¶ Betroffenheits- und Einstufungsprüfung
Worum geht es? Diese Seite zeigt, wie Unternehmen strukturiert prüfen, ob sie nach dem BSIG als besonders wichtige Einrichtung, wichtige Einrichtung oder derzeit nicht über den Regelfall des § 28 BSIG erfasst werden. Sie erklärt nicht nur das Ergebnis, sondern auch die dafür erforderlichen Tatsachen, Quellen und Nachweise.
Muster und Aussagegrenze: Die Seite enthält keine Einstufung eines realen Unternehmens und ersetzt keine Rechtsberatung. Eine belastbare Entscheidung erfordert die tatsächlichen Tätigkeiten, Unternehmensdaten, Beteiligungsverhältnisse und gegebenenfalls sektorspezifische Rechtsprüfung.
Rechtsstand: Das NIS-2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025. Maßgeblich bleiben das jeweils aktuelle BSIG, seine Anlagen, sektorspezifische Vorschriften und die aktuellen Informationen der zuständigen Behörden.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | NIS2-MA-00-02 |
| Dokumentenart | Verfahren zur Betroffenheits- und Einstufungsprüfung |
| Wiki.js-Pfad | /NIS2/00-Start-und-Navigation/Betroffenheits-und-Einstufungspruefung |
| Verantwortlich | Geschäftsführung / festzulegende NIS2- und Compliance-Koordination |
| Fachlich geprüft durch | Recht/Compliance – ausstehend |
| Freigabe durch | Geschäftsführung – ausstehend |
| Status | Entwurf – keine organisationsbezogene Betroffenheit festgestellt |
| Version / Stand | 0.2 / 09.08.2026 |
| Schutzklasse | Intern; Unternehmens- und Bewertungsunterlagen geschützt |
| Rechtsbezug | Insbesondere §§ 28, 29, 33, 37 und 38 sowie Anlagen 1 und 2 BSIG |
Betroffenheit anhand belastbarer Tatsachen prüfen, begründen und regelmäßig neu bewerten. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ 1. Warum die Prüfung mehr als ein Größencheck ist
Ob ein Unternehmen von NIS2 betroffen ist, ergibt sich nicht allein aus der Beschäftigtenzahl. Zuerst muss geklärt werden, welcher Rechtsträger welche konkrete Tätigkeit ausübt und ob diese Tätigkeit einer gesetzlich beschriebenen Einrichtungsart zugeordnet werden kann. Erst danach werden Größenmerkmale und Sonderregeln angewendet.
Die Prüfung beantwortet fünf getrennte Fragen:
- Wer wird geprüft? Rechtsträger, Niederlassung, Beteiligungsverhältnisse und Unternehmensverbund.
- Was wird tatsächlich angeboten oder betrieben? Waren, Dienstleistungen, Anlagen und digitale Dienste.
- Ist eine Tätigkeit in Anlage 1 oder Anlage 2 BSIG genannt? Entscheidend ist die konkrete Einrichtungsart, nicht nur eine allgemeine Branchenbezeichnung.
- Greifen Größenmerkmale oder eine Sonderrolle? Beschäftigte, Umsatz und Bilanzsumme werden nach den gesetzlichen Regeln bewertet.
- Welches Pflichtenregime gilt? Das Ergebnis kann durch Telekommunikations-, Energie-, Finanz-, Gesundheits- oder andere Spezialregelungen beeinflusst werden.
Wichtig: Ein Zulieferer eines betroffenen Kunden ist nicht automatisch selbst eine besonders wichtige oder wichtige Einrichtung. Kunden können jedoch unabhängig davon vertragliche Sicherheits- und Nachweisanforderungen stellen.
¶ 2. Mögliche Ergebnisse
| Ergebnis | Bedeutung | Konsequenz |
|---|---|---|
| Besonders wichtige Einrichtung | Ein Tatbestand des § 28 Absatz 1 BSIG ist erfüllt | Betroffenheit dokumentieren, Registrierung und Pflichtenprogramm unverzüglich steuern |
| Wichtige Einrichtung | Ein Tatbestand des § 28 Absatz 2 BSIG ist erfüllt und keine Einstufung als besonders wichtige Einrichtung geht vor | Betroffenheit dokumentieren, Registrierung und Pflichtenprogramm unverzüglich steuern |
| Einrichtung der Bundesverwaltung | Gesonderte Einordnung nach § 29 BSIG | Nicht mit der allgemeinen Unternehmensmatrix abschließen |
| Anderes oder teilweise vorrangiges Pflichtenregime | Beispielsweise besondere Regeln für Telekommunikation, Energie, Finanzunternehmen oder Telematikinfrastruktur | Anwendbare und verdrängte Pflichten paragraphengenau bestimmen |
| Vertiefte Prüfung erforderlich | Tatsachen, Zuordnung, Verbunddaten oder Sonderregeln sind offen oder widersprüchlich | Keine Entwarnung; offene Punkte mit Verantwortlichen und Frist dokumentieren |
| Derzeit keine Indikation aus dem Regelfall | Nachweislich keine einschlägige Einrichtungsart, Sonderrolle oder Größenkombination festgestellt | Entscheidung begründen, Änderungsauslöser überwachen und regelmäßig neu prüfen |
„Derzeit keine Indikation“ ist weder eine behördliche Negativfeststellung noch eine dauerhafte Freistellung.
¶ 3. Sektoren und Einrichtungsarten
Die Anlagen des BSIG nennen nicht pauschal jedes Unternehmen eines Sektors. Maßgeblich sind die dort beschriebenen Einrichtungsarten und gegebenenfalls Definitionen aus weiteren Gesetzen oder EU-Rechtsakten.
¶ Anlage 1 – Sektoren besonders wichtiger und wichtiger Einrichtungen
| Sektor | Typische Einrichtungsarten – gekürzte Orientierung |
|---|---|
| Energie | Unter anderem Strom-, Fernwärme-, Öl-, Gas- und Wasserstoffversorgung sowie bestimmte Markt- und Netzakteure |
| Transport und Verkehr | Bestimmte Unternehmen und Betreiber im Luft-, Schienen-, Schiffs- und Straßenverkehr |
| Finanzwesen | Bestimmte Kreditinstitute und Finanzmarktinfrastrukturen; DORA-Abgrenzung zusätzlich prüfen |
| Gesundheit | Bestimmte Gesundheitsdienstleister, Labore, Arzneimittel-Forschung und -Herstellung sowie kritische Medizinprodukte |
| Wasser | Bestimmte Trinkwasserversorger und Unternehmen der Abwasserbeseitigung |
| Digitale Infrastruktur | IXP, DNS, TLD, Cloud, Rechenzentrum, CDN, Vertrauensdienste, Telekommunikation, MSP und MSSP |
| Weltraum | Bestimmte Betreiber von Bodeninfrastrukturen für weltraumgestützte Dienste |
¶ Anlage 2 – weitere Sektoren wichtiger Einrichtungen
| Sektor | Typische Einrichtungsarten – gekürzte Orientierung |
|---|---|
| Post- und Kurierdienste | Anbieter von Postdienstleistungen einschließlich Kurierdiensten |
| Abfallbewirtschaftung | Unternehmen der Abfallbewirtschaftung, soweit dies ihre Hauptwirtschaftstätigkeit ist |
| Chemische Stoffe | Bestimmte Hersteller und Importeure chemischer Stoffe und Gemische |
| Lebensmittel | Großhandel sowie industrielle Produktion und Verarbeitung |
| Verarbeitendes Gewerbe | Bestimmte Hersteller nach NACE C26 bis C30: Elektronik, elektrische Ausrüstungen, Maschinenbau, Kraftwagen und sonstiger Fahrzeugbau; außerdem bestimmte Medizinprodukte |
| Digitale Dienste | Online-Marktplätze, Online-Suchmaschinen und Plattformen sozialer Netzwerke |
| Forschung | Forschungseinrichtungen mit gesetzlich definierter Ausrichtung auf kommerzielle Nutzung der Ergebnisse |
Die Kurzbezeichnungen ersetzen nicht den Wortlaut der jeweiligen Einrichtungsart. Für die Prüfakte werden Anlage, laufende Nummer, Einrichtungsart, tatsächliche Tätigkeit und Begründung gemeinsam dokumentiert.
¶ 4. Größenmerkmale richtig anwenden
¶ Allgemeine Entscheidungsmatrix für entgeltlich tätige Einrichtungen
| Einrichtungsart | Größenmerkmale | Regelmäßige Einstufung |
|---|---|---|
| Anlage 1 | mindestens 250 Beschäftigte oder Jahresumsatz über 50 Mio. Euro und zugleich Jahresbilanzsumme über 43 Mio. Euro | Besonders wichtige Einrichtung |
| Anlage 1 | mindestens 50 Beschäftigte oder Jahresumsatz über 10 Mio. Euro und zugleich Jahresbilanzsumme über 10 Mio. Euro; Schwelle zur besonders wichtigen Einrichtung nicht erreicht | Wichtige Einrichtung |
| Anlage 2 | mindestens 50 Beschäftigte oder Jahresumsatz über 10 Mio. Euro und zugleich Jahresbilanzsumme über 10 Mio. Euro | Wichtige Einrichtung |
| Anlage 1 oder 2 | keine der einschlägigen Größenkombinationen erreicht | Über die allgemeine Größenregel regelmäßig keine Einstufung; Sonderrollen und weitere Rechtsgrundlagen trotzdem prüfen |
¶ Die drei häufigsten Lesefehler
- Bei der Beschäftigtenzahl genügt das Erreichen des jeweiligen Schwellenwertes allein.
- Bei den Finanzwerten müssen für die allgemeine Regel Umsatz und Bilanzsumme gemeinsam über den jeweiligen Grenzwerten liegen.
- Eine große Einrichtung aus Anlage 2 wird durch ihre Größe allein nicht zur besonders wichtigen Einrichtung; sie bleibt im Regelfall eine wichtige Einrichtung.
¶ Unternehmensverbund und Datenbasis
Mitarbeiterzahl, Umsatz und Bilanzsumme werden grundsätzlich nach der EU-Empfehlung 2003/361/EG ermittelt. Partner- und verbundene Unternehmen können daher einzubeziehen sein. § 28 Absatz 4 BSIG enthält eine besondere Ausnahme, wenn ein Unternehmen unter Würdigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände hinsichtlich seiner informationstechnischen Systeme, Komponenten und Prozesse unabhängig ist.
Für jede Zahl werden deshalb mindestens festgehalten:
| Merkmal | Erforderlicher Nachweis |
|---|---|
| Beschäftigte | Berechnungsmethode, Bezugszeitraum, Personalquelle, Vollzeitäquivalente und einbezogene Unternehmen |
| Jahresumsatz | festgestellter Abschluss, Geschäftsjahr, Währung und berücksichtigter Unternehmenskreis |
| Jahresbilanzsumme | festgestellter Abschluss, Geschäftsjahr und berücksichtigter Unternehmenskreis |
| Beteiligungen | Beteiligungsstruktur, Partner- und verbundene Unternehmen sowie Begründung der Zurechnung |
| IT-Unabhängigkeit | Systemlandschaft, Betrieb, Administration, Netze, Identitäten, Dienstleister und tatsächliche Abhängigkeiten |
| Stichtag | Datum der Bewertung und Aktualität aller verwendeten Daten |
Eine bloße Aussage „eigenständige Gesellschaft“ reicht für die Ausnahme zur Verbundzurechnung nicht aus.
¶ 5. Sonderrollen vor der allgemeinen Matrix prüfen
Bestimmte Einrichtungsarten folgen besonderen Regeln und dürfen nicht nur anhand der allgemeinen Sektor-Größen-Matrix bewertet werden.
| Sonderfall | Grundsätzliche Einordnung oder Prüfhinweis |
|---|---|
| Betreiber einer kritischen Anlage | Besonders wichtige Einrichtung; KRITIS-Eigenschaft und geltende Übergangs- oder Konkretisierungsregeln gesondert belegen |
| Qualifizierter Vertrauensdiensteanbieter | Besonders wichtige Einrichtung unabhängig von der allgemeinen Größenmatrix |
| TLD-Registry oder DNS-Diensteanbieter | Besonders wichtige Einrichtung unabhängig von der allgemeinen Größenmatrix |
| Sonstiger Vertrauensdiensteanbieter | Wichtige Einrichtung; Abgrenzung zum qualifizierten Anbieter dokumentieren |
| Öffentliches Telekommunikationsnetz oder öffentlich zugänglicher Telekommunikationsdienst | Besondere Größenlogik nach § 28 Absatz 1 Nummer 3 und Absatz 2 Nummer 2 BSIG anwenden |
| Einrichtung der Bundesverwaltung | Gesonderte Regelung nach § 29 BSIG |
| Finanzunternehmen im DORA-Anwendungsbereich | § 28 Absatz 6 BSIG und DORA-Abgrenzung paragraphengenau prüfen |
| Energie und Telekommunikation mit sektorspezifischer Regulierung | § 28 Absatz 5 BSIG prüfen; die Einstufung und die konkret anwendbaren Pflichten getrennt dokumentieren |
| Gesellschaft für Telematik und bestimmte Dienste der Telematikinfrastruktur | Besondere Ausnahme- und Abgrenzungsregeln nach § 28 Absatz 6 BSIG prüfen |
| Öffentlich getragene Organisationen auf Landes- oder kommunaler Ebene | Voraussetzungen des § 28 Absatz 8 BSIG und gegebenenfalls Landesrecht prüfen |
Ein besonderes Pflichtenregime bedeutet nicht automatisch, dass die Einrichtung „nicht betroffen“ ist. Häufig ist vielmehr zu dokumentieren, welche BSIG-Pflichten nicht gelten und welche Spezialpflichten an ihre Stelle treten.
¶ 6. Prüfschritte im Unternehmen
¶ Schritt 1 – Prüfobjekt festlegen
- vollständige Firma, Rechtsform, Sitz und Registerdaten erfassen;
- Niederlassungen und grenzüberschreitende Leistungserbringung aufnehmen;
- Mutter-, Tochter-, Partner- und verbundene Unternehmen darstellen;
- festlegen, ob je Rechtsträger eine eigene oder eine zusammenhängende Bewertung erforderlich ist.
¶ Schritt 2 – Tätigkeiten vollständig erheben
- entgeltlich angebotene Waren und Dienstleistungen erfassen;
- digitale Dienste, Managed Services, Cloud-, Rechenzentrums- oder Sicherheitsleistungen nicht übersehen;
- Neben- und Hilfstätigkeiten mit Umsatzanteil, Ressourceneinsatz und Bedeutung dokumentieren;
- Tätigkeitsbeschreibung mit Verträgen, Leistungsbeschreibungen, Gewerbe- oder Registerangaben abgleichen.
¶ Schritt 3 – Einrichtungsart zuordnen
- jede Tätigkeit gegen Anlage 1 und Anlage 2 prüfen;
- NACE-Code nur als Hilfsmittel verwenden, nicht als alleinige Begründung;
- gesetzliche Definitionen und Verweisnormen prüfen;
- bei Nichtzuordnung die geprüften Alternativen und die Begründung festhalten.
Nach § 28 Absatz 3 BSIG können im Verhältnis zur gesamten Geschäftstätigkeit vernachlässigbare Tätigkeiten unberücksichtigt bleiben. Ob eine Tätigkeit tatsächlich vernachlässigbar ist, wird nachvollziehbar und nicht nur mit einem pauschalen Umsatzanteil begründet.
¶ Schritt 4 – Sonderrollen und Spezialrecht bewerten
- KRITIS, DNS/TLD, Vertrauensdienste und Telekommunikation zuerst prüfen;
- Bundesverwaltung und öffentlich getragene Organisationen gesondert behandeln;
- DORA, Energie-, Telekommunikations- und Gesundheitsrecht abgrenzen;
- dokumentieren, ob Spezialrecht die Einstufung, einzelne Pflichten oder nur den Nachweisweg verändert.
¶ Schritt 5 – Größenwerte berechnen
- belastbare Stichtagsdaten verwenden;
- UND-/ODER-Verknüpfungen der Schwellenwerte korrekt anwenden;
- Partner- und verbundene Unternehmen prüfen;
- eine behauptete IT-Unabhängigkeit mit Architektur- und Betriebsnachweisen belegen.
¶ Schritt 6 – Ergebnis und Folgen freigeben
- Einstufung mit Paragraph, Absatz, Nummer, Anlage und Einrichtungsart begründen;
- Unsicherheiten und abweichende Fachmeinungen sichtbar festhalten;
- Geschäftsleitungsentscheidung dokumentieren;
- Registrierung, Geltungsbereich, Maßnahmenprogramm, Meldewege und Schulungen auslösen;
- nächsten Reviewtermin und ereignisbezogene Änderungsauslöser festlegen.
¶ 7. Praxisbeispiele
Die Beispiele sind vereinfacht. Sonderrollen, Beteiligungen, Nebentätigkeiten und Spezialrecht können zu einem anderen Ergebnis führen.
| Musterfall | Vereinfachte Bewertung |
|---|---|
| Maschinenbauunternehmen nach NACE C28 mit 80 Beschäftigten | Einrichtungsart aus Anlage 2 und Beschäftigtenschwelle erreicht: regelmäßig wichtige Einrichtung |
| Maschinenbauunternehmen mit 40 Beschäftigten, 18 Mio. Euro Umsatz und 12 Mio. Euro Bilanzsumme | Beide Finanzwerte liegen über 10 Mio. Euro: regelmäßig wichtige Einrichtung trotz weniger als 50 Beschäftigten |
| Erfasster Gesundheitsdienstleister aus Anlage 1 mit 300 Beschäftigten | Beschäftigtenschwelle für besonders wichtige Einrichtungen erreicht: regelmäßig besonders wichtige Einrichtung |
| Anbieter eines Online-Marktplatzes aus Anlage 2 mit 300 Beschäftigten | Regelmäßig wichtige Einrichtung; allein durch die Größe keine Hochstufung zur besonders wichtigen Einrichtung |
| Managed Service Provider mit 42 Beschäftigten, 9 Mio. Euro Umsatz und 6 Mio. Euro Bilanzsumme | Allgemeine Größenschwelle nicht erreicht; Sonderrollen, Verbundzurechnung und weitere Tätigkeiten trotzdem prüfen |
| Nicht selbst erfasstes Zulieferunternehmen mit NIS2-Anforderungen eines Kunden | Keine gesetzliche Einstufung allein durch den Kundenvertrag; vertragliche und lieferkettenbezogene Pflichten separat steuern |
¶ 8. Mindestinhalt der Entscheidungsakte
Die Betroffenheitsprüfung muss auch Monate später für Geschäftsleitung, Prüfer und Behörden nachvollziehbar sein.
| Feldgruppe | Mindestinhalt |
|---|---|
| Prüfobjekt | Rechtsträger, Registerdaten, Niederlassungen, Beteiligungen und Organisationsstruktur |
| Tätigkeiten | Produkte, Dienste, Betreiberrollen, Verträge, tatsächliche Leistungserbringung und Nebentätigkeiten |
| Sektorzuordnung | Anlage, Nummer, Sektor, Branche, Einrichtungsart, Definition und Begründung |
| Größenwerte | Beschäftigte, Umsatz, Bilanzsumme, Stichtag, Quelle und Berechnung |
| Unternehmensverbund | Partner- und verbundene Unternehmen, Zurechnung und gegebenenfalls belegte IT-Unabhängigkeit |
| Sonderprüfung | KRITIS, Telekommunikation, Vertrauensdienste, DNS/TLD, Bundesverwaltung und Spezialrecht |
| Ergebnis | Einstufung, Rechtsgrundlage, Beginn der Betroffenheit und verbleibende Unsicherheiten |
| Freigabe | Ersteller, fachlich Prüfende, Geschäftsleitungsbeschluss, Datum und Auflagen |
| Folgemaßnahmen | Registrierung, Geltungsbereich, Verantwortlichkeiten, Risikomanagement, Meldeweg, Schulung und Nachweise |
| Review | Änderungsauslöser, Informationsquellen, Verantwortlicher und nächster Prüftermin |
Vertrauliche Jahresabschlüsse, Beteiligungsunterlagen, Verträge oder technische Architekturbelege werden nicht auf einer öffentlichen Wiki-Seite abgelegt. Die Seite führt nur Status, Verantwortlichkeit und geschützten Ablageort.
¶ 9. Fristen und unmittelbare Folgemaßnahmen
Besonders wichtige und wichtige Einrichtungen müssen sich nach § 33 Absatz 1 BSIG grundsätzlich spätestens drei Monate, nachdem sie erstmals oder erneut als solche gelten, registrieren. Änderungen der registrierten Angaben sind grundsätzlich unverzüglich, spätestens innerhalb von zwei Wochen nach Kenntnis, zu übermitteln. Das BSI weist darauf hin, dass die NIS2-Registrierung über das BSI-Portal erfolgt.
Nach bestätigter Betroffenheit werden mindestens folgende Arbeitspakete ausgelöst:
- Registrierung und Behördenkontakte vorbereiten;
- NIS2-Geltungsbereich und relevante Dienste festlegen;
- Rollen, Geschäftsleitungsverantwortung und Berichtswesen beschließen;
- Risikomanagementmaßnahmen nach § 30 BSIG bewerten und priorisieren;
- Meldeweg für erhebliche Sicherheitsvorfälle einrichten und erproben;
- Geschäftsleitung schulen und Überwachung dokumentieren;
- Nachweisregister, Wirksamkeitsprüfung und regelmäßige Neubewertung etablieren.
¶ 10. Review und Änderungsauslöser
Die Prüfung erfolgt vor der erstmaligen NIS2-Umsetzung und danach mindestens jährlich. Eine sofortige Neubewertung wird insbesondere ausgelöst durch:
- neue Waren, Dienste, Betreiberrollen oder Geschäftsmodelle;
- Zukauf, Verkauf, Umstrukturierung oder neue Beteiligungsverhältnisse;
- Überschreiten oder Unterschreiten eines Größenmerkmals;
- Änderung von IT-Betriebsmodell, Shared Services oder Konzernabhängigkeiten;
- neue oder geänderte KRITIS-Eigenschaft;
- Änderung des BSIG, seiner Anlagen oder sektorspezifischer Vorschriften;
- behördliche Hinweise, Auskunftsverlangen oder abweichende Rechtsbewertung;
- wesentliche neue Kundenanforderungen, die auf eine bislang übersehene Tätigkeit hinweisen.
¶ 11. Verknüpfte Arbeitsseiten
- Interaktiver NIS2-Betroffenheitscheck – strukturierte Erstindikation
- Geltungsbereich und relevante Dienste – Scope nach bestätigter oder wahrscheinlicher Betroffenheit
- NIS2-Anforderungen im Vergleich – Pflichtenübersicht
- Pflichten der Geschäftsleitung – Umsetzung, Überwachung und Schulung
- Registrierung und Aktualisierung – Fristen, Daten und Zuständigkeit
- Behörden und Kontaktstellen – gepflegte Kommunikationswege
- NIS2-Nachweisregister – kontrollierte Nachweisführung
- Rechts- und Vertragskataster – Rechtsquellen und vertragliche Anforderungen
¶ 12. Offizielle Grundlagen
- BSI-Gesetz – geltende Fassung
- § 28 BSIG – besonders wichtige und wichtige Einrichtungen
- Anlagen 1 und 2 im vollständigen BSIG
- § 33 BSIG – Registrierungspflicht
- § 38 BSIG – Pflichten der Geschäftsleitung
- BSI: Informationen zur NIS2-Registrierung
- EU-Empfehlung 2003/361/EG zur Unternehmensgröße
¶ 13. Weiterführende Unterstützung durch SMCT MANAGEMENT
Unterstützung bei Betroffenheitsprüfung, Geltungsbereich und dokumentierter NIS2-Umsetzung
NIS2-Beratung auf smct-management.de öffnen
¶ 14. Änderungshistorie
| Version | Datum | Änderung | Freigabe |
|---|---|---|---|
| 0.2 | 09.08.2026 | Entscheidungsmatrix, Sektoren, Sonderrollen, Verbundprüfung, Praxisbeispiele, Entscheidungsakte und Folgemaßnahmen ergänzt | Ausstehend |
| 0.1 | 08.08.2026 | Musterverfahren zur Betroffenheits- und Einstufungsprüfung erstellt | Ausstehend |