Sektorenverzeichnis: welche Einrichtungsarten NIS2 erfasst

Dieses Verzeichnis ordnet Tätigkeiten den Einrichtungsarten des BSIG (in der Fassung vom 22.10.2026) zu. Es ersetzt keine Einstufung: Ob ein Unternehmen tatsächlich betroffen ist und in welcher Kategorie, hängt zusätzlich von Größe, Konzernzugehörigkeit und Ausnahmen ab. Diese Prüfung mit einem ausgefüllten Einstufungsvermerk steht auf der Seite NIS2-Betroffenheit.

Wie liest man die Anlagen 1 und 2?

Jede Zeile der Anlagen nennt einen Sektor, teils eine Branche, und die Einrichtungsart. Die Einrichtungsart ist der Prüfmaßstab. Sie verweist teils auf ein Fachgesetz (etwa „Betreiber von Gasverteilernetzen nach § 3 Nummer 8 EnWG“), teils auf eine Abteilung der Wirtschaftszweigklassifikation NACE Rev. 2. Welche Fassung der Klassifikation gilt und welche Nummer aus Ihren Statistikmeldungen Sie heranziehen, erklärt die Betroffenheitsprüfung.

Für die Kategorie gilt: Einrichtungsarten aus Anlage 1 sind je nach Größe besonders wichtig oder wichtig, Einrichtungsarten aus Anlage 2 höchstens wichtig. Für Vertrauensdiensteanbieter, Telekommunikationsanbieter, DNS-Diensteanbieter und TLD-Registries gelten eigene, teils größenunabhängige Regeln, obwohl sie in Anlage 1 stehen.

Anlage 1: Sektoren besonders wichtiger und wichtiger Einrichtungen

Die Tabelle fasst die Einrichtungsarten nah am Wortlaut zusammen; Nummern wie in der Anlage. Verbindlich ist der Gesetzestext.

Anlage 2: Sektoren wichtiger Einrichtungen

Abgrenzungsfälle nach Sektor

Energie: tätigkeitsbezogen, die Registrierung bleibt

Für Einrichtungen, die Energieversorgungsnetze, Energieanlagen oder digitale Energiedienste nach dem EnWG betreiben und den §§ 5c bis 5e EnWG unterliegen, entfallen nach § 28 Abs. 5 BSIG die meisten Pflichten, die Registrierung nach § 33 bleibt. Die Ausnahme gilt nur, soweit die Tätigkeit reicht: Für weitere kritische Anlagen und weitere Tätigkeiten aus Anlage 1 oder 2 gelten die Pflichten. Ist der Betrieb der Energieanlage nur eine Nebentätigkeit, greift die Ausnahme gar nicht (§ 28 Abs. 5 Satz 4). Welche Paragrafen genau entfallen, steht in der Betroffenheitsprüfung.

Ein Stadtwerk ist deshalb nie pauschal „ausgenommen“: Stromnetz und Gasnetz können unter die Ausnahme fallen, eine Trinkwasserversorgung oder ein Abwasserbetrieb im selben Haus nicht. Laut BSI registrieren sich auch Betreiber von Energieversorgungsnetzen nach § 5d Abs. 4 EnWG, die keine besonders wichtige oder wichtige Einrichtung sind. Für Energieversorger und Stadtwerke lohnt deshalb eine Zuordnung je Sparte; die OT- und EnWG-Umsetzung als Leistung beschreiben wir auf der Branchenseite Energie und KRITIS.

Telekommunikation

TK-Netzbetreiber und TK-Diensteanbieter haben eigene Größenregeln in § 28 und Sonderregeln nach dem TKG, die wir auf der Seite TK-Anbieter unter NIS2 und TKG erklären.

Finanzwesen: DORA geht vor

Für Finanzunternehmen nach Art. 2 Abs. 2 der DORA-Verordnung (EU) 2022/2554 gelten die §§ 30, 31, 32, 35, 36, 38 und 39 BSIG nicht (§ 28 Abs. 6 Nr. 1). Registrieren müssen sie sich laut BSI trotzdem; das ist der Kern der Abgrenzung von NIS2 und DORA. Die Einzelheiten stehen auf DORA und NIS2 abgrenzen.

Gesundheit und Medizinprodukte

Die Gesellschaft für Telematik und Betreiber bestimmter Dienste der Telematikinfrastruktur sind von denselben Paragrafen ausgenommen wie DORA-Unternehmen (§ 28 Abs. 6 Nr. 2). Bei Medizinprodukten verläuft die Grenze zwischen den Anlagen: Hersteller von Medizinprodukten, die in einer Notlage als kritisch eingestuft sind, stehen in Anlage 1, alle übrigen Hersteller von Medizinprodukten und In-vitro-Diagnostika in Anlage 2. Krankenhäuser, MVZ und Labore ordnen Sie über die Einrichtungsarten des Sektors Gesundheit in Anlage 1 zu.

Digitale Infrastruktur und digitale Dienste

Für DNS-Diensteanbieter, TLD-Registries, Cloud-Computing- und Rechenzentrumsdienste, Content Delivery Networks, Managed Service Provider, Managed Security Service Provider, Online-Marktplätze, Online-Suchmaschinen, Plattformen sozialer Netzwerke und Vertrauensdiensteanbieter hat die Durchführungsverordnung (EU) 2024/2690 Vorrang vor den Maßnahmen aus § 30 Abs. 2 (§ 30 Abs. 3). Für einen ähnlichen, aber nicht identischen Kreis gilt die zusätzliche Registrierung nach § 34; diese Liste enthält Domain-Name-Registry-Dienstleister, aber keine Vertrauensdiensteanbieter.

Ein Managed Service Provider ist nach § 2 Nr. 26 BSIG ein Anbieter von Diensten zur Installation, Verwaltung, zum Betrieb oder zur Wartung von IKT-Produkten, Netzen, Infrastruktur oder Anwendungen, vor Ort beim Kunden oder aus der Ferne. Damit können auch klassische IT-Systemhäuser erfasst sein. Eine Konzern-IT, die nur den eigenen Verbund betreut, kann nach der Auslegung des BSI vernachlässigbar sein. Für Managed Service Provider gilt deshalb auch die Durchführungsverordnung (EU) 2024/2690. Wann ein IT-Dienstleister als MSP gilt, vertieft die Seite IT-Dienstleister und MSP; Anbieter digitaler Dienste behandelt die Seite digitale Dienste. Welche NIS2-Pflichten trotz eines C5-Prüfberichts bleiben, beantwortet C5 und NIS2 auf c5-readiness.de.

Weltraum: nur Bodeninfrastruktur

Erfasst sind ausschließlich Betreiber von Bodeninfrastrukturen, die weltraumgestützte Dienste unterstützen und sich im Eigentum von Mitgliedstaaten oder privaten Parteien befinden; Anbieter öffentlicher elektronischer Kommunikationsnetze sind ausgenommen. Anbieter weltraumgestützter Dienste als solche nennt die Anlage nicht. Hintergrund liefert unser Artikel NIS2 im Weltraumsektor.

Wasser, Abfall, Lebensmittel, Chemie

• Wasser und Abwasser: Nicht erfasst sind Unternehmen, für die Wasserlieferung oder Abwasserbehandlung nur ein nicht wesentlicher Teil ihrer Tätigkeit ist.
• Abfall: Erfasst ist nur, wessen Hauptwirtschaftstätigkeit die Abfallbewirtschaftung ist. Ein Produktionsbetrieb, der eigene Abfälle entsorgt, fällt nicht darunter.
• Lebensmittel: Die Einrichtungsart nennt Großhandel sowie industrielle Produktion und Verarbeitung. Einzelhandel und Gastronomie nennt sie nicht.
• Chemie: Erfasst sind Hersteller und Importeure nach REACH mit Tätigkeit in NACE-Kategorie 20, die der Registrierungspflicht nach Art. 6 REACH unterliegen.

Forschung

Forschungseinrichtungen stehen in Anlage 2. Bildungseinrichtungen gelten nach § 2 Nr. 12 BSIG nicht als Forschungseinrichtungen.

Öffentliche Verwaltung: kein eigener Sektor

Die Verwaltung ist in den Anlagen kein Sektor. Für sie gelten drei getrennte Wege:

• Bundesverwaltung: § 29 BSIG regelt sie gesondert. Für Bundesbehörden gelten die Regeln für besonders wichtige Einrichtungen, ohne §§ 38, 40 Abs. 3, 61 und 65; das Auswärtige Amt, das BMVg, der BND und das BfV sind zusätzlich unter anderem von §§ 30, 33 und 35 ausgenommen.
• Landes- und Kommunalverwaltung: Die Cybersicherheit der Verwaltung von Ländern und Kommunen regeln die Länder. Bei Fragen verweist das BSI an die zuständige Aufsichtsbehörde der jeweiligen Landesverwaltung.
• Kommunale Unternehmen: Wann kommunale Eigen- und Regiebetriebe trotz Landesrecht unter das BSIG fallen und wann § 28 Abs. 8 kommunale Verwaltungsdienstleister ausnimmt, erklärt die Betroffenheitsprüfung.

Beispiel: Zuordnung eines Unternehmens mit mehreren Tätigkeiten

Fiktives Beispiel, kein Kunde. Ein Lebensmittelgroßhändler beliefert Gastronomie und Kantinen. Auf dem eigenen Gelände stehen eine Photovoltaikanlage für den Eigenbedarf und acht Ladepunkte, die Besucher gegen Entgelt nutzen können. Die IT betreut ein externer Dienstleister. So ordnet der Großhändler seine Tätigkeiten zu:

Das Beispiel zeigt, warum eine Nebentätigkeit die Kategorie verändern kann: Allein über den Großhandel wäre das Unternehmen höchstens wichtig. Kommt eine Anlage-1-Tätigkeit hinzu, ist bei ausreichender Größe auch „besonders wichtig“ möglich. Größe, Konzern und Kategorie prüfen Sie im zweiten Schritt auf der Seite NIS2-Betroffenheit. Diese Zuordnung ist unsere Einordnung und ersetzt keine rechtliche Prüfung.

Drei typische Fehler bei der Zuordnung