 BSIG gesondert.

Ein Vorbehalt bleibt selbst dann. Sobald ein betroffener Kunde seine Lieferkette absichern muss, reicht er die Anforderungen vertraglich weiter. Für Zulieferer im Maschinenbau und in der Steuerungstechnik ist das inzwischen der häufigere Weg in die NIS2-Pflichten als die eigene Betroffenheit. Wer dann SBOM und Schwachstellenmanagement vorweisen kann, beantwortet den Fragebogen, statt das Projekt zu verlieren. Was die Pflichten für Stadtwerke, Wasser- und Abwasserbetriebe in der Leit- und Fernwirktechnik bedeuten, zeigt der Anwendungsfall Energie- und Wasserversorger, den Begriff selbst erklärt das Glossar unter NIS2-Richtlinie.

AI

Wie setzt man NIS2 in der CI/CD-Pipeline um?

In der CI/CD-Pipeline setzen Sie vor allem drei der zehn Maßnahmen um: Lieferkettensicherheit, sichere Entwicklung mit Schwachstellenmanagement und die Prüfung, ob die Maßnahmen wirken. SBOM, Dependency- und Code-Scans, Secrets-Prüfung, signierte Artefakte und revisionssichere Deployment-Protokolle laufen dort als automatische Gates und erzeugen den Nachweis bei jedem Release, statt einmal im Jahr bei einem manuellen Audit.

pipeline (NIS2-Gates, vereinfacht)
├── 01 sbom-generate     CycloneDX-SBOM pro Build-Artefakt erzeugen
├── 02 sca-scan          Abhängigkeiten gegen CVE-Datenbanken prüfen
├── 03 sast              Statische Analyse des eigenen Codes
├── 04 secrets-check     Keine Zugangsdaten im Repository
├── 05 sign-artifacts    Artefakte signieren, Build-Provenance ablegen
└── 06 audit-log         Deployment revisionssicher protokollieren

Wie die Gates auf die gesetzlichen Pflichten einzahlen, zeigt die Zuordnung. Jede Zeile verbindet eine Maßnahme aus § 30 Abs. 2 BSIG mit ihrer Umsetzung in der Pipeline.

Den Unterschied macht die Gate-Strategie. SBOM, Dependency-Scan und Secrets-Check laufen bei jedem Commit und brechen den Build bei kritischen Funden ab, tiefere Analysen wie DAST oder Container-Image-Audits laufen nachts. Die SBOM liegt dabei nicht als PDF im Ordner, sondern maschinenlesbar (CycloneDX oder SPDX) und versioniert neben jedem Artefakt. Genau das verlangen betroffene Kunden zunehmend in ihren Verträgen. Wie das praktisch aussieht, zeigt unsere Anleitung SBOM erstellen.

Dieselben Gates bedienen auch den Cyber Resilience Act (CRA) und IEC 62443. Wer die Nachweise einmal automatisiert hat, beantwortet Security-Fragebögen von Kunden und Auditoren aus der Pipeline. Sobald der erste Kunden-Fragebogen mit einem Export aus dem letzten Release beantwortet ist statt mit zwei Wochen Excel-Recherche, kippt das Thema im Haus erfahrungsgemäß vom Pflichtprogramm zum Verkaufsargument. Wie Comquent solche DevSecOps-Gates für NIS2 und CRA einführt, beschreibt die Leistungsseite.

AI