NIS2-Beratung
Ob und wie NIS2 Sie trifft, klären wir in der Betroffenheitsanalyse. Danach übersetzen wir die Pflichten des deutschen Umsetzungsgesetzes in einen konkreten Fahrplan: Risikomanagement, Meldewege, Lieferkettensicherheit und die Verantwortung der Leitungsebene. Sie erhalten die Nachweise, die die Aufsicht sehen will – ohne mehr aufzubauen, als das Gesetz verlangt.
Wer unter NIS2 fällt – und wer nicht
NIS2 ist in Deutschland umgesetzt: Das neu gefasste BSI-Gesetz (BSIG) gilt und unterscheidet besonders wichtige Einrichtungen und wichtige Einrichtungen (§ 28 BSIG). Vereinfacht: Wer in einem der Sektoren der Anlagen 1 und 2 tätig ist – von Energie, Transport und Gesundheit über digitale Infrastruktur bis zu verarbeitendem Gewerbe wie Maschinenbau, Fahrzeugbau, Chemie oder Medizinprodukten – und mindestens 50 Mitarbeitende oder über 10 Millionen Euro Jahresumsatz und Bilanzsumme hat, ist in der Regel betroffen. Besonders wichtige Einrichtungen beginnen bei 250 Mitarbeitenden oder 50 Millionen Euro Umsatz; Betreiber kritischer Anlagen zählen unabhängig von der Größe dazu.
Betreiber kritischer Anlagen (KRITIS)
Eine „kritische Anlage" ist eine Anlage im Sinne des § 2 Nummer 3 des KRITIS-Dachgesetzes (§ 2 Nr. 22 BSIG). Ihre Betreiber gelten unabhängig von der Unternehmensgröße als besonders wichtige Einrichtungen (§ 28 Abs. 1 Nr. 1 BSIG).
Kritische Anlagen versorgen die Allgemeinheit in Sektoren wie Energie, Wasser, Ernährung, IT und Telekommunikation, Gesundheit, Transport oder Finanzen – ihr Ausfall hätte erhebliche Folgen für das Gemeinwesen. Ob eine Anlage kritisch ist, bestimmen anlagenspezifische Schwellenwerte; Regelmaßstab ist die Versorgung von 500.000 Personen. Für KRITIS-Betreiber gelten zusätzliche Pflichten.
Telekommunikationsanbieter
Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze sind besonders wichtige Einrichtungen, wenn sie mindestens 50 Mitarbeiter beschäftigen oder Jahresumsatz und Jahresbilanzsumme jeweils über 10 Mio. € liegen (§ 28 Abs. 1 Nr. 3 BSIG) – darunter sind sie wichtige Einrichtungen (§ 28 Abs. 2 Nr. 2 BSIG).
Für TK-Anbieter gibt es damit keine Untergrenze: Auch der kleinste Anbieter ist mindestens wichtige Einrichtung. Die operativen Sicherheitspflichten laufen für sie allerdings über das Telekommunikationsgesetz (§ 28 Abs. 5 BSIG).
Qualifizierte Vertrauensdienste, TLD-Registries, DNS
Qualifizierte Vertrauensdiensteanbieter (Art. 3 Nr. 20 eIDAS-VO; § 2 Nr. 34 BSIG), Top Level Domain Name Registries (§ 2 Nr. 42 BSIG) und DNS-Diensteanbieter – öffentlich verfügbare rekursive oder autoritative Dienste, ausgenommen Root-Nameserver (§ 2 Nr. 8 BSIG) – gelten stets als besonders wichtige Einrichtungen (§ 28 Abs. 1 Nr. 2 BSIG).
Diese Dienste tragen das Vertrauens- und Adressierungsfundament des Internets – deshalb erfolgt die Einstufung unabhängig von jeder Größenschwelle.
Nicht-qualifizierte Vertrauensdienste
Vertrauensdiensteanbieter im Sinne des Art. 3 Nr. 19 eIDAS-VO (§ 2 Nr. 44 BSIG) gelten unabhängig von ihrer Größe als wichtige Einrichtungen (§ 28 Abs. 2 Nr. 1 BSIG).
Gemeint sind Anbieter ohne eIDAS-Qualifizierung – etwa einfache Signatur-, Siegel- oder Zeitstempeldienste. Die qualifizierten Anbieter sind bereits eine Stufe höher als besonders wichtige Einrichtungen erfasst.
Anlage 1: Sektoren hoher Kritikalität
Anlage 1 BSIG listet die Einrichtungsarten der Sektoren besonders wichtiger und wichtiger Einrichtungen: Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, Digitale Infrastruktur und Weltraum. Wer hier entgeltlich Waren oder Dienstleistungen anbietet, wird ab den Schwellen des § 28 Abs. 1 Nr. 4 BSIG besonders wichtige Einrichtung.
In der deutschen Anlage 1 gehören auch Managed Services und Managed Security Services Provider zur Digitalen Infrastruktur. Die vollständige Sektorliste steht in der aufklappbaren Tabelle unter dem Schaubild.
Anlagen 1 und 2: alle erfassten Sektoren
Anlage 2 BSIG ergänzt die Sektoren wichtiger Einrichtungen: Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe, Anbieter digitaler Dienste und Forschung. Für die Einstufung als wichtige Einrichtung zählen die Einrichtungsarten beider Anlagen (§ 28 Abs. 2 Nr. 3 BSIG).
Zum verarbeitenden Gewerbe zählen unter anderem Maschinenbau, Fahrzeugbau, Elektronik und Medizinprodukte – die Details stehen in der aufklappbaren Tabelle unter dem Schaubild.
Nicht betroffen – wirklich?
Wer keinem Sektor zuzuordnen ist oder unter den Schwellen bleibt, fällt in der Regel nicht unter das BSIG. Über die Lieferketten-Pflichten betroffener Kunden (§ 30 Abs. 2 Nr. 4 BSIG) kommen die Anforderungen aber oft trotzdem an – und mit Wachstum oder neuen Geschäftsfeldern kann sich die Einstufung ändern. Eine unverbindliche Ersteinschätzung bietet die Online-Betroffenheitsprüfung des BSI.
Größenprüfung TK: Mitarbeitende
Mindestens 50 Mitarbeiter (§ 28 Abs. 1 Nr. 3 Buchst. a BSIG). Die Mitarbeiterzahl wird nach der EU-KMU-Empfehlung 2003/361/EG bestimmt (§ 28 Abs. 4 BSIG).
Gezählt wird das gesamte Unternehmen in Jahresarbeitseinheiten – Teilzeitkräfte anteilig.
Größenprüfung TK: Finanzkennzahlen
Jahresumsatz und Jahresbilanzsumme jeweils über 10 Mio. € (§ 28 Abs. 1 Nr. 3 Buchst. b BSIG).
Beide Kennzahlen müssen überschritten sein. Verfehlt ein TK-Anbieter auch diese Schwelle, bleibt er wichtige Einrichtung – eine Untergrenze gibt es für TK nicht.
bwE-Schwelle: Mitarbeitende
Mindestens 250 Mitarbeiter (§ 28 Abs. 1 Nr. 4 Buchst. a BSIG), bestimmt nach der EU-KMU-Empfehlung (§ 28 Abs. 4 BSIG).
Maßgeblich ist der letzte Jahresabschluss; die Einstufung ändert sich erst, wenn die Schwelle in zwei aufeinanderfolgenden Geschäftsjahren über- oder unterschritten wird.
bwE-Schwelle: Finanzkennzahlen
Jahresumsatz über 50 Mio. € und Jahresbilanzsumme über 43 Mio. € (§ 28 Abs. 1 Nr. 4 Buchst. b BSIG).
Wer beide bwE-Schwellen verfehlt, wird an den Schwellen der wichtigen Einrichtungen erneut geprüft – deshalb führt der Nein-Pfad zurück zur Sektorprüfung der Anlagen 1 und 2.
wE-Schwelle: Mitarbeitende
Mindestens 50 Mitarbeiter (§ 28 Abs. 2 Nr. 3 Buchst. a BSIG), bestimmt nach der EU-KMU-Empfehlung (§ 28 Abs. 4 BSIG).
Gezählt wird das gesamte Unternehmen in Jahresarbeitseinheiten – Teilzeitkräfte anteilig.
wE-Schwelle: Finanzkennzahlen
Jahresumsatz und Jahresbilanzsumme jeweils über 10 Mio. € (§ 28 Abs. 2 Nr. 3 Buchst. b BSIG).
Wer auch darunter bleibt, fällt in der Regel nicht unter das BSIG – Sonderfälle wie TK oder Vertrauensdienste ausgenommen.
KRITIS als Teilmenge der bwE
Betreiber kritischer Anlagen sind besonders wichtige Einrichtungen (§ 28 Abs. 1 Nr. 1 BSIG). Für sie gelten zusätzlich besondere Anforderungen – unter anderem der Einsatz von Systemen zur Angriffserkennung (§ 31, § 2 Nr. 41 BSIG) und Nachweispflichten gegenüber dem BSI.
KRITIS-Betreiber tragen damit die vollen bwE-Pflichten plus erweiterte Maßnahmen- und Nachweispflichten – die strengste Stufe des Gesetzes.
Besonders wichtige Einrichtungen (bwE)
§ 28 Abs. 1 BSIG zählt abschließend auf: 1. Betreiber kritischer Anlagen; 2. qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries und DNS-Diensteanbieter; 3. TK-Anbieter mit mindestens 50 Mitarbeitern oder Umsatz und Bilanzsumme jeweils über 10 Mio. €; 4. Einrichtungen der Anlage-1-Sektoren mit mindestens 250 Mitarbeitern oder über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme.
Besonders wichtige Einrichtungen tragen die vollen Pflichten des BSIG – Risikomanagement, Registrierung, Meldewege, Geschäftsleitungspflichten – und unterliegen der proaktiven Aufsicht des BSI.
Wichtige Einrichtungen (wE)
§ 28 Abs. 2 BSIG: 1. Vertrauensdiensteanbieter; 2. TK-Anbieter unterhalb der bwE-Schwellen; 3. Einrichtungen der Sektoren der Anlagen 1 und 2 mit mindestens 50 Mitarbeitern oder Umsatz und Bilanzsumme jeweils über 10 Mio. € – sofern sie nicht bereits besonders wichtige Einrichtungen sind.
Wichtige Einrichtungen tragen weitgehend dieselben Pflichten wie besonders wichtige, werden vom BSI aber anlassbezogen beaufsichtigt; auch die Bußgeldrahmen unterscheiden sich.
Anlage 1 – Sektoren hoher Kritikalität
| Energie | Strom, Fernwärme/-kälte, Kraftstoff und Heizöl, Gas, Wasserstoff – von Lieferanten über Netz-, Speicher- und Erzeugungsbetreiber bis zu Ladepunktbetreibern |
| Transport und Verkehr | Luft-, Schienen-, Schiffs- und Straßenverkehr – u. a. Fluggesellschaften und Flughäfen, Eisenbahninfrastruktur und -verkehr, Häfen, Verkehrsleitzentralen |
| Finanzwesen | Kreditinstitute, Handelsplätze, zentrale Gegenparteien |
| Gesundheit | Gesundheitsdienstleister, EU-Referenzlabore, Arzneimittel-Forschung, Hersteller pharmazeutischer Erzeugnisse und kritischer Medizinprodukte |
| Wasser | Trinkwasserversorgung, Abwasserbeseitigung |
| Digitale Infrastruktur | Internet Exchange Points, DNS-Dienste, TLD-Registries, Cloud- und Rechenzentrumsdienste, CDNs, Vertrauensdienste, TK-Netze und -Dienste, Managed (Security) Services Provider |
| Weltraum | Betreiber von Bodeninfrastrukturen für weltraumgestützte Dienste |
Anlage 2 – Sonstige kritische Sektoren
| Transport und Verkehr | Post- und Kurierdienste |
| Abfallbewirtschaftung | Unternehmen, deren Hauptwirtschaftstätigkeit die Abfallbewirtschaftung ist |
| Chemie | Registrierungspflichtige Hersteller, Importeure und Händler chemischer Stoffe und Gemische |
| Lebensmittel | Großhandel sowie industrielle Produktion und Verarbeitung |
| Verarbeitendes Gewerbe | Medizinprodukte und In-vitro-Diagnostika, Datenverarbeitungsgeräte/Elektronik/Optik, elektrische Ausrüstungen, Maschinenbau, Kraftwagen und -teile, sonstiger Fahrzeugbau |
| Anbieter digitaler Dienste | Online-Marktplätze, Online-Suchmaschinen, Plattformen für soziale Netzwerke |
| Forschung | Forschungseinrichtungen |
Es gibt Sonderfälle: Finanzunternehmen fallen unter DORA statt unter die NIS2-Pflichten (§ 28 Abs. 6 BSIG). Telekommunikations- und Energieunternehmen werden zwar eingestuft, ihre operativen Pflichten laufen aber über TKG beziehungsweise EnWG. Und die Schwellenwerte folgen der EU-KMU-Empfehlung – verbundene Unternehmen können mitzählen. Die verbindliche Antwort liefert unsere Betroffenheitsanalyse, bevor Sie in Umsetzung investieren.
Was NIS2 konkret verlangt
Kern der Pflichten sind die Risikomanagementmaßnahmen nach § 30 BSIG: geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen nach dem Stand der Technik. Das Gesetz zählt zehn Mindestbereiche auf – die Farben zeigen unsere Einordnung nach Handlungsfeld:
- Registrierung (§ 33 BSIG)
- Betroffene Einrichtungen müssen sich spätestens drei Monate, nachdem sie unter das Gesetz fallen, über die gemeinsame Registrierungsmöglichkeit von BSI und BBK registrieren.
- Meldepflichten (§ 32 BSIG)
- Bei erheblichen Sicherheitsvorfällen: Erstmeldung innerhalb von 24 Stunden, ausführlichere Meldung innerhalb von 72 Stunden, Abschlussmeldung nach spätestens einem Monat – an die gemeinsame Meldestelle von BSI und BBK.
- Pflichten der Geschäftsleitung (§ 38 BSIG)
- Die Geschäftsleitung muss die Risikomanagementmaßnahmen selbst umsetzen und überwachen – bei Pflichtverletzung haftet sie der Einrichtung für schuldhaft verursachte Schäden. Dazu kommt die Pflicht zu regelmäßigen Schulungen.
- Sanktionen
- Verstöße können mit empfindlichen Bußgeldern geahndet werden – die NIS2-Richtlinie sieht für besonders wichtige Einrichtungen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vor.
Von der Betroffenheit zum Nachweis
Unsere NIS2-Beratung beginnt mit der Betroffenheitsanalyse: Sektor, Schwellenwerte, Sonderregeln, verbundene Unternehmen – schriftlich und belastbar. Danach prüfen wir in einer Gap-Analyse, wo Sie gegenüber den zehn Maßnahmenbereichen des § 30 BSIG stehen, und übersetzen die Lücken in einen priorisierten Umsetzungsfahrplan: Risikomanagement, Detection und Meldewege, Business Continuity, Lieferkettensicherheit, MFA und Kryptografie.
Die Meldeprozesse üben wir mit Ihnen durch, die Leitungsebene bereiten wir auf ihre Pflichten und Schulungen nach § 38 BSIG vor. Am Ende stehen die Nachweise, die die Aufsicht sehen will – ohne mehr aufzubauen, als das Gesetz verlangt. Wer bereits ein ISMS betreibt, integriert die NIS2-Pflichten dort; wer keines hat, braucht für NIS2 auch keines aufzubauen – ein strukturiertes Sicherheitsprogramm genügt.
NIS2 verlangt Wirksamkeit – wir liefern den Beleg
Zwei Anforderungen des Gesetzes werden gern überlesen: Die Maßnahmen müssen wirksam sein (§ 30 Abs. 1 BSIG), und es braucht Verfahren, diese Wirksamkeit zu bewerten (§ 30 Abs. 2 Nr. 6). Ein Ordner voller Konzepte erfüllt das nicht. Wir priorisieren die Umsetzung entlang der Techniken Ihrer realen Angreifer (Threat-Informed Defense), nutzen die CIS Controls als abarbeitbaren Maßnahmenkatalog – und belegen die Wirksamkeit mit Tests, die dem tatsächlichen Angreiferverhalten folgen. So wird aus der Compliance-Pflicht ein Sicherheitsgewinn.
Häufige Fragen zur NIS2-Beratung
Gilt NIS2 für unser Unternehmen?
Wahrscheinlich, wenn Sie in einem der Sektoren der BSIG-Anlagen tätig sind – dazu zählt neben Energie, Transport, Gesundheit und digitaler Infrastruktur auch klassisches verarbeitendes Gewerbe wie Maschinenbau oder Chemie – und mindestens 50 Mitarbeitende oder über 10 Millionen Euro Umsatz und Bilanzsumme haben. Es gibt aber Sonderregeln, Ausnahmen und die Frage verbundener Unternehmen. Eine belastbare Antwort liefert die Betroffenheitsanalyse.
Was passiert, wenn wir nichts tun?
Neben Bußgeldern – nach der NIS2-Richtlinie bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes – trifft die Verantwortung ausdrücklich die Geschäftsleitung: Sie muss die Maßnahmen nach § 38 BSIG selbst umsetzen und überwachen und haftet der Einrichtung bei Pflichtverletzung für schuldhaft verursachte Schäden. Aussitzen ist damit keine Option mehr, die nur das Unternehmen trifft.
Bis wann müssen wir umsetzen?
Das Gesetz gilt – es gibt keine allgemeine Übergangsfrist für die Risikomanagementmaßnahmen. Die Registrierung ist spätestens drei Monate fällig, nachdem eine Einrichtung unter das Gesetz fällt. Wer noch nicht begonnen hat, sollte jetzt priorisiert starten: erst Betroffenheit, dann die Lücken mit dem größten Risiko.
Brauchen wir für NIS2 eine ISO-27001-Zertifizierung?
Nein. NIS2 verlangt wirksame Maßnahmen, kein Zertifikat. Ein ISMS nach ISO 27001 ist ein bewährter Rahmen, um die Pflichten strukturiert zu erfüllen und nachzuweisen – und die zehn Maßnahmenbereiche decken sich weitgehend mit Annex-A-Themen. Für viele Betroffene ist aber ein schlankes Sicherheitsprogramm entlang der CIS Controls der schnellere Weg zur geforderten Wirksamkeit.
Wir sind ein Finanzunternehmen – NIS2 oder DORA?
DORA. Für Finanzunternehmen gehen die Anforderungen der Verordnung (EU) 2022/2554 als spezielleres Recht vor; die zentralen NIS2-Pflichten des BSIG gelten für sie nicht (§ 28 Abs. 6 BSIG). Details dazu auf unserer DORA-Seite.
Was ist der Unterschied zwischen besonders wichtigen und wichtigen Einrichtungen?
Die Pflichten sind weitgehend gleich – der Unterschied liegt vor allem in Schwellenwerten und Aufsicht: Besonders wichtige Einrichtungen (ab 250 Mitarbeitenden oder 50 Millionen Euro Umsatz, außerdem Betreiber kritischer Anlagen) unterliegen proaktiver Aufsicht durch das BSI, wichtige Einrichtungen werden anlassbezogen beaufsichtigt. Auch die Bußgeldrahmen unterscheiden sich.
Daniel Thomas Heessel wurde als CISO des Jahres 2026 ausgezeichnet und hat als Security-Verantwortlicher einer internationalen Unternehmensgruppe regulatorische Anforderungen in gelebte Sicherheitsprogramme übersetzt. Er ist zertifizierter ISO 27001 Senior Lead Auditor, CISSP und CISM.
Fachlich geprüft im August 2026 am geltenden BSIG (Neufassung); zitierte Paragrafen: §§ 28, 30, 32, 33, 38 BSIG.