NIS2-Betroffenheit prüfen und die Einstufung dokumentieren

Diese Seite führt durch die Einstufung nach § 28 BSIG (in der Fassung vom 22.10.2026) und zeigt, wie Sie das Ergebnis nachvollziehbar festhalten. Welche Einrichtungsarten die Anlagen 1 und 2 im Einzelnen nennen, steht im Sektorenverzeichnis. Was nach der Einstufung zu tun ist, beschreiben die Seiten zur Registrierung und zu den NIS2-Anforderungen.

Wer prüft, ob ein Unternehmen betroffen ist?

Das Unternehmen selbst. Das BSI teilt weder die Betroffenheit noch die Nicht-Betroffenheit mit und prüft keine Einzelfälle. Als rechtlich unverbindliche Hilfe stellt es die NIS‑2-Betroffenheitsprüfung bereit. Eine Ausnahme kann man nicht beantragen; § 37 BSIG sieht dafür kein Antragsverfahren vor.

Das BSI-Werkzeug eignet sich für eine erste Antwort. Für Konzernzurechnung, gemischte Tätigkeiten und Ausnahmen brauchen Sie eine eigene, begründete Prüfung. Bleiben danach Zweifel, empfiehlt das BSI externe juristische Unterstützung. Zuständig ist das BSI für Unternehmen, die in Deutschland niedergelassen sind oder hier einen Vertreter benannt haben.

Seit dem 06.12.2025 gilt das neue BSIG aus dem NIS2-Umsetzungsgesetz ohne allgemeine Übergangsfrist. Laut BSI betrifft es rund 29.500 Unternehmen und Einrichtungen der Bundesverwaltung. Wer betroffen ist, hat die Pflichten seit diesem Tag, unabhängig davon, ob schon registriert wurde.

Schritt 1: Gibt es einen größenunabhängigen Fall?

Einige Einrichtungen sind ohne Rücksicht auf ihre Größe erfasst. Prüfen Sie diese Fälle zuerst, weil die Größenprüfung für sie entfällt:

Ob jemand Betreiber einer kritischen Anlage ist, richtet sich derzeit weiter nach der BSI-Kritisverordnung; die neuen Begriffe aus dem KRITIS-Dachgesetz sind nach § 66 BSIG erst mit dessen Rechtsverordnung anzuwenden. Für Telekommunikationsanbieter gelten zusätzlich Sonderregeln, die wir auf der Seite TK-Anbieter unter NIS2 und TKG erklären.

Schritt 2: Fällt eine Tätigkeit unter Anlage 1 oder 2?

Betroffen sein kann nur, wer einer Einrichtungsart aus Anlage 1 oder Anlage 2 zuzuordnen ist und anderen entgeltlich Waren oder Dienstleistungen anbietet. Gehen Sie dafür jede Geschäftstätigkeit einzeln durch, auch Nebentätigkeiten. Einrichtungsarten verweisen teils auf ein Fachgesetz (etwa EnWG, AEG, PostG), teils auf eine Abteilung der Wirtschaftszweigklassifikation NACE Rev. 2. Die NACE-Abteilung ist laut BSI auf dieser Ebene mit der WZ-Nummer der WZ 2008 identisch, die Ihr Unternehmen in seinen Statistikmeldungen angibt. Die neuere NACE Rev. 2.1 ist für die Zuordnung nicht anzuwenden. Wer nach Rev. 2.1 oder nach der eigenen Branchenbeschreibung zuordnet, landet leicht in der falschen Abteilung.

Die Anlage bestimmt die mögliche Kategorie: Einrichtungsarten aus Anlage 1 (etwa Energie, Gesundheit, digitale Infrastruktur) können besonders wichtig oder wichtig sein. Einrichtungsarten aus Anlage 2 (etwa Maschinenbau, Lebensmittel, Chemie, Abfall) sind höchstens wichtig, auch bei einem Großunternehmen.

Vernachlässigbare Tätigkeiten: Nach § 28 Abs. 3 können Geschäftstätigkeiten unberücksichtigt bleiben, die im Verhältnis zur gesamten Geschäftstätigkeit vernachlässigbar sind. Das BSI legt das so aus: Bei einem einzelnen Unternehmen sind das Tätigkeiten ausschließlich für interne Zwecke, etwa eine Photovoltaikanlage für den Eigenbedarf (auch wenn Überschussstrom eingespeist wird) oder die eigene, auch extern betreute IT. Wird die Tätigkeit am Markt angeboten, ist sie nach dieser Auslegung nicht vernachlässigbar. Für verbundene Unternehmen nennt das BSI Schwellen, etwa weniger als 50 Mitarbeitende und jeweils weniger als 10 % von Umsatz und Bilanzsumme für eine Tätigkeit, die nur innerhalb des Verbunds angeboten wird. Auf die größenunabhängigen Fälle aus Schritt 1 wendet das BSI § 28 Abs. 3 nicht an.

Schritt 3: Wie groß ist das Unternehmen mit seinen verbundenen Unternehmen?

Für die Größe gelten die Schwellen aus § 28 Abs. 1 Nr. 4 und Abs. 2 Nr. 3. Ein Kriterium genügt: entweder die Mitarbeiterzahl oder Umsatz und Bilanzsumme zusammen.

So rechnen Sie nach § 28 Abs. 4 BSIG und den Hinweisen des BSI:

• Grundlage: die KMU-Empfehlung der EU-Kommission 2003/361/EG (ohne Art. 3 Abs. 4 des Anhangs), grundsätzlich mit den Daten des letzten festgestellten Jahresabschlusses.
• Mitarbeitende zählen in Jahresarbeitseinheiten: Teilzeit anteilig, Auszubildende gar nicht.
• Zwei Jahre: Ein einzelnes Geschäftsjahr über der Schwelle reicht nicht. Nach Auffassung des BSI muss die Schwelle in zwei aufeinanderfolgenden Geschäftsjahren überschritten sein, außer bei Neugründungen.
• Ganzes Unternehmen: Es zählt das gesamte Unternehmen, nicht ein Standort oder eine Filiale.

Konzernzurechnung

Daten von Partner- und verbundenen Unternehmen im Sinne der KMU-Empfehlung werden hinzugerechnet, auch wenn diese außerhalb Deutschlands oder der EU sitzen. Davon gibt es eine Ausnahme: Ist das Unternehmen bei Beschaffenheit und Betrieb seiner IT von den anderen Gesellschaften unabhängig, zählen nur die eigenen Zahlen (§ 28 Abs. 4 Satz 2). Die vom BSI zitierte Gesetzesbegründung gibt dafür Anhaltspunkte: Betreibt die Konzernmutter die IT vollständig und hat die Tochter keinen Einfluss darauf, ist sie nicht unabhängig. Lässt die Tochter ihre IT dagegen selbst im Auftrag von einem Dienstleister betreiben, übt sie in der Regel bestimmenden Einfluss aus.

Die Zurechnung betrifft nur die Zahlen. Betroffen ist jeweils die Einrichtung, die die Tätigkeit aus Anlage 1 oder 2 tatsächlich ausübt; die Muttergesellschaft wird nicht automatisch betroffen, weil eine Tochter es ist, und umgekehrt. Üben Mutter und Tochter beide eine erfasste Tätigkeit aus und erreichen sie gemeinsam die Schwellen, sind laut BSI beide erfasst.

Schritt 4: Greift eine Ausnahme?

Die Absätze 5 bis 8 von § 28 nehmen bestimmte Einrichtungen von einzelnen Pflichten oder vom ganzen Gesetz aus. Absatz 8 schließt das ganze Gesetz aus, die Absätze 5 bis 7 nur einzelne Paragrafen:

Kommunale Eigen- und Regiebetriebe: Für sie gilt laut BSI vorrangig Landesrecht, sie fallen deshalb normalerweise nicht unter das BSIG. Anders ist es, wenn sie kritische Anlagen betreiben oder die Schwellen für wichtige oder besonders wichtige Einrichtungen überschreiten; § 28 erfasst ausdrücklich auch rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft. Dann ist das BSI zuständig. Ihre Betroffenheit zieht nicht die ganze Stadtverwaltung nach; die Verwaltung von Ländern und Kommunen selbst regeln die Länder. Wie Stadtwerke tätigkeitsbezogen einzuordnen sind, behandelt das Sektorenverzeichnis.

Was folgt aus der Kategorie?

Die Kernpflichten sind für beide Kategorien gleich: Risikomanagement nach § 30, Meldung erheblicher Sicherheitsvorfälle nach § 32, Registrierung nach § 33 und die Pflichten der Geschäftsleitung nach § 38. Unterschiede gibt es bei Aufsicht und Bußgeldrahmen, und für Betreiber kritischer Anlagen kommen Pflichten hinzu.

Auch der Bußgeldrahmen hängt von der Kategorie ab, vor allem aber vom einzelnen Tatbestand. Die Höchstbeträge je Pflicht stehen in der Übersicht der NIS2-Pflichten. Eine Folge gilt für beide Kategorien: Die Registrierung im BSI-Portal ist spätestens drei Monate fällig, nachdem eine Einrichtung erstmals als besonders wichtig oder wichtig gilt. Für alle, die schon am 06.12.2025 betroffen waren, endete diese Frist rechnerisch am 06.03.2026; wie Sie eine verspätete Registrierung nachholen, steht auf der Seite NIS2-Registrierung.

Welche Grenzfälle gibt es bei der Einstufung?

• Erstmals über der Schwelle: Wer in einem Jahr wächst, ist nach Auffassung des BSI erst betroffen, wenn das zweite Geschäftsjahr in Folge über der Schwelle liegt. Ab dann gelten die Pflichten, die Registrierung ist drei Monate später fällig (eigene Ableitung aus § 33 Abs. 1).
• Gemischte Tätigkeiten: Ein Maschinenbauer mit einem kleinen, am Markt angebotenen Energie- oder IT-Geschäft kann über diese Nebentätigkeit in Anlage 1 fallen und damit besonders wichtig werden, wenn er groß genug ist. Prüfen Sie Nebentätigkeiten deshalb einzeln mit der Auslegung zu § 28 Abs. 3.
• Konzern-IT-Gesellschaften: Eine IT-Tochter, die nur den eigenen Verbund betreut, kann unter den BSI-Schwellen vernachlässigbar sein. Bietet sie Leistungen auch außerhalb an, kann sie als IT-Dienstleister und Managed Service Provider unter Anlage 1 fallen.
• Unternehmen mit Sitz im Ausland: Für die Zuständigkeit des BSI zählt eine Niederlassung in Deutschland oder ein hier benannter Vertreter; für einige digitale Einrichtungsarten zählt die Hauptniederlassung in der EU (§ 60).

Beispiel: Einstufungsvermerk eines Zulieferers im Konzern

Fiktives Beispiel, kein Kunde. Ein Hersteller von Getriebebaugruppen mit 42 Mitarbeitenden (Jahresarbeitseinheiten ohne Auszubildende), 8,1 Mio. € Umsatz und 6,4 Mio. € Bilanzsumme gehört zu einer Gruppe mit einer Holding und einer Schwestergesellschaft in Österreich. Allein läge er unter allen Schwellen. Die IT (ERP, Benutzerverwaltung, E-Mail) betreibt die Holding für alle Gesellschaften. Auf dem Hallendach steht eine Photovoltaikanlage für den Eigenbedarf. Die Geschäftsführung lässt die Einstufung im Oktober 2026 prüfen und hält sie so fest:

Der Vermerk zeigt, warum die Konzernzurechnung hier das Ergebnis bestimmt: Ohne sie wäre die GmbH nicht betroffen. Hätte sie ihre IT selbst organisiert, etwa über einen eigenen Dienstleistervertrag, wäre die Unabhängigkeit nach § 28 Abs. 4 Satz 2 begründet zu prüfen gewesen.

Drei typische Lücken bei der Einstufung

Lücken und Abhilfe sind unsere fachliche Einordnung. Die Einstufung im Einzelfall bleibt eine Rechtsfrage; bei Zweifeln, etwa zu Konzernstrukturen oder gemischten Tätigkeiten, sollten Sie sie rechtlich prüfen lassen.

Wie es nach der Einstufung weitergeht

Ist das Ergebnis „besonders wichtig“ oder „wichtig“, folgen die Registrierung im BSI-Portal, ein Überblick über die Pflichten und die Maßnahmen nach § 30 BSIG. Wo Ihr Unternehmen dabei steht, klärt die NIS2-Gap-Analyse. Ist das Ergebnis „nicht betroffen“, können trotzdem Kunden NIS2-Anforderungen weitergeben; dafür gibt es die Seite für Zulieferer.