Die NIS2-Betroffenheitsprüfung nach § 28 BSIG: wer erfasst ist — und wer nicht

§ IWer ist von NIS2 betroffen? Die Prüfung in zwei Schritten

Betroffen ist, wer eine Einrichtungsart der Anlage 1 oder 2 des BSI-Gesetzes (BSIG) ausübt und die Größenschwelle des § 28 erreicht; einige Einrichtungsarten sind ohne jede Schwelle erfasst. Das BSIG setzt die NIS-2-Richtlinie (EU) 2022/2555 um (NIS-2-Umsetzungsgesetz, BGBl. 2025 I Nr. 301; Begriff in § 2 Nr. 27 BSIG). Wer die Merkmale erfüllt, „gilt“ kraft Gesetzes als besonders wichtige oder wichtige Einrichtung (§ 28 Abs. 1 und 2 BSIG).

Erfasst sind natürliche und juristische Personen sowie rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft, die anderen entgeltlich Waren oder Dienstleistungen anbieten (§ 28 Abs. 1 Nr. 4, Abs. 2 Nr. 3 BSIG); die größenunabhängigen Tatbestände der Nr. 1 bis 3 bzw. Nr. 1 und 2 kennen dieses Merkmal nicht.

Beide Stufen tragen, vorbehaltlich der Ausnahmen des § 28 Abs. 5 bis 7 BSIG, dieselben Kernpflichten: Registrierung (§ 33), Risikomanagement (§ 30), Meldung erheblicher Sicherheitsvorfälle (§ 32) und die Pflichten der Geschäftsleitung (§ 38). Die Stufe entscheidet über Aufsicht und Bußgeldrahmen. Besonders wichtige Einrichtungen kann das BSI auch ohne Anlass prüfen (§ 61), wichtige Einrichtungen, wenn Tatsachen einen Verstoß nahelegen (§ 62). Für Verstöße gegen Risikomanagement- und Meldepflichten reicht die Geldbuße bis 10 Mio. € bei besonders wichtigen und bis 7 Mio. € bei wichtigen Einrichtungen (§ 65 Abs. 5 Satz 1 Nr. 1 BSIG).

Zum 30.06.2026 zählte das BSI 17.945 Registrierungen; 4.095 davon nannten als Sektor der Anlage 2 das verarbeitende Gewerbe (Mehrfachnennungen je Sektor sind möglich). Im November 2025 hatte es rund 29.500 Einrichtungen geschätzt.

§ IISchritt 1: die Einrichtungsart in Spalte D — nicht der Sektor

Maßgeblich ist die Einrichtungsart in Spalte D der Anlagen, nicht der Sektor in Spalte B. § 28 Abs. 2 Nr. 3 BSIG verlangt, dass ein Unternehmen „einer der in den Anlagen 1 und 2 bestimmten Einrichtungsarten zuzuordnen“ ist.

Anlage 1 Nr. 2 heißt „Transport und Verkehr“, erfasst im Straßenverkehr aber nur Betreiber von Anlagen zur Verkehrsbeeinflussung und intelligenter Verkehrssysteme. Eine Spedition findet dort keine Einrichtungsart; Kurierdienste stehen in Anlage 2 Nr. 1. Im Finanzwesen nennt Anlage 1 Nr. 3 nur Kreditinstitute, Handelsplätze und zentrale Gegenparteien, keine Versicherer. Anlage 2 Nr. 3 erfasst nur Hersteller und Importeure REACH-registrierungspflichtiger Stoffe und Gemische der NACE-Abteilung 20, nicht den reinen Chemiehandel. Anlage 2 Nr. 4 nennt Lebensmittelunternehmen nur im Großhandel und in der industriellen Produktion und Verarbeitung, nicht den Einzelhandel.

Wer sich einem Sektor zurechnet, ist noch nicht erfasst. Entscheidend ist, ob das eigene Geschäft einer Einrichtungsart in Spalte D entspricht.

Theo Funk, Rechtsanwalt

Manche Einrichtungsarten tragen ihre Grenze in sich. Die Abfallbewirtschaftung ist nur als Hauptwirtschaftstätigkeit erfasst (Anlage 2 Nr. 2.1.1). Der Maschinenbau knüpft an die NACE-Abteilung 28 an (Anlage 2 Nr. 5.4).

Managed Service Provider ist nach § 2 Nr. 26 BSIG, wer Dienste im Zusammenhang mit Installation, Verwaltung, Betrieb oder Wartung von IKT-Produkten, Netzen, Infrastruktur, Anwendungen oder anderen Netz- und Informationssystemen durch Unterstützung oder aktive Verwaltung in den Räumlichkeiten der Kunden oder aus der Ferne erbringt. Darunter kann das Geschäft eines Systemhauses fallen; erfasst ist es dann ab der Schwelle (Anlage 1 Nr. 6.1.10). Der Betroffenheitscheck fragt deshalb die Einrichtungsart ab, nicht die Branche.

§ IIISchritt 2: ab welcher Unternehmensgröße — Mitarbeiter oder Umsatz und Bilanz

Wichtige Einrichtung ist, wer eine Einrichtungsart der Anlage 1 oder 2 ausübt und mindestens 50 Mitarbeiter beschäftigt oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. € aufweist (§ 28 Abs. 2 Nr. 3 BSIG). Die Buchstaben a und b sind Alternativen; innerhalb von Buchstabe b müssen beide Werte die Grenze überschreiten. „Mindestens 50“ schließt die 50 ein, „über 10 Millionen Euro“ schließt genau 10 Millionen Euro aus.

Besonders wichtig wird ein Unternehmen über seine Größe nur mit einer Einrichtungsart der Anlage 1: mit mindestens 250 Mitarbeitern oder mit einem Jahresumsatz von über 50 Mio. € und zudem einer Jahresbilanzsumme von über 43 Mio. € (§ 28 Abs. 1 Nr. 4 BSIG). Ein Maschinenbauer bleibt deshalb auch mit mehreren tausend Beschäftigten wichtige Einrichtung, solange er keine Einrichtungsart der Anlage 1 ausübt und kein größenunabhängiger Tatbestand hinzukommt.

Gezählt wird nach der KMU-Empfehlung der Kommission 2003/361/EG, ohne Art. 3 Abs. 4 ihres Anhangs (§ 28 Abs. 4 Satz 1 BSIG). Mitarbeiter sind danach Jahresarbeitseinheiten (Art. 5 des Anhangs); Teilzeitkräfte zählen anteilig. Auch Art. 4 Abs. 2 des Anhangs gilt: Nach der FAQ des BSI führt erst das Überschreiten einer Schwelle in zwei aufeinanderfolgenden Geschäftsjahren zur Erfassung; ein einzelnes Geschäftsjahr genügt nicht, außer bei neu gegründeten Unternehmen.

§ IVUnter 50 Mitarbeitern betroffen? Drei Wege in den Anwendungsbereich

Ja, auf drei Wegen: über Umsatz und Bilanzsumme von jeweils über 10 Mio. €, über hinzuzurechnende Zahlen von Partner- oder verbundenen Unternehmen oder über Tatbestände ohne Größenschwelle.

Ohne Schwelle besonders wichtig sind Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries und DNS-Diensteanbieter (§ 28 Abs. 1 Nr. 1 und 2 BSIG). Ohne Schwelle wichtig sind nicht qualifizierte Vertrauensdiensteanbieter (§ 28 Abs. 2 Nr. 1). Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze sind ab 50 Mitarbeitern oder bei Umsatz und Bilanzsumme von jeweils über 10 Mio. € besonders wichtig, alle übrigen wichtig (§ 28 Abs. 1 Nr. 3, Abs. 2 Nr. 2).

Für kleine IT-Dienstleister ist der DNS-Tatbestand leicht zu übersehen. DNS-Diensteanbieter ist nach § 2 Nr. 8 Buchst. b BSIG auch, wer autoritative Dienste zur Auflösung von Domain-Namen zur Nutzung durch Dritte anbietet, ausgenommen Root-Namenserver. Erfasst sind nach der Gesetzesbegründung Nameserver, die nicht der Domaininhaber selbst betreibt und die grundsätzlich vielen Domaininhabern offenstehen; rein interner DNS-Betrieb zählt nicht.

Ob eine Anlage kritisch ist, richtet sich bis zum Inkrafttreten der Rechtsverordnung zum KRITIS-Dachgesetz nach der bis 16.03.2026 geltenden Fassung des § 2 Nr. 22 BSIG und damit nach der BSI-Kritisverordnung (§ 66 BSIG; Stand 23.09.2026). Domain-Registrare und Reseller sind keine Einrichtungen im Sinne des § 28. Sie müssen sich aber unabhängig von ihrer Größe registrieren (§§ 33, 34 BSIG) und die Pflichten zur Registrierungsdatenbank erfüllen (§§ 49, 50 BSIG).

§ VKonzern, Partner- und verbundene Unternehmen: wann fremde Zahlen mitzählen

Zahlen von Partner- und verbundenen Unternehmen zählen grundsätzlich mit, außer das Unternehmen ist bei seiner IT unabhängig (§ 28 Abs. 4 BSIG). Partnerunternehmen setzen nach der KMU-Empfehlung eine Beteiligung von 25 % oder mehr am Kapital oder an den Stimmrechten voraus (Art. 3 Abs. 2 des Anhangs); verbunden sind Unternehmen unter anderem bei einer Mehrheit der Stimmrechte (Art. 3 Abs. 3). Partnerunternehmen werden anteilig, verbundene Unternehmen voll hinzugerechnet (Art. 6 Abs. 2).

Eingestuft wird die einzelne Gesellschaft, nicht der Konzern; die Konzernzahlen entscheiden nur über die Größe. Eine Holding ohne eigene Einrichtungsart wird durch die Hinzurechnung nicht zur Einrichtung. Eine konzerneigene IT-Gesellschaft, die mit administrativem Zugriff die Systeme von Schwestergesellschaften betreibt, ist dagegen nach der FAQ des BSI Managed Service Provider (Anlage 1 Nr. 6.1.10); dass sie nur im Konzern tätig ist, steht dem nicht entgegen.

Die Hinzurechnung entfällt, wenn das Unternehmen unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände bei Beschaffenheit und Betrieb seiner IT von seinen Partner- oder verbundenen Unternehmen unabhängig ist (§ 28 Abs. 4 Satz 2 BSIG). Die FAQ des BSI stellt darauf ab, ob das Unternehmen „bestimmenden Einfluss“ auf seine IT hat. Diesen nimmt sie regelmäßig auch an, wenn ein Dienstleister die Systeme im Auftrag betreibt; sie verneint ihn regelmäßig, wenn die Konzernmutter die IT vollständig betreibt. Festzuhalten sind deshalb die Tatsachen: wer die Systeme betreibt, wer über Änderungen entscheidet und welche Systeme die Gruppe teilt.

Anders beim Bußgeld: Die umsatzbezogenen Obergrenzen von 2 % für besonders wichtige und 1,4 % für wichtige Einrichtungen greifen erst bei über 500 Mio. € weltweitem Gesamtumsatz des Unternehmens, dem die Einrichtung angehört (§ 65 Abs. 6 bis 8 BSIG).

§ VINebentätigkeiten und Ausnahmen: § 28 Abs. 3, 5 und 6 BSIG

Geschäftstätigkeiten, die im Hinblick auf die gesamte Geschäftstätigkeit vernachlässigbar sind, können bei der Zuordnung zu einer Einrichtungsart unberücksichtigt bleiben (§ 28 Abs. 3 BSIG). Anhaltspunkte sind nach der BSI-FAQ Mitarbeiter, Umsatz und Bilanzsumme des betreffenden Bereichs; die Nennung der Tätigkeit im Gesellschaftsvertrag oder in der Satzung kann ein Indiz gegen ihre Vernachlässigbarkeit sein. Für Betreiber kritischer Anlagen, Vertrauensdiensteanbieter, TLD-Registries, DNS-Diensteanbieter und öffentliche Telekommunikation gilt § 28 Abs. 3 nach der BSI-FAQ nicht. Nach unserer Einschätzung ist das eine enge Ausnahme, die schriftlich begründet werden sollte.

§ 28 Abs. 5 BSIG nimmt Betreiber öffentlicher Telekommunikationsnetze, Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber von Energieversorgungsnetzen, Energieanlagen oder digitalen Energiediensten, die den §§ 5c bis 5e EnWG unterliegen, von den §§ 30, 31, 32, 35, 36, 38, 39, 61 und 62 aus. Das gilt nicht, soweit sie weitere kritische Anlagen betreiben oder mit weiteren Tätigkeiten einer Einrichtungsart der Anlage 1 oder 2 angehören (§ 28 Abs. 5 Satz 2; Satz 3 erstreckt das auf die dafür erforderlichen IT-Systeme).

Ein typischer Prüffall ist der Industriebetrieb mit eigener Erzeugungsanlage (Anlage 1 Nr. 1.1.4). Ob diese Tätigkeit vernachlässigbar ist, entscheidet § 28 Abs. 3. Die EnWG-Ausnahme hilft dort nicht ohne Weiteres: Ist der Betrieb der Energieanlage nur eine Nebentätigkeit, findet § 28 Abs. 5 keine Anwendung (§ 28 Abs. 5 Satz 4).

§ 28 Abs. 6 BSIG nimmt Finanzunternehmen unter DORA, der Verordnung (EU) 2022/2554, sowie die Gesellschaft für Telematik und bestimmte Dienste der Telematikinfrastruktur von den §§ 30, 31, 32, 35, 36, 38 und 39 aus. Die Ausnahmen ändern nicht die Einstufung, sondern nur die anwendbaren Pflichten. Die Registrierung nach § 33 BSIG bleibt in allen Fällen Pflicht.

§ VIIRechenbeispiele: vom Maschinenbauer bis zum Systemhaus

Vereinfacht: ohne Ausnahmen, ohne kritische Anlage, Konzernbezug nur, wo genannt; Zahlen jeweils in zwei Geschäftsjahren in Folge.

Maschinenbauer (Anlage 2 Nr. 5.4) mit 52 Mitarbeitern, 9 Mio. € Umsatz und 7 Mio. € Bilanzsumme: wichtige Einrichtung allein über die Mitarbeiterzahl (§ 28 Abs. 2 Nr. 3 Buchst. a).

Derselbe Betrieb mit 30 Mitarbeitern, 12 Mio. € Umsatz und 8 Mio. € Bilanzsumme: nicht erfasst. Die Mitarbeiterzahl liegt unter 50, und die Bilanzsumme liegt nicht über 10 Mio. €.

Mit 30 Mitarbeitern, 12 Mio. € Umsatz und 11 Mio. € Bilanzsumme: wichtige Einrichtung nach Buchstabe b, obwohl das Unternehmen weniger als 50 Mitarbeiter hat.

Industrieller Lebensmittelhersteller (Anlage 2 Nr. 4) mit 900 Mitarbeitern und 200 Mio. € Umsatz: wichtige Einrichtung. Die höhere Stufe ist über die Größe Anlage 1 vorbehalten.

Managed Service Provider (Anlage 1 Nr. 6.1.10) mit 120 Mitarbeitern, 60 Mio. € Umsatz und 40 Mio. € Bilanzsumme: wichtige Einrichtung. Für die höhere Stufe fehlen 250 Mitarbeiter, und die Bilanzsumme liegt nicht über 43 Mio. €.

Tochtergesellschaft im Maschinenbau mit 35 Mitarbeitern, 6 Mio. € Umsatz und 4 Mio. € Bilanzsumme; die Mutter hält alle Anteile, die Gruppe hat 400 Mitarbeiter: mit Hinzurechnung wichtige Einrichtung. Ist die Tochter bei ihrer IT unabhängig, zählen nur ihre eigenen Zahlen; dann ist sie nicht erfasst.

Systemhaus mit 12 Mitarbeitern und 2 Mio. € Umsatz, das für Kunden die autoritativen Nameserver ihrer Domains betreibt: besonders wichtige Einrichtung als DNS-Diensteanbieter (§ 28 Abs. 1 Nr. 2, § 2 Nr. 8 Buchst. b BSIG), ohne Größenschwelle. Allein als Managed Service Provider wäre es nicht erfasst.

§ VIIINach der Prüfung: BSI-Werkzeug, Einstufungsvermerk, Lieferanten

Am Ende sollte ein datierter Einstufungsvermerk stehen, auch bei negativem Ergebnis. Die Online-Betroffenheitsprüfung des BSI ist ein unverbindlicher Einstieg; in Grenzfällen ersetzt sie keine Einzelprüfung.

In den Vermerk gehören die Tätigkeiten mit der Nummer der Einrichtungsart, Jahresarbeitseinheiten, Umsatz und Bilanzsumme der letzten beiden Geschäftsjahre, die Partner- und verbundenen Unternehmen samt Tatsachen zur IT-Unabhängigkeit, die Prüfung der Absätze 3, 5 und 6 sowie Ergebnis, Datum und Verantwortliche. Rechtfertigen Tatsachen die Annahme, dass eine Einrichtung ihre Registrierungspflicht nicht erfüllt, muss sie dem BSI auf Verlangen Unterlagen vorlegen und Auskunft erteilen (§ 33 Abs. 4 BSIG). Der Betroffenheitscheck erzeugt eine druckbare Fassung als Ausgangspunkt.

Die Einstufung ist keine Momentaufnahme. Wer nach einem Zukauf, einer neuen Tätigkeit oder dem Überschreiten einer Schwelle (nach der Zwei-Jahres-Regel mit Ablauf des zweiten Geschäftsjahres in Folge — nach unserer Lesart) erstmals oder erneut als Einrichtung gilt, muss sich spätestens drei Monate danach registrieren (§ 33 Abs. 1 BSIG). Für den Bestand endete die Frist Anfang März 2026; zum Nachholen siehe den Beitrag zur NIS2-Registrierung beim BSI. Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1); zu Innenhaftung und Schulung der Beitrag zur Geschäftsführerhaftung nach § 38 BSIG.

Lieferanten, die selbst nicht erfasst sind, trifft keine Pflicht aus den §§ 30, 32 und 38 BSIG. Anforderungen ihrer Kunden aus der Lieferkettenpflicht (§ 30 Abs. 2 Satz 2 Nr. 4 BSIG) gelten für sie nur aus dem Vertrag; zuzusagen ist nur Belegbares, keine pauschale „NIS2-Konformität“.