Von NIS2 betroffen?
Die Einstufung liegt beim Unternehmen.
Nicht das BSI prüft, ob Sie betroffen sind — das Unternehmen tut es selbst. Von dieser Einstufung hängen Registrierungspflicht, Meldewege, Maßnahmen und die persönliche GF-Haftung nach §38 BSIG ab.
Viele Unternehmen sind betroffen — wissen es aber nicht sicher. Das BSI registriert keine Unternehmen proaktiv und informiert auch nicht. Die Erstprüfung ist Eigenverantwortung nach §28 BSIG.
Nicht dokumentierte Betroffenheit schützt nicht vor Bußgeldern. Ein unklarer Stand erzeugt später unnötige Schleifen bei Registrierung, Meldelogik und Maßnahmenprogramm.
Wer jetzt einordnet, spart sich die Eskalation wenn Kunden, Lieferanten oder Prüfer anfragen.
Wann gilt ein Unternehmen als betroffen?
Die Einstufung ergibt sich aus drei Kriterien — alle drei müssen geprüft werden, bevor eine Entscheidung als belastbar gilt.
Tätigkeit in einem NIS2-Sektor
Energie, Transport, Gesundheit, Wasser, Finanzen, Digitale Infrastruktur (Anhang I) — Post, Chemie, Lebensmittel, Abfall, Herstellung (Anhang II). Zuordnung nach der Haupttätigkeit.
Größenkriterien überschritten
Wichtige Einrichtungen: ≥ 50 Mitarbeitende oder ≥ 10 Mio. € Umsatz. Besonders wichtige Einrichtungen: ≥ 250 MA oder ≥ 50 Mio. € Umsatz. Gruppenregel: verbundene Unternehmen werden zusammengerechnet.
Unabhängig von der Größe betroffen
Bestimmte Unternehmen sind ohne Rücksicht auf die Größe betroffen: DNS-Betreiber, TLD-Register, qualifizierte Vertrauensdienstanbieter und kritische Einzelfälle nach behördlicher Entscheidung.
Konzernzugehörigkeit prüfen
Tochtergesellschaften mit 30 Mitarbeitenden können betroffen sein, wenn der Konzern insgesamt die Schwellen überschreitet. Für die Einstufung gilt die wirtschaftliche Einheit.
Welcher Anhang gilt für Ihren Sektor?
Die Zuordnung zu Anhang I oder II bestimmt Schwellenwerte, Bußgeldrahmen und Prüfungsintensität.
Was konkret zu tun ist — in fünf Schritten
Sektor zuordnen und dokumentieren
Welcher NIS2-Sektor beschreibt die Haupttätigkeit am besten? Mehrfachzuordnungen sind möglich und müssen begründet werden.
Größenkriterien belegen
Mitarbeitendenzahl, Jahresumsatz und Bilanzsumme gegen die Schwellenwerte prüfen. Gruppenregel berücksichtigen.
Sondertatbestände prüfen
DNS-Betrieb, TLD-Register, qualifizierte Vertrauensdienste oder behördliche Einzelfeststellung ausschließen oder dokumentieren.
Einstufung schriftlich festhalten
Betroffen / nicht betroffen / regulierungsnah — mit Begründung. Dieses Dokument ist später die Ausgangslage für Prüfer, Kunden und Versicherungen.
Konsequenzen ableiten
Registrierung nach §33 BSIG, Meldewege nach §32, Maßnahmenprogramm nach §30 und GF-Schulung nach §38 BSIG anstoßen.
Was in der Praxis schiefgeht
Was am häufigsten gefragt wird
Auf die Einordnung folgt belastbare Umsetzung.
Eine klare Einstufung ist kein Bürokratieakt. Sie ist die Grundlage für Registrierung, Meldewege, Maßnahmenprogramm und GF-Haftung.
Im Ereignisfall wird der Nachweis entscheidend. Wer Risiken nicht fortlaufend eingeordnet, Maßnahmen nicht sauber umgesetzt und Reviews nicht regelmäßig dokumentiert hat, gerät in eine deutlich schwächere Position.
Wer noch keine Registrierung hat: die BSI-Nachmeldung ist möglich — aber nur mit belegbarer Einstufung dahinter.
BSI-Registrierung vorbereiten
Wer Betroffenheit geklärt hat, meldet als nächstes beim BSI. Der Vorbereitungs-Check führt durch ELSTER, MUK, Stammdaten und Zuständigkeit — inklusive Begründungstexten für verspätete Registrierung.
Wer Betroffenheit, Registrierung, Maßnahmen und Nachweise in einer Linie führen möchte, kann anschließend mit einer NIS2-Einordnung weiterarbeiten.